「AI規程を作りたい」が経営会議で通らない――1枚で説明する6項目

管理部門が生成AIの規程案を作り、経営会議へ出す。

すると、こんな質問が返ってきます。

「何か事故が起きたのですか」

「禁止すればよいのでは」

「規程を作るとAI活用が遅れませんか」

「結局、何を決めてほしいのですか」

規程の条文から説明を始めると、経営者には細かい管理の話に見えます。

経営会議で必要なのは、規程案の朗読ではありません。会社の目的、現在の事実、放置した場合の影響、経営に求める判断を1枚で示すことです。

この記事は、管理部門が経営会議へ持ち込む1枚の骨格を示します。社名、件数、体制例はそのまま使うものではなく、自社で確認できた事実と権限に置き換えてください。

項目1　何を実現したいのか

最初に、規程を作る目的を書きます。

悪い例:

良い例:

「事故を防ぐ」だけでは、規程はブレーキに見えます。安全な活用、業務効率、顧客説明という経営目的へつなげます。

項目2　現在、何が起きているのか

推測ではなく、確認できた事実を3つまで書きます。以下は架空の記入例です。

• 部門ヒアリングで、個人アカウントを含む4サービスの業務利用を確認

• 顧客情報を入力してよいか、社内で統一回答がない

• 取引先2社からAI管理体制の質問を受領

社内調査がまだなら、それ自体を事実として書きます。

外部データは、自社の事実を補うために使います。商工中金の調査では、主に非上場中小企業3,892社の回答のうち、生成AIを会社として未導入で、利用を個人判断に委ねている企業が64.9％でした。この数字だけで自社も同じとは言えませんが、正式導入前に利用が進む可能性を示します。

項目3　放置すると何が起きるのか

リスク名だけでなく、経営への影響を書きます。

| 場面 | 起こり得ること | 経営への影響 |
|---|---|---|
| 個人アカウントへ顧客情報を入力 | 契約・設定・保存状況を会社が確認できない | 顧客説明、事故対応、信用 |
| AIの誤回答をそのまま送信 | 誤案内、契約条件の誤り | 損失、再作業、信用 |
| 全面禁止だけを通知 | 利用が見えない場所へ移る | 実態把握不能、競争力低下 |
| 取引先から管理状況を質問 | 証拠を提示できない | 受注・契約更新への影響 |

発生確率を無理に数字で作る必要はありません。どの業務で、どの条件なら重大になるかを示します。

できれば、一つは原因から経営影響までを一文で書きます。

現在の対策がある場合は、その対策後も残るリスクを併記します。経営が判断すべきなのは、対策前の怖さだけでなく、費用をかけた後に何が残るかです。

項目4　どこまでを管理するのか

規程の対象範囲を短く示します。

• 対象者: 役員、社員、業務委託先

• 対象: 文章、画像、会議録、検索、AIエージェント等

• 原則: 承認サービス、入力情報の分類、人による出力確認

• 個別承認: 個人情報、機密情報、高影響判断、外部行為

• 禁止: 認証情報の入力、無承認の自動送信等

すべてを同じ強さで管理すると、現場が回りません。用途と影響度によって、自由利用、条件付き利用、個別承認、禁止を分けます。

項目5　誰が、いつ、どう運用するのか

規程の制定だけでなく、運用責任を書きます。

例:

• 経営会議: 基本方針と高影響用途の承認

• 管理部門: 規程、教育、相談、定期点検

• 情報システム: 契約、設定、アカウント、ログ

• 部門長: 用途の把握、出力確認、事故報告

• 社員: 承認範囲内の利用、迷った場合の相談

導入後30日で利用棚卸し、60日で教育、四半期ごとにセルフチェック、年1回または重大変更時に規程見直し、といった周期も示します。

専任部門がなくても、役割を既存職務へ割り当てることはできます。ただし、必要な作業時間、サービス契約、研修、外部専門家などの費用は分けて見積もります。

ここでは、「運用する責任」と「残るリスクを受け入れる権限」を分けます。管理部門が規程を運用しても、営業や採用でAIを使うことによる事業上のリスクまで管理部門が所有するわけではありません。利用部門の責任者と、例外・高影響用途を承認する経営権限者を明記します。

項目6　今日、何を決めてほしいのか

最後に決裁事項を書きます。

経営会議では、一案だけを「承認してください」と出すより、主要な選択肢と推奨案を並べるとトレードオフが見えます。

| 選択肢 | 得られるもの | 主な負担・残るリスク |
|---|---|---|
| 全面禁止を継続 | 当面の導入負担を抑える | 未承認利用、機会損失、実態把握困難 |
| 低影響用途だけ試行 | 小さく効果と統制を検証できる | 対象選定、教育、レビューが必要 |
| 広く導入 | 効率化の余地が大きい | 契約・設定・監督・事故対応の負担が増える |

推奨案には、選んだ理由、採らなかった案、予算上限、見直し日を添えます。

例:

1. 生成AI利用の基本方針を承認する

2. 管理責任者を総務部長、技術責任者を情報システム責任者とする

3. 承認サービスと初期対象業務を決める

4. 30日以内に棚卸しと全社員周知を行う

5. 必要費用の上限と追加承認条件を決める

あわせて、拡大・停止の条件を決めます。たとえば、対象業務の作業時間、重大な誤り、未承認利用、報告までの時間を確認し、30日後に継続・条件変更・停止を判断します。

経営会議で最も困るのは、「説明は分かったが、今日は何を決める会議なのか」が分からないことです。

1枚の完成形

1枚資料は、次の順番にします。

1. 目的

2. 現状の事実

3. 放置時の影響

4. 管理の範囲と原則

5. 役割・日程・費用

6. 本日の決裁事項

詳細な規程案、利用サービス比較、法令・ガイドラインは別紙に置きます。

会議後は、決定事項、反対意見、承認した例外、残余リスクの受容者、期限、再審議日を議事録に残します。1枚資料の目的は説明を短くすることではなく、後から再現できる経営判断を作ることです。

規程を通すのではなく、経営判断を作る

生成AIには、使うリスクと使わないリスクの両方があります。

経営者が決めるのは、条文の言い回しではありません。

• どの機会を取りに行くか

• 何を守るか

• どこまでのリスクを受け入れるか

• 誰に責任と権限を持たせるか

• 何が起きたら止めるか

これが決まれば、規程は経営判断を現場で再現する道具になります。

「規程を承認してください」ではなく、「この範囲で活用を始めるため、機会、残余リスク、責任、停止条件を決めてください」と提案する。規程の審議を、経営判断へ変えることがポイントです。

この経営判断を、規程、社員向けガイド、定期セルフチェック、取引先向け説明、社内告知まで一貫した形へ落とすためのたたき台として、社員の「こっそりAI利用」を放置しない――生成AI利用規程キットを用意しています。ゼロから複数の文書を作る負担を減らし、自社の実態に合わせる作業へ時間を使いたい方に向けた内容です。

参考資料

• 商工中金「中小企業の生成AI利用実態調査」

• 経済産業省「AI事業者ガイドライン1.2」

• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起」

• NIST「AI Risk Management Framework」