AIガバナンスとは？　整備済み29％の今、企業が始める最初の一歩

この記事のまとめ

AIガバナンスは、AIを安全に使うための方針と体制、そしてチェックの仕組みをまとめたものです。包括的な計画を持つ組織は29％にとどまり、多くの企業はまだ入口の段階にあります。押さえておきたい要点は、次の4つです。

AIガバナンスは枠組み、方針、統制、説明責任の集合で、AI倫理が示す「何を目指すか」を実行に移す仕組みです。
技術を最大のリスク懸念に挙げる法務・監査の責任者は60％で、包括的な計画がある組織は29％です。
EUのAI法は重大な違反に最大3500万ユーロまたは全世界売上高の7％の制裁金を想定し、英国やシンガポールは別の設計思想をとります。
最初の一歩は、どの部門がどのAIを使っているかの台帳づくりと、リスク階層に応じた承認の設計です。

AIガバナンスの定義と役割

AIガバナンスの構成要素

AIガバナンスは、いくつかの部品が組み合わさって働く仕組みです。単に「AIを使うときのルール」と捉えると、実態より狭くなります。

中心にあるのは、AIをどう作り、どう調達し、どう動かし、どう見張るかを決める枠組みと方針です。そこに、行動を縛る統制と、問題が起きたときの責任の所在が加わります。AIガバナンスはこの4つの集合であり、規制、取締役会の責務、企業が抱えるリスク、関係者からの信頼という4つの圧力が交わる場所に位置します。私がコンサルティング支援の現場で感じるのは、この「責任の所在」をあいまいにしたまま導入だけ進める組織が多いという点です。

規制や枠組みの例には、EUのAI法、米国国立標準技術研究所（NIST）のAIリスク管理枠組み、ISO/IEC 42001が入ります（参照*1）。つまりAIガバナンスは、禁止事項を並べる作業ではなく、誰が決めて、何を記録するかを決める作業です。

リスクの洗い出しには、責任あるAIの原則が手がかりになります。プライバシー、信頼性、公平性、包摂、透明性、説明責任といった原則に照らして、AIの用途ごとに弱点や倫理面の懸念を点検する方法があります（参照*2）。原則は理想の宣言ではなく、点検項目の一覧としても使えます。抽象的に「倫理的に使おう」と言うより、「この用途は公平性の観点でどのリスクがあるか」と問う方が、現場では動きやすくなります。

AI倫理との違いと関係

AI倫理とAIガバナンスは、役割が分かれています。

AI倫理が扱うのは「べき」の部分で、AIをどう開発し、どう使うべきかを導く道徳的な原則です。何が正しく、公平で、受け入れられるのかを定めます。

AIガバナンスが扱うのは「どう」の部分で、その原則を現実のシステムに一貫して適用するための構造、手順、統制です（参照*3）。倫理は向かう先を決め、ガバナンスはそれを守らせる仕組みを組み立てます。

採用の書類選考をAIで補助する場面で考えると、違いが見えます。倫理の側は、応募者を不当に不利にしないという価値を決めます。ガバナンスの側は、誰が導入を承認し、どのデータを使い、判定の記録をどう残し、応募者が結果に異議を出せる道をどう用意するかを決めます。つまり、倫理だけあっても、仕組みがなければ現場では機能しません。

これは仮の例で、特定の企業の運用を指すものではありません。両方がそろって、方針は現場の手順になります。

整備率29％が示す現状

AIの利用が広がる速さに対して、統制の整備は追いついていません。私自身、企業へのAI導入支援を続ける中で、この「速度差」をくり返し目にしてきました。

危機感と実際の備えには、はっきりとした差があります。Diligent Institute と Corporate Board Member が2025年第4四半期に実施した事業リスク指数（Business Risk Index）では、法務、コンプライアンス、監査の責任者の60％が技術を最大のリスク懸念に挙げ、経済要因の33％や関税の23％を上回りました。同じ調査で、包括的なAIガバナンス計画を持つ組織は29％にとどまりました（参照*1）。

