---
title: "AIの内部点検・監査の進め方：社内の使い方をルールどおりか確かめる｜AI-Ready.jp"
url: https://www.ai-ready.jp/guide/ai-internal-audit/
description: "AIの内部点検は、範囲を決め、利用ルールから点検項目を作り、記録などの証拠で確かめ、指摘を直すまで追う流れで進めます。点検は運用の担当とは別の人が担い、年に1回程度を目安に続けると、ルールと実際の使い方のずれを見つけやすくなります。"
updated: 2026-10-26
publisher: "フロレンティナ株式会社"
---
定着させる[柱：ガバナンスと法令](https://www.ai-ready.jp/about-ai-ready/governance/)

# AIの内部点検・監査の進め方：社内の使い方をルールどおりか確かめる

執筆：[嵐保憲](https://www.ai-ready.jp/about/authors/#arashi)更新 2026-10-26制度の最終確認 2026-10-26出典 7件[図解 2点](https://www.ai-ready.jp/zukai/)

この記事の結論

AIの内部点検は、①範囲を決め、②自社の利用ルールから点検項目を作り、③記録などの証拠で確かめ、④指摘を直すまで追う、という流れで進めます。点検は運用の担当とは別の人が担い、年に1回程度を目安に続けると、ルールと実際の使い方のずれを見つけやすくなります。

利用ルールを作り、研修を行っても、実際の使い方がルールどおりかどうかは、確かめてみないと分かりません。全社でAIを使っている会社（Lv.4〜5）では、部署ごとに使い方が広がり、ルールを作ったときには想定していなかった使い方も出てきます。この記事では、社内のAIの使い方を、自社のルールに照らして確かめる「内部点検」の進め方を整理します。

この記事でわかること

- AIの内部点検の目的と、日々の運用の確かめとの違い
- 範囲・点検項目・証拠・頻度・担当の決め方
- 指摘を直すまで追う方法と、公的な指針や規格との関係

## なぜ内部点検が必要なのですか？

総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」は、AIガバナンスを、「環境・リスク分析」「ゴール設定」「システムデザイン」「運用」「評価」のサイクルを継続的に回していくものとして説明しています。別添の行動目標の一覧では、「評価」の段階に「AIマネジメントシステムの機能の検証」と「社外ステークホルダーの意見の検討」が、「運用」の段階に、AIマネジメントシステムの運用状況や個々のAIシステムの運用状況を説明できる状態にしておくことが挙げられています。

総務省・経済産業省の「AI事業者ガイドライン活用の手引き（案）」も、評価の段階を「チェックする・改善点を見つける」ことと説明し、例として第三者による評価や関係者の意見の収集を挙げています。

内部点検は、この「評価」を社内で行う方法の一つです。ルールを作った側や運用している側が気づきにくいずれを見つけ、ルールや仕組みを直すきっかけにします。

## 日々の運用の確かめと、何が違いますか？

日々の運用では、利用状況・品質・事故・費用・サービスの変更を、担当がくり返し確かめます（「[AIを使い続けるための運用と見直し](https://www.ai-ready.jp/guide/ai-operation-monitoring/)」）。内部点検は、それとは別の人が、**決めたルールと仕組みが実際に守られ、機能しているか**を、記録などの証拠をもとに確かめるものです。

- **運用の確かめ：** 運用する担当が、数字や報告をくり返し見て、使い方を直す
- **内部点検：** 運用から離れた人が、ルールどおりかを証拠で確かめ、仕組みの直しを求める

運用の確かめと内部点検の違い

運用の確かめ

運用する担当

数字や報告をくり返し見る

使い方を直す

内部点検

運用から離れた人

ルールどおりかを証拠で確かめる

**仕組みの直し**を求める

## 内部点検はどう進めればよいですか？

### ① 範囲を決める

一度にすべてを点検しようとせず、範囲を決めます。

- **部署で区切る：** AIの利用が多い部署、個人情報や取引先の情報を多く扱う部署から
- **サービスで区切る：** 全社で使っている生成AIのサービス、業務システムに組み込んだAI、AIエージェントなど
- **テーマで区切る：** 入力してよい情報、出力の確かめ方、アカウントの管理など

