AIの利用ルールを作った会社が、次につまずくのが体制だ。規程はあるのに、誰に相談すればよいか分からない。新しいAIツールを入れてよいかを誰が決めるのか分からない。事故が起きたときの連絡先が決まっていない。ルールを書いた文書だけでは、こうした問いに答えられない。
この記事は、AIガバナンスの体制を「誰が決め、誰に相談し、誰に報告するか」の役割分担として整理する。拠りどころにしたのは、総務省と経済産業省のAI事業者ガイドライン第1.2版（2026年3月31日公表）と、その別添に載っている企業の体制の例、同時に出た活用の手引き（案）だ。AIガバナンスそのものの考え方と日本・海外の枠組みはAIガバナンスとは？企業が決めるべき5つのことに、ガイドラインの全体像とチェックリストはAI事業者ガイドラインとはにまとめた。
ガイドラインがAIガバナンスの体制について書いていること
AI事業者ガイドラインは、体制の形を一つに決めていない。書いているのは、体制が果たすべきことだ。体制に関わる記述を抜き出すと、次の4つになる。
| 書いてあること | ガイドラインの記述（要約） | 出典 |
|---|---|---|
| 責任者を決める | 共通の指針「アカウンタビリティ」の取組として、各主体においてアカウンタビリティを果たす責任者を設定する | 本編 第2部 |
| 経営層が主導する | AIガバナンスを効果的な取組とするには経営層の責任は大きく、リーダーシップを発揮することが重要。AIガバナンスの構築を単なるコストではなく先行投資として捉える | 本編 第2部E |
| 経営層に報告する仕組みを作る | 取締役会に対して責任を負う社内組織（AI倫理委員会など）の設置、取締役会での取組状況の報告、便益とリスクを整理した資料の回覧などを方法の例として挙げる | 別添2 |
| 準備の土台を作る | AIの利用状況を把握する仕組み、リスク評価体制、インシデント報告体制、ルールの策定・運用の4つ | 活用の手引き（案）3章 |
活用の手引き（案）は、リスク評価体制とインシデント報告体制のどちらについても、既存の体制があれば、AI活用のためだけに体制を新しく作る必要はない、という趣旨を書いている。私の見方では、この一文がいちばん実務に効く。AIのためだけに新しい会議体を作る前に、すでにある委員会や窓口で受けられないかを先に考えるべきだ。
体制を構成する5つの役割
ガイドラインの記述を、社内の役割に置き換えると、私の見方では次の5つになる。人数の少ない会社では、一人が複数を兼ねてよい。
| 役割 | 受け持つこと | 置き場所の例 |
|---|---|---|
| 責任者 | AIの便益とリスクを経営として判断し、最終的な責任を負う。経営会議や取締役会に報告する | AIを使う事業部門に意見を言える立場の役員 |
| 推進チーム（事務局） | 利用状況の台帳、ルールの改定、教育、委員会の運営を回す | 情報システム部門、DX推進部門 |
| 相談窓口 | 現場からの「このAIを、この用途で使ってよいか」に答える。基準に当てはめ、重いものは委員会に上げる | 推進チームと兼ねる。法務・セキュリティの担当者が後ろにつく |
| 委員会 | 相談窓口だけでは決められない案件を審議する。利用を止める判断もここでする | 既存のリスク・コンプライアンス委員会や情報セキュリティ委員会に議題を足す |
| 監査 | 体制が決めたとおりに動いているかを、運用から独立した立場で確かめる | 内部監査部門 |
監査の役割は、運用している人と分けることが前提になる。ガイドラインの別添は、AIマネジメントシステムの設計及び運用から独立した専門性のある者による確認を求めている。監査の進め方はAI監査とはにまとめた。
責任者を決めるときの迷いどころは、情報システム部門の長にするか、事業部門の長にするかだ。私の見方では、AIを使って数字を出す側の事業部門に意見を言えない人を責任者にすると、委員会の結論が現場で無視される。だから役員を責任者にし、実務を推進チームに渡す分け方を勧める。
ガイドラインの別添に載っている体制の例
AI事業者ガイドライン第1.2版の別添には、実際の企業の体制が載っている。規模も業種も違うので、自社に近い形を探す材料になる。
| 会社 | 別添に書かれた体制 |
|---|---|
| NEC | AIガバナンスを内部統制の枠組みに組み込み、取締役会の監督下で、リスク・コンプライアンス委員会の指示に従い、AIガバナンス遂行責任者であるCDO（チーフデジタルオフィサー）を中心とした体制を作っている。法務、人権、個人情報・プライバシー、品質管理、セキュリティなどのスタッフ部門と事業部門が連携する |
| パナソニックグループ | 2019年に旧パナソニック内にAI倫理委員会を置き、2022年にグループ横断の「パナソニックグループAI倫理委員会」に改組した。グループの全事業会社から1人以上のAI倫理担当者を選び、法務・知財・情報システム／セキュリティ・品質の部門とともに推進する |
| IBM | 2025年にAI倫理委員会から名称を変えた「責任ある技術委員会（Responsible Technology Board）」が推進する。委員は各部門の上級幹部で、各委員が担当部門や地域の担当者（フォーカルポイント）を指名する |
