役員のためのAIガバナンス入門 ～「うちは大丈夫」と言えますか～
取締役会で、こんな瞬間はありませんか
ある取締役会で、社長がこう報告しました。
「現場で生成AIを使い始めています。生産性が上がっています」。
役員は一様にうなずきます。
ところが、そこで一人の社外取締役が静かに聞きました。
「使っているのは、どのサービスですか。入力した情報は、どこに保存されているのでしょう」。
会議室が、少し止まりました。誰も、正確には答えられなかったのです。
これは、私が見聞きする現場でいま実際に起きていることです。生成AIの導入は現場から静かに始まり、経営が全体像をつかむより先に走り出しています。そして役員の側には、こんな戸惑いがあります。「AIが大事なのはわかる。でも、役員として何を確認し、何から手をつければいいのか」。
この記事は、その問いに答えるために書きました。想定している読者は、AIの専門家ではない取締役・監査役の方です。技術に詳しくなる必要はありません。役員として押さえるべき勘所と、明日から動ける手順に絞ってお伝えします。
私は公認会計士で、CISA(公認情報システム監査人)の資格も持っています。これまで上場会社4社で社外役員を務め、『社外役員の極意』という本も書きました。
情報システム監査の資格を持つ人間が言うのも妙ですが、私が伝えたいのは技術の中身ではありません。ガバナンスと監査の視点、つまり「技術に強くない役員が、AIとどう向き合うか」です。むしろ、AIの中身を細かく知らなくても役員の役割は果たせる、というのが私の実感です。
この記事で持ち帰っていただけること
読み終えたとき、次の3つが手元に残るように構成しました。
第一に、AIガバナンスとは何で、なぜ「役員の仕事」なのかの理解です。これは流行の話ではなく、善管注意義務に直結する経営課題だからです。
第二に、いま日本で役員が最低限知っておくべき制度の地図です。AI事業者ガイドライン、AI推進法(AI新法)、そして2026年に加わったAIエージェントへの視点まで、要点だけを整理します。
第三に、明日から使える実践ワークです。「現状把握 → 方針 → 体制 → 運用」の4段階で、自社のどこに穴があるかを役員自身が点検できるチェックリストを用意しました。つまずきやすい場所と、その乗り越え方も添えます。
ここまでが、無料でお読みいただける部分です。ここから先の「制度の地図」「役員が見るべきリスクの実際」「実践ワーク」「つまずいたときの対処」が、この記事の本体です。役員会の場で一つでも良い質問ができるようになる。そこに価値を感じていただけたら、続きへお進みください。
そもそもAIガバナンスとは何か
言葉の定義から入りましょう。
堅い話に聞こえますが、ここを外すと議論が空回りします。
AIガバナンスとは、政府のガイドラインの整理を借りれば、「AIの利活用によって生じるリスクを、ステークホルダーにとって受容可能な水準で管理しつつ、そこからもたらされる正の便益を最大化すること」を目的とした、組織的な仕組みの設計と運用を指します(総務省・経済産業省「AI事業者ガイドライン」の考え方に基づく)。
ここで大事なのは、AIガバナンスが「AIを止めるための仕組み」ではないということです。リスクをゼロにするのが目的ではありません。便益とリスクを両にらみで管理し、使いながら守るのがAIガバナンスです。ブレーキは、速く走るために付いています。それと同じ発想だと考えてください。
役員の立場でこれを言い換えると、こうなります。「攻めのAI活用を後押ししつつ、会社を致命傷から守る」。この両立が、いまの役員に求められている役割です。
なぜこれが「役員の仕事」なのか
「AIは現場やIT部門の話ではないか」。そう思われるかもしれません。しかし、ここには見落としやすい論点があります。
現在の日本では、AIガバナンスそのものを直接に義務づける罰則付きの法律は、まだありません。後で触れるAI推進法(AI新法)も、規制ではなく推進を目的とした法律です。つまりAIガバナンスは、いまのところ「ソフトロー(法的拘束力のない指針)」の世界の話です。
ところが、ここで安心してはいけません。役員には、会社法上の善管注意義務があります。その一内容として、会社の規模やリスクに応じて、業務の適正を確保する体制、いわゆる内部統制システムを構築する義務を負うと解されています。AIガバナンスの整備も、この内部統制の延長線上にある論点です。
