“AIガバナンス”の意味と目指しているもの

AIガバナンス

いわゆる生成AIの登場以降、AIの利活用は一過性の流行ではなく、企業活動の前提となりつつある。そうなると、リーガル（的）機能やコーポレート機能を担う立場としては、「これをどう統制しつつ、しかし前に進めていくにはどうすべきか」という、“AIガバナンス”の課題に向き合わざるを得ない。本稿では、筆者がこれまで企業の外部からガバナンス体制の構築を支援してきた経験を踏まえ、「AIガバナンスを実際にどう立ち上げ、回していくのか」という実践のための概要を、気軽に書かせていただきたいと思う（図表1）。

図表1　AIガバナンス立ち上げの全体フロー

※ ここで示す体制・制度は最終形である必要はなく、実装・モニタリングを踏まえて柔軟に組み替え、「育てていく」もの。

そもそもAIガバナンスとは何かを疑問に思われる方も多いのはないだろうか。論者によって力点は異なるだろうが、私自身は、企業にとってのAIガバナンスを、さしあたり次のようなものと捉えている。すなわち、

である^注1）。

AIガバナンスで目指すところ

さて、一口に“AIガバナンス”といっても、その目指すところは一つではない。申請が上がってきたら数分程度で可否を返して使えるようにする運用もあれば、ひたすら大量の個別案件を審査し続ける運用もあり、あるいは会社として認めたツールだけを使わせるという割り切った運用もある。逆に、原則として現場の判断に委ね、事後のモニタリングで補うという運用もありうる。どれが正解ということはない。ただ、私自身の考えを先に述べると、AIガバナンスの目的を、競争力強化のために“現場である程度自律的に使えるようにすること”に置くのであれば、最終的には現業側の自律に委ねる部分を残さざるを得ないのではないか、と考えている。すべてを中央で審査し続ける体制は、例外的な企業を除き、すぐに現場の速度に追いつかなくなるだろう。
なお、本稿は、基本的にAIを開発・提供する側の企業ではなく、これを業務に取り入れて使う側、すなわちユーザー企業を念頭に置いている。開発企業には開発企業特有の論点があるが、それはまた別の機会に譲りたい。

AI原則

体制作りの話に入る前に、多くの企業が最初に手をつける“AI原則”について触れておく。自社のAIとの向き合い方を、衡平性、透明性、安全性、人間中心といった抽象的な価値で宣言するものである。
ただ、私は、AI原則の中身そのものに、過度にこだわる必要はないと考えている。国内外の政府機関や業界団体、あるいは各企業が公表している原則は数多くあり、内容は概ね収斂しているため、それらを参考に自社にとって違和感のないものを定めれば足りる。むしろ重要なのは、原則を定めること自体ではなく、その後にこれを具体的な制度や運用へとどう落とし込むかである。「立派な原則を掲げただけで満足してしまい、現場では何も変わっていない」という事態は避けねばならない。
とはいえ、AI原則には一つ大きな効用がある。それは、「経営層に対する説明の拠り所になる」という点である。AIガバナンスの取り組みは、ともすれば現場の地味な作業の積み重ねに見え、経営層からは「なぜそこまでやる必要があるのか」と問われがちである。そこで、「自社がAIとどう向き合うのか」という価値判断を、経営層を巻き込んで“原則”という形にしておけば、以降の制度設計や投資判断について、その原則に立ち返って説明することができる。原則は、対外的な宣言であると同時に、社内での合意形成の基盤でもある。だからこそ、原則の策定段階で経営層への説明は丁寧に行っておくべきである。

