# AIガバナンスとは

AIの利用で生じるリスクを許容できる水準に管理しながら、AIの便益を最大化するために、組織が方針、責任者、確認の手順を定めて運用する仕組みです。AIの誤りによる顧客や個人への影響が重大な用途ほど、管理を厚くします。

## AIガバナンスとは

AIガバナンスは、組織がAIの利用方法を決定し、その遵守を確認し、問題があれば修正する仕組みです。
目的は、情報の漏洩、誤りを含む出力、説明できない判定などによる損害を抑制しながら、AIを業務に利用することです。
総務省と経済産業省の[AI事業者ガイドライン第1.2版](https://www.soumu.go.jp/main_content/001064279.pdf)は、AIガバナンスを、AIの利用で生じるリスクを利用者、顧客、社会が許容できる水準に管理しながら便益を最大化するための、技術的、組織的、社会的なシステムの設計と運用と定義しています。
具体的には、どのAIを利用してよいか、何を入力してよいか、誰が出力を確認して責任を負うかを決定します。

![利用するAI、入力、確認者の決定、遵守の状況の確認、規程への反映による修正を繰り返す循環を示す図](https://media.marketing.kdotdev-tunnel.org/glossary-ai-governance-21d0c853a731cb21edb956a40967d62c7076c891b5719935ccdea03674552b5a.png)

たとえば社員が生成AIで提案書や問合せの回答案を作成している会社では、次の項目を決定します。

- 業務に利用してよいAIのサービスと、会社として契約するプラン
- 顧客の個人情報や取引先の機密を入力してよいか
- 社外に送付する文章を、誰が確認してから送信するか
- 誤りを含む回答や情報の漏洩が発生したときの連絡先と対応の手順

AIを顧客向けの製品に搭載する会社や、採用や与信の審査にAIを利用する会社では、決定する項目と確認の手順が増加します。

自動車の運転では、交通規則、運転者の教育、車検、違反や衝突の報告の手順を併用して、移動の便益を得ながら危険を管理します。
AIガバナンスは、この体制に相当します。

AIガードレールは、AIの入力と出力をシステムが自動で判定する仕組みで、AIガバナンスで決定した方針を実装する手段の1つです。

データガバナンスがデータの定義、品質、利用の可否を対象にするのに対し、AIガバナンスはAIの用途、出力の扱い、責任の所在を対象にします。

## AIの利用を部署や個人の判断に一任した場合の問題

生成AIは、契約やシステムの開発がなくても、社員が個人でWebのサービスに登録して利用を開始できます。
組織として決定していなければ、次の問題が発生するおそれがあります。

- 顧客の個人情報や取引先の機密を、学習に利用される設定のサービスに入力する
- 事実と異なる出力を確認せずに顧客への回答や公開の資料に利用し、訂正と謝罪が必要になる
- 採用の書類選考や与信の審査にAIの判定を利用し、判定の理由を本人や監督官庁に説明できない
- 問題が発生したときに、どの部署のどのAIが原因か、誰が対応するかが分からない

![利用の場面ごとに発生しうる問題を並べた図。入力では学習に利用される先への機密の入力、出力の利用では未確認のままの顧客への送付、判定への利用では採用の理由の説明の不能、問題の発生後では対応者の不明](https://media.marketing.kdotdev-tunnel.org/glossary-ai-governance-bc385b765de7e5467e3d2715266df7b14199db8214323f39adce59abac50f029.png)

AIは提供者による更新で出力の傾向が変化し、新規のサービスと利用方法も短い間隔で登場します。
AI事業者ガイドラインは、事前にルールを固定せず、[環境とリスクの分析、目標の設定、仕組みの設計、運用、評価のサイクルを継続的に実施すること](https://www.soumu.go.jp/main_content/001064279.pdf)が重要だとしています。
この考え方はアジャイル・ガバナンスと呼ばれます。