前回の点検の指摘や、運用の確かめで目立った論点がある範囲を優先すると、限られた時間で効果を出しやすくなります。

### ② 点検項目を作る

点検項目は、一般的なチェックリストをそのまま使うのではなく、**自社の利用ルールの各項目を「確かめる問い」に置き換えて**作ります。例えば次のような項目です。

- 利用してよいサービスの一覧にないサービスが使われていないか
- 入力してはいけない情報（個人情報・取引先の秘密など）の決まりが守られているか
- 個人情報を扱う場合に、利用目的の範囲内かを確かめる手順があるか
- 社外に出す文書で、人が出力を確かめる工程が残っているか
- 退職者や異動者のアカウントが残っていないか
- 事故の報告の窓口が知られ、報告が記録されているか
- サービスの利用規約や設定（入力したデータの扱いなど）が、導入時に確かめた内容から変わっていないか

個人情報については、個人情報保護委員会が令和5年6月2日の注意喚起で、事業者が生成AIのサービスに個人情報を含む指示を入力する場合は、利用目的を達成するために必要な範囲内であることを十分に確かめるよう、注意点として示しています。あわせて、本人の同意なく個人データを含む指示を入力し、そのデータが応答の出力以外の目的で扱われる場合は法令に違反する可能性があるため、提供者がそのデータを機械学習に使わないことなどを十分に確かめるよう示しています。この2点は、点検項目に入れておくとよい論点です。また、個人情報保護法は、個人データの漏えいなどを防ぐための安全管理の措置を事業者に求めています（第23条）。AIのサービスでの個人データの扱いも、この観点から確かめておくとよい論点です。

### ③ 証拠で確かめる

聞き取りだけでなく、記録で確かめます。ガイドラインの本編は、共通の指針の中で、AIの判断に関わる検証可能性を確保するため、ログの記録と保存の方法や期間を検討することや、必要なときに参照できる形で文書を残すことに触れています。点検で使う証拠の例は次のとおりです。

- 利用の申請・承認の記録、利用してよいサービスの一覧
- サービスの管理画面の利用者の一覧と、人事の在籍の情報
- 研修の受講の記録
- 事故・ヒヤリハットの報告と対応の記録
- 契約・利用規約・設定の控え
- 運用の確かめで残した記録（会議の議事録など）

すべての記録を見る必要はありません。件数が多いものは、一部を抜き出して確かめる方法があります。

### ④ 結果をまとめ、直すまで追う

結果は「問題なし」「改善が望ましい」「すぐに直す必要がある」のように分けて、担当部署と話し合ってから報告します。指摘ごとに、直す担当と期限を決め、次の点検までに直ったことを確かめます。

ルールが分かりにくい、現場の業務に合っていない、といった原因で守られていない場合は、現場を直すのではなく、**ルールや研修の側を直す**ことも大切です。点検の結果は、経営陣の責任者や会議体に報告し、ルールと仕組みの見直しにつなげます。

AIの内部点検の流れ

- **範囲を決める**：部署・サービス・テーマで区切ります。前回の指摘や目立った論点がある範囲を優先すると、効果を出しやすくなります
- **点検項目を作る**：**自社の利用ルール**の各項目を、確かめる問いに置き換えます
- **証拠で確かめる**：聞き取りだけでなく、申請・アカウント・研修・事故の記録で確かめます
- **直すまで追う**：指摘ごとに担当と期限を決め、次の点検までに直ったことを確かめます

## 誰が、どのくらいの頻度で点検しますか？

### 点検する人

点検する人は、AIの推進や運用を担う人とは別の人にすると、見落としに気づきやすくなります。

- **内部監査の部署がある会社：** 内部監査の計画にAIの使い方を加え、推進役から仕組みの説明を受けて点検する
- **内部監査の部署がない会社：** 管理部門（法務・総務・情報システムなど）や別の部署の担当が、推進役と組んで点検する。部署どうしで互いに点検し合う方法もあります
- **外部の力を借りる：** 手引き（案）が評価の例に挙げる第三者による評価のように、専門家に一部を依頼する方法もあります

### 頻度

年に1回程度を目安に全体を点検し、事故があったとき、ルールを大きく改定したとき、新しいサービスやAIエージェントを導入したときに、関係する範囲を追加で点検する組み立てが考えられます。

## 規格や認証とはどう関係しますか？

ISO/IEC 42001は、2023年12月18日に発行された、AIマネジメントシステムを作り、運用し、維持し、改善を続けるための要求事項を定めた国際規格です。AIを使った製品やサービスの開発・提供・利用に関わる、あらゆる規模の組織を対象としており、ISOの紹介ページでは、計画・実行・確認・改善（PDCA）の考え方を用いると説明されています。

