GovTechスタートアップにおけるRobo ClawのPilot・PoC・検証方法
Refineで定義した要件をもとに、1自治体・1部署・1制度・1住民接点でAgent・Skill・Tool Policyを構築し、正常系・異常系のテストを実施したうえで、本番移行の可否を判断する方法を解説します。誤分類、誤送信、誤更新、重複申請処理、Prompt Injection、SaaS・API障害など、公共領域特有のリスクを想定した検証項目を扱います。
Who This Is For
対象読者
Refine STEPで要件を定義した、プロダクト責任者、実証事業(PoC)担当、情報セキュリティ担当、個人情報保護担当を対象にしています。
What You'll Decide
このSTEPで決めること
Build & Validate STEPでは、限定範囲のPilotを構築し、正常系・異常系のテストを実施したうえで、本番移行の可否を判断します。
Pilot Scope
Pilotの単位
複数自治体・複数部署を同時に検証すると、権限設計や結果評価が複雑になります。最初のPilotは次の単位に限定することをおすすめします。
1自治体・1部署
複数自治体と連携している場合も、最初は1自治体・1部署に限定します。
1制度・1住民接点
対象とする制度または住民接点(問い合わせ・申請・予約等)を1つに絞ります。
1問い合わせ・申請種別
対象とする問い合わせ・申請の種別を1つに限定し、リスクを評価しやすくします。
1システム接続
接続する問い合わせ管理・申請受付管理システムを1つに限定します。
Industry Challenges
Pilotで直面しやすい課題
テスト観点が網羅されない
正常系のみを確認し、個人情報混入や誤送信などの異常系テストが不足しがちです。
本番移行の判断基準が事前に決まっていない
Pilot終了後に何を満たせば本番移行してよいかが曖昧なまま進めてしまうことがあります。
手動運用への切り戻し手順がない
Pilot中に問題が発生した際、手動運用へ切り替える手順が用意されていないことがあります。
自治体担当者の関与タイミングが遅い
テスト設計の段階から自治体担当者が関与せず、後から手戻りが発生することがあります。
Method
実施手順
1. Pilot範囲を確定する
1自治体・1部署・1制度・1住民接点の範囲を確定します。
2. Agent・Skill・Tool Policyを構築する
Refine STEPで定義した設計をもとに、実際にAgent・Skill・Tool Policyを構築します。
3. テストデータを準備する
本番の住民情報・本人確認情報を含まない、テスト用の問い合わせ・申請データを準備します。
4. 正常系テストを実施する
住民問い合わせの一次分類、制度・FAQ検索、回答文案の作成が正しく行われるかを確認します。
5. 異常系テストを実施する
下記の異常系テスト項目にもとづき、誤認識・誤送信・情報混入・障害時の挙動を確認します。
6. 人間承認・停止・ロールバックを検証する
人間承認が正しく機能するか、問題発生時に停止・ロールバックできるかを確認します。
7. 手動運用への切替を検証する
Agentを停止した場合に、手動運用へ切り替えられる手順が機能するかを確認します。
8. 本番移行を判断する
テスト結果とGo/No-Go基準を照らし合わせ、プロダクト責任者・自治体担当者が本番移行の可否を判断します。
Test Scenarios
異常系テスト項目
以下は、GovTechスタートアップのPilotで検証すべき異常系テスト項目の例です。自社の業務・システムに応じて追加・調整してください。
| テスト項目 | 想定シナリオ | 確認内容 |
|---|---|---|
| 誤分類 | 問い合わせ・申請の種別を誤って分類する | 誤分類の検知と人間による修正が機能するか |
| 誤要約 | 会議・ヒアリング記録の要約内容に誤りが生じる | 要約前後の内容差分を人間が確認できるか |
| 住民情報誤認識 | 申請内容や住民情報を誤って読み取る | 誤認識を検知し、確定前に人間が修正できるか |
| 要配慮情報誤認識 | 要配慮情報を誤って認識する | 確定は人間が行う設計になっているか |
| 本人確認情報誤認識 | 本人確認情報を誤って認識する | 本人確認の最終判定は人間が行うか |
| 給付・資格判断関連情報の見落とし | 給付・資格判断に関わる重要な情報を見落とす | 自治体所管部署へ確実にエスカレーションされるか |
| 個人・要配慮情報混入 | 出力に住民の個人・要配慮情報が意図せず含まれる | 出力前のフィルタリングと人間確認で除去できるか |