この29％は、法務、コンプライアンス、監査の責任者を対象にした調査の結果で、日本企業だけを測った数値ではありません。それでも、懸念の大きさと備えの薄さが同時に出ている点は共通の課題として読めます。

整備の遅れは、文書があるかどうかだけでは測れません。初期のAIブームで多くの組織が急いでAIポリシーを作りましたが、出発点にはなっても十分ではありません。私が支援する企業でも、「ポリシーはある」と言いながら、実際に中身を確認すると、ChatGPTの一般的な注意事項を並べただけのものが少なくありません。18か月前に作ったポリシーに頼っている組織は、かなり古い統制に依存していることになります（参照*4）。

IDCは、組織がAIを本格的に展開し始めるなかでAIガバナンスが必須の要素になったとし、順守、発見、点検、監視の必要が増えるにつれて、幅広い統合型のAIガバナンス基盤が企業を助け続けると述べました（参照*5）。

海外では、導入の速さが整備を上回りやすい環境も生まれています。中国は重点分野で2027年までにAIの普及率70％、2030年までに90％という目標を掲げ、2035年までにAIが行きわたった経済と社会を築く構想を示しました（参照*6）。

確認したいのは、規程の有無ではなく、最後に更新したのはいつか、どのAIまで対象に含めているかという点です。生成AI事業を立ち上げて2年半ほど経ちますが、モデルの進化とともに用途も増え続けており、半年前のポリシーが現状に追いついていないことは珍しくありません。

世界の規制とフレームワーク

EU AI Actのリスク分類

EUは、AIを対象にした包括的な法律を先に整えた地域です。

EUは包括的なデジタル立法で世界に先行してきました。2016年の一般データ保護規則に続いて2024年にAI法が加わり、AI法は2024年8月1日に発効し、段階を追って適用されます（参照*7）。

執行の面では、重大な違反に対して最大3500万ユーロ、または全世界の年間売上高の7％という行政上の制裁金が想定され、狙いは処罰そのものではなく予防にあります（参照*8）。段階適用のため、すべての義務が同じ日から始まるわけではありません。

制裁金の数字は上限で、違反の重さによって変わります。害の大きさに応じて対応の重さを変える考え方は、後で扱う階層分類とも重なります。

主要国の規制アプローチ

国ごとに、AIガバナンスの設計思想は大きく違います。

英国は、AIの規制や統治に特化した法律を持たず、AIセキュリティ研究所と、原則にもとづく法的拘束力のない規範（ソフトロー）や政策の取り組みを組み合わせています。データ保護やオンライン安全といった他の分野には拘束力のある規制があり、そこを通じてAIの利用にも歯止めがかかります（参照*9）。

シンガポールは、柔軟で原則にもとづく手法によって革新と倫理面の配慮を両立させ、AIガバナンスの先進地域としての位置を固めました。Tortoise Media の世界AI指数（Global AI Index）は、投資、革新、実装の水準について、米国と中国に次ぐ3位にシンガポールを置いています（参照*10）。

インドは、技術と法を組み合わせた枠組みを軸に、任意の措置と公共デジタル基盤で支える実務寄りの進め方をまとめました（参照*11）。

米国では、サラ・ジェイコブス下院議員が分野別AIガバナンス法案（Sectoral AI Governance Act）を提出しました。この法案は、AIの利用が既存の連邦法違反に実質的に寄与しそうな場合に、各省庁が一貫した枠組みでルールを作り、示せるようにする内容です。就職、融資、住宅、医療など、生活の結果を左右する場面でAIや自動的な判断の仕組みが広がっていることが、提出の背景にあります（参照*12）。

法案の提出は、成立を意味しません。違いは優劣ではなく、既存の規制当局に委ねるか、新しい枠組みを作るかという選び方の差です。

国際標準の使い分け

標準は競い合うものではなく、目的に応じて使い分けられます。

NISTのAIリスク管理枠組みは、認証を伴わない柔軟な構造で、AIのリスク評価に使えます。ISO/IEC 42001は、AIガバナンスの仕組みを作って動かすための具体的な実務と統制を定め、認証を取得できる標準です。IEEE 7000は、システムの種類を問わず使える設計プロセスで、関係者の価値観を開発の全体に反映させます。