どのような体制で進めるのか

原則という出発点が定まったら、次は「これを誰がどう推し進めるのか」という体制の問題である^注2）。

社内状況の把握

まず行うべきは、社内の状況確認である。すなわち、

・　AI利用の推進など、社内で既にどのような動きが生じているか

・　AIに関して何らかの体制や担当が存在するのか

・　現業側にどのようなニーズが生じているのか

等を把握することである。ここを飛ばして体制論から入ると、現場の実態と乖離した、“絵に描いた餅”になりかねない。

体制の検討

社内状況の把握ができれば、次は、それを踏まえた体制の検討である。体制の“形”は企業によってさまざまであるが、典型的には三つのパターンが見られる（図表2）。

図表2　自社の状況に応じたAIガバナンス体制の選択と進化

一つは、最初から全社的な委員会を立ち上げてしまうパターンである。経営層の関与を得やすく、全社的な方針を打ち出しやすい一方で、立ち上げに時間がかかったり、議論が抽象論に流れやすいという面もある。とりわけ、利活用の推進を担う部門が主導して委員会を立ち上げたにもかかわらず、ガバナンスの視点が薄いまま、外部アドバイザーに頼って欧州のAI Actをほぼ丸写しにした規程だけができあがり、形式的なガバナンスが残るという失敗も見られる。
もう一つは、法務、情報システム、リスク管理、事業部門などから人を集めた横串のチームをまず動かすパターンである。機動的に実態把握や制度設計に着手できることが最大のメリットである一方、全社的な権限づけが弱く、後から正式な体制へと昇格させる必要が出てくることもある。
最後にもう一つ、新たな器をわざわざ設けず、既存の組織やしくみを土台にするパターンである。たとえば、従来からあるリスク管理や情報セキュリティ、コンプライアンスといった枠組みの延長線上にAIの論点を位置づけ、必要な範囲だけを継ぎ足していく方法である。一から体制を立ち上げる負担が小さく、既存の権限やレポートラインをそのまま使えるため、無理なく走り出せる一方、AIに特有の論点が従来の枠組みに埋もれ、十分な手当てがされないまま流されてしまったり、どうしても縦割り官僚組織を引きずるため、利活用その他の全社の動きと連携がとりにくくなるおそれもある。
三つのパターンのうち、「どれが優れている」ということはない。把握できた社内の状況、その企業の規模や文化、そして問題意識がどこから立ち上がってきたか等によって、適した入り方は変わる。経営層の危機感が強ければ、最初から委員会型の体制を組んでしまう方が自然であろう。逆に、現場の困りごとが先行しているのであれば横串チームから始め、実績を積んでから体制を整えるのが現実的であるように思われる。いずれにせよ、ここで述べた体制は最終形である必要はなく、その後の実装やモニタリング状況等を踏まえて柔軟に組み替えていくものだと考えておいた方がよい。

AI利活用の現状把握と制度設計

AI利活用の現状把握

体制に目処がつけば、いよいよ中身に踏み込む。AIガバナンスの設計において案外重視すべきなのが、「社内で実際にどのようなAIが、どのように使われているのかを把握する」というAI利活用の現状把握である。

・　どの部署が、どのツールを、どのような業務で使っているのか

・　契約や規約の把握はどうなっているのか

・　利活用のローカルルールはどうなっているか

など、こうした実態を、アンケートやヒアリングを通じて洗い出していく。
ここで一つ朗報があるとすれば、少なくとも今現在時点においては、意気込んで実態調査をしても、大したものは出てこないことも少なくないということである。せいぜい文章の要約や翻訳、議事録の作成といった、リスクの低い使われ方が大半で、身構えていたようなリスクの高そうなAIや、危ない利用方法などは見当たらないーーということもしばしばだ。しかし、それはそれで重要な発見といえる。「実態が軽いのであれば、制度もそれに見合った軽いもので始めることも一案」という判断ができるからである^{注3）注4）}。

制度設計

こうして得られた利活用の現状を土台として、ようやく制度設計に入る。よく見かけるのが、先程も少し触れたが、欧州のAI Act等の法令の内容を、自社の実態を顧みずほぼ丸写しにして規程を作ってしまう例である。制度は、あくまで自社の実態に即して、必要なところに必要なだけ設けるべきと私は考えているが、必ずしも世の中の動きはそうではないのかもしれない。
現状把握から制度設計への橋渡しにおいては、把握された利活用実例を用途やリスクの程度に応じて大まかに仕分けしておくと、その後の作業が楽になる。たとえば、社内文書の要約や翻訳のように“外部への影響があまりない利用”、顧客対応の下書き作成のように“一定の確認を要する利用”、そして人事や与信のように人に“重大な影響を及ぼしうる利用”——といった具合に段階を分けておくのである^注5）。こうしておけば、低いリスクの利用には簡便な届出で足り、高いリスクの利用にのみ重点的に検証を挟む、といったメリハリのある制度を組み立てやすくなる。“リスクベースで考える”という発想は、AIガバナンスを設計するうえでの共通の作法だと言ってよい。ただし、ここでいうリスクは、利用の軽重を仕分けるための便宜的な物差しに過ぎず、「AIを何か危険なものとして身構えるべきだ」という趣旨ではない。

実装

制度運用に必要なものの準備

現状把握に基づいて制度の方向性が定まったら、さらにそれを具体的な形にしていく実装の段階に入る。もちろんここで準備しなければならないものは、どのような制度としたかによってさまざまである。上記Ⅰ⒉で述べたように、リスクベースで“現場である程度自律的に使えるようにすること”を目指すとすれば、たとえば、

