AIガバナンスは小さく始められるか？ 最初に決める3つのことと見直しの回し方

自社の「ガバナンスと法令」の準備度は？10問・約3分で確かめる（無料・登録不要）

AIガバナンスという言葉を聞くと、委員会や規程集のような大がかりなものを想像しがちです。そのため、「うちにはまだ早い」と後回しにされることも少なくありません。ですが、AIの使い方を誰も把握していない状態のほうが、問題が起きたときの対応は難しくなります。この記事では、AIガバナンスを小さく始める考え方を紹介します。

なぜ小さく始めてよいのですか？

日本では、「人工知能関連技術の研究開発及び活用の推進に関する法律」（AI法、AI推進法とも呼ばれます。令和7年法律第53号）が2025年6月4日に公布・一部施行され、同年9月1日に全面施行されました。この法律は、AIを事業に活用する事業者に、AIの活用による事業活動の効率化・高度化などに努めることと、国や地方公共団体の施策に協力することを求めています（第7条）。罰則で義務を課す形ではなく、活用を進めながらリスクにも対応する枠組みです。あわせて、総務省と経済産業省が「AI事業者ガイドライン」を公表しており、2026年3月に第1.2版が出ています。ガイドラインは、AIを開発する事業者だけでなく、AIを使う事業者も対象にしています。

このガイドラインの基本にある考え方の1つが、リスクの大きさ（被害の大きさと起こりやすさ）に応じて対策の程度を決める「リスクベースアプローチ」です。すべての使い方に同じ重さの管理をするのではなく、影響の大きい使い方に手間をかけるという考え方です。

また、ガイドラインは、「環境・リスク分析」「ゴール設定」「システムデザイン」「運用」「評価」を、複数の関係者とともに続けて素早く回していく「アジャイル・ガバナンス」の実践を示しています。最初から完成した仕組みを作るのではなく、回しながら良くしていく前提です。小さく始めてよい理由はここにあります。

最初に決める3つのことは何ですか？

① 責任者を決めます。 AIの使い方について相談を受け、判断する人を1人決めます。兼務で構いません。問い合わせ先がはっきりするだけで、現場は迷わずに済みます。

② 使い方の一覧を作ります。 どの部署が、どのサービスを、何の業務に使っているかを一覧にします。表計算ソフトの簡単な表で十分です。一覧があると、リスクの大きい使い方を見つけやすくなります。項目は、部署、サービス名、使っている業務、扱う情報の種類（個人情報を含むか、社外の情報か）、使い始めた時期くらいから始めると、記入の手間がかかりません。

③ 最低限のルールを決めます。 はじめは次の3点に絞ると、決めやすく、守りやすくなります。

• 会社が認めたサービスを、会社のアカウントで使う
• 個人情報や機密情報など、入力しない情報を決める
• 社外に出す文書や数字は、人が確かめてから使う

ガイドラインでも、AIを使う事業者に、提供者が想定する範囲で使うこと、機密情報などを不適切に入力しないよう注意すること、出力の精度やリスクを理解して使うことなどが挙げられています。

見直しは、どう回せばよいですか？

3つを決めたら、見直しの時期も決めておきます。たとえば半年に1回、使い方の一覧を更新し、困ったことや新しい使い方を集めて、ルールを直します。

見直しのたびに、リスクの大きい使い方が増えていれば、その部分の管理を手厚くします。お客様に直接答える仕組みや、採用・評価など人に関わる判断にAIを使う場合は、確認の手順や記録の残し方を、ほかの使い方より細かく決めます。

使い方が広がり、部署をまたぐ判断が増えてきたら、委員会のような会議体を置くことを検討します。小さく始めたガバナンスは、会社の成長にあわせて形を変えていけば十分です。