もう少し噛み砕きます。仮に、社員が生成AIに顧客の個人情報を入力してしまい、情報が外部に流出したとします。あるいはAIが生成した誤情報をそのまま公表し、会社が損害を与えたとします。そのとき、「AIのリスクは認識していたのに、何の対策も講じていなかった」という状態だと、経営判断の合理性そのものが問われかねません。ソフトローだから関係ない、とは言えないのです。
私はここを、監査の視点でいつも意識しています。ルールがないことと、責任がないことは別だからです。むしろルールが未整備な領域こそ、「役員が自ら考えて手当てしたか」が後から効いてきます。
（このため、私は取締役会で「うちにAIの利用ルールはありますか」と一度は問うべきだと考えています。答えが「ない」でも構いません。問うたという事実と、そこから動いたという記録が、後の説明責任を支えます。）
役員が知っておくべき制度の地図
技術の細部を覚える必要はありません。ただ、役員として押さえておくべき制度の骨格が3つあります。順に見ていきましょう。
（１）AI事業者ガイドライン：日本のAIルールの土台
総務省と経済産業省が策定した「AI事業者ガイドライン」が、日本のAIガバナンスの実務上の出発点です。もともと別々に存在していた複数の指針を統合したもので、初版が2024年4月、第1.1版が2025年3月28日、そして第1.2版が2026年3月31日に公表されています(いずれも総務省・経済産業省)。
これは法律ではなくソフトローですが、事実上の標準として広く参照されています。役員が押さえるべきは、細かい条項ではなく、次の2つの枠組みです。
ひとつは、「10の共通の指針」です。
すべてのAI事業者が取り組むべき事項として、(1)人間中心、(2)安全性、(3)公平性、(4)プライバシー保護、(5)セキュリティ確保、(6)透明性、(7)アカウンタビリティ(説明責任)、(8)教育・リテラシー、(9)公正競争確保、(10)イノベーション、の10項目が整理されています。この10項目は、そのまま役員が自社を点検する際の視点として使えます。後半の実践ワークで活用します。
もうひとつは、「3つの主体区分」です。ガイドラインは、AIに関わる事業者を、AIを開発する「AI開発者」、それを組み込んでサービスとして提供する「AI提供者」、業務で使う「AI利用者」の3つに分けています。ここで役員として大切なのは、自社がどの立場なのかを把握することです。多くの一般事業会社は、まず「AI利用者」に当たります。生成AIを自社サービスに組み込んで顧客へ提供していれば「AI提供者」の側面も持ちます。立場が変われば、負うべき責任の重さも変わります。
（２）AI推進法(AI新法)：規制ではなく推進の法律
2つ目が、2025年に成立した「人工知能関連技術の研究開発及び活用の推進に関する法律」、通称AI推進法(AI新法)です。2025年6月4日に公布され、同年9月1日に全面施行されました。
役員として理解しておくべき性格は、この法律が「規制法」ではなく「推進法」だという点です。違反への直接の罰則を定めて縛る仕組みではありません。政府が司令塔としてAI戦略本部を置き、AI基本計画を定めて、研究開発・社会実装・人材育成などを国として後押しする枠組みです。国は「世界で最もAIを開発・活用しやすい国」を掲げています。
ここから役員が読み取るべきメッセージは、こうです。国は、AIを止める方向ではなく、進める方向に舵を切っています。ということは、「リスクが怖いから使わない」という姿勢だけでは、競争上取り残される可能性があります。守りだけでなく、攻めの遅れもまた経営リスクなのです。両にらみ、という先ほどの話に戻ってきます。
（なお、この法律に基づき、政府はAIの適正性に関する指針も順次示しています。詳細な最新動向は変わりうるため、自社に関わる部分は顧問弁護士や所管省庁の公表資料で確認することをお勧めします。要確認の姿勢そのものが、ガバナンスです。）
（３）AIエージェント：2026年に加わった新しい論点
3つ目は、より新しい論点です。前述のガイドライン第1.2版(2026年3月31日)では、「AIエージェント」と「フィジカルAI」に関する記載が新たに加わりました。
AIエージェントとは、ごく簡単に言えば、人間が一つひとつ指示しなくても、目標を与えると自分で段取りを考えて実行まで進めるAIのことです。従来の「質問に答える」AIから、「自分で動く」AIへ、という変化だと捉えてください。
役員として警戒すべきは、この「自律性」です。人が逐一確認しないまま、AIが実際の業務を進めてしまう。便利ですが、暴走したときの被害も大きくなります。ガイドライン第1.2版でも、権限を適切に設定すること、重要な意思決定には人間の判断を必ず介在させること、操作履歴(ログ)を定期的に確認・報告することなどが留意点として整理されています。
