AIガバナンスとは？｜国のガイドラインの要点と社内で決める順番

この記事でわかること

• AIガバナンスの意味と、社内ルールとの違い
• AI事業者ガイドラインの最新版・位置づけ・会社が読む箇所
• AI推進法と、国の資料どうしの関係
• 社内でAIガバナンスを決める4つの順番
• 国の資料と、この記事で解けないこと

AIガバナンスとは｜使ってよい範囲と責任の所在を決めて回し続ける仕組み

AIガバナンスとは、AIのリスクを管理しながら、AIから得られる便益を引き出すための会社の仕組みです。AI事業者ガイドライン（第1.2版）は、AIに関するリスクを「ステークホルダーにとって受容可能な水準で管理」しつつ便益を最大化するために、AIガバナンスの構築が重要だと書いています（本編p.27）。

ガイドラインが強調しているのは、決めて終わりにしないことです。同じ箇所は、ルールや手続を事前に固定するのではなく、環境・リスク分析、ゴール設定、システムデザイン、運用、評価のサイクルを継続的に回す「アジャイル・ガバナンス」の実践が重要だとしています（本編p.27）。

社内ルールとの違い｜ルールは仕組みの一部

社内ルールやAI利用ガイドラインは、AIガバナンスの中の「決めた中身を文書にしたもの」にあたります。誰が決め、どのリスクを見て、守られているかを誰が確かめるかまで含めたものが、AIガバナンスです。

ルールの文書だけを作って配ると、AIの機能や社内の使い方が変わったときに、直す人も直すきっかけも決まっていない状態になります。ガイドラインは、運用開始後も外部環境の変化を踏まえて再び分析し、必要に応じてゴールを見直すよう書いています（本編p.28）。文書だけを配る状態では、このずれが残ります。

AIガバナンスは、社内ルールの文書に、決める人と見直す仕組みを足して回し続ける状態です。

AIガバナンスで決めるのは、禁止する項目の数ではなく、AIの使い方を誰が決め、どのきっかけで見直すかです。

AIガバナンス ガイドライン｜国の資料で押さえる要点

国内でAIガバナンスのガイドラインを探すと、中心になるのは総務省と経済産業省が公表している「AI事業者ガイドライン」です。ここでは、最新版と位置づけ、会社が読む箇所、法律との関係の順に、原文で確かめた範囲で並べます。

ファクトボックス｜AI事業者ガイドラインの基本情報

拘束力｜ガイドラインは「非拘束的なソフトロー」

AI事業者ガイドラインは、守らなければ罰則がある法律ではありません。本編は、関係者の自主的な取組を促し、「非拘束的なソフトロー」によって目的の達成に導くゴールベースの考え方で作成したと書いています（本編p.2）。

ただし、拘束力がないことは、読まなくてよいという意味ではありません。概要資料は、各事業者がガイドラインを参照し、適切なAIガバナンスを構築するなど、具体的な取組を自主的に進めることが重要だとしています（概要p.12）。

会社が読む箇所｜AI利用者の項目と、AIガバナンスの構築

ガイドラインは、AIの事業活動を担う主体を「AI開発者」「AI提供者」「AI利用者」の3つに分けています（概要p.3）。事業活動でAIシステムやAIサービスを利用する事業者はAI利用者にあたり、自社がどの主体に当たるかは、使い方ごとに原典の定義で確かめます。

AI利用者の会社がまず読むのは、本編の第2部E「AIガバナンスの構築」と、第5部「AI利用者に関する事項」です。第5部は、提供者が想定した範囲内で使うこと、個人情報や機密情報を不適切に入力しないよう注意すること、出力を事業に使うときは責任をもって判断すること、関係するステークホルダーに合理的な範囲で情報を提供することなどを挙げています（本編p.40〜41）。

AI利用者の会社がガイドラインから持ち帰るのは、範囲・入力・判断・説明の4点を自社で誰が見るかを決めることです。

共通の指針10項目と、リスクの大きさに合わせる考え方

ガイドラインは、各主体が取り組む事項を10の「共通の指針」として整理しています（概要p.3）。人間中心・安全性・公平性・プライバシー保護・セキュリティ確保・透明性・アカウンタビリティの7つが各主体の取り組む事項で、教育・リテラシー、公正競争確保、イノベーションの3つは社会と連携した取組が期待される事項です（概要p.3・p.14〜16）。