## 国内外の主な枠組み

2026年11月時点で、組織のAIガバナンスの拠り所になる主な枠組みは次のとおりです。

| 枠組み | 性質 | 内容 |
|---|---|---|
| [AI事業者ガイドライン第1.2版](https://www.soumu.go.jp/main_sosiki/kenkyu/ai_network/02ryutsu20_04000019.html) | 総務省・経済産業省のガイドライン。[法的な拘束力はない](https://www.soumu.go.jp/main_content/001064279.pdf) | AIの開発者、提供者、利用者ごとの取組事項。[2026年3月31日公表で、随時更新される](https://www.soumu.go.jp/main_sosiki/kenkyu/ai_network/02ryutsu20_04000019.html) |
| [人工知能関連技術の研究開発及び活用の推進に関する法律](https://laws.e-gov.go.jp/law/507AC0000000053/)（AI推進法） | 日本の法律。[罰則の規定はない](https://laws.e-gov.go.jp/law/507AC0000000053/) | AIを事業に活用する事業者に、[国の施策への協力を求める](https://laws.e-gov.go.jp/law/507AC0000000053/) |
| [EUのAI Act](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai) | EUの規則。禁止された用途などの違反には[制裁金がある](https://artificialintelligenceact.eu/article/99/) | 用途のリスクに応じた義務。EU域外の事業者も、[AIの出力がEU域内で利用される場合は対象になる](https://artificialintelligenceact.eu/article/2/) |
| [NIST AI RMF](https://airc.nist.gov/airmf-resources/airmf/5-sec-core/) | 米国立標準技術研究所の[任意の枠組み](https://www.nist.gov/itl/ai-risk-management-framework) | 自社のAIのリスク管理の活動を、[統治、把握、測定、管理の4つの機能](https://airc.nist.gov/airmf-resources/airmf/5-sec-core/)で整理できる枠組み |
| [ISO/IEC 42001](https://isms.jp/english/aims/about.html) | AIマネジメントシステムの[国際規格](https://isms.jp/english/aims/about.html) | [第三者の認証機関による認証を取得できる。国内ではJIS Q 42001として発行されている](https://isms.jp/english/aims/about.html) |

EUのAI Actは、用途のリスクに応じて義務を定めます。
採用や与信の審査など人に重大な影響がある用途は、[附属書III](https://artificialintelligenceact.eu/annex/3/)で高リスクに区分されます。
[附属書III](https://artificialintelligenceact.eu/annex/3/)の用途や製品の安全に関係する用途に該当しない、社員の文章の下書きや要約のような用途は、高リスクの義務の対象外です。

適用は段階的で、職場での感情の推定など[禁止された用途の多く](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai)は2025年2月から、利用者がAIと対話していることを示すなどの[透明性の義務](https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act)は2026年8月2日から適用されています。

2026年7月27日に発効した改正で、高リスクの義務の適用は、採用や与信などの用途で[2027年12月2日から、機械などの製品に搭載するAIで2028年8月2日から](https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force)になりました。
改正で追加された性的な偽画像の生成などの禁止は、[2026年12月から](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai)適用されます。

禁止された用途の違反には、[最大3,500万ユーロまたは全世界の年間売上高の7%のいずれか高い額](https://artificialintelligenceact.eu/article/99/)の制裁金の対象になります。

EU域内で事業を行わない国内の事業者にとって、直接の出発点は[AI事業者ガイドラインの利用者向けの取組事項](https://www.soumu.go.jp/main_content/001064279.pdf)です。
EU域内の顧客や従業員にAIの出力を利用する用途は、AI Actのどの区分に該当するかを法務の担当者が確認します。

![枠組みを法律か任意の規範か、罰則の有無で分けた2行2列の表。罰則のある法律はEU AI Actだけで、AI推進法は罰則のない法律、AI事業者ガイドライン、NIST AI RMF、ISO/IEC 42001は罰則のない任意の規範](https://media.marketing.kdotdev-tunnel.org/glossary-ai-governance-b2ce200ccb481f790b4fb1328872fa3c9c9ca522c522aa3630548c9f2707cec2.png)

## AIガバナンスの効果とコスト・リスク

### 効果

- 利用してよいサービスと入力してよい情報が明確になり、社員が個別に確認せずに、利用してよいサービスを判断できる
- 情報の漏洩や誤りを含む出力の利用が発生したときに、原因の特定と対応の担当が確定している
- 取引先や監督官庁から、AIの利用の管理を質問されたときに回答できる
- 用途ごとのリスクの評価が記録として保存され、新規の用途の採否を同じ基準で判断できる

