AIガバナンスの3ライン・モデル

3ライン・モデルは、内部監査人協会（IIA）が示す、組織のガバナンスとリスク管理の役割分担の考え方です。3線モデル、スリーラインモデルとも呼ばれます。2020年7月に、それまでの「3つのディフェンスライン」（3線防御、3ラインディフェンスとも呼ばれる）を改訂して、現在の名前になりました。IIAの日本語版は各線を「第1ライン」「第2ライン」「第3ライン」と訳していますが、本稿では「第1線」のように書きます。

第2線の役割は「補完的」とされており、リスクを管理する責任は第1線に残ります。第2線は第1線の代わりに管理するのではなく、支え、確かめ、異議を唱える役割です。

改訂で押さえておきたい点は3つです。

3つの線がAIガバナンスで担うことを、線ごとに整理します。どの線も、従来のシステムの統制でしてきたことに加えて、AIに特有の仕事が増えます。

表の外側には、統治機関（取締役会・監査役）と、外部の監査や認証（ISO/IEC 42001 など）が位置します。

どの線が最も重要かは、一つの物差しでは決まりません。次の3つの物差しに分けると、それぞれ答えが変わります。

規程と委員会を先に整えた場合の限界

委員会、規程、チェックリストといった第2線の取り組みは、目に見えやすく、先に整えられがちです。しかし、第1線が審査できる記録を作れない状態では、審査の対象に中身がなく、統制は形だけになります。第2線のチェックリストが意味を持つのは、第1線が案件を正しく運営している場合です。

これは担当者の意識の問題ではなく、記録と権限の流れの問題です。どの線に誰を置いたかより、第1線から第2線へ、審査できる情報が流れているかを確かめます。

打ち手は二本立て

AnchorXは、順位をつけるのではなく、第1線と第2線を二本立てで整えることをすすめます。

第3線（内部監査）が何を確かめるかは、05で述べます。

IIAの3ライン・モデルは、第1線と第2線の兼務を認めています。一方で、AIについては、日本のAIセーフティ・インスティテュート（AISI）の実務マニュアルが一歩踏み込んでいます。

このマニュアルは、AIの活用を推進する側とは独立した立場から、権利・安全・コンプライアンスの観点で停止や是正を勧告できる機能を「二線防御」と呼び、これを確保する体制を示しています。中規模の企業の体制案では、AI統括の役割を兼務で置く場合に、停止権限を持つ担当（情報管理の責任者）を独立に置く例も挙げています。

提起が扱われないときの経路

②の提起が③で取り上げられないまま止まる場合に備えて、第2線が経営会議（または監査役）へ直接報告できる経路を決めておきます。推進の責任者が判定の場の議長を兼ねる体制では、この経路がないと、独立して止める担当を置いた意味が薄れます。

各活動の最終責任は1人に決めます。役割分担表（RACI）で、停止の提起と判定の最終責任者が、推進の最終責任者と同じ人になっていないかを確かめます。

内部監査は、第1線と第2線の仕組みが機能しているかを、独立した立場から確かめ、取締役会や監査役に報告します。AIの利用に対する内部監査では、次の観点を確かめます。

頻度について、AISIの実務マニュアルは、所定のレビューと、定期的な内部監査（例：四半期ごと）で、方針の遵守、記録の完全性、是正の実効性を点検するとしています。

体制は、会社の規模ではなく、AI統括の役割を誰が担うかで3つの類型に分けて考えます。専任の組織を持たない会社では、2つ目の類型が標準になります。AISIの実務マニュアルも、中規模企業の体制案で、専任が難しければCTOまたは事業企画の責任者が兼務する形を示しています。CAIOという役職名は必須ではありません。

内部監査部門がない、または小さい場合も、次の3点を守れば、3つの線の働きを補えます。