AIガバナンス
AIガバナンスとは。社内でAIを使うための体制・承認フロー・リスク台帳
AIガバナンスは、AIを使う利点を活かしながら、そのリスクを組織として管理する仕組みです。国のAI事業者ガイドラインの考え方を踏まえ、AIを業務で使う企業が整える役割分担、ツールの承認フロー、リスク台帳を、会議の録音・文字起こしを例に具体的に示します。
更新日：執筆・運営：Klang AI AB
国のAI事業者ガイドラインとの関係
日本では、経済産業省と総務省が「AI事業者ガイドライン」を公表しています。2024年4月の第1.0版のあと改訂が続き、2026年3月31日に第1.2版が公表されています。
ガイドラインは、AIに関わる事業者を「AI開発者」「AI提供者」「AI利用者」の3つに分け、それぞれが取り組む事項を示しています。会議の議事録づくりにAIツールを使う一般の企業は、主に「AI利用者」にあたります。
ガイドラインには法的な拘束力はありませんが、取引先や監査で「どのような考え方でAIを管理しているか」を説明するときの共通の拠り所になります。社内の体制を作るときは、ガイドラインの考え方を参照しつつ、自社の業務とリスクに合わせて具体化します。
行政機関向けには、デジタル庁が2025年5月に「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン」を公表しています。行政機関と取引のある企業は、調達の際にこのガイドラインへの対応を求められる場合があります。
役割分担（RACI）の例
AIガバナンスで最初に決めるのは、誰が何に責任を持つかです。R＝実行、A＝最終責任、C＝相談を受ける、I＝報告を受ける、で表します。
小さな会社では、1人が複数の役割を兼ねても構いません。大切なのは、「誰が承認したか分からないツールが使われている」状態をなくすことです。
| 活動 | 利用部門 | 情報システム | 法務・コンプライアンス | 経営層 |
|---|---|---|---|---|
| ツールの利用申請 | R | C | I | — |
| セキュリティ審査 | C | R・A | C | — |
| 社内ガイドラインの策定 | C | R | R | A |
| 利用者への教育 | R | R | C | I |
| 事故・誤入力の対応 | R | R | C | I（重大時はA） |
| 年1回の見直し | C | R | R | A |
AIツールの承認フロー
新しいAIツールを使いたいときの流れを、あらかじめ決めておきます。申請の窓口がないと、シャドーAIが生まれます。
- 01
利用部門が申請する
用途、扱う情報の区分、利用人数、費用を申請書に書きます。
- 02
リスクの大きさで分ける
扱う情報の区分と、出力を社外に出すかどうかで、簡易審査か詳細審査かを決めます。
- 03
セキュリティ審査を行う
チェックシートで、保存場所、暗号化、学習への利用、認証、ログ、削除、第三者認証を確認します。
- 04
条件を付けて承認する
「人事面談には使わない」「社外秘は入力しない」など、利用の条件を明記して承認します。
- 05
一覧に載せて周知する
承認済みサービス一覧に、用途と条件と一緒に掲載します。
- 06
定期的に見直す
年1回、利用状況、規約の変更、事故の有無を確認し、承認を続けるかを判断します。
リスク台帳：会議の記録をデータごとに分けて管理する
AI議事録のように会議を扱うツールでは、録音、文字起こし、要約で、リスクと管理の方法が少しずつ違います。1つにまとめず、データごとに台帳を作ります。
録音には同意と保存期間、文字起こしには共有範囲、要約には確認の手順、というように、データごとに効く対策が違います。会議の録音・文字起こしに特有のルールは、会話AIの社内利用ルールで規程の形にまとめています。
| データ | 主なリスク | 管理の方法 | 見直しの担当 |
|---|---|---|---|
| 録音（音声・動画） | 同意のない録音、長期の保存 | 事前の告知、保存期間の設定、閲覧者の限定 | 利用部門・管理部門 |
| 文字起こし | 個人情報・機密の拡散、誤認識 | 共有範囲の設定、固有名詞の確認 | 利用部門 |
| AIの要約・ToDo | 誤った要約がそのまま共有される | 共有前の担当者の確認、元の発言との照合 | 利用部門 |
| AIへの質問の記録 | 権限のない内容が回答に含まれる | 元の記録の閲覧権限に合わせた検索範囲 | 情報システム |
| 外部への自動送信 | 意図しない宛先への送信 | 送信先の承認、設定の定期確認 | 情報システム |
AIガバナンスで整える文書
体制を説明するために、最低限そろえておく文書です。
| 文書 | 内容 |
|---|---|
| 生成AI利用指針 | 使ってよいツール、入力してよい情報、出力の確認 |
| 会話AIの利用規程 | 録音の告知、保存期間、閲覧範囲（会議・面談を扱う場合） |
| 承認済みサービス一覧 | ツール名、用途、利用条件、承認日、見直し日 |
| リスク台帳 | データごとのリスク、管理の方法、担当 |
| 事故対応の手順 | 誤入力・誤送信のときの報告先と対応 |
AIエージェントを使うときに足すこと
答えるだけのAIから、手順を組み立てて操作まで行うAIエージェントに進むと、管理すべきことが増えます。
- AIに与える権限は、使う人の権限を超えないようにする。
- 外部への送信、書き込み、支払いなどの操作には、人の承認を挟む。
- 何を根拠に何をしたかの実行記録を残す。
- 読み取りだけで足りる用途では、読み取り専用の接続を使う。
ガバナンスの要件に合わせて導入できるAI議事録
Klangは、AI利用者として確認される項目を公開し、要件に応じた導入形態を選べるAI議事録ツールです。チームプランでは、SSO、監査ログとアクセス制御、データ保持期間のカスタマイズ、データ処理契約（DPA）の締結に対応します。
- お客様の会話データをAIモデルの学習に利用しません。
- ISO/IEC 27001:2022（ISMS）の認証を取得しています。
- クラウド、プライベートクラウド、オンプレミスから導入形態を選べます。
よくある質問
AIガバナンスとは何ですか。
AIを使う利点を活かしながら、情報漏洩や誤った出力などのリスクを許容できる水準に管理するために、組織が整える体制、ルール、手続き、確認の仕組みの全体です。ガイドラインの文書だけでなく、誰が承認し見直すかまで含みます。
AI事業者ガイドラインは、AIを使うだけの企業にも関係しますか。
関係します。ガイドラインは、AI開発者、AI提供者に加えて、AIを業務で使う企業を「AI利用者」と位置づけ、取り組む事項を示しています。法的な拘束力はありませんが、取引先や監査への説明の拠り所になります。
小さな会社でもAIガバナンスは必要ですか。
規模に合わせて簡単にしてよいですが、使ってよいツールの一覧、入力してよい情報の決まり、新しいツールを使いたいときの相談先の3つは、規模にかかわらず決めておくと安全です。
何から始めればよいですか。
今、社内でどのAIツールがどの業務に使われているかを把握することから始めます。そのうえで、承認するツールを決め、生成AIの利用指針と承認の流れを整えます。
AI導入ガイド：いまの段階から読む
社内でAIツールを使い始めるまでの流れを、目的の整理、ルールづくり、ツールの審査、承認と定着の4段階に分けています。会議の録音・文字起こしを例にしていますが、ほかのAIツールにも使える手順です。
1. 目的を決める
2. ルールとリスク
- AIガバナンスの体制づくり（このページ）
- 生成AIの社内ガイドライン（ひな形）
- 生成AIのリスクと情報漏洩対策
- シャドーAIの見つけ方と対策
3. ツールを審査する
4. 承認と定着