英国の取締役会におけるAIガバナンスの新指針 / 日本の「AIガバナンス体制構築義務」の内容検討に役立ちうる視点雑感
１ はじめに
生成AIの台頭により、AIはもはやIT部門だけの話題ではなく、企業戦略やガバナンスの中核課題となっている。英国の法律事務所Burges Salmonは2025年11月、「取締役会におけるAIガバナンス:ビジネスリーダーのためのガイダンス」と題する報告書を公表した(1)。同報告書は英国取締役協会(Institute of Directors, IoD)の調査結果を踏まえ、経営層がAIの恩恵とリスクを適切に管理するための12の原則を提示している。本稿では、このガイダンスの内容を解説し、AI統治に取締役会が関与すべき理由とその示唆を探る。
近年の生成AI技術の急速な発展により、AIはもはやIT部門だけの話題ではなく、企業の戦略・業務から倫理・法務に至るまで経営層が直面する課題となっている。IoDの報告書は、取締役がAIの機会を活かしつつリスクを管理するための具体的なロードマップを提示するとともに、AIをIT部門内の技術事項にとどめず取締役会の優先課題として扱う必要性を強調している(1)。
２ IoD調査が映す現状と課題
IoDが2025年3月に実施した調査によれば、約3分の2の取締役が自身の業務でAIツールを活用しており、半数の企業で何らかの形でAIを導入済みだという。一方で約4分の1の回答者は、社内にAI戦略やデータ・ガバナンスの枠組みが整っていないことに不安を示した。経営層のAIに関する知識・スキルの不足や、アウトプットへの不信感、セキュリティ・プライバシー上のリスク、倫理面の懸念などが主な導入阻害要因として指摘されている(2)。こうした状況下、AI導入が進むほどに明確なガバナンス体制の整備が不可欠となる。
３ AIガバナンス12原則の概要
IoD報告書では、企業における責任あるAIガバナンスのための12原則が提示されている。これは2020年に策定された原則群を最新の英国およびEUの規制動向に合わせてアップデートしたものである(1)。各原則にはチェックリストとなる質問例が付されており、取締役が自社のAI態勢を点検・構築する際の指針となる。以下、12原則の概要を示す。
1. 規制および地政学的環境の変化を常に注視すること。自社が属する業界や地域におけるAI規制の最新動向を経営陣レベルで把握し、英国・EUを含む関係法域の規制枠組みに対する自社のAI活用の適合状況を点検する(1)。
2. AIの利用状況や原則・プロセス・統制を継続的に監査・測定すること。自社で使用する全てのAIシステムを洗い出し、定期的に監査・モニタリングと評価を行って各システムの進化や変化を把握する。社員による非公認のAIツール使用 (いわゆる「シャドーAI」)も考慮に入れ、組織全体のAI利用状況を継続的に点検する。
3. 影響評価およびリスク評価を実施すること。AI導入に際して、技術面だけでなく人材や組織文化への影響、法令遵守やステークホルダー (従業員・顧客・取引先・投資家・社会など) への影響を包括的に評価し、リスクを洗い出すこと。
4. 取締役会の説明責任と経営陣の責任分担を確立すること。AIガバナンスは戦略・倫理・評判・法的リスクを伴う経営課題である以上、取締役会レベルの責務として位置づける必要がある(1)。また、AIに起因する重大なリスクに対しては取締役会が導入や継続利用を中止できる拒否権を保持し、取締役会と経営陣の双方がAI監督責任を果たす能力と自覚を備える必要がある(1)。
5. 事業目的に沿った高次の戦略目標を設定すること。 組織のビジョン・目的・価値観やステークホルダーへの約束に即した形で、AI活用に関する高次の目標を策定する。例えば、人間の知能の補完、意思決定の高度化、公平で包摂的なサービス提供などの理念が考えられる。
6. 部門横断的な独立レビュー委員会に権限を与えること。AI戦略 (あるいはデジタル・データ戦略)を統括する社内委員会を設置し、部門横断の構成で十分な専門性と独立性を確保した上で、原則に基づき自律的に判断・助言できる権限を付与する。
7. データソースを検証・記録し安全を確保すること。AIの基盤となるデータの出所・完全性・適切性を管理する。AI導入前にデータの出所を文書化し、品質を評価するとともに、バイアス低減策を講じなければならない(1)。合成データ利用に伴う偏りなどのリスクにも留意する。
8. AIを効果的かつ責任ある形で活用するために人材を訓練・育成すること。組織の構成員がAIを主体的に活用し、疑問を呈し、改善に関与できるようにするには教育訓練が不可欠である(1)。新規採用時の研修および継続的なトレーニングを、対象者の役割に応じて誰もが参加しやすい形で提供し、AIシステムやリスク・規制の変化に合わせて定期的に更新すべきである。
9. プライバシー要件を遵守すること。AIシステムの採用・開発・運用に際して、関連するデータ保護法令や社内ポリシーを遵守し、プライバシー・バイ・デザインの考え方を徹底する。例えば、設計段階でプライバシー保護策を組み込み、個人情報の利用を必要最小限とし、適切な同意や権利保護、安全措置、説明可能性の確保などを徹底する(1)。