10項目を全部同じ重さで進める必要はありません。ガイドラインは、対策の程度をリスクの大きさ（危害の大きさとその蓋然性）に対応させる「リスクベースアプローチ」を基本の考え方に置いています（概要p.7）。共通の指針の取組も、AIのもたらすリスクの程度や各主体の資源制約に配慮しつつ自主的に進めることが重要だとされています（概要p.15）。

AI推進法との関係｜法律・国の指針・ガイドラインの関係

ガイドラインとは別に、2025年に成立した法律があります。「人工知能関連技術の研究開発及び活用の推進に関する法律」（令和7年法律第53号）は、2025年5月28日に成立し、6月4日に公布・一部施行、9月1日に全面施行されました（内閣府「AI法の概要」）。

内閣府の概要資料は、法律の柱として、内閣総理大臣を本部長とするAI戦略本部の設置、AI基本計画、国際規範に即した適正性のための指針の整備、事業者等への指導・助言・情報提供を挙げています。事業者の責務については、国等の施策に「協力しなければならない」と書かれています。

この法律に基づき、2025年12月19日に「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」が人工知能戦略本部で決定されました（本編p.2 脚注）。AI事業者ガイドライン第1.2版の本編は、AI推進法の公布・施行とこの指針の策定を、冒頭の「はじめに」で紹介しています。

4段の並べ方は本記事の整理で、資料どうしの上下関係を示すものではありません。国の資料は取り組みの方向と考え方を示し、使い方の具体的な決めごとは各社が自社の業務に合わせて決めます。

改訂の動き｜第1.2版で何が足されたか（2026年10月20日確認）

ガイドラインは「Living Document」として、適宜更新を重ねる方針です（概要p.7）。第1.2版に向けた総務省・経済産業省の資料は、更新の論点として、AIエージェントとフィジカルAIに関する事項の追記、リスクの記載の見直し、AI推進法など国内外の動向の追記、活用の手引きとチャットボットの検討を挙げています（「AI事業者ガイドラインの令和7年度更新内容」p.3）。

総務省の掲載ページでは、2026年10月20日時点で第1.2版が最新です。同じページには、「AI事業者ガイドライン活用の手引き（案）」が2026年3月31日に、問い合わせ用のチャットボットが3月26日に公表されたと掲載されています。内閣府のAI戦略のページには、2026年7月14日に人工知能基本計画（第Ⅱ期）を閣議決定したと掲載されています。

国のガイドラインを、自社でAIを使う範囲と見直しの決めごとに置き換えたい方は、自社で使えるヒントを、20の実例から探すもご利用ください。

自社で使えるヒントを、20の実例から探す

AIガバナンス入門｜社内で決める順番は体制・リスク評価・ルール・監査

AIガバナンス入門として最初に押さえるのは、決める順番です。社内で始めるときは、この4つの順に決めます。4つの分け方は、ガイドラインのアジャイル・ガバナンスのサイクル（環境・リスク分析、ゴール設定、システムデザイン、運用、評価）と、経営層のリーダーシップの記述をもとにした本記事の整理です。

ルールの文書から書き始めたくなりますが、決める人がいないままでは、文書を直す人もいません。順番を体制から始めるのは、そのためです。

社内のAIガバナンスは、体制・リスク評価・ルール・監査の順に決め、監査の結果でリスク評価に戻して回し続けます。

1. 体制｜決める人・相談先・経営の関与を先に置く

1つ目は、AIの使い方を決める人と、現場が迷ったときの相談先を置くことです。ガイドラインは、AIガバナンスを効果的な取組とするために経営層の責任は大きく、リーダーシップを発揮することが重要だと書いています（本編p.28）。

同じ箇所は、AIガバナンスの構築を単なるコストではなく、持続的な成長に向けた先行投資として捉えることが重要だとしています。体制では、経営層の誰が最終判断をするか、情報システム・法務・業務部門の誰が実務を持つかを、名前で決めます。