組み合わせ方の一例として、まずAIリスク管理枠組みで初期のリスク評価と計画を行い、その後にISO/IEC 42001で正式な認証と体系的な管理へ進める形があります（参照*13）。選ぶ基準は、認証が必要かどうかと、どの段階で使うかです。

AIガバナンスを、既存の管理から切り離す必要はありません。AIのリスク管理を全社のリスク管理の戦略に組み込み、AI、サイバーセキュリティ、プライバシーを一つの流れで扱う進め方があり、その手順はNISTのAIリスク管理枠組みと関連資料に沿います（参照*2）。

国際的な行動計画は、各国の標準化機関の対話を広げ、国際電気通信連合（ITU）、国際標準化機構（ISO）、国際電気標準会議（IEC）といった国際標準化機関の役割を重視するとしました。同じ文書は、安全、産業、倫理などの重点分野で産業界が技術標準の策定と改訂を加速し、科学的で透明性があり包摂的な規範の枠組みを築くことを目標に挙げました（参照*14）。

社内体制とリスク分類

リスク階層と承認プロセス

AIの使い方は、リスクの重さで分けて扱えます。

アイダホ州の情報技術サービスは、生成AIの利用を3つの階層に分けました。各階層の特徴は次のとおりです。

第1階層の低リスクは、機微でない情報を扱い、判断への影響が限られ、人の監督が保たれ、使う範囲が狭いものです。
第2階層の中リスクは、機微な情報を一部扱い、判断への影響が中程度で、人の監督が薄くなるか、利用者の範囲が広がるものです。
第3階層の高リスクは、極めて機微な情報を扱い、判断への影響が大きく、かなりの自律性で動くか、多くの人に関わるものです（参照*15）。

分ける軸は、データの機微性、意思決定への影響、自律性、適用範囲です。この4軸を並べるだけで、「何となく危なそう」という感覚を、審査の優先順位に変換できます。

階層は、審査の重さを変えるための道具です。オーストラリアのヴィクトリア大学の方針は、すべてのAIシステムにリスク水準に見合った人の監督を求め、個人に関する判断に影響するAIには、人による確認、責任の明確化、異議を申し立てられる余地を用意することを定めました（参照*16）。

高リスクという分類は、使用禁止ではなく、審査と監督を強めるという意味です。自社で決めるのは、どの階層で誰の承認が要るか、どこまで人が結果を確かめるかという線引きです。

委員会と三線防御の役割

体制づくりは、誰が何に責任を持つかを決める作業です。私が導入支援で最初に確認するのも、この点です。「AIの利用申請は誰に上げるのか」が決まっていない組織では、現場が勝手に判断するか、判断を先送りするかのどちらかになります。

オハイオ州の行政サービス局は、州全体の生成AI利用を統治するために、複数の機関が参加するAI協議会を設けることを定めました。協議会には、知事室と、業務、人事、情報技術、セキュリティ、プライバシー、データ分析、法務の各機能の代表、そして機会とアクセシビリティを担う部署が入ります（参照*17）。

横断的な会議体にすると、導入の判断が一つの部門の都合だけで進みにくくなります。

現場から監査までの分担は、三線防御の形で考えられます。第2線のリスク管理とコンプライアンスは、AIの台帳とリスク登録簿を保ち、システムを適用される規制に対応づけ、高リスクAIの統制を設計して試し、AIリスクを全社のリスク管理と取締役会に報告します。第3線の内部監査は、台帳の網羅性の監査、統制の検証、方針順守の確認、是正の追跡を通じて、独立した保証を監査委員会に届けます（参照*1）。

第1線はAIを使う現場です。委員会を増やすこと自体が目的ではなく、必要な体制は組織の規模で変わります。AI固有の論点は、台帳が実際の利用を写せているかという点です。小さな組織であれば、担当者1名と月1回の確認で始めても十分機能します。

導入の手順と最初の一歩

AI棚卸しとリスク評価

着手の順番は、使っているAIを数えることから始まります。私がAI導入支援で最初に勧めるのも、この棚卸しです。「どうせ少ないだろう」と思って始めると、想定より多くのツールが現場で使われていることに気づく組織が大半です。

