AIガバナンスとは｜中小企業が最初に整える5つの仕組み
AIガバナンスに大企業のような委員会や分厚い規程は必須ではありません。中小企業が最初に整えるべき5つの仕組みと、30日で始める手順を紹介します。
AIガバナンスは「AIを禁止する仕組み」ではない
AIガバナンスという言葉から、専門部署、倫理委員会、監査、何十ページもの規程を想像するかもしれません。
しかし、従業員10人の会社と1万人の会社が同じ体制を作る必要はありません。中小企業に必要なのは、次の状態です。
会社が使っているAIを把握し、リスクに応じた責任者とルールを決め、問題が起きたら止めて改善できること。
つまり、AIガバナンスは文書の名前ではなく、AIを安全に使い続けるための運用の仕組みです。
生成AIを全面禁止することでも、AIの判断をすべて人がやり直すことでもありません。用途ごとにリスクを見分け、低いものは速く使い、高いものだけ慎重に審査するために作ります。
日本の中小企業に新しい一律義務があるわけではない
2026年7月時点で、一般的な生成AIを業務利用する日本の中小企業すべてに、特定のAIガバナンス体制を罰則付きで義務付ける法律はありません。
一方、個人情報保護法、著作権法、営業秘密、契約上の秘密保持義務などは、AIを使ってもそのまま適用されます。採用、融資、医療など人への影響が大きい用途では、既存法や業界ルールの確認も必要です。
経済産業省・総務省の「AI事業者ガイドライン第1.2版」は法的拘束力のない指針ですが、取引先へ自社の管理状況を説明するときの共通言語になります。
同ガイドラインの活用の手引きは、AIガバナンスの実践を次の5要素で整理しています。
環境・リスク分析
ゴール設定
システムデザイン
運用
評価
中小企業は、この考え方を小さな仕組みに翻訳すれば十分に始められます。
最初に整える5つの仕組み
1. AI利用台帳
最初に必要なのは、新しい規程ではなく「会社で何が使われているか」の一覧です。
正式契約しているサービスだけでなく、無料アカウント、個人契約、SaaSへ後から追加されたAI機能も対象にします。シャドーAIを責めるためではなく、現状を知るために集めます。
台帳には最低限、次の項目を置きます。
ツール名だけでは足りません。同じ生成AIでも、公開情報からメール案を作るのと、応募者を評価するのではリスクが違うためです。
2. 責任者と承認の境界
「AIは情シスに任せる」だけでは運用できません。情シスは設定を管理できますが、営業資料の正確性や採用判断の妥当性までは判断できないからです。
小規模な会社では、最低限次の役割を決めます。
20人未満の会社なら、経営責任者と運用責任者を同じ人が兼ねても構いません。ただし、採用、解雇、与信など人への影響が大きい判断では、利用者一人だけで承認まで完結させないようにします。
また、新しいAIサービスを試す申請ルートを短くします。申請に数週間かかると、現場は個人アカウントで先に使い始めます。「低リスク用途は運用責任者が2営業日以内に回答」のように期限も決めると機能します。
3. データと用途のルール
入力情報だけでなく、AIを何に使うかも分類します。最初は3段階で十分です。
「高リスクだから必ず禁止」ではありません。会社が管理できる条件を確認してから導入する区分です。
逆に、低リスクでもAIの出力をそのまま公開してよいわけではありません。誤情報、著作権、偏りがあるため、社外へ出すものは人が確認します。
入力ルールの具体例と章立ては『生成AI利用ガイドラインの作り方と5つの決め事』、各サービスの学習利用は『生成AIは入力を学習するのか。4サービス比較』にまとめています。
4. 人による確認と記録
「最後は人が確認する」とだけ書いても、誰も同じ確認をしません。用途ごとに、確認者と観点を決めます。
すべてのプロンプトを永久保存する必要はありません。低リスク用途は通常の業務記録で足りる場合があります。一方、人への重要な判断、顧客への重大な提案、外部システムを動かす処理は、使用したシステム、入力データの種類、担当者、承認結果を残します。
記録の目的は監視ではなく、問題が起きたときに「何が起きたか」を説明し、同じ事故を防ぐことです。
5. 教育・事故対応・定期見直し
AIサービスは、設定も規約も機能も変わります。初版のルールを作って終わりにはできません。
最低限、次を運用に入れます。
入社時と年1回の短時間研修
新しいAIサービスを導入するときの臨時説明
個人情報や機密情報を誤入力したときの報告窓口
問題を報告した利用者を一方的に責めない方針
四半期ごとの台帳・承認サービス・設定の見直し
規約変更、重大事故、法改正があったときの臨時見直し
誤入力が起きたときの初動は、『生成AIに個人情報を入力してしまった後の5手順』で整理しています。
30日で始める実装スケジュール
AIガバナンスを一度に完成させる必要はありません。初月は、事故を減らす最小構成を作ります。
1〜7日目: 現状を把握する
従業員へ利用中のAIサービスを申告してもらう
有料契約と経費精算を確認する