| 誤送信 | 誤った宛先・誤った内容が住民・自治体担当者へ送信される | 送信前承認、送信ログ、誤送信時の取消手順が機能するか |
| 誤公開 | 住民向けページへ誤った内容が公開される | 公開前承認、公開ログ、誤公開時の取消手順が機能するか |
| 誤更新 | 申請データ・住民記録が誤って更新される | 更新前の確認と変更履歴の保存が機能するか |
| 二重実行 | 同一処理が複数回実行される | べき等性チェックによって重複が防止されるか |
| 重複申請処理 | 同一の申請が重複して処理される | 申請履歴の確認により重複が検知されるか |
| Prompt Injection | 入力データに紛れた指示によりAgentが意図しない動作をする | 不審な指示を無視し、確定処理に至らない設計になっているか |
| SaaS・API障害 | 接続先SaaS・APIが応答しない | エラー時に安全側で停止し、担当者へ通知されるか |
| API仕様変更 | 接続先SaaSの仕様が変更される | 異常を検知し、再検証が行われるまで自動実行を止められるか |
| 人間承認 | 承認前に確定処理が実行されそうになる | 承認なしに送信・更新・公開が確定しない設計になっているか |
| エスカレーション | 給付・資格・本人確認への影響が疑われる出力が発生する | 自治体所管部署・情報政策/セキュリティ責任者へ確実にエスカレーションされるか |
| 停止・ロールバック | 誤った出力・処理が発生した後の対応 | 実行の停止と、直前状態への復旧手順が機能するか |
| 手動運用切替 | Agentを一時的に利用できない状況 | 手動運用へ切り替える手順が整備され、業務が継続できるか |
| 本番移行基準 | Pilot終了時の移行判断 | Go/No-Go基準に沿って責任者が判断できるか |
Data & Systems
使用するデータ・システム
Human-in-the-loop
人間承認が必要な箇所
- 回答文案・不足項目候補の内容確認と承認
- 個人・要配慮情報に関わる候補の責任者による確認
- 住民・自治体担当者への送信、住民向けページへの公開実行前の内容確認
- 異常検知時の停止・ロールバック実施の判断
Measurement
KPI
異常系テスト合格率
定義した異常系テスト項目のうち、合格基準を満たした割合
人間確認率
出力に対して人間確認が実施された割合
誤送信・重複申請処理の発生件数
Pilot期間中に発生した誤送信・重複申請処理の件数
Pitfalls
失敗例・注意点
異常系テストを省略する
正常系のみ確認して本番移行すると、要配慮情報混入や重複申請処理に気づかないまま運用が始まるリスクがあります。
本番データでテストする
住民の個人情報・本人確認情報を含む本番データをテストにそのまま使うと、不要な情報漏えいリスクが生じます。
Go/No-Go基準を事後に決める
基準を事前に定義しないと、本番移行の判断が場当たり的になります。
Go / No-Go Criteria
本番移行の判断基準
- 定義した異常系テスト項目すべてで、想定どおりの安全側の挙動が確認できている
- 人間承認・エスカレーション経路が実際に機能することを確認できている
- 停止・ロールバック手順、手動運用への切替手順を実際に試して機能することを確認できている
- プロダクト責任者・自治体担当者が結果を確認し、本番移行に合意している
- 本番運用の監視・ログ体制がDeploy & Operateの要件を満たす見込みが立っている
FAQ
よくあるご質問
Pilotの期間はどのくらいが目安ですか
業務量やテスト項目数によりますが、数週間から1〜2か月程度を目安にすることが多くあります。異常系テストの網羅性を優先し、期間ありきで進めないことをおすすめします。
テストに本番の住民データを使ってよいですか
推奨しません。匿名化・仮名化したテストデータを用意し、本番の個人情報・本人確認情報を含むデータでのテストは避けてください。
給付・資格判断のテストでは何を確認しますか
情報整理・エスカレーションの提示までにとどまり、最終的な給付・資格判断は必ず自治体所管部署が行う設計になっているかを確認します。
本番移行の判断は誰が行いますか
プロダクト責任者と自治体担当者が、テスト結果とGo/No-Go基準を照らし合わせて判断することを推奨しています。個人情報保護に関わる論点がある場合は、個人情報保護担当・法務も判断に加わります。
Pilot・PoCの設計を、一緒に整理しませんか。
対象範囲、テスト項目、Go/No-Go基準を確認し、Pilotの構成を正式LPでご相談いただけます。