AIガバナンスの作り方｜規程とテナント設定を同時に決めないと現場で止まる理由
AI活用の社内許可が下りない。この相談で挙がる原因は、たいてい技術ではありません。誰がどの基準で承認するのかが決まっていないという、手続きの問題です。
規程を作れば解決するかというと、そうはなりません。文書に「機密情報の入力を禁止する」と書いても、実際にそれを止めるのは管理画面の設定です。両者が対応していないと、現場は「禁止と書いてあるが、システム上は入力できてしまう」という状態に置かれます。
この記事では、AIガバナンスを文書と設定の両面から作る手順を整理します。読み終えると、社内で生成AIの利用ルールを整える際に、法務と情報システムのどちらに何を依頼すればよいかが分かります。
AIガバナンスとは判断の基準と実際の制限をそろえること
言葉の範囲を先に決めます。AIガバナンスが指すのは次の3つ。
- 方針 自社がAIをどう扱うかの立場を決めた文書
- 規程と手続き 何が禁止で、新しい利用をどう審査するか
- 技術的な制限 管理画面の設定で実際に何を止めているか
多くの会社が着手するのは1と2。ひな形が手に入りやすく、法務部門だけで進められるためです。3が抜けたまま運用に入ると、現場から見て規程が守られているかどうかを誰も確認できません。
| 文書だけを作った場合 | 設定と対応させた場合 | |
|---|---|---|
| 禁止事項の実効性 | 本人の注意に依存する | システム側で止まる |
| 違反の把握 | 申告がない限り分からない | 管理画面の記録で確認できる |
| 現場の判断 | 都度、上長に確認する | 使える範囲が明確 |
日本では罰則がないため着手の理由を作りにくい
進まない背景には、制度の構造もある。
AI推進法は2025年5月28日に成立し、6月4日に施行されました。ただし、この法律には企業への義務も罰則もありません。総務省と経済産業省のAI事業者ガイドライン（第1.2版・2026年3月31日公表）も、拘束力を持つものではなく、実務で参照するための指針という位置づけです。
一方、2026年7月10日に成立した改正個人情報保護法には課徴金が入りました。施行は2028年の見込みですが、保有データの棚卸しとプライバシーポリシーの改定には時間がかかります。
罰則がないため、法律を理由に社内の合意を作るのは難しい。実際に着手のきっかけになるのは次のどれかです。
- 自社または同業他社でAI利用に関する事故が起きた
- 取引先の調達条件に、AI利用に関する項目が入った
- 認証（ISMSなど）の審査で確認事項になった
- 情報システム部門が、統制できていない利用を把握した
4つ目が最も多く、そして最も進めにくい入口です。文書側の最小セットの作り方は生成AI導入ガイドラインの作り方で扱っています。
現場が止まるのは承認プロセスの設計
推進する側が想定していないのが、承認の段階でかかる時間。
リデザインワークのAX支援で、あるプライム上場企業の人事部門と進めた際にも、この点が最大の論点になりました。AI活用の社内許可でつまずくのは技術ではなく承認プロセス。過去に別部署がAIツールを使った影響で情報システム部門の監視が強まり、実証実験であっても承認なしで動かすことに懸念が示されていました。
通した方法は段階を分けることでした。ダミーデータで動かして許可を得てから、実データへ切り替える。最初から実データで申請すると審査が長期化するため、検証の段階と本番の段階を分けて申請します。
もう1つ効いたのが前提の置き方です。最終的な判断は人が行うことを前提に置くと、審査は通りやすくなります。AIが自動で決裁まで行う設計だと、責任の所在から議論が始まります。AIは下書きまで、判断と承認は人が行う。この線を最初に引いておくと、論点が実務の範囲に収まります。
規程に書く5項目
文書の側で最低限決めるのは5つ。網羅的な規程を最初から作ると、承認までに数か月かかります。
| 項目 | 決める内容 |
|---|---|
| 対象 | どのAIサービスを対象にするか（社内で使えるものを列挙する） |
| 入力してよい情報 | 機密区分ごとに可否を決める。判断に迷う例を3つ載せる |
