AIガバナンスとは｜中堅企業が最小限で始める体制（決める人・台帳・リスクの段階・見直し）

社員が生成AIを使い始め、社内ルールも配った。それでも、新しいAIのサービスを入れてよいかを誰が決めるのか、どの部署で何のAIが動いているのか、と聞かれると答えに詰まる会社は少なくありません。「AIガバナンス」で調べると、大企業向けの委員会や国際規格の話が多く、中堅企業がそのまま真似するには重すぎるのが実情です。

ただ、AIの使い道が増えるほど、決める人と記録が無いことの困りごとは大きくなります。顧客の情報を扱うAIが知らないうちに入っていた、問題が起きたときにどのAIが関わっていたか分からない、といったことは、会社の規模にかかわらず起こります。

中堅企業のAIガバナンスは、「決める人」「台帳」「リスクの段階」「見直し」の4つを決めれば始められます。委員会や専任の部署を作る前に、この4つを1枚の紙と表1つに収め、半年ごとに見直すのが、無理なく回る形です。この記事では、社内ルールとの違いを整理したうえで、4つの決め方を、総務省・経済産業省の「AI事業者ガイドライン」の原文と照らしながら説明します。

AIガバナンスとは。社内ルールとの違い

AI事業者ガイドライン（第1.2版）は、AIガバナンスを、AIに関するリスクを受け入れられる水準で管理しながら、AIから得られる便益を最大にするための取り組みとして位置づけています。守りだけでなく、AIを使って得られるものを大きくすることも目的に含まれている点が大事です。

社内ルールは「社員の使い方」、ガバナンスは「会社の決め方」

よく混同されるのが、生成AIの社内ルールとの違いです。社内ルールは、社員がAIを使うときに、使ってよいツールや入れてよい情報を決めるものです。それに対してAIガバナンスは、どのAIを会社として使うかを誰がどう決め、使ったあとをどう見て直していくか、という会社の仕組みを決めるものです。

社内ルールは、ガバナンスの中で「社員にどう使ってもらうか」を決めた部品の1つと考えると分かりやすくなります。社内ルールの作り方とひな型は、「生成AIの社内ルールの作り方」で説明しています。

大企業向けの体制をそのまま真似しなくてよい

ガイドラインは、AIのもたらすリスクの程度に加えて、各社の「資源制約」に配慮することが重要だとしています。人も予算も限られる中堅企業が、大企業と同じ委員会や専任の部署を作る必要はなく、自社の大きさに合った形で始めてよい、ということです。

ガイドラインはまた、過度な対策がAIの活用そのものを妨げるおそれにも触れています。細かな承認の手順を作り込んだ結果、誰もAIを使わなくなるのでは本末転倒なので、最初は小さく作り、必要になった所から足していくのが向いています。

中堅企業が最小限で始める4つのこと

最小限のAIガバナンスで決めるのは、決める人、AIの台帳、リスクの段階、見直しの4つです。どれも新しい部署を作らずに、今いる経営者と管理部門の役割として持てます。

1. 決める人（責任者と相談の窓口）

まず、会社としてAIを使うかどうかを最後に決める人を1人決めます。中堅企業なら、経営者か、管理部門を見る役員が持つのが自然です。ガイドラインも、取り組みを効果的にするには経営層の責任が大きく、リーダーシップを発揮することが重要だとしています。

あわせて、社員からの相談や新しいAIの申し出を受ける窓口を、総務や情報システムの担当など役割で決めます。窓口は情報を集めて整理し、決めるのは責任者、と分けておくと、窓口の担当が1人で重い判断を抱えずに済みます。

2. AIの台帳（何が、どこで、何に使われているか）

次に、社内で使っているAIを一覧にした台帳を作ります。表計算のシート1枚で十分で、ガイドラインも、文書化は後から確かめられるよう適切な道具で記録が残っていればよく、紙の文書でなくてもよいとしています。

想定の例として、営業部が提案書の下書きに法人向けの生成AIを使う場合なら、「渡る情報」は社内の資料、「渡る先」は契約したサービスの提供元で学習に使わない設定、と1行で書けます。台帳を作ると、社員が個人の判断で使っているサービスも見つかりやすくなり、社内ルールの「使ってよいツール」を決め直すきっかけにもなります。

3. リスクの段階（3つに分けて手間を変える）

すべてのAIに同じ手間をかけると、管理が回らなくなります。ガイドラインは、危害の大きさとその起こりやすさを把握したうえで、対策の程度をリスクの大きさに合わせる「リスクベースアプローチ」を重要としていて、中堅企業でもこの考え方で3つの段階に分けると扱いやすくなります。

段階を分けるときは、「渡る情報」と「出力がどこへ行くか」の2つで考えると迷いにくくなります。社外に送れない情報が多く、社内にAIを置くことを考える場合は、「ローカルLLMの導入ガイド」も参考になります。

