--- title: "中小企業のAIガバナンスの始め方：責任者・一覧・ルール・確認・見直しの5つから｜AI-Ready.jp" url: https://www.ai-ready.jp/guide/ai-governance-for-sme/ description: "中小企業のAIガバナンスは、責任者を決める、使っているAIを一覧にする、1枚のルールを作る、リスクの大きい使い方に確認を入れる、記録して見直す、の5つから始められます。国の指針も規模とリスクに応じた水準でよいとしています。" updated: 2026-11-12 publisher: "フロレンティナ株式会社" --- はじめる[柱：ガバナンスと法令](https://www.ai-ready.jp/about-ai-ready/governance/) # 中小企業のAIガバナンスの始め方：責任者・一覧・ルール・確認・見直しの5つから 執筆：[嵐保憲](https://www.ai-ready.jp/about/authors/#arashi)更新 2026-11-12制度の最終確認 2026-11-12出典 5件[図解 2点](https://www.ai-ready.jp/zukai/) この記事の結論 中小企業のAIガバナンスは、大きな組織を作らなくても、「責任者を決める」「使っているAIを一覧にする」「1枚のルールを作る」「リスクの大きい使い方に確認を入れる」「記録して見直す」の5つから始められます。国の指針も、取り組みは会社の規模とリスクに応じた水準でよいとしています。 自社の「ガバナンスと法令」の準備度は？[10問・約3分で確かめる（無料・登録不要）](https://www.ai-ready.jp/diagnosis/quick/) AIガバナンスは大企業の取り組みに見えるかもしれませんが、社員が個人の判断で生成AIを使い始めている会社ほど、最低限の決まりを早めに持つことが役立ちます。この記事では、国の指針とAI事業者ガイドラインにそって、中小企業が無理なく始められる進め方を整理します。 この記事でわかること - AIガバナンスとは何か、中小企業に求められる水準の考え方 - 最初に取り組みたい5つのこと - 少人数の会社での役割分担と、見直しの続け方 ## AIガバナンスとは、何をすることですか？ AIガバナンスは、AIの利点を生かしながらリスクを管理するために、会社が整えるルールや体制、運用のことです。どの業務でAIを使うか、どんなリスクがあるか、誰が判断し、どう確かめるかを決め、それを回していく取り組みを指します。 日本では、2025年9月1日に全面施行されたAI法（人工知能関連技術の研究開発及び活用の推進に関する法律）が土台にあります。AI法は国の施策の基本を定める法律で、罰則や事業者への届出の義務はありません。AIを事業で使う会社（活用事業者）には、AIの活用に努めることと、国や地方公共団体の施策に協力することを求めています（第7条）。 AI法にもとづいて人工知能戦略本部が決めた「適正性確保に関する指針」は、活用事業者に、経営層が関わるモニタリングや評価の仕組みを含むAIガバナンスを作り、続けて改善することを求めています。そのうえで、**取り組みは、事業者の規模や立場、AIがもたらすリスクに応じた適切な水準でよい**としています。既存のITシステムに使われているガバナンスの仕組みを生かすことも有用とされています。 中小企業は、いまある規程や会議を生かしながら、AIの項目を足していく考え方で進められます。 ## 自社は、どの立場に当たりますか？ 総務省と経済産業省の「AI事業者ガイドライン（第1.2版）」は、事業者を「AI開発者」「AI提供者」「AI利用者」に分けて、取り組む事項を整理しています。既製のAIサービスを業務で使う多くの中小企業は、「AI利用者」に当たります。 AI利用者に求められる主な事項は、次のとおりです。 - 提供者が定めた利用上の注意を守り、想定された範囲で使う - 正確で新しいデータを入力し、出力の精度とリスクを理解して使う - 個人情報や機密情報を不適切に入力しない - 出力を事業の判断に使う場合は、責任を持って判断し、関係者に合理的な範囲で情報を提供する - 特定の人の評価にAIを使う場合は、AIを使っていることを伝え、説明できるようにする ガイドラインには、取り組みを確かめるチェックリストも公開されています。読み方は「[AI事業者ガイドラインの読み方](https://www.ai-ready.jp/guide/ai-business-guidelines-for-users/)」で解説しています。 ## まず、何から始めればよいですか？ 次の5つから始めると、少ない負担で土台を作れます。 ① **責任者を決める**：AIの利用について判断する責任者を決めます。指針が経営層の関与を求めていることもあり、少人数の会社では経営者が兼ねる形が自然です。実務を担う推進役を1人決めておくと、相談の窓口にもなります。 ② **使っているAIを一覧にする**：どの部署で、どのAIサービスを、どんな業務に使っているかを書き出します。