認証を取るかどうかは会社の判断ですが、認証を取らない場合でも、自社のルールを決め、守られているかを確かめ、直していくという考え方は参考になります。すでに情報セキュリティの仕組み（ISMS）の内部監査を行っている会社は、その計画や手順にAIの点検項目を加える形で始めることも考えられます。

## 判断の目安

- **点検を始める時期の目安：** 利用ルールを決めてから半年から1年程度が経ち、複数の部署で使われるようになったころ
- **範囲を広げる目安：** 前回の指摘が直り、点検の手順が回るようになったら、部署やサービスを広げる
- **外部の力を借りる目安：** 法令に関わる論点が多い、社内に点検できる人がいない、取引先から説明を求められる、といった場合

## チェックリスト

## 関連するひな形・ガイド・用語

ひな形

- [生成AIの利用ルール（ひな形）](https://www.ai-ready.jp/templates/generative-ai-usage-policy-template/)
- [入力してはいけない情報の一覧](https://www.ai-ready.jp/templates/prohibited-input-list/)
- [AIのリスク評価表](https://www.ai-ready.jp/templates/ai-risk-assessment/)
- [AIの委託先・サービスの確認リスト](https://www.ai-ready.jp/templates/ai-vendor-checklist/)

ガイド

- [AIを使い続けるための運用と見直し：利用状況・品質・リスクを定期的に確かめる](https://www.ai-ready.jp/guide/ai-operation-monitoring/)
- [生成AIの利用ルールの作り方（ひな形つき）](https://www.ai-ready.jp/guide/generative-ai-usage-policy/)
- [生成AIと個人情報の扱い：個人情報保護法と注意喚起から確かめること](https://www.ai-ready.jp/guide/personal-data-and-generative-ai/)
- [AI事業者ガイドラインの読み方：AIを使う会社がやること](https://www.ai-ready.jp/guide/ai-business-guidelines-for-users/)
- [AI推進の体制のつくり方：横断の会議体・推進役・相談窓口](https://www.ai-ready.jp/guide/ai-promotion-team/)
- [法人向けの生成AIツールの選び方：契約と設定で確かめること](https://www.ai-ready.jp/guide/choosing-business-ai-tools/)

用語

- [AIガバナンス](https://www.ai-ready.jp/glossary/ai-governance/)
- [ISO/IEC 42001](https://www.ai-ready.jp/glossary/iso-iec-42001/)
- [シャドーAI](https://www.ai-ready.jp/glossary/shadow-ai/)
- [ログ](https://www.ai-ready.jp/glossary/log/)
- [個人情報保護法](https://www.ai-ready.jp/glossary/personal-information-protection-act/)

## よくあるご質問

QAIの内部点検は、誰が行えばよいですか？

AAIの運用や推進を担う部署とは別の人が点検すると、見落としに気づきやすくなります。内部監査の部署があればその部署が、ない会社では管理部門や別の部署の担当が、推進役と組んで行う形が考えられます。

Q点検はどのくらいの頻度で行えばよいですか？

A年に1回程度を目安に全体を点検し、事故やルールの改定、新しいサービスの導入があったときに、関係する範囲を追加で点検する方法があります。会社の規模や使い方の広がりに合わせて決めます。

QISO/IEC 42001の認証を取らないと、点検の意味はありませんか？

A認証を取るかどうかにかかわらず、自社のルールどおりに使われているかを確かめることには意味があります。ISO/IEC 42001は、AIマネジメントシステムを作り、運用し、改善を続けるための要求事項を定めた規格で、自社の仕組みを整える際の参考になります。

Q点検で不備が見つかったら、どうすればよいですか？

A責める場にせず、原因と直し方を担当部署と話し合い、期限を決めて直してもらいます。直ったことを次の点検までに確かめ、ルールが分かりにくいことが原因であれば、ルールや研修の側を直します。

## 関連する法令・判例・指針（参考情報）

- 法令
   個人情報保護法第23条（安全管理措置）
   個人情報取扱事業者は、取り扱う個人データの漏えい・滅失・毀損の防止その他の安全管理のために、必要かつ適切な措置を講じなければなりません。
   個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057)
- 指針
   総務省・経済産業省「AI事業者ガイドライン」（第1.2版（2026年3月31日））
   AIを安全・安心に活用するため、AIの開発・提供・利用に関わる事業者が取り組む事項をまとめた指針です。事業者を「AI開発者」「AI提供者」「AI利用者」に分けて示しています。拘束力のない文書で、状況の変化に応じて更新されています。
   [発行元の公式ページで開く](https://www.soumu.go.jp/main_sosiki/kenkyu/ai_network/02ryutsu20_04000019.html)
- 指針
   個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（2023年6月2日）
   生成AIサービスを使うときの個人情報の扱いの注意点です。事業者には、個人情報を含む指示の入力が利用目的の達成に必要な範囲内かを十分に確かめることや、入力した個人データをサービスの提供者が機械学習に使わないことなどを確かめることを求めています。
   [発行元の公式ページで開く](https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/)