| 出力の扱い | そのまま社外へ出してよいか、確認者を置くか |
| 新規利用の審査 | 誰が申請し、誰が承認するか。所要日数の目安 |
| 記録 | 何を残すか（利用者・用途・対象データの区分） |
2番目が最も問い合わせの多い項目です。「顧客名を含む議事録は入力してよいか」のような具体例を載せておかないと、現場は都度確認することになります。
テナント設定で決める4項目
文書の5項目に対応させて、管理画面の側で決めるのが次の4つ。ここは情報システム部門の作業になります。
- 利用できるサービスの範囲 業務アカウントで使えるAIサービスを限定する
- 入力データの学習利用 入力内容が学習に使われない設定になっているか
- 保存期間と保存先 やり取りの記録がどこに何日残るか
- 利用記録の取得 誰がいつ使ったかを後から確認できるか
2番目は、契約しているプランによって既定値が違います。個人向けプランと法人向けプランで扱いが異なるため、自社の契約内容を確認したうえで設定します。
3番目は、記録が残ること自体を現場に伝えておく必要がある。伝えずに運用を始めると、後から知った社員が使わなくなります。
文書と設定を突き合わせる
2つを作った後に、必ず突き合わせの作業を行う。規程に書いた禁止事項が、設定のどれで担保されているかを1行ずつ確認する。
| 規程の記述 | 対応する設定 | 担保の状態 |
|---|---|---|
| 指定サービス以外の利用を禁止 | 業務アカウントの利用範囲 | システムで制限 |
| 機密区分Aの入力を禁止 | （該当する設定なし） | 本人の判断に依存 |
| 入力内容の学習利用を認めない | 法人プランの設定 | システムで制限 |
3行目のように、設定では止められない項目が必ず残ります。残ること自体は問題ではありません。問題は、止められないことを把握しないまま「規程で禁止しているので安全だ」と説明してしまうこと。
止められない項目は、研修と確認者の配置で補います。どこが本人の判断に依存しているかを明示しておくと、事故が起きたときの検証もできます。
進める順序
着手から運用開始までの順序は次のとおり。
- 現在の利用状況を把握する すでに使われているサービスを洗い出す。規程を作る前に実態を知る
- 最終判断は人が行う前提を置く この一文を先に合意すると、以降の議論が実務の範囲に収まる
- 規程の5項目を決める 網羅性より、現場が判断できることを優先する
- テナント設定の4項目を決める 情報システム部門と同じ会議で決める
- 突き合わせ表を作る 設定で止められない項目を特定する
- 検証の段階から始める ダミーデータで動かし、実績を作ってから実データへ
3番と4番を別々の会議で進めないことが要点です。順番に進めると、文書が確定した後に「その設定はできない」という話が出て、規程を書き直すことになります。
AI利用に伴うリスクの整理と、社内の合意形成の進め方までを含めてまとめたのが、次の資料です。
現場からAIを使いたいという声は出ているのに、ルールが無いという一言で止まる。完璧なガバナンスの完成を待っているからです。AX推進責任者が最初に押さえるべき3つのガバナンスと、活用とルールを同時に育てる進め方を解説します。
規程と設定のどちらから着手すべきかは、現在の利用状況と契約しているプランによって変わります。
いま社内で使われているサービスと情報システム部門の体制をお聞きして、どの順序で進めるかまで一緒に決めます。
AIガバナンスが機能しないのは、文書の完成度の問題ではありません。規程に書いた禁止事項を管理画面の設定が担保していないと、現場は何が守られているのかを判断できない。文書と設定を同じ会議で決め、突き合わせ表で対応を確認する。この形にすると、承認にかかる時間も短くなります。
まず、いま社内で実際に使われているAIサービスを洗い出すところからです。規程を作る前に実態を知らないと、現場の運用と合わない文書ができあがります。
現場へどう説明するかはAIに仕事を奪われるという不安の正体で、外部委託時に自社で更新できる形を確保する方法はベンダーロックインを避けるAI導入でまとめています。
