AIガバナンスは、AI を使うことで起きるリスクを受け入れられる程度に抑えながら、AI から得られる便益を大きくするための仕組みを作り、回し続けることです。社内ルールを1枚作れば終わる話ではありません。
誰がルールを持ち、いつ見直すかを決めておかないと、使うサービスが増えたときにルールが古いまま残ります。社員が数十人の会社でも、最初は4つ決めれば回し始められる、と Nue は考えています。
AIガバナンスとは何か
総務省と経済産業省の「AI事業者ガイドライン」（第1.2版、2026年3月）は、AIガバナンスを次のように定めています。
AI の利活用によって生じるリスクをステークホルダーにとって受容可能な水準で管理しつつ、そこからもたらされる正のインパクト（便益）を最大化することを目的とする、ステークホルダーによる技術的、組織的、及び社会的システムの設計並びに運用。
リスクをどこまで抑えるかの基準は、関係する人（ステークホルダー、たとえば社員や取引先、顧客）が受け入れられるかどうかに置かれています。AIガバナンスは、禁止するだけでも、使わせるだけでもありません。
このガイドラインは、経済産業省が出していた「AI原則実践のためのガバナンス・ガイドライン Ver. 1.1」など3つのガイドラインを統合して、2024年4月に作られたものです。統合された古いガイドラインを下敷きにした資料を見つけたら、いまは AI事業者ガイドラインに引き継がれていると考えて読みます。
法律で義務になっているのか
2025年9月に全面施行された「人工知能関連技術の研究開発及び活用の推進に関する法律」（AI法）には、AI を使う会社に AIガバナンスの体制づくりを義務づける条文はなく、罰則の章もありません（2026年11月時点）。何も求めていないわけではなく、求めていることは第7条にあります。
第7条は、AI を事業活動で活用しようとする者を「活用事業者」と呼んでいて、AI のサービスを仕事で使う中小企業もここに入ると読めます。この条文は、活用事業者に、AI の活用で事業を効率化することなどに努めることと、国や地方公共団体の施策に協力しなければならないことを定めています。
AI事業者ガイドラインのほうは、自主的な取り組みを促す「非拘束的なソフトロー」だと自ら書いています。AI を使うだけの会社にガイドラインが何を求めているかは、中小企業のAI活用は何から始めるか。いまの段階で次に決めることと相談先で扱っています。
個人情報や取引先から預かった情報には、AI法とは別に、法令や契約で扱いが決まっているものがあります。AI のサービスにそれを入力するかどうかは、その決まりに照らして判断することになります。自社の使い方が法令に触れないかは、個別に専門家へ確かめます。
ルールを決めたら、確かめて見直す
AI事業者ガイドラインは、ルールや手続を最初に固めてしまうやり方ではなく、分析から見直しまでの流れを続けて回す「アジャイル・ガバナンス」の実践が重要だとしています。アジャイルは、ここでは「状況に合わせて素早く直し続ける」という意味です。
- 分析する自社の AI の使い方と、それで起きうるリスクを洗い出す
- 目標を決めるAI で何を得て、何を避けたいかを、会社の方針と合わせて決める
- 決めて使う使い方のルールと、誰が何を受け持つかを決めて、運用する
- 確かめる決めたことが守られ、役に立っているかを続けて見る
- 見直す規制の変更など外の状況が変わったら分析し直し、必要なら目標も直す
最後の段があるので、ルールが実態に追いつきます。AI のサービスは機能や規約が変わり、社内で AI を使う業務も増えていきます。
ガイドラインは、この流れを回すうえで経営層の責任が大きいとしています。具体的に検討するときは、使う AI のリスクの大きさと起きやすさ、各社の資源の制約に配慮することが重要だとも書いています。Nue はここから、社員の少ない会社なら、どこまで手をかけるかを小さく決めて回し始めてよいと読んでいます。
中小企業が、最初に決める4つ
誰が AI のルールを持つか、社内で使っている AI の一覧、使い方のルール、どう確かめていつ見直すか、の4つです。この記事で参照した国のガイドラインや法律がこの4つを求めているわけではなく、上の流れを人の少ない会社で回し始めるために Nue が考えた最低限です。
1. 誰が AI のルールを持つか
ルールを書き、問い合わせに答え、見直しを言い出す人を1人決めます。経営者自身でも、任せる担当者でもかまいません。決めておかないと、新しいサービスを使いたいという相談がどこにも届かず、社員がそれぞれの判断で使い始めます。任せる場合も、何を使ってよいかの最終的な判断は経営者が持つと決めておきます。シャドーAIとは？社員が無断で使う生成AIを、禁止するか使い方を決めるかで挙げた「迷ったときの相談先」と同じ人でかまいません。
2. 社内で使っている AI の一覧
どの業務で、どのサービスを、誰のアカウントで使っているかと、そこにどんな種類の情報を入力しているかを書き出します。上の流れの「分析する」に当たる作業で、これが無いとリスクを洗い出せません。会社が契約したものだけでなく、社員が自分で使っているものも聞き取ります。
同じ一覧に、その業務で AI に何を任せ、何が楽になってほしいかも書いておきます。これが「目標を決める」の段に当たります。リスクだけを並べると、ルールは禁止の側に寄っていきます。得たいことが書いてあれば、どこまでなら任せてよいかを、得る分と比べて決められます。
3. 使い方のルール
仕事で使ってよいサービスと、入力してはいけない情報、AI の答えを誰が確かめるかを決めます。中身は、シャドーAIの記事で、最初に決める5つのルールとしてまとめています。利用ガイドラインづくりから運用の立ち上げまでを外に頼む場合は、Nue の生成AI導入支援で、業務に生成AIを入れる仕事の一部として受け持っています。
4. どう確かめ、いつ見直すか
決めたルールが守られているかを、誰が何で確かめるかを決めます。見直す日を先に決めておき、あわせて、見直すきっかけも書いておきます。新しいサービスを使い始めるとき、使っているサービスの規約や設定が変わったとき、AI の答えが原因で困ったことが起きたとき、などです。実際に動いている AI を何で確かめるかは、生成AIの運用監視。実行・品質・成果を確かめる点検手順で扱っています。
よくある質問
社員が10人ほどの会社でも、AIガバナンスは要りますか
社員が AI のサービスを仕事で使っているなら要る、と Nue は考えます。体制を大きく作る前に、担当者1人と上の4つの決めごとから始められます。
AI法やガイドラインに従わないと、罰則はありますか
AI法には罰則の章がありません（2026年11月時点）。AI事業者ガイドラインも、自ら「非拘束的なソフトロー」だとしています。ただし、AI に入力する個人情報や取引先から預かった情報には、AI法とは別の法令や契約で扱いが決まっているものがあります。そちらに反すれば、その法令や契約に沿った責任を問われることがあります。
ルールを持つ担当者は、ほかの仕事と兼ねてもよいですか
兼ねてかまわない、と Nue は考えます。決めておくのは、相談がその人に届くことと、見直しを言い出す役目がその人にあることです。何を使ってよいかの最終的な判断は、兼任でも経営者が持つと決めておきます。