全社に一度に広げる必要はありません。当社のセキュリティ設計支援の資料は、部門単位で先に始め、限られた範囲で運用の実績を作ってから全社に広げる進め方を勧めています。

2. リスク評価｜業務ごとに、起きうることと大きさを書き出す

2つ目は、AIを使う業務ごとに、起きうることとその大きさを書き出すことです。ガイドラインの最初の手順は、便益とリスク、社会的な受容、外部環境の変化、AIの習熟度などを踏まえた「環境・リスク分析」です（本編p.27）。

書き出すときは、ツールの種類ではなく業務の単位で見ます。同じAIでも、社内の議事録の要約と、顧客に送る文面の作成では、間違えたときの影響の大きさが違います。リスクベースアプローチの考え方に沿って、影響の大きい業務から対策を厚くします。

社外へ情報が出るリスクの洗い出しは、冒頭で紹介した情報漏洩の記事の3つの経路が使えます。AIエージェントのように操作まで任せる道具を使う場合は、AIエージェント特有のセキュリティ｜プロンプトインジェクションと権限管理の実務で扱っている権限の論点も加えます。

3. ルール｜使ってよい範囲を決め、文書と設定に分けて落とす

3つ目は、リスク評価をもとに、使ってよい範囲を決めることです。ガイドラインは、AIを使うか否かを判断し、使う場合はAIガバナンスに関するポリシーの策定などを通じてゴールを設定すると書いています（本編p.27）。脚注では、自社の取組方針の呼称は「AIポリシー」など各主体に委ねられるとしています。

決める範囲は、全面禁止と全面許可の2択ではありません。禁止から始めた会社が範囲を開く順番は、「生成AI禁止」が一番危ない｜シャドーAIが生まれる構造と、禁止を解除する順番にまとめています。

決めた範囲のうち、ツールの設定で止められるものは設定に、人の判断が要るものは文書に分けて落とします。社内ルールの文書の書き方とサンプルは、生成AI社内ルールのサンプル｜禁止事項リストにしない4層のガイドラインで扱っています。

ルールの中では、入力した内容をAIの学習に使わせるかの扱いも決めます。設定の考え方は、生成AIのオプトアウトとは？｜入力を学習させない設定の考え方が参考になります。

4. 監査｜守られているかを確かめ、見直すきっかけを先に決める

4つ目は、決めた範囲が守られているかを確かめ、見直すきっかけを決めることです。ガイドラインは、AIマネジメントシステムが有効に機能しているかを継続的にモニタリングし、評価と継続的な改善を行うと書いています（本編p.28）。

見直しは、定期の点検だけでは足りません。ガイドラインは、運用開始後も規制などの外部環境の変化を踏まえて再び環境・リスク分析を行い、必要に応じてゴールを見直すとしています（本編p.28）。AIの新しい機能が増えたとき、使う部署が増えたとき、法律やガイドラインが改訂されたときが、見直しのきっかけの例です。

当社のセキュリティ設計支援では、成果物の1つに、残るリスクを説明する資料を置き、再検討が必要になる条件をそこに明示しています。きっかけを先に書いておくと、見直しが担当者の記憶に頼らなくなります。

監査で決めるのは、点検の回数だけではなく、どの変化が起きたら決めごとを見直すかという条件です。

AIガバナンスの限界と、この記事で解けないこと

AIガバナンスを整えても、AIの間違いや事故がなくなるわけではありません。決めておけるのは、間違いが起きたときにどこで気づき、誰が判断し、何を直すかです。

国の資料だけでは決まらないこと

AI事業者ガイドラインは、取り組みの考え方と方向を示す資料で、自社がどのツールのどの設定をどう使うかまでは書いていません。チェックリストやワークシートも公開されていますが、自社の業務に当てはめる作業は会社に残ります。

業界によっては、AI事業者ガイドラインのほかに、所管の省庁の指針や個別の法律が関わります。個人情報保護法や著作権法など、AI推進法以外の法律の解釈は、この記事では扱いません。

