中小企業のAIガバナンスの始め方：責任者・一覧・ルール・確認・見直しの5つから

自社の「ガバナンスと法令」の準備度は？10問・約3分で確かめる（無料・登録不要）

AIガバナンスは大企業の取り組みに見えるかもしれませんが、社員が個人の判断で生成AIを使い始めている会社ほど、最低限の決まりを早めに持つことが役立ちます。この記事では、国の指針とAI事業者ガイドラインにそって、中小企業が無理なく始められる進め方を整理します。

AIガバナンスとは、何をすることですか？

AIガバナンスは、AIの利点を生かしながらリスクを管理するために、会社が整えるルールや体制、運用のことです。どの業務でAIを使うか、どんなリスクがあるか、誰が判断し、どう確かめるかを決め、それを回していく取り組みを指します。

日本では、2025年9月1日に全面施行されたAI法（人工知能関連技術の研究開発及び活用の推進に関する法律）が土台にあります。AI法は国の施策の基本を定める法律で、罰則や事業者への届出の義務はありません。AIを事業で使う会社（活用事業者）には、AIの活用に努めることと、国や地方公共団体の施策に協力することを求めています（第7条）。

AI法にもとづいて人工知能戦略本部が決めた「適正性確保に関する指針」は、活用事業者に、経営層が関わるモニタリングや評価の仕組みを含むAIガバナンスを作り、続けて改善することを求めています。そのうえで、取り組みは、事業者の規模や立場、AIがもたらすリスクに応じた適切な水準でよいとしています。既存のITシステムに使われているガバナンスの仕組みを生かすことも有用とされています。

中小企業は、いまある規程や会議を生かしながら、AIの項目を足していく考え方で進められます。

自社は、どの立場に当たりますか？

総務省と経済産業省の「AI事業者ガイドライン（第1.2版）」は、事業者を「AI開発者」「AI提供者」「AI利用者」に分けて、取り組む事項を整理しています。既製のAIサービスを業務で使う多くの中小企業は、「AI利用者」に当たります。

AI利用者に求められる主な事項は、次のとおりです。

• 提供者が定めた利用上の注意を守り、想定された範囲で使う
• 正確で新しいデータを入力し、出力の精度とリスクを理解して使う
• 個人情報や機密情報を不適切に入力しない
• 出力を事業の判断に使う場合は、責任を持って判断し、関係者に合理的な範囲で情報を提供する
• 特定の人の評価にAIを使う場合は、AIを使っていることを伝え、説明できるようにする

ガイドラインには、取り組みを確かめるチェックリストも公開されています。読み方は「AI事業者ガイドラインの読み方」で解説しています。

まず、何から始めればよいですか？

次の5つから始めると、少ない負担で土台を作れます。

① 責任者を決める：AIの利用について判断する責任者を決めます。指針が経営層の関与を求めていることもあり、少人数の会社では経営者が兼ねる形が自然です。実務を担う推進役を1人決めておくと、相談の窓口にもなります。

② 使っているAIを一覧にする：どの部署で、どのAIサービスを、どんな業務に使っているかを書き出します。会社が把握していない利用（シャドーAI）も、まずは責めずに申し出てもらうと実態がつかみやすくなります（「シャドーAIへの対策」参照）。

③ 1枚のルールを作る：使ってよいサービス、入力してはいけない情報、出力を確かめること、困ったときの相談先、の4点を1枚にまとめます。細かな規程より、社員が覚えられる短さを優先します（「生成AIの利用ルールの作り方」参照）。

④ リスクの大きい使い方に確認を入れる：お客様に直接届く、人の評価に関わる、個人情報を扱う、お金の判断に関わる、といった使い方は、始める前に責任者が確かめる手順にします。

⑤ 記録して見直す：一覧と、確かめた内容、困った事例を記録し、年に1回と新しいAIを入れたときに見直します。

リスクの大きさは、どう見分ければよいですか？

すべての使い方を同じように審査すると、手間が増えて使われなくなります。リスクの大きさで扱いを分けると、負担を抑えられます。たとえば、次のような目安が考えられます。

リスクを洗い出すときは、ひな形の「AIのリスク評価表」も使えます。採用や評価にAIを使う場合や、AIエージェントに操作を任せる場合は、個別のガイドもあわせて確かめてください。

少人数の会社では、誰が何を担えばよいですか？

委員会を作らなくても、役割を決めておけば回せます。

会社が大きくなり、AIの使い方が部署をまたいで広がってきたら、委員会の形に移ることも検討します（「AI委員会の作り方と運営」参照）。

見直しは、どう続ければよいですか？

AI事業者ガイドラインは、固定したルールではなく、環境とリスクの分析、目標の設定、仕組みの設計、運用、評価を繰り返し回していく進め方（アジャイル・ガバナンス）を示しています。外部の環境が変わったときは、もう一度分析し、必要に応じて目標を見直すとしています。

中小企業では、次のような小さな回し方が現実的です。

• 年に1回：一覧とルールを見直し、使わなくなったサービスを外し、新しい使い方を加えます
• 新しいAIを入れるとき：リスクの目安で扱いを決め、一覧に加えます
• 困った事例が起きたとき：原因を確かめ、ルールや確認の手順を直します（「AIの不具合・事故への備えと対応」参照）
• 制度が変わったとき：AI事業者ガイドラインの改訂や関係する法令の改正を確かめ、ルールに反映します

既存の情報セキュリティの規程や個人情報の取扱いの規程がある場合は、その見直しの時期にAIの項目もあわせて確かめると、手間を増やさずに続けられます。

チェックリスト

• AIの利用について判断する責任者と、実務の推進役を決めている
• 部署ごとに、使っているAIサービスと用途を一覧にしている
• 使ってよいサービス、入力してはいけない情報、出力の確認、相談先を1枚のルールにしている
• お客様に届く使い方、人の評価、個人情報、お金の判断に関わる使い方は、始める前に責任者が確かめている
• リスクの大きさの目安で、使い方ごとの扱いを分けている
• 自社が「AI利用者」に当たることを確かめ、AI事業者ガイドラインのチェックリストを見ている
• 既存の情報セキュリティや個人情報の規程に、AIの項目を加えている
• 年に1回と新しいAIを入れたときに、一覧とルールを見直すと決めている
• 困った事例を記録し、ルールの見直しに生かしている