平たく言えば、「AIにどこまで任せ、どこから人が握るか」という線引きの問題です。これは技術の問題である以上に、経営の意思決定の問題です。だからこそ役員が関与すべき領域だと、私は考えています。
役員が見るべきリスクの実際
制度の話が続きましたが、ここで、より生々しいリスクに目を向けましょう。専門用語ではなく、「何が起きうるか」で並べます。役員会で名前を挙げられるようにしておくと、それだけで議論の質が変わります。
第一に、情報漏えいです。社員が生成AIに、顧客情報や未公開の経営情報、ソースコードなどを入力してしまう。入力した内容が外部のサービス側で扱われ、意図せず漏れる、あるいは学習に使われる懸念があります。もっとも起きやすく、もっとも身近なリスクです。
第二に、著作権や権利の侵害です。AIが生成した文章や画像が、他者の著作物に酷似していた。それを自社の広告や資料に使ってしまった。こうしたケースは、会社の信用に直結します。
第三に、誤情報(いわゆるハルシネーション)です。AIは、もっともらしい嘘を自信たっぷりに答えることがあります。それを確認せずに顧客対応や公表資料に使えば、会社が誤った情報を発信したことになります。
第四に、バイアス(偏り)です。採用や与信など人を選別する場面でAIを使うと、過去のデータに含まれた偏りを再生産し、不公平な結果を生むおそれがあります。公平性の論点です。
第五に、シャドーAIです。会社が把握しないまま、現場が個々に無料のAIサービスを使っている状態を指します。冒頭の取締役会の場面が、まさにこれです。ルールを作っても、現場の実態を把握できていなければ絵に描いた餅になります。
第六に、先ほど触れたAIエージェントの暴走です。自律的に動くAIに広い権限を与えたまま放置すると、想定外の操作を人が気づかないうちに実行してしまう危険があります。
これらを完璧に潰す必要はありません。役員に求められるのは、「自社にとってどれが一番痛いか」を見極め、優先順位をつけることです。すべてに等しく身構えるのは、かえってガバナンスとして未成熟です。
【実践ワーク】何から始めるか（4段階セルフチェック）
ここからが、この記事でいちばんお持ち帰りいただきたい部分です。「大事なのはわかった。で、何をすればいいのか」に答えます。
役員がゼロから体制を作る必要はありません。順番があります。「現状把握 → 方針 → 体制 → 運用」の4段階です。手を動かせるよう、各段階を問いの形にしました。次の取締役会や監査の場面で、実際に投げかけてみてください。答えに詰まる項目こそ、自社の穴です。
＜第1段階:現状把握：まず「実態」を知る＞
方針を作る前に、いま何が起きているかを知るのが先です。方針だけ先に立てても、現場の実態とずれていれば機能しません。
次の問いを、経営会議や担当役員に投げてみてください。
①社内で生成AIを使っている部署と業務を、会社は把握していますか。
②どのサービス(ツール)を使っていますか。（無料版か、法人契約か）
③そこにどんな情報を入力していますか。
④それを止める、あるいは管理するルールは今ありますか。
この4問に即答できないなら、それが出発点です。恥じることではありません。多くの会社が同じ状態です。まずは実態調査を担当部門に指示することが、最初の一歩になります。
（コツをひとつ。いきなり「禁止」から入らないことです。禁止すると、シャドーAIが地下に潜るだけです。まず「使っている人、正直に手を挙げて」と言える空気を作るほうが、結果的に把握が進みます。）
＜第2段階:方針：会社としての立ち位置を決める＞
実態がつかめたら、次は方針です。ここで決めるのは、細かい技術ルールではありません。会社としての基本姿勢です。
決めるべきは、大きく3つです。
①AIを「攻め(積極活用)」と「守り(リスク管理)」のどちらに軸足を置くのか、その基本方針。
②絶対に入力してはいけない情報の線引き(個人情報、機密情報など)。
③AIの出力をそのまま使ってよい業務と、必ず人が最終確認する業務の切り分け。
この3つを、A4一枚の「AI利用の基本方針」にまとめるところから始めるのが現実的です。最初から分厚い規程を作ろうとすると、いつまでも完成しません。まず一枚、あとで育てる。これでよいのです。
＜第3段階:体制：「誰が責任者か」を決める＞
方針を決めても、責任の所在が曖昧だと動きません。ここで役員が果たす役割は、「誰がAIガバナンスの旗振り役か」を明確にすることです。
大がかりな専門組織は要りません。多くの会社では、まず既存の枠組みを使えば十分です。
