AIのリスク管理とガバナンスを、社内でどう始めるか

AIを利用する会社が、AIのリスク管理とガバナンスを始めるときは、責任者と体制を決める、使っているAIを一覧にする、リスクを洗い出して大きさに応じた対応を決める、記録を残す、教育する、定期的に見直す、の6つを整えます。拠り所になるのは、総務省と経済産業省の「AI事業者ガイドライン」（第1.2版、2026年3月31日）です。

AIガバナンスとは、AIを安全に、適切に使うために、社内の方針や体制、ルール、確かめる手順を整えて運用することです。社員が守る利用のルールはその一部で、作り方は社内の生成AIの利用ルールの作り方で説明しています。この記事では、ルールを含めた全体の仕組みを、どこから整えるかを扱います。

AI事業者ガイドラインは、利用する会社に何を求めているか

AI事業者ガイドラインは、AIに関わる事業者を「AI開発者」「AI提供者」「AI利用者」の3つに分けています。AI利用者とは、事業活動においてAIシステムやAIサービスを利用する事業者のことで、外部の生成AIのサービスを業務で使う多くの会社がこれにあたります。自社のサービスにAIを組み込んで顧客に提供する場合は、AI提供者としての事項も参照します。

ガイドラインは、どの主体にも共通する指針として、人間中心、安全性、公平性、プライバシー保護、セキュリティ確保、透明性、アカウンタビリティ、教育・リテラシー、公正競争確保、イノベーションの10項目を挙げています。そのうえで、AI利用者が取り組む事項として、次のような点を示しています。

• AI提供者が定めた利用上の留意点を守り、提供者が想定した範囲の中で使う
• AIの出力の精度とリスクの程度を理解したうえで使う
• 個人情報や機密情報を、不適切に入力しないよう注意を払う
• AIの出力を特定の個人や集団の評価の参考にする場合は、人による合理的な判断のもとで説明の責任を果たす
• 関係する人からの問い合わせに対応する窓口を、合理的な範囲で設ける
• AI提供者から提供された文書を保管・活用し、サービスの規約を守る

対策の強さは、リスクの大きさ（危害の大きさと、それが起きる可能性）に合わせる「リスクベースアプローチ」の考え方をとっています。ガイドラインは事業者の自主的な取り組みを支えることを基本的な考え方とし、状況に合わせて更新を重ねる文書（Living Document）と位置づけられています。

出典：「AI事業者ガイドライン」掲載ページ（総務省）
AI事業者ガイドライン（第1.2版）概要（総務省・経済産業省、2026年3月31日）

あわせて、AI推進法にもとづいて2025年12月19日に決定された「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」も、活用事業者が取り組む事項の一つに、AIガバナンスを構築・運用することを挙げています。法律と指針の全体像は日本のAIに関する法律とガイドラインの要点にまとめています。

出典：人工知能関連技術の研究開発及び活用の適正性確保に関する指針（内閣府）

ガバナンスは、段階をくり返して育てる

ガイドラインは、経営層の関与のもとで、環境・リスク分析、ゴール設定、システムデザイン、運用、評価の段階を回し、外部の環境の変化に合わせて環境・リスクの分析に戻る、という進め方を示しています。一度で完成させるのではなく、くり返しながら整えていく考え方です。

別添では、段階ごとの行動目標が示されています。最初の環境・リスク分析の行動目標は、経営層のリーダーシップのもとで、AIを使う目的をはっきりさせ、便益だけでなく意図しないリスクもあることを自社の事業に照らして理解し、経営層で共有することです。

社内で始めるときは、この進め方を次の6つの取り組みに置き換えると、何から手をつけるかが決めやすくなります。

責任者と体制を決める

まず、AIの利用について最終的に責任を持つ人を、経営層の中から決めます。そのうえで、情報システム、法務、人事、現場の担当が加わる事務局と、社員が迷ったときの相談の窓口を置きます。