| Ubie | 社内に「生成AI活用推進チーム」と「リスク・コンプライアンス委員会」を置く。階層型でなくフラットな組織にして、二つの会議体の情報共有を促す。リスク評価は各領域の専門人材が開発・利用部門から独立した立場で行い、懸念があれば委員会で審議する |
4社に共通するのは、AIを推進する側と、リスクを審議する側を分けたうえで、その二つをつないでいることだと私は考えている。NECは事業部門とスタッフ部門の連携、パナソニックは事業会社ごとの担当者、IBMはフォーカルポイント、Ubieはフラットな会議体で、それぞれつないでいる。大企業の例をそのまま真似る必要はないが、「推進と審議を分け、つなぐ」という骨格は小さな会社でも使える。
委員会に上げる基準を先に決める
私の見方では、体制を作ったあとに詰まりやすいのは、相談が全部、委員会に集まって審議が追いつかなくなることだ。活用の手引き（案）は、リスク評価体制について、すべてのユースケースを相談窓口に寄せるのではなく、基準を設けて、相談が必要な場合とセルフチェックで良い場合を分けるよう書いている（リスクベースアプローチ）。
基準の例を表にする。これは私が作った例で、業種や扱うデータで線は変わる。
| 区分 | 例 | 誰が決めるか |
|---|---|---|
| セルフチェックでよい | 会社が契約した生成AIで、公開済みの情報だけを使って文章を下書きする | 利用者本人。ルールのチェック項目を確かめる |
| 相談窓口に聞く | 新しいAIツールを部署で入れる。社内の非公開の資料を読ませる | 相談窓口。基準に当てはめて答える |
| 委員会で審議する | 顧客の個人情報を扱う。AIの出力をそのまま顧客に出す。AIエージェントに社内システムを操作させる | 委員会。必要なら責任者まで上げる |
区分の線を引くには、社内でどのAIが、どの部門で、どのデータを使って動いているかが分かっていないといけない。活用の手引き（案）も、利用状況を把握する仕組みを準備事項の一つ目に置き、どのような目的・用途で、どの部門が、どのようなAIを使っているかを管理する項目として挙げている。棚卸しの手順はシャドーAIの棚卸しに書いた。
運用の回し方
体制は、作った日から古くなる。AI事業者ガイドラインは、環境・リスク分析、ゴール設定、システムデザイン、運用、評価のサイクルを継続的かつ高速に回す「アジャイル・ガバナンス」を求めている。これを社内の予定に落とすと、私の見方では次のような回し方になる。
| 頻度 | やること | 担当 |
|---|---|---|
| 相談が来るたび | 基準に当てはめて答え、答えた内容を台帳に残す | 相談窓口 |
| 月に1回 | 台帳を見直し、新しく入ったAIと止めたAIを確かめる。同じ相談が続いたらルールに書き足す | 推進チーム |
| 四半期に1回 | 委員会で、審議した案件と起きたインシデントを振り返り、基準の線を引き直す | 委員会 |
| 年に1回以上 | 取締役会か経営会議に、AIの便益とリスク、体制の運用状況を報告する | 責任者 |
| 外部の変化があったとき | 法令やガイドラインの改定、利用しているAIサービスの規約の変更を受けて、ルールを見直す | 推進チーム |
インシデントの報告先は、運用の最初に決めておく。活用の手引き（案）は、インシデント報告体制として、速やかに報告できる窓口を設けることと、評価・分析や応急措置だけでなく社内外への説明・報告の流れを事前に検討し、予行演習しておくことを挙げている。私の見方では、窓口は既存の情報セキュリティ事故の窓口と一本にした方が、現場が迷わない。
外部の変化の例として、AI事業者ガイドライン自体も、第1.0版が2024年4月19日に公表されてから、2026年3月31日の第1.2版まで改定を重ねている。2025年に成立したAI法（AI推進法）の動きはAI推進法とはにまとめた。
人の少ない会社の体制
人工知能戦略本部が2025年12月19日に決めたAI指針は、主体の規模や立場、AIがもたらすリスクに応じて対応することを求め、既存のITシステムに適用しているガバナンスの仕組みを使うことも有用だとしている。人の少ない会社は、新しい組織を作るより、今ある会議と担当者に役割を割り当てる方が続く。
私の見方では、数十人規模の会社なら次の形で始められる。
- 責任者は社長か、AIを使う事業の担当役員にする
- 推進チームと相談窓口は、情報システムの担当者が兼ねる。法務の相談先（顧問弁護士を含む）を決めておく
- 委員会は作らず、月に1回の経営会議の議題に「AIの相談と台帳」を足す
- インシデントの窓口は、情報セキュリティ事故の窓口と同じにする
- ルールは、使ってよいAIと、入れてはいけない情報の2点から書き始める
ルールの書き方はAI利用規程の作り方にひな形を載せた。私の見方では、体制が回っている会社ほど、新しいAIを試すときの「使ってよいか」が早く決まり、PoCから本番へ進めやすい。現場に入って実装するFDE（Forward Deployed Engineer）にとっても、相談先が決まっていることは進め方を左右する。FDEという働き方そのものはFDEとは？Forward Deployed Engineerの意味と仕事内容で説明している。
私たちの支援の中身はサービス詳細とAI利用セキュリティ診断に書いた。