条文・指針は2026年10月26日に照合した内容です。要旨は編集部が平易にまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士などの専門家にご確認ください。表記の決まりは[関連する法令・判例・指針（凡例）](https://www.ai-ready.jp/legal/)をご覧ください。

## この記事に出てくる用語

- [AI事業者ガイドライン](https://www.ai-ready.jp/glossary/ai-guidelines-for-business/)
- [AIガバナンス](https://www.ai-ready.jp/glossary/ai-governance/)
- [生成AI](https://www.ai-ready.jp/glossary/generative-ai/)
- [AIエージェント](https://www.ai-ready.jp/glossary/ai-agent/)
- [機械学習](https://www.ai-ready.jp/glossary/machine-learning/)
- [個人情報保護法](https://www.ai-ready.jp/glossary/personal-information-protection-act/)
- [ログ](https://www.ai-ready.jp/glossary/log/)
- [ISO/IEC 42001](https://www.ai-ready.jp/glossary/iso-iec-42001/)
- [ISMS（ISO/IEC 27001）](https://www.ai-ready.jp/glossary/isms/)
- [シャドーAI](https://www.ai-ready.jp/glossary/shadow-ai/)

## 「ガバナンスと法令」のほかの記事

[この柱の解説 →](https://www.ai-ready.jp/about-ai-ready/governance/)

[定着させる／ガバナンスと法令AIの利用ルールを見直し、社内に定着させる：改定の手順と周知の進め方嵐保憲2026-10-26](https://www.ai-ready.jp/guide/ai-policy-revision/)[定着させる／ガバナンスと法令AIを使い続けるための運用と見直し：利用状況・品質・リスクを定期的に確かめる石田誠2026-10-26](https://www.ai-ready.jp/guide/ai-operation-monitoring/)[はじめる／ガバナンスと法令AI事業者ガイドラインの読み方：AIを使う会社がやること嵐保憲2026-10-25](https://www.ai-ready.jp/guide/ai-business-guidelines-for-users/)

## 出典

1. [経済産業省 AI事業者ガイドライン（第1.2版）](https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html)
2. [AI事業者ガイドライン（第1.2版）本編（PDF）](https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_1.pdf)
3. [AI事業者ガイドライン（第1.2版）別添（PDF）](https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_3.pdf)
4. [総務省・経済産業省 AI事業者ガイドライン活用の手引き（案）（PDF）](https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_9.pdf)
5. [ISO ISO/IEC 42001:2023 Information technology — Artificial intelligence — Management system](https://www.iso.org/standard/42001)
6. [個人情報保護委員会生成AIサービスの利用に関する注意喚起等（令和5年6月2日。PDF）](https://www.ppc.go.jp/files/pdf/230602_alert_generative_AI_service.pdf)
7. [個人情報保護委員会生成AIサービスの利用に関する注意喚起等について](https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/)

最終確認日：2026-10-26

## 次の一歩

[測るAI-Ready診断（無償）いまの準備状況を、7つの柱で確かめられます。](https://www.ai-ready.jp/diagnosis/) [相談する結果の解説（30分・無償）診断の結果をもとに、オンラインでご説明します。](https://www.ai-ready.jp/consult/review/) [窓口ご相談のお申し込み経営・M&A・事業承継・上場・バリューアップはフロレンティナ、AIの導入・開発・データ・セキュリティ・研修はアメリア・テクノロジーがお受けします。](https://www.ai-ready.jp/consult/apply/)

目次

1. なぜ内部点検が必要なのですか？
2. 日々の運用の確かめと、何が違いますか？
3. 内部点検はどう進めればよいですか？
4. 誰が、どのくらいの頻度で点検しますか？
5. 規格や認証とはどう関係しますか？
6. 判断の目安
7. チェックリスト
8. よくあるご質問

この記事が扱う柱

主に「ガバナンスと法令」

[ガバナンスと法令の解説](https://www.ai-ready.jp/about-ai-ready/governance/)

---

出典：フロレンティナ株式会社「AIの内部点検・監査の進め方：社内の使い方をルールどおりか確かめる｜AI-Ready.jp」 https://www.ai-ready.jp/guide/ai-internal-audit/