### コストとリスク

- 方針と利用の規程の作成と、社内の教育に工数が必要になる
- 用途の申請の審査と承認に、法務、情報システム、業務部門の担当者の時間が継続的に必要になる
- 会社として契約するAIのサービスの利用料。個人の無料のプランを禁止するなら、代わりの手段の費用が発生する
- 規程の更新。AIのサービスの規約と機能は短い間隔で変化し、法令も改正されるため、規程を作成時のまま放置すると実態と乖離する
- 承認の手続きが重いと、承認の前に業務を進行したい社員が、承認されていないAIのサービスを個人で利用するシャドーAIが増加するおそれがある
- 契約中の業務のサービスにAI機能が追加され、申請の手続きなしに有効になることがある
- ISO/IEC 42001の認証を取得する場合は、審査の費用と、記録の整備と内部監査の工数が必要になる

![承認の手続きが重いとシャドーAIが増加するおそれがあり、規程を作成時のまま放置すると実態と乖離するおそれがあることを示す図](https://media.marketing.kdotdev-tunnel.org/glossary-ai-governance-6cb2e056b9f1d7a06d292e9d1a1050d74d2f6de07ab3fbed9c39f215086e5840.png)

## 自社はAIガバナンスをどこまで整備するか

AIの誤りによる業務や個人への影響が重大な用途ほど管理を厚くし、3段階で決定します。
全社一律の重い審査から開始すると、影響が軽微な利用まで停滞するおそれがあるためです。
最初に社内のAIの利用の実態を調査し、用途を次の3段階に区分します。

| 用途の例 | 管理の内容 |
|---|---|
| 社員が文章の下書き、要約、翻訳、調査に利用し、出力を社員が確認してから業務に使用する | 会社が全社共通の利用の規程を1〜2ページ程度で定める。利用してよいサービス、入力しない情報、社外への送付の前の確認を決定する |
| 顧客との対応や公開する情報にAIの出力を利用する、社内システムにAIを搭載する、AIに社内システムを操作させる、顧客のデータをAIに入力する | 用途ごとに責任者を指名し、導入の前にリスクを評価する。出力の確認の手順、AIに操作させる範囲と権限、利用の記録、問題発生時の連絡先を決定する |
| 採用、人事評価、与信、保険の引受けなど個人に重大な影響がある判定 | 上記に追加して、判定の理由の説明、人による最終の判断、性別や年齢などの属性で判定の結果に差がないかの確認、法務の確認を導入の前に実施する |

用途が文章の下書きや要約に限られる会社は、社員の数に関係なく、最初の段階の利用の規程で十分です。
ただし、個人情報や取引先の機密を入力せず、出力を社員が確認してから使用することが条件です。

2段目の用途が複数の部署に拡大した時点で、全社の審査の窓口を1つに決定します。

専任の部署や委員会は、個人に重大な影響がある判定にAIを利用する場合に設置します。
AIの方針と責任とリスク評価の手順の運用を第三者が審査するISO/IEC 42001の認証は、取引先や顧客から認証を求められる場合に取得します。
どちらにも該当しなければ、委員会や認証は必須ではありません。

利用を一律に禁止するのではなく、会社として契約したサービスを用意し、そのサービスでの利用を条件付きで許可します。
一律に禁止すると、業務で必要な社員が個人で契約したサービスを利用するおそれがあるためです。

法人向けの契約の費用は、2026年11月時点で[ChatGPT Business](https://help.openai.com/en/articles/8792828-chatgpt-business-overview)と[Claude Team](https://support.claude.com/en/articles/9266767-what-is-the-team-plan)の標準の席が1人あたり月20〜25ドル、[Microsoft 365 Copilot Business](https://www.microsoft.com/en-us/copilot/pricing/business)の追加の契約が年払いで月18〜21ドル程度です。
ChatGPT BusinessとClaude Teamの利用量の多い席は年払いで月100ドル、月払いで月125ドルのため、全員に同じ契約を付与する前に、利用の実態で席の種類を区分します。

![用途の影響に応じて管理を階段状に上乗せする図。下書きや要約は利用の規程、顧客対応やシステムへの搭載や操作は責任者と事前評価を上乗せし、重大な判定は判定理由の説明、人の最終判断、法務の確認をさらに上乗せする](https://media.marketing.kdotdev-tunnel.org/glossary-ai-governance-ac857af00b7e58883a17f95a5f92c8e8a206b7712f909d59220f00888aade4cd.png)