会社が把握していない利用（シャドーAI）も、まずは責めずに申し出てもらうと実態がつかみやすくなります（「[シャドーAIへの対策](https://www.ai-ready.jp/guide/shadow-ai-countermeasures/)」参照）。 ③ **1枚のルールを作る**：使ってよいサービス、入力してはいけない情報、出力を確かめること、困ったときの相談先、の4点を1枚にまとめます。細かな規程より、社員が覚えられる短さを優先します（「[生成AIの利用ルールの作り方](https://www.ai-ready.jp/guide/generative-ai-usage-policy/)」参照）。 ④ **リスクの大きい使い方に確認を入れる**：お客様に直接届く、人の評価に関わる、個人情報を扱う、お金の判断に関わる、といった使い方は、始める前に責任者が確かめる手順にします。 ⑤ **記録して見直す**：一覧と、確かめた内容、困った事例を記録し、年に1回と新しいAIを入れたときに見直します。 最初に取り組む5つのこと - **責任者を決める**：少人数の会社では経営者が兼ねる形が自然。実務の推進役も1人決める - **使っているAIを一覧にする**：部署・サービス・業務を書き出す。会社が把握していない利用もまず申し出てもらう - **1枚のルールを作る**：使ってよいサービス、入力してはいけない情報、出力の確認、相談先 - **リスクの大きい使い方に確認を入れる**：お客様に届く・人の評価・個人情報・お金の判断に関わる使い方は、**始める前に責任者が確かめる** - **記録して見直す**：年に1回と、新しいAIを入れたときに見直す 読みながら、自社の現在地を確かめませんか クイック診断は10問・約3分・登録不要です。7つの柱ごとの目安と、「ガバナンスと法令」を含めて次に取り組むことがわかります。 [無料で診断する](https://www.ai-ready.jp/diagnosis/quick/)[結果の解説（30分・無料）](https://www.ai-ready.jp/consult/review/) ## リスクの大きさは、どう見分ければよいですか？ すべての使い方を同じように審査すると、手間が増えて使われなくなります。リスクの大きさで扱いを分けると、負担を抑えられます。たとえば、次のような目安が考えられます。 | 目安 | 使い方の例 | 扱い | |---|---|---| | 小さい | 社内向けの文章の下書き、公開情報の要約、アイデア出し | 1枚のルールに沿って、各自の判断で使う | | 中くらい | 社内の資料を読ませる、顧客向けの文章の下書き | 承認したサービスで使い、公開・送信の前に人が確かめる | | 大きい | 顧客に自動で回答する、採用や評価の補助、個人情報の分析、自動で操作するAI | 始める前に責任者が確かめ、記録を残し、定期的に結果を確かめる | リスクを洗い出すときは、ひな形の「AIのリスク評価表」も使えます。採用や評価にAIを使う場合や、AIエージェントに操作を任せる場合は、個別のガイドもあわせて確かめてください。 ## 少人数の会社では、誰が何を担えばよいですか？ 委員会を作らなくても、役割を決めておけば回せます。 | 役割 | 担う人の例 | 主な仕事 | |---|---|---| | 責任者 | 経営者・役員 | リスクの大きい使い方の判断、ルールの承認、年1回の見直し | | 推進役 | 情報システムや総務の担当者、AIに詳しい社員 | 一覧の更新、相談の受付、ルールの周知、事例の共有 | | 各部署の利用者 | 社員 | ルールに沿った利用、困った事例の報告 | | 外部の相談先 | 顧問の弁護士・税理士、ITの委託先 | 法令や契約、技術の確認 | 会社が大きくなり、AIの使い方が部署をまたいで広がってきたら、委員会の形に移ることも検討します（「[AI委員会の作り方と運営](https://www.ai-ready.jp/guide/ai-governance-committee/)」参照）。 ## 見直しは、どう続ければよいですか？ AI事業者ガイドラインは、固定したルールではなく、環境とリスクの分析、目標の設定、仕組みの設計、運用、評価を繰り返し回していく進め方（アジャイル・ガバナンス）を示しています。外部の環境が変わったときは、もう一度分析し、必要に応じて目標を見直すとしています。 中小企業では、次のような小さな回し方が現実的です。 - **年に1回**：一覧とルールを見直し、使わなくなったサービスを外し、新しい使い方を加えます - **新しいAIを入れるとき**：リスクの目安で扱いを決め、一覧に加えます - **困った事例が起きたとき**：原因を確かめ、ルールや確認の手順を直します（「[AIの不具合・事故への備えと対応](https://www.ai-ready.jp/guide/ai-incident-management/)」参照） - **制度が変わったとき**：AI事業者ガイドラインの改訂や関係する法令の改正を確かめ、ルールに反映します 既存の情報セキュリティの規程や個人情報の取扱いの規程がある場合は、その見直しの時期にAIの項目もあわせて確かめると、手間を増やさずに続けられます。 