AIガバナンスとは

総務省と経済産業省のAI事業者ガイドライン（第1.2版、2026年3月31日）は、AIガバナンスを、AIの利活用によって生じるリスクをステークホルダーにとって受容可能な水準で管理しつつ、そこからもたらされる便益を最大化するための、ステークホルダーによる技術・組織・社会の面からの仕組みの設計と運用として定義しています。

この定義で押さえたいのは、目的がリスクをゼロにすることではなく、便益を最大化することに置かれている点です。リスクの管理は、便益を得るための条件にあたります。

AIを使わないことにも、リスクがあります。すべての活用に同じ重さの審査をかけて止めてしまうと、事故の可能性は減っても、得られたはずの便益を失います。

AIガバナンスを「守り」だけで捉えた場合と、進める・止めるを決める仕組みとして捉えた場合の違いは、次のとおりです。

組織の役割分担の考え方である3ライン・モデルも、2020年の改訂で、防衛だけでなく価値の創造を目的に加えています（05で述べます）。

AI事業者ガイドライン

AI事業者ガイドラインは、総務省と経済産業省が示す、AIの開発・提供・利用に関わる事業者向けの指針です。法的な拘束力はなく、事業者がリスクに応じて自主的に取り組むことを前提にしています。

ガイドラインは、事業者を「AI開発者」「AI提供者」「AI利用者」の3つに大別しています。AIを自社で開発せず、外部のAIサービスを業務で使う多くの事業会社は、主にAI利用者にあたります。

ガイドラインそのものは、「ゴールベース」の考え方で作られています。細かな行為義務を定めるルールベースの規制はイノベーションを阻害するおそれがあるとして、達成すべき目的を示し、そこに至る手段は事業者の自主的な取り組みに委ねる、という作りです。そのため、ガイドラインを読んでも、会社がそのまま守ればよい手順の一覧は出てきません。会社は、自社の目的とリスクに合わせて自らゴールを置き、仕組みを設計することになります。

この考え方は、社内のルールづくりにも応用できます。禁止事項を細かく並べるより、目的と守るべき状態（例：顧客の個人情報が、社外のAIの学習に使われない）を示し、そこに至る手段は案件ごとに選べるようにしておけば、新しいAIサービスが出るたびにルールを書き直さずに済みます。一方で、許容しない領域や、高リスクの活用の承認のように、線を引いておくべきところはルールで決めます。

ゴールを置いたうえで、進め方の土台になるのは次の2つです。

第1.2版では、AIエージェントを、特定の目標を達成するために環境を感知し自律的に行動するAIシステムとして定義しました。AIエージェントを業務で使う場合は、連携先のツールと権限を必要な範囲に絞ること、重要度に応じて人の判断を挟むこと、操作の履歴を定期的に確かめることを、承認の条件に含めておきます。

AI推進法と人工知能基本計画

AI推進法（人工知能関連技術の研究開発及び活用の推進に関する法律）は、2025年6月4日に公布され、9月1日に全面施行されました。「AI新法」「AI法」と呼ばれることもあります。罰則はありません。AIを活用する事業者は、AIの活用による事業活動の効率化・高度化や新産業の創出に努め、国や地方公共団体の施策に協力しなければならないとされています（第7条）。また、国は、不正な目的や不適切な方法によるAIの研究開発・活用で国民の権利利益が侵害された事案の分析などの調査研究を行い、その結果にもとづいて、活用する事業者などへの指導・助言・情報提供などの措置を講ずるとされています（第16条）。

同法（第18条）にもとづく人工知能基本計画（AI基本計画）は、2025年12月23日に閣議決定されました。

本稿は法律の解説を目的としていません。自社の取り組みが法令や契約のうえでどう扱われるかといった個別の判断は、弁護士などの専門家への確認が必要です。

社内ガイドラインは、利用者が日常の業務で守る行動を具体化する文書です。欠かせない入口ですが、ルールを配っただけでは、次の3つが決まらないまま残ります。

この3つが決まっていないと、ルールが守られているかを確かめる手段がありません。ルールの出来の問題ではなく、確かめる仕組みがあるかどうかの問題です。

ISOプロの調査（2026年8月5日公表、企業の経営者・役員・情報システム部門従事者の1,023人）では、超高性能AI（エージェント型AIなど）の業務利用を想定したルール・ガイドラインの整備状況と、シャドーAI（この調査では、従業員による未許可のAIの業務利用）の状況について、それぞれ次の回答が得られています。