ガイドラインの別添のワークシートは、自社に合わせて整えて運用するにあたり、取り組みの内容を作る人、実施の状況を確かめる人、責任者の3つの役割を決めるよう案内しています。会社の規模によっては、これらの役割が重なる場合もあると説明されています。

使っているAIを一覧にする

次に、社内で使っているAIを一覧にします。会社として契約したサービスだけでなく、いま使っている業務のソフトやSaaSに加わったAIの機能も対象にします。

一覧には、サービスの名前と提供元、使う部署と業務、扱う情報の種類、契約の形、出力の使い道（社内だけか、社外に出すか、人の評価に使うか）、担当者を書きます。部署への聞き取りや、経費と契約の記録から集めます。認めていないサービスの見つけ方は、生成AIの利用を監査するで扱っています。

リスクを洗い出し、大きさに応じて対応を決める

一覧の用途ごとに、起きうるリスクを洗い出し、大きさに応じて対応の強さを決めます。リスクの大きさは、危害の大きさと、それが起きる可能性の両面で見ます。ガイドラインの別添は、AIのリスクの例として、ハルシネーションなどによる誤った出力、バイアスのある出力、個人情報の不適切な取り扱い、機密情報の流出、過度な依存、知的財産権などの侵害を挙げています。

対応の強さは、たとえば出力の使い道で分けると決めやすくなります。社内の下書きや要約のように影響が社内にとどまる用途は、利用のルールの範囲で使います。社外に出す文書や顧客への回答は、出す前に人が確かめ、確かめた記録を残します。人の評価や契約、お金、安全にかかわる判断では、責任者が事前に確かめ、AIだけに判断させず人が判断します。

記録を残す

ガイドラインは、共通の指針のアカウンタビリティの中で、関係する情報を文書にして一定の期間保管し、必要なときに参照できるようにすることを挙げています。社内では、AIの利用の一覧、使ってよいと判断した理由、サービスの規約と設定の控え、人が確かめた記録、問題が起きたときの記録と対応を残します。

記録は、後で説明を求められたときの材料になるだけでなく、見直しのときに何を変えるかを決める材料にもなります。

教育する

共通の指針の教育・リテラシーでは、AIに関わる人が十分なAIリテラシーを持てるよう、必要な措置をとることを挙げています。社員には、社内のルール、入力してはいけない情報、出力の誤りの確かめ方、相談の窓口を伝えます。

経営層、管理者、利用する社員で、知っておくことは異なります。経営層にはリスクと判断の考え方を、利用する社員には具体的な使い方と確かめ方を中心に伝えると、内容が伝わりやすくなります。指示の書き方は生成AIへの指示（プロンプト）の書き方の原則が参考になります。

定期的に見直す

見直しの時期を決め、取り組みが働いているかを評価し、必要に応じて体制やルールを直します。新しいサービスを使い始めたとき、使い道が変わったとき、問題が起きたとき、ガイドラインが改訂されたときも、見直しのきっかけにします。

AI事業者ガイドライン自体も、2024年4月19日の第1.0版から、2024年11月22日の第1.01版、2025年3月28日の第1.1版、2026年3月31日の第1.2版と更新されています。公式の資料の新しい版を、見直しのたびに確かめます。

本記事は2026年10月時点の公式の資料にもとづく一般的な説明です。個別の事案の判断は、弁護士などの専門家にご相談ください。

当社のご支援

アメリア・テクノロジーのAI・DXコンサルティングでは、生成AIを社内で使うときのルール、情報の扱い、担当の決め方を、会社の実情に合わせて整えるお手伝いをしています。社内の方に向けた生成AIの使い方のレッスンは、AIタイムシェアの時間の中でもお受けできます。整えた仕組みが働いているかを第三者の立場で確かめたい場合は、システム監査で、AI事業者ガイドラインなどの公的な指針を参考に、データの扱い、出力の確かめ方、運用の体制を確かめます。