・　AI利活用ガイドライン

・　セルフチェックのフローやその解説

・　個別に検証する必要があるAIの分類やその評価標準となるようなもの

・　ガバナンス制度全体の説明文書や動画

など、各企業の必要度に応じてさまざまな文書類やコンテンツを作っていくことになる。

AI推進チームとの連携

実装の段階で必ずと言ってよいほど直面するのが、現場からの反発である。新しい制度は、それがどれほど合理的であっても、現場にとっては“手間の増加”と思われがちである。「これまで自由に使えていたのに、なぜこんな手間が必要なのか」という声は、おそらくどの企業でもあがる。これを頭ごなしに抑え込もうとすると、制度は表向きは整っても、現場では使われないか、あるいは隠れて使われるという最悪の事態を招きかねない。
そこで重要になるのが、AIの利活用を推進する側との連携である。ガバナンスを担う側は、ともすれば“止める人”“規制する人”と見られがちであり、利活用を推進する側からも、いちいち可否を仰がねばならない“承認機関”のように疎まれることもあるかもしれない。しかし、ガバナンスの役割は、個別の利用を一件ずつ許可するお役所的な窓口になることではない。本来の目的は、安心して使える環境を整えることで、むしろ利活用を後押しすること、そして絶対に止めるべきものを止めることにあるはずである。推進部門と早い段階から連携し、制度設計を理解してもらい、推進側の意見も取り入れるなどの工夫を重ねることで、ガバナンスは現場の敵ではなくなるだろう。

運用とグローバル展開

問合せ対応とモニタリング^注6）

もちろん、“制度を作ったら終わり”ではない。むしろ、作った制度を回し続ける運用こそが本番である。運用の場面でまず取り組むべきは、問合せ対応とモニタリングである。
問合せ対応は、文字どおり、制度運用開始からしばらくは問合せが相当数発生することが多いため、それに対応するということである。この中には、当初想定していなかったものや、こちらの意図がきちんと伝わっていないことを窺わせるものなど、制度へ反映させるべきものも含まれてくる。そういったものは、適宜、社内向けのガバナンスページなどに掲載したり、年次等で行うガバナンス制度の改定に反映させることになる。
逆に“こちらから見にいくモニタリング”も重要である。利用状況を継続的に観察し、現場で生じている声や新たに生じているリスクを拾い上げて、制度の改定に反映させることは上記の問合せ対応と同じである。
いずれにせよ、AIをめぐる技術やリスクは目まぐるしく変化している。一度作った制度が半年後にはもう実態に合わなくなっている――ということも珍しくないだろう。AIガバナンスは、一度作って固定するものではなく、育てていくものだと考えた方がよい。

プロファイリングに代表される“人”に対するAI利用

プロファイリングに代表される、“人”に対するAI利用は、高めのリスク設定とせざるを得ない場合が多い。自社においてこの種のAI利用が少ないのであれば優先度は下がるが、たとえば採用や人事評価、与信、あるいは顧客や投資家への重要な判断にAIを用いるといった、人や社会に大きな影響を及ぼしうる用途が存在するのであれば、そこには相応の検討指標や考え方の整理等の何らかの評価の標準を設け、人間による検証の工程を組み込んでおく必要がある。

ここで何よりも重要なのは、「そもそもなぜその用途にあえてAIを用いるのか」という目的を突き詰めておくことである。得られる便益が、検証にかけるコストや負いうるリスクを上回るだけの“重み”を持っていなければ、わざわざ高リスクの領域に踏み込む理由はないし、“目的が十分に重い”と腹を括れて初めて、組織は本気で「何とかしてそのAIを使える方向で検証しよう、リスクを負おう」と考えることができる。また、この種の用途に対しては、最初から完全な基準を描き切れるものではなく、具体的な案件を一つひとつ検討し、その判断を事例として蓄積していく中で、徐々に自社なりの検証の相場観を形作っていくものである（帰納的アプローチと原理原則の活用）^注7）。

また、グローバル展開する企業では、「AIガバナンスを各国にどう展開するか」という問題がある。AIに関する法規制は国や地域によって異なり、また動きも速いことが通例である。そのため、本社が細部まで一律に決めることは、現地の実態に合わず、機能しない。全社共通の原則と最低限の方針は本社が示しつつ、各論は現地に合わせたものとして立ち上げさせるというありがちな役割分担が、結局のところ最も現実的といえる。
日本国内で最初に立ち上げたのであれば、その運用の様子を数か月モニタリングし、大きな問題が生じていないようであれば、グローバル展開に着手すればよいだろう。