AIの用途ごとに、リスクの形は変わります。それぞれのAI業務について、担う機能、使うデータの出どころ、期待する結果をはっきりさせると、関わるリスクを対応づけられます。前提と限界も書き残し、リスク評価の境界を決めます（参照*2）。

台帳には、どの部門がどのAIを何のために使っているかを並べます。外部のサービスに任せている部分や、既存システムとつないでいる部分も、用途とデータの出どころを書き出す対象です。ブラウザの拡張機能や個人が契約したサービスも含めて把握しないと、台帳は形だけになります。

登録の仕組みがないと、棚卸しは続きません。ヴィクトリア大学の方針は、中央から提供されたものか個人が選んだものかを問わず、使用中のすべてのAIツールをAI登録簿に登録することを求めます。

オープンソースや一般に公開されている代替のツールを使いたい場合は、リスク分類モデルで評価し、AI運営委員会の指針に従うこととしました（参照*16）。新しいツールは次々に増えるため、台帳と登録簿は定期的な更新が前提になります。棚卸しの結果は、どの用途を先に審査するかの順番づけに使えます。

原則・方針・運用指針の三層

文書は、更新の速さが違うものを分けて作ると回ります。生成AIの変化の速さを考えると、これは特に重要です。

一つの規程にすべてを詰め込むと、手直しが追いつきません。AIガバナンスの文書は、関連する3つの層に分けられます（参照*4）。

第1層はAIの倫理的な利用に関する原則で、ほとんど変わりません。
第2層はAIの開発と利用のポリシーで、行動の可否を決めます。
第3層は随時更新する運用ガイダンスで、新しいツールや事例に合わせて頻繁に直します。

三層に、任意の基準を重ねる選び方もあります。インドの指針は、プライバシーとセキュリティ、公平性、包摂、非差別、透明性に関する原則、規範、標準といった任意の措置に加えて、技術的および組織的な措置を採ることを挙げました（参照*11）。

実装では、使うAIの登録、承認の流れ、調達のときに確かめる項目をポリシー側に書き込みます。この三層は一例で、業種や規模によって優先する順番は変わります。社内への周知と教育まで届いて、文書は動き始めます。

運用でつまずく落とし穴

AIガバナンスは、作った後の運用でつまずきます。私が見てきた限り、PoC（概念実証）で止まる組織の多くは、技術の問題ではなく、運用ルールと責任範囲の設計が追いついていないことが原因です。

最初の壁は、説明できないことと、責任の所在が曖昧なことです。多くのAIは中身の見えない黒い箱で、判断に至った過程を説明できなければ、十分に統治することも、規制当局に説明することもできません。AIが害をもたらしたとき、責任を負うのは開発者か、利用者か、組織かという問いも残ります（参照*1）。

決めておきたいのは、説明できない用途をどこまで許すか、記録を誰が残すかという線引きです。

次の壁は、生成AIの出力への過信です。生成AIは、人が作ったものと見分けにくい本物らしい内容を作り、そこに不正確な記述や事実にもとづかない生成が混じることがあります。もっともらしく見えるため、批判的な検討なしに受け入れると、誤解を招き、重要な判断を左右し、誤情報の広がりにつながります（参照*16）。私自身、Deep Research 系の機能を検証する中で、見た目が調査レポートらしいほど読者が内容を疑わなくなるという問題を繰り返し確認しています。文章がうまく見えるほど、事実も正しいと錯覚しやすい。AIガバナンスの観点では、出力の読みやすさと正確性は別物だと明確に位置づける必要があります。

三つ目の壁は、規制の断片化です。多国籍の大手技術企業は、数十の規制体系をさばける弁護士やコンプライアンス専門家のチームを抱えられますが、中小企業や新興企業には難しく、規制の複雑さが意図せず既存の強者の優位を強めることがあります（参照*18）。

四つ目の壁は、議論が二択に固まることです。AIガバナンスの議論は、過剰な規制か規制なしかという誤った二者択一に縛られており、その間には、最先端のAIと広く使われているAI応用の双方の課題と機会を見据えた、実証にもとづく現実的な道があります（参照*19）。