4. 見直し（半年ごとと、きっかけがあったとき）

最後に、台帳とリスクの段階を見直す時期を決めます。ガイドラインは、環境とリスクの分析、ゴールの設定、仕組みの設計、運用、評価を繰り返し回す「アジャイル・ガバナンス」を挙げ、運用を始めたあとも、規制などの変化を踏まえて分析をやり直し、必要ならゴールを見直すとしています。

中堅企業なら、半年に1回、責任者と窓口が台帳を上から見て、使われなくなったAIを消し、段階が変わったものを直すだけでも十分です。これに加えて、新しいAIを入れるとき、問題が起きたとき、法令やガイドラインが変わったときには、時期を待たずに見直します。

最初の1か月で進める手順

4つを決めるのに、長い準備は要りません。次の順で進めれば、1か月ほどで回し始められます。

1週目に、責任者と窓口を決め、社内に知らせます。2週目に、各部署に今使っているAIを聞いて台帳の1版を作ります。この段階では、禁止するためではなく実態を知るために聞くと伝えると、隠れて使われているものも出てきやすくなります。

3週目に、台帳の1行ずつにリスクの段階を付け、「高い」に当たるものは人が承認する手順と記録が付いているかを確かめます。4週目に、社内ルールの「使ってよいツール」を台帳と合わせ、次の見直し日を台帳に書き込みます。

ガイドラインは、AIガバナンスの構築を単なるコストではなく、持続的な成長のための先行投資として捉えることが重要だとしています。最初から完璧を目指すより、1版を作って回しながら直していく方が、結果として早く形になります。

当社がAIの使い方を管理している方法

デイワンは、社内の多くの業務を毎日AIに任せていて、AIに作業させるときの決まりを文書にして持っています。会社の規模は違っても、決める人・台帳・段階・見直しの4つに当たるものを、自社でも小さな形で回しています。

たとえば、パスワードやAPIキーの値はAIとのやり取りに貼らないこと、メールの送信や外部のサービスへの書き込みは、内容と件数を示して承認を得てから行うことを決めています。これは、リスクの段階でいえば「高い」に当たる操作に、人が承認する手順を付けている形です。

当社の業務用AI「相棒AI」でも、回答の生成には Claude、資料を探す補助には OpenAI の埋め込みモデルを使っていて、どのサービスにどの情報が渡るかを決めたうえで使っています。台帳の「渡る先」の列を埋めるのは手間に見えますが、ここが決まっていると、新しいAIを入れるかどうかの判断がずっと速くなります。

まとめ｜4つを決めて、半年ごとに直す

AIガバナンスは、社員の使い方を決める社内ルールとは違い、どのAIを誰がどう決め、どう見直すかという会社の仕組みです。中堅企業なら、決める人、AIの台帳、リスクの3つの段階、見直しの4つを決めれば始められます。

• 社内ルールは「社員の使い方」、AIガバナンスは「会社の決め方」
• 決めるのは4つ。決める人、AIの台帳、リスクの段階、見直し
• リスクは「渡る情報」と「出力の行き先」で低い・中くらい・高いの3つに分け、手間を変える
• 台帳は表計算のシート1枚でよい。半年ごとと、きっかけがあったときに見直す

デイワンでは、AIをどの業務に使うかの棚卸しから、台帳とリスクの段階の整理、社内で使うAIの開発と運用までをご支援しています。社内ルールを作ったあとの次の一歩として、お気軽にご相談ください。

AIの導入と管理の仕組みづくりのご相談はこちら

---

FAQ 案（microCMS の FAQ の欄に入れる）

1. Q: AIガバナンスとは何ですか？

A: AIに関するリスクを受け入れられる水準で管理しながら、AIから得られる便益を最大にするための会社の仕組みです。どのAIを使うかを誰が決め、使ったあとをどう見て直すかを決めます。

2. Q: AIガバナンスと生成AIの社内ルールは何が違いますか？

A: 社内ルールは、社員が使ってよいツールや入れてよい情報を決めるものです。AIガバナンスは、決める人・AIの台帳・リスクの段階・見直しといった、会社としての決め方を決めるもので、社内ルールはその部品の1つです。

3. Q: 中堅企業でもAIガバナンスの委員会や専任の部署は必要ですか？

A: 最初から作る必要はありません。AI事業者ガイドラインも各社の資源制約に配慮することが重要としています。責任者1人と相談の窓口を決め、台帳とリスクの段階を作るところから始められます。

4. Q: AIの台帳には何を書けばよいですか？

A: 名前、使う部署と目的、渡る情報、渡る先（学習に使われない設定か）、リスクの段階、担当と見直し日の6つです。表計算のシート1枚で十分です。

5. Q: AIガバナンスはどのくらいの頻度で見直せばよいですか？

A: 半年に1回などの時期を決め、あわせて新しいAIを入れるとき、問題が起きたとき、法令やガイドラインが変わったときにも見直します。