2つの表は、同じ調査の単純集計を並べたものです。ルールの有無別に把握の状況を集計したものではないため、ルールの整備と把握の状況の関係は、この数字からは読み取れません。言えるのは、何らかのルールがあると答えた会社が多い一方で、利用を把握・管理できており大きな問題はないと答えたのは25.3%にとどまる、という点までです。

ルールがあることと、利用を把握できていることは別の事柄です。把握と承認と停止の仕組みは、ルールとは別に整える必要があります。

利用ルールの先で、会社として決めることは5つあります。この5つは、一式で決めます。

① 方針と許容リスク

方針は、AIを何のために使い、どこまでのリスクを受け入れるかを、経営として示すものです。許容リスクは、積極活用／条件付き／厳格管理／極めて限定／許容しない の5区分で決めます。「許容しない」は、違法・差別・欺瞞などに当たる領域で、審査の対象ではなく、活用の対象から外します。

社内ガイドラインは、この方針を利用者の行動に落とした文書です。方針が先で、利用ルールは後になります。

② AIインベントリと案件の台帳

AIインベントリは、製品・サービス単位でAIを把握する一覧です。法人契約のチャットAIだけでなく、既存のSaaSに追加されたAI機能や、部門が個別に契約したツールも対象にします。案件の台帳は、それとは別に、業務へのAI活用を案件単位で管理します。1つのサービスの上で複数の案件が動くことがあるため、2つを分けて持ちます。

③ リスク区分と承認

リスク区分は、審査と承認の重さを決める区分です。本稿では、7つの評価軸の点数と重大条件で低・中・高を判定し、重大条件に1つでも当たる活用は高とします。

外部のAIサービスを採用するときは、入力した情報を学習に使わないか、保存の期間と場所、契約終了時の削除を審査に含めます。

分類の尺度の対応

このガイドでは、許容リスクの5区分とリスク区分（低・中・高）の2つの尺度を使います。対応は次のとおりです。

PoCガイドの判定4区分（Go／条件付きGo／保留・再設計／No-Go）と、評価の5観点の1つとしての「リスク」は、この2つの尺度とは別物です。判定4区分は個別の案件を次に進めるかの判断、評価の観点としてのリスクは判断材料の分け方で、審査の重さを決めるリスク区分とは役割が違います。

④ 体制と役割分担

体制は、AI統括責任者（CAIO機能）、AI事務局、事業責任者、専門部門（法務、情報セキュリティ、個人情報の担当など）で役割を分けます。各活動には、最終責任者を1人だけ決めます。役割分担表（RACI）で、承認と停止の最終責任がどこにあるかを明らかにします。体制の組み方は05で述べます。

⑤ 本番後の監視と停止

本番に入った後は、監視する指標と、止める条件を決めておきます。止め方は、緊急停止／停止の提起／停止・再開の判定の3段に分け、誰がどの段を担うかを事前に文書で決めておきます。

AIガバナンスの体制は、3ライン・モデルで役割を分けると整理できます。3ライン・モデルは、内部監査人協会（IIA）が2020年7月に示した、組織のガバナンスとリスク管理の役割分担の考え方です。

IIAは、第1線と第2線を組み合わせたり分けたりする場合があるとしており、兼務を認めています。独立を求めているのは第3線です。AI統括責任者は、全社のAI活用の推進と監督を総括する経営側の役割で、第1線と第2線の役割をまたぎます。

一方で、日本のAIセーフティ・インスティテュート（AISI）の実務マニュアルは、推進する側とは独立した立場から停止や是正を勧告できる機能を「二線防御」と呼び、これを確保する体制を示しています。

体制の3類型

体制は、会社の規模ではなく、AI統括責任者の機能を誰が担うかで、3つの類型に分けて考えます。

CAIOという役職名

外部の支援者の位置づけ

外部の支援者は、社内で足りない知見と工数を補う位置づけで、常設の役割にはしません。外部が担うのは助言と判断材料の提示までで、方針・承認・停止の責任と最終的な承認は社内に置きます。AnchorXの支援も、この範囲で行います。