### 最初に決定する項目

最初の段階では、次の項目を決定して全社に周知します。

| 項目 | 決定すること |
|---|---|
| 利用してよいサービス | 会社として契約するサービスとプラン。入力したデータを学習に利用しない契約か |
| 入力しない情報 | 個人情報、取引先の機密、未公開の財務情報など、入力を禁止する情報の区分 |
| 出力の確認 | 社外に送付する文章、契約書、数字を含む資料は、利用者が事実と数字を確認してから使用する |
| 相談と報告の窓口 | 判断が困難なときの相談先と、不適切な入力や出力の利用を発見したときの報告先 |
| 既存のサービスのAI機能 | 契約中の業務のサービスに追加されたAI機能を有効にするかを判断する担当 |
| 見直しの時期 | 規程と利用してよいサービスの一覧を確認する時期。目安として半年に1回程度 |

入力しない情報の区分は、データの扱いの規則と自社の情報セキュリティの規程と整合させて決定します。
個人情報については、個人情報保護委員会が2023年6月の注意喚起で、生成AIのサービスへの入力が[利用目的の達成に必要な範囲内かを確認する](https://www.ppc.go.jp/files/pdf/230602_alert_generative_AI_service.pdf)よう求めています。

### 2段目の用途の責任者とリスクの評価

2段目の用途では、AIの出力を業務に利用する部門の長を用途の責任者に指名し、情報システムと法務の担当者は審査を担当します。
出力の誤りによる業務への影響を判断し、利用方法を変更する権限は、業務部門が有するためです。
導入の前に評価する項目は次のとおりです。

- 入力するデータの区分と、学習への利用や保存の条件
- 誤りを含む出力が顧客や取引先に送付された場合の影響
- 自社の実例で測定した正答率と、許容できる誤りの水準
- 出力を自動で判定するAIガードレールや、人が確認して承認する工程を設ける箇所
- AIに社内システムを操作させる場合は、操作の範囲と権限

### 遵守の確認

規程を定めても、遵守の状況を確認しなければ、承認されていないサービスの利用や不適切な入力を発見できません。
確認の項目、担当、頻度は、目安として次のとおりです。

| 確認すること | 担当 | 頻度の目安 |
|---|---|---|
| 会社として契約したサービスの利用者と利用量 | 情報システム | 月1回 |
| 会社として契約していないAIのサービスへの通信 | 情報システム | 月1回から四半期に1回 |
| 2段目以上の用途の一覧と、各用途の責任者と評価の記録 | 審査の窓口 | 四半期に1回 |
| 規程と利用してよいサービスの一覧の見直し | 審査の窓口と法務 | 半年に1回 |

既存の情報セキュリティの規程や個人情報の管理の体制がある会社は、AI専用の規程を新規に作成せず、既存の規程にAIの利用の項目を追加します。
AIの規則を既存の規程に、確認の窓口を既存の窓口に統合でき、運用の負担が少なくなることが多いためです。
その場合は、既存の規程の情報の区分と、AIに入力してよい情報の区分を一致させます。
既存の規程の改定に取締役会の承認などの重い手続きが必要な場合は、AIの利用の規程を別に作成し、既存の規程から参照します。

## よくある誤解

### AIガバナンスはAIの利用を禁止するための規則である

AIガバナンスの目的は、リスクの管理とAIの便益の最大化の両方です。
禁止の項目だけを列挙した規程では、社員が業務でAIを利用する方法が分からず、承認されていないサービスの利用を招くおそれがあります。
規程には、利用してよいサービスと、条件を満たせば承認なしに利用できる用途も記載します。

### AIガバナンスの体制の整備は日本の法律上の義務である

2026年11月時点で、[人工知能関連技術の研究開発及び活用の推進に関する法律](https://laws.e-gov.go.jp/law/507AC0000000053/)は事業者に国の施策への協力を求めるもので、体制の整備を義務とする規定や罰則はありません。
[AI事業者ガイドライン](https://www.soumu.go.jp/main_content/001064279.pdf)も法的な拘束力のない指針です。
ただし[個人情報の保護に関する法律](https://laws.e-gov.go.jp/law/415AC0000000057/)や著作権法など既存の法令はAIの利用にも適用され、EU域内でAIの出力を利用する事業者は、用途と立場に応じてAI Actの義務の対象になります。

### 規程を一度作成すればAIガバナンスは完成する

AIのサービスの機能と規約、法令は短い間隔で変化し、作成時の規程のままでは、追加されたAI機能や新たな用途が規程の対象外のまま利用されます。
遵守の確認で発見した承認外の利用は、禁止の対象とするだけでなく、規程に利用の条件を追加する材料にします。