社内の議論も同じで、全面禁止か自由利用かに寄せると、用途ごとの差を扱えません。手元でできるのは、用途を分けて、記録を集めながら判断の基準を直していくことです。生成AI事業を立ち上げて感じるのは、難しさの本質がモデル選定よりも、この「組織の意思決定とルール整備」にあるという点です。

公的機関と企業の実践例

先に制度を整えた組織を見ると、何を決めているかが具体的に分かります。「禁止用途の明文化」と「例外なき審査」という2点は、どの組織の事例にも共通して見られます。

アイダホ州の情報技術サービスは、生成AIについて禁止する用途を明記しました。個人の権利、給付、サービスに影響する完全に自動の意思決定、セキュリティ分類方針で「Critical」に分類されるデータの処理や生成、人の確認と検証を経ない州の公式な発信用コンテンツの生成が、その対象です（参照*15）。

オハイオ州の行政サービス局は、無償のものや実証実験の段階であっても、すべてのAIソフトウェアサービスについて、セキュリティとプライバシーの要件を満たすかを機関が審査するよう定めました。対象は、ダウンロードして使うソフト、サービスとして提供されるソフトウェア（SaaS：Software as a Service）、ウェブ上のサービス、ブラウザの拡張機能、スマートフォンのアプリに及びます（参照*17）。禁止する用途と審査の対象を先に決めておくと、現場の判断は速くなります。

軍事の分野でも、責任あるAIを運用に落とす協議が進みました。スペイン、韓国、オランダの各政府が、フランス、ケニア、パキスタンと連携し、軍事領域のAIに関する5つの地域協議を実施しました。これらは、2026年2月4日と5日にスペインのア・コルーニャで開かれた第3回の軍事領域における責任あるAIサミットに向けた準備の段階でした（参照*20）。

監督する側の備えには、遅れも見えます。What Directors Think 2026 は、取締役の66％が既に取締役会の業務でAIを使う一方、取締役会自身のAI利用について統制の手順を持つのは22％にとどまり、28％がAIの専門性を採用の最優先課題に挙げたことを示しました（参照*1）。

これらは海外の公共部門と海外の取締役会の例で、日本企業にそのまま当てはめられるものではありません。ただし、参考にできる型は3つあります。禁止用途を先に明文化すること、無償・試験段階のツールも例外なく審査すること、そして統制を「使う側」だけでなく「決める側」にも及ぼすことです。特に3点目は、監督する側が自分たちの利用を棚上げにしがちな点を突いており、重要だと思います。

おわりに

AIガバナンスは、一度作って終わる書類ではありません。棚卸しで利用の全体を把握し、リスクの階層で扱いを分け、監視と見直しを繰り返す流れが本体です。整備が進んでいない段階だからこそ、小さく始めた分が形になります。私自身の経験でも、全社展開を最初から狙うより、小さな業務で入力・出力・確認・効果測定を回してノウハウを貯める方が、現実的に定着します。

導入は、次の3つのステップに分けて始めるのが現実的です。

使っているAIを並べた台帳を1枚作ります。
影響の大きい用途だけ承認の手順を決めます。
原則、ポリシー、運用ガイダンスの三層を整えます。

監修者

安達裕哉（あだちゆうや）

デロイトトーマツコンサルティングにて品質マネジメント、人事などの分野でコンサルティングに従事しその後、監査法人トーマツの中小企業向けコンサルティング部門の立ち上げに参画。大阪支社長、東京支社長を歴任したのち2013年5月にwebマーケティング、コンテンツ制作を行う「ティネクト株式会社」を設立。ビジネスメディア「Books&Apps」を運営。
2023年7月に生成AIコンサルティング、およびAIメディア運営を行う「ワークワンダース株式会社」を設立。ICJ2号ファンドによる調達を実施(1.3億円)。
著書「頭のいい人が話す前に考えていること」が、95万部（2026年6月時点）を売り上げる。
（“2023年・2024年上半期に日本で一番売れたビジネス書”（トーハン調べ／日販調べ））