たとえば、情報システム、法務、リスク管理の担当役員のうち誰かを主管に定める。
関係部署を集めた小さな検討の場を設ける。
そして、その進捗を定期的に取締役会へ報告させる。
この3つが回れば、体制の骨格としては成立します。
役員として押さえる勘所は、「AIの担当は現場に丸投げしていないか」「経営として誰が見ているか」を確認することです。ここが空白のまま進む会社が、実はとても多いのです。
＜第4段階:運用：作って終わりにしない＞
方針と体制ができたら、あとは回し続けることです。ガバナンスは、作った瞬間が完成ではありません。むしろそこがスタートです。
運用で最低限おさえたいのは、次の3点です。
①社員教育です。ルールは、知られていなければ存在しないのと同じです。全社員が最低限のリテラシーを持つよう、研修や周知を行います(ガイドラインの「教育・リテラシー」の指針に対応します)。
②ログの確認です。特にAIエージェントのように自律的に動く仕組みでは、操作履歴を定期的に点検する運用が要ります。
③定期的な見直しです。AIの技術も制度も、恐ろしい速さで変わります。半年に一度は方針を棚卸しする、と決めておくとよいでしょう。
先ほどのガイドライン「10の指針」を思い出してください。
人間中心、安全性、公平性、プライバシー、セキュリティ、透明性、説明責任、教育、公正競争、イノベーション。
この10個を、自社の運用が最低限カバーできているかのチェックリストとして年に一度当ててみる。それだけで、役員として「見ている」という実質が生まれます。
つまずいたときの対処
きれいな手順を並べましたが、現実はそのとおりには進みません。よくあるつまずきと、その対処をお伝えします。ここまで書くのが、実務家としての誠実だと思うからです。
・つまずき1
現場が「規制されると使えなくなる」と反発する。 対処は、方針の目的を「禁止」ではなく「安全に使うため」と最初に明言することです。攻めを応援する姿勢を見せると、現場は協力に転じます。守りの話は、攻めの許可とセットにすると通ります。
・つまずき2
何から手をつけるか、社内で意見が割れて止まる。 対処は、完璧を目指さないことです。第1段階の「実態把握」だけを、まず今月やる。それ以上は決めない。小さく始めて、動きながら直す。ガバナンスは、止まっているのが一番まずいのです。
・つまずき3
担当役員が「自分は技術に弱いから」と及び腰になる。 対処は、役割を取り違えないことです。役員に求められるのは、コードを読むことでも、最新モデルに詳しくなることでもありません。「誰が見ているか」「致命傷はどこか」を問い続けることです。技術は担当者に任せ、役員は問いを持ち続ける。これで十分に役目を果たせます。
・つまずき4
方針を作ったが、誰も守っていない。 対処は、運用の第4段階、特に教育に立ち返ることです。守られないルールは、たいてい「知られていない」か「理由が腹落ちしていない」かのどちらかです。罰則を強める前に、周知と納得を先にする。順番を間違えないことです。
おわりに：役員にできる、最初の一歩
長くお付き合いいただき、ありがとうございました。
最後に、いちばんお伝えしたいことを一つだけ。
AIガバナンスは、専門知識の勝負ではありません。
「関心を持って、問いを投げる人が経営にいるかどうか」の勝負です。
冒頭の取締役会で、「入力した情報はどこに保存されているのか」と聞いた社外取締役を思い出してください。
あの一言が、会社を動かします。
技術に詳しくなくても、あの問いは投げられます。
次の取締役会で、あるいは次の監査の場で、一つだけ聞いてみてください。「うちに、AIの利用ルールはありますか」。
答えが「ある」なら、この記事の4段階でその中身を点検してみてください。
「ない」なら、それがあなたの会社の、いちばん価値ある第一歩になります。
ルールがないことは、恥ではありません。誰も見ていないことが、リスクなのです。この記事が、あなたの会社の「見ている一人」を増やす一助になれば、これほど嬉しいことはありません。
社外役員としての実務や、役員としての向き合い方については、拙著『社外役員の極意』でも、こうしたガバナンスのテーマを掘り下げています。AIに限らず、社外役員という立場そのものに関心のある方は、あわせて手に取っていただけると嬉しいです。
筆者プロフィール
公認会計士、CISA（公認情報システム監査人）。上場会社4社での社外役員経験。『社外役員の極意』を中央経済社から今年出版。技術の専門家ではなく、ガバナンスと監査の視点から、役員・経営層に向けた発信を続けています。