主要SaaSに追加されたAI機能を確認する
明らかに危険な個人情報・機密情報の入力だけ、一時停止する
この段階では、未申告利用を処罰しない方が情報が集まります。
8〜14日目: 線引きを決める
経営責任者と運用責任者を決める
利用を低リスク・条件付き・高リスクに分類する
承認済みサービスと契約形態を決める
入力禁止情報と、人の確認が必要な成果物を決める
15〜21日目: 1ページのルールにする
利用目的
承認済みサービス
入力してよい情報
出力の確認
事故報告先
新サービスの申請方法
初版は1〜3ページで構いません。例外が見つかったら次の版で直します。
22〜30日目: 教育して試す
30分の説明会を実施する
実際の業務を2〜3件選んでルールを試す
現場から「守れない理由」を聞く
台帳とルールを修正する
3か月後の見直し日を予定へ入れる
この30日で完成させるのは、完璧な制度ではなく、改善を続けられる最初のサイクルです。
最小限そろえる文書は6つ
中小企業の初期段階なら、次の6点があれば運用を始められます。
1〜3ページのAI利用ルール
AI利用台帳
承認済みサービスと標準設定の一覧
高リスク用途の簡易審査票
誤入力・事故時の連絡先と初動手順
研修の実施記録
取引先からAI管理について質問されたときも、この6点を基に説明できます。認証取得や本格的な監査が必要になったら、事業規模と取引条件に合わせて追加します。
経産省の5要素へ対応させる
ここまでの仕組みは、AI事業者ガイドライン活用の手引きが示す5要素に対応します。
海外の代表的な枠組みであるNIST AI Risk Management Frameworkも、「Govern・Map・Measure・Manage」を継続的に回す考え方です。名称は違っても、把握し、責任を決め、リスクを測り、対策して見直すという骨格は共通しています。
枠組みを丸ごと導入するより、自社の5つの仕組みのどこが欠けているかを見る参考として使うのが現実的です。
よくある5つの失敗
全面禁止で終わる
禁止だけでは個人アカウントや私物端末へ利用が移り、実態が見えなくなります。低リスク用途の安全な入口も同時に用意します。
ガイドラインを書いて配るだけ
文書を読んでいないことより、相談先と申請方法がないことの方が問題です。研修と窓口まで一組にします。
ツール単位で安全・危険を決める
法人版の生成AIでも、採用や与信に使えば高い管理が必要です。ツールと用途をセットで台帳にします。
情シスだけに責任を集める
技術設定は情シス、業務上の正確性は利用部門、許容リスクは経営が判断します。役割を分けます。
一度決めて更新しない
AI機能とポリシーは変わります。四半期レビューに加え、重大な機能追加や規約変更があれば臨時に見直します。
実施チェックリスト
[ ] 利用中のAIサービスと用途を台帳にした
[ ] 経営責任者・運用責任者・業務責任者を決めた
[ ] 利用を低リスク・条件付き・高リスクに分けた
[ ] 承認済みサービスと標準設定を決めた
[ ] 個人情報・機密情報の入力ルールを決めた
[ ] 社外向け成果物と重要判断の確認者を決めた
[ ] 新サービスの申請ルートと回答期限を決めた
[ ] 誤入力・事故時の報告先を周知した
[ ] 30分程度の初回研修を実施した
[ ] 3か月後の見直し日を予定に入れた
まとめ
AIガバナンスは、AIを禁止する文書ではなく、安全に使い続けて改善する運用の仕組み
中小企業は、利用台帳・責任者・データと用途のルール・人の確認と記録・教育と事故対応の5つから始めればよい
ツール名だけでなく、用途と人への影響でリスクを分類する
初版は1〜3ページ、30日で運用開始し、3か月ごとに見直す
経産省の5要素やNIST AI RMFは、全部を丸写しせず、抜け漏れ確認に使う
主な参考資料
経済産業省・総務省「AI事業者ガイドライン（第1.2版）」 https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html
経済産業省・総務省「AI事業者ガイドライン活用の手引き」 https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_9.pdf
NIST「Artificial Intelligence Risk Management Framework」 https://airc.nist.gov/airmf-resources/airmf/
個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」 https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/
生成AIの導入・運用を相談したい方へ
TodoONadaでは、生成AI導入を含むシステム開発や、利用台帳・社内ルールの整備について相談を受け付けています。
大規模な制度を作る前に、現在の利用状況を整理し、30日で動かせる範囲を決めるところからご相談いただけます。