見直しを続ける小さな回し方 **年に1回**：一覧とルールを見直し、使わなくなったサービスを外し、新しい使い方を加える **新しいAIを入れるとき**：リスクの目安で扱いを決め、一覧に加える **困った事例が起きたとき**：原因を確かめ、ルールや確認の手順を直す **制度が変わったとき**：ガイドラインの改訂や法令の改正を確かめ、ルールに反映する 既存の情報セキュリティや個人情報の規程の見直しの時期に、AIの項目もあわせて確かめると、手間を増やさずに続けられます。 ## チェックリスト ## 関連するひな形・ガイド・用語 ひな形 - [生成AIの利用ルール（ひな形）](https://www.ai-ready.jp/templates/generative-ai-usage-policy-template/) - [AIのリスク評価表](https://www.ai-ready.jp/templates/ai-risk-assessment/) - [AIの利用記録](https://www.ai-ready.jp/templates/ai-use-log/) ガイド - [生成AIの利用ルールの作り方（ひな形つき）](https://www.ai-ready.jp/guide/generative-ai-usage-policy/) - [AI事業者ガイドラインの読み方：AIを使う会社がやること](https://www.ai-ready.jp/guide/ai-business-guidelines-for-users/) - [AI法と企業の対応：罰則のない法律で何をすべきか](https://www.ai-ready.jp/guide/ai-act-japan-corporate-response/) - [シャドーAIへの対策](https://www.ai-ready.jp/guide/shadow-ai-countermeasures/) - [AI委員会の作り方と運営：役割・メンバー・議題・審査の流れ](https://www.ai-ready.jp/guide/ai-governance-committee/) コラム - [AIガバナンスは小さく始められるか？最初に決める3つのことと見直しの回し方](https://www.ai-ready.jp/column/small-steps-ai-governance/) 用語 - [AIガバナンス](https://www.ai-ready.jp/glossary/ai-governance/) - [AI事業者ガイドライン](https://www.ai-ready.jp/glossary/ai-guidelines-for-business/) - [AI開発者・AI提供者・AI利用者](https://www.ai-ready.jp/glossary/ai-developer-provider-user/) ## よくあるご質問 Q社員が10人ほどの会社でも、AIガバナンスは必要ですか？ A規模にかかわらず、AIを業務で使うなら、誰が判断し、何を守るかを決めておくことが役立ちます。指針も、取り組みは規模やリスクに応じた水準でよいとしています。少人数の会社では、経営者が責任者を兼ね、1枚のルールと利用の一覧から始める形で十分なことが多いです。 QAI事業者ガイドラインは、読まなければいけませんか？ A法的な拘束力のない指針で、読むことは義務ではありません。ただし、「AI利用者」が取り組む事項が整理されており、チェックリストもあるため、社内ルールを作るときの手引きとして役立ちます。 QAIガバナンスと、情報セキュリティの規程は別に作るべきですか？ Aすでに情報セキュリティの規程や個人情報の取扱いの規程がある場合は、そこにAIの項目を加える進め方が扱いやすくなります。人工知能戦略本部の指針も、既存のITシステムに使われているガバナンスの仕組みを生かすことを有用としています。 Q一度ルールを作れば、それで終わりですか？ AAIの製品や制度は変化が速いため、定期的な見直しが前提です。AI事業者ガイドラインも、分析・目標の設定・仕組みの設計・運用・評価を繰り返す進め方を示しています。年に1回と新しいAIを入れたときに見直すと決めておくと続けやすくなります。 ## この記事に出てくる用語 - [AIガバナンス](https://www.ai-ready.jp/glossary/ai-governance/) - [生成AI](https://www.ai-ready.jp/glossary/generative-ai/) - [AI事業者ガイドライン](https://www.ai-ready.jp/glossary/ai-guidelines-for-business/) - [AI法（AI推進法）](https://www.ai-ready.jp/glossary/ai-promotion-act/) - [人工知能（AI）](https://www.ai-ready.jp/glossary/artificial-intelligence/) - [適正性確保に関する指針](https://www.ai-ready.jp/glossary/ai-appropriateness-guidelines/) - [シャドーAI](https://www.ai-ready.jp/glossary/shadow-ai/) - [要約](https://www.ai-ready.jp/glossary/summarization/) - [AIエージェント](https://www.ai-ready.jp/glossary/ai-agent/) - [AI開発者・AI提供者・AI利用者](https://www.ai-ready.jp/glossary/ai-developer-provider-user/) ## 「ガバナンスと法令」のほかの記事 [この柱の解説 →](https://www.ai-ready.jp/about-ai-ready/governance/) [広げる／ガバナンスと法令AIで作った名前・ロゴと商標の確認石田誠2026-11-12](https://www.ai-ready.jp/guide/trademark-and-ai-creations/)[広げる／ガバナンスと法令AIで作る広告と景品表示法の注意嵐保憲2026-11-12](https://www.ai-ready.jp/guide/advertising-law-and-ai/)[定着させる／ガバナンスと法令AIのリスク管理の進め方（NIST AI RMF・ISO/IEC 42001）石田誠2026-11-12](https://www.ai-ready.jp/guide/ai-risk-management-framework/) ## 出典 1. [人工知能戦略本部「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」（2025年12月19日、PDF）](https://www8.cao.go.jp/cstp/ai/ai_guideline/ai_gl_2025.pdf) 2. [経済産業省「AI事業者ガイドライン（第1.2版）」（2026年3月31日）](https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html) 3. [AI事業者ガイドライン（第1.2版）本編（PDF）](https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_1.pdf) 4. [人工知能関連技術の研究開発及び活用の推進に関する法律（e-Gov法令検索）](https://laws.e-gov.go.jp/law/507AC0000000053) 5. [内閣府「AI法全面施行 -次なるフェーズへ-」（2025年10月3日）](https://www.cao.go.jp/press/new_wave/20251003.html) 最終確認日：2026-11-12 ## 次の一歩 [測るAI-Ready診断（無料）いまの準備状況を、7つの柱で確かめられます。](https://www.ai-ready.jp/diagnosis/) [相談する結果の解説（30分・無料）診断の結果をもとに、オンラインでご説明します。](https://www.ai-ready.jp/consult/review/) [窓口ご相談のお申し込み経営・M&A・事業承継・上場・バリューアップはフロレンティナ、AIの導入・開発・データ・セキュリティ・研修はアメリア・テクノロジーがお受けします。](https://www.ai-ready.jp/consult/apply/) 目次 1. AIガバナンスとは、何をすることですか？ 2. 自社は、どの立場に当たりますか？ 3. まず、何から始めればよいですか？ 4. リスクの大きさは、どう見分ければよいですか？ 5. 少人数の会社では、誰が何を担えばよいですか？ 6. 見直しは、どう続ければよいですか？ 7. チェックリスト 8. よくあるご質問 この記事が扱う柱 主に「ガバナンスと法令」 [ガバナンスと法令の解説](https://www.ai-ready.jp/about-ai-ready/governance/) 自社の準備度を確かめる 10問・約3分・登録不要。7つの柱ごとの目安がわかります。 [無料で診断する](https://www.ai-ready.jp/diagnosis/quick/) --- 出典：フロレンティナ株式会社「中小企業のAIガバナンスの始め方：責任者・一覧・ルール・確認・見直しの5つから｜AI-Ready.jp」 https://www.ai-ready.jp/guide/ai-governance-for-sme/