この記事で扱わないこと

個別の法律の判断や、契約書の条項の書き方は扱いません。必要な場合は、弁護士などの専門家に確認してください。社内ルールに書く項目の具体例は、前の章で紹介した社内ルールのサンプルの記事を参照してください。

ガイドラインは今後も更新される方針のため、本記事の版・日付は2026年10月20日時点のものです。自社で決めごとを作る前に、総務省・経済産業省の掲載ページで最新の版を確かめてください。

AIガバナンスに関するよくある質問

Q. AI事業者ガイドラインに従わないと、罰則はありますか

A. AI事業者ガイドラインは、本編で自らを「非拘束的なソフトロー」と説明しています。 守らなかったことへの罰則を定めた資料ではありません。ただし、ガイドラインとは別に、個人情報保護法などの個別の法律は適用されるため、業務ごとに確かめます。

Q. 中小企業でも、AIガバナンスは必要ですか

A. ガイドラインは、取組をリスクの程度や各主体の資源制約に配慮しつつ自主的に進めることが重要だとしています。 会社の規模で要否が決まるのではなく、AIを使う業務のリスクの大きさに合わせて、決める範囲と厚さを変えます。

Q. AIガバナンスの担当は、情報システム部門だけでよいですか

A. ガイドラインは、AIガバナンスでの経営層の責任は大きく、リーダーシップの発揮が重要だとしています。 実務は情報システム部門が持つ場合でも、最終判断をする経営層の担当と、業務部門の相談先を合わせて決めます。

Q. AIガバナンスと、社内のAI利用ガイドラインは何が違いますか

A. 社内のAI利用ガイドラインは、AIガバナンスで決めた中身を文書にしたものです。 AIガバナンスには、誰が決めるか、どのリスクを見たか、守られているかを誰が確かめるかまでが含まれます。

AIガバナンスの進め方｜総括表

4つの分け方は本記事の整理で、ガイドラインが示す手順の一覧ではありません。

まとめ｜AIガバナンスとは何か、社内で何から決めるか

AIガバナンスとは、AIのリスクを受け入れられる水準で管理しながら、使ってよい範囲と責任の所在を決め、見直し続ける会社の仕組みです。国のAI事業者ガイドラインは拘束力のない指針なので、前の章の4つの順に、自社の決めごとへ置き換えて使います。

社内でAIガバナンスを始めるなら、次の3つから着手できます。

1. 今日：AIの使い方を最終的に決める人と、現場が迷ったときの相談先を1人ずつ決める
2. 今週中：AIを使っている業務を書き出し、間違えたときに社外へ影響が出る業務に印をつける
3. 今月中：見直しのきっかけにする変化を3つ決め、社内ルールの文書の末尾に書き足す

最後に、社内で自分に問える1問を置きます。御社でAIの新しい機能が使えるようになったとき、それを使ってよいかを判断する人の名前を、すぐに挙げられますか。

• AIガバナンスは、AIのリスクを管理しながら便益を引き出すために、使い方を決めて見直し続ける仕組みです。社内ルールの文書は、その仕組みの一部にあたります
• 国内の基本の資料は、総務省と経済産業省の「AI事業者ガイドライン（第1.2版）」です。ガイドラインは自らを「非拘束的なソフトロー」と位置づけており、取り組みは各社の自主性に委ねられています
• 社内で決める順番は、体制・リスク評価・ルール・監査の4つです。4つの分け方は、ガイドラインのアジャイル・ガバナンスの考え方をもとにした本記事の整理です

AIを社内で使う範囲と、決める人・見直す仕組みを整理するなら、自社で使えるヒントを、20の実例から探すからご確認いただけます。

自社で使えるヒントを、20の実例から探す

Claude Codeで業務がどう進むかを画面で見てから決めたい場合は、初回無料体験講座もあります。

無料体験講座を申し込む ▶

この記事について

本記事は、法人向けにClaude Codeの研修を提供するDAIJOBUが、AIガバナンスの意味と、国のガイドラインの要点、社内で決める順番を、総務省・経済産業省・内閣府の公表資料に沿って整理したものです。