おわりに

以上、AIガバナンスを立ち上げ、回していくまでの一通りの流れを、筆者なりの見取り図として述べてきた。冒頭でも述べたとおり、企業によって出発点も悩みどころも異なるため、ここに書いたとおりに進む保証はどこにもない。それでも、これからAIガバナンスに取り組もうとする方々にとって、何かしらの足がかりになれば幸いである。

1. 渡邊満久･田中陽介･西尾暢之『答えのないリーガル的分野の歩き方』（商事法務、2025年）163頁以下も参照。[↩]
2. もっとも、実務では原則の策定と体制づくりが前後したり、並行したりすることも多い。[↩]
3. なお、現状把握の過程では、しばしば「そもそもAIとは何を指すのか」という“定義”の問題に突き当たる。生成AIだけを対象とするのか、従来型の機械学習や統計的な予測モデルまで含めるのかーーここを厳密に詰めようとすると、かえって議論が空転しかねない。実際、AIの開発に携わる方に、いわゆる「事業者ガイドライン」（総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（令和8年3月31日））にある定義を題材に意見を伺ったところ、「この定義を持ち込んでも、何がAIかという現場の混乱は収まらないと思う」という趣旨の回答をいただいたこともある。定義を精緻に固めること自体を目的化してしまうと、その作業だけで時間が過ぎ、肝心の中身に進めなくなる。そのため、まずは自社で現に問題となりやすい範囲、たとえば生成AIや外部提供のAIサービスあたりを念頭に置いて走り出し、必要に応じて定義を広げたり狭めたりする――という割り切りが現実的であろう。[↩]
4. ただし、AI側の進展スピードが凄まじいため、ミニマムすぎる制度設計を行うと、制度改訂もスピーディに行わなければならなくなるため、バランスは難しい。初期段階で軽い制度を選択することが、かえってリスクを伴う高度なAI活用への挑戦を阻む心理的バリアになっては本末転倒である。また特に、情報セキュリティを所掌している部門との連携は重要である。[↩]
5. これはあくまで例であり、実際にはより多面的なリスクの捉え方が存在し、それらを複合的に見ていく必要がある。[↩]
6. 紙幅の都合で多くは書けないが、利用者である従業員の教育も非常に重要である。特に、現場である程度自律的に使えるように制度設計した場合、計画的に教育コンテンツを発信していくことが極めて重要である。[↩]
7. その検討にあたって、私が出発点として置いている大きな枠組みが、「データをどう取得するか」と「取得したデータを使って何をするか」とを切り分けて考える、ということである。両者は混同されがちだが、リスクの所在はむしろ後者にあることが多い。企業内部でのAI活用に議論を閉じてしまえば、一般論として、業務上の目的と必要性が認められる限り、企業がその管理する機器のログ等を取得する行為それ自体は、正当な業務行為として許容されやすい――この点については過去の裁判例がある程度の方向性を示してくれている。問題が先鋭化するのは、“取得そのもの”よりも、取得したデータを用いて人を選別し、評価し、何らかの不利益を生じさせうる“利用”の場面である。したがって、検証の重心も、入口の同意や告知の形式だけでなく、“出口で何が起きるのか”に置くべきである。
   では、その利用の適正性をどう吟味するか。私自身は、さしあたり以下の三つの観点
   ・ その分析がもたらす“結果”
   ・ 分析の“手段・方法”
   ・ 人を分析しようとする“態度”そのもの
   に分解して検討するようにしている。たとえば、ある属性を外形的な特徴から判定しようとするAIであれば、「判定されてしまうという結果の当否」「その判定手段に合理的な裏づけがあるか」「そもそもそうした形で人を推し量ろうとする姿勢自体が許容されるのか」という三つの面がいずれも問題になる。ここで意識しておきたいのは、企業の側にも正当な利益（経済活動の自由や、従業員を適切に管理する必要）があり、個人（や集団）の側にも権利（過度に監視されない、自律的に働く）があって、両者は本来そのままでは両立しない、ということである。このバランスが崩れたときに初めて問題ありと評価される。だからこそ、“人”を分析するAIの可否は“白か黒か”で割り切れるものではなく、個別の案件ごとに双方の利益を秤にかけ、必要なケアを講じて釣り合いを保てるかを見ていくほかない。そして、こうした検討の過程やその積み重ねこそが、先に述べた自社なりの相場観――自社としての行動の指針や評価の標準――を育てていくのである。[↩]