10. セキュリティ・バイ・デザインを徹底すること。 AIシステムの信頼性はセキュリティに依存するため、設計・開発・導入の各段階で堅牢なセキュリティ統制を組み込み、定期的にその有効性を検証・更新する(1)。常に新たな脅威に備え、システムの安全性確保を優先すべきである。
11. システムをテスト・評価し、問題発生時には使用を停止・是正・廃止すること。AIシステム導入前に倫理・安全・法令順守・性能面で組織の基準を満たすか厳格にテストし、導入後も定期的に検証を行う。バイアスの助長や有害な結果、目的逸脱が認められた場合には、直ちにシステムを停止・修正または廃棄できる体制を整えておく必要がある(1)。
12. システム・ポリシー・ガバナンス体制を定期的に見直すこと。AIシステム自体だけでなく、それに関わる社内規程やガバナンス実務についても定期的にレビューを行う(1)。導入したAIが引き続き当初の目的に沿って安全かつ公正に機能しているか、組織の倫理的コミットメントやリスク許容度に照らして問題がないか、継続的に点検し続けることが求められる。
４ 英国・EUの規制動向とリスクベース・アプローチ
欧州および英国におけるAI規制の動きは、企業のAIガバナンスに大きな影響を及ぼしている。EUでは包括的なAI規則AI Actが2024年に施行され(3)、用途ごとにAIシステムのリスク度合いを評価し、高リスクとみなされるAIには厳格な要件を課すリスクベース・アプローチが導入された。英国は、包括的なAI法を設けず既存の分野別規制当局に委ねる方針を示しており(1)、企業は複数のガイダンスや規制を横断してフォローする必要がある。取締役会は常に各国の規制動向を注視し、自社のAIが法規制上どのリスク区分・要件に該当しうるかを確認した上で、社内のAI統制をこれらに適合させていく責任を負っている。
５ おわりに: 取締役会関与の意義
AIガバナンスとは決してイノベーションに背を向けることではなく、企業が責任ある形で戦略的にイノベーションを受け入れるための枠組みを構築することである(1)。共通して重要なのは取締役会が主体的に関与し、技術と規制の変化に機敏に対応しつつ、好奇心とイノベーション精神を持って、組織の価値観と長期目標に沿った形でAI活用を舵取りしていくことである(1)。本ガイダンスで提示された12原則を踏まえ、取締役会がチェックリストを丹念に実行に移すことで、ステークホルダーとの信頼関係を構築し、規制遵守を全うし、AI時代における持続的な企業価値の向上を実現しうるといえよう (1)。
日本においても、日本銀行「金融機関におけるAIの利用を巡る法律問題研究会」報告書（2025.6）において、「取締役は、内部統制システムの一環として『AIガバナンス体制の構築義務』を負う」との整理がなされている。
『AIガバナンス体制の構築義務』の内容の検討にあたり、「取締役会におけるAIガバナンス:ビジネスリーダーのためのガイダンス」と題する報告書は大いに参考になる可能性を秘めている。
（参考文献）
1. Charlotte Hamilton＝Eleanor Furlong「AI Governance in the Boardroom: Guidance for Business Leaders」（Burges Salmon, 2025年11月17日）burges-salmon.com（https://www.burges-salmon.com/articles/102lusz/ai-governance-in-the-boardroom-guidance-for-business-leaders/, 2025年11月30日最終閲覧）
2. Institute of Directors（IoD）「Major blockers to AI adoption in British business」（IoDウェブサイト, 2025年4月28日）iod.com（https://www.iod.com/news/science-innovation-and-tech/major-blockers-to-ai-adoption-in-british-business/, 2025年11月30日最終閲覧）
3.Regulation (EU) 2024/1689 (Artificial Intelligence Act)（2024年8月1日施行）artificialintelligenceact.eu（https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32024R1689, 2025年11月30日最終閲覧）
（マガジン）「AIと法-雑感」
※目次は以下を参照
note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。
