AIガバナンスの枠組みとは何ですか？
AIガバナンスの枠組みは、AI方針を支える管理の仕組みです。AIツールや用途を承認できる人、記録すべき事項、リスクの確認方法、判断を見直す時期を定めます。利用規程は従業員に行動を示し、ガバナンスはその規程に何を盛り込むかを決め、内容を正確に保ちます。
公表されている枠組みの多くは、AI システムを開発する大規模組織向けに書かれています。既製のアシスタントを利用する従業員5〜200人の企業にも、はるかに小さな規模で同じ考え方が必要です。目指すのは、承認されたすべての用途に責任者、利用理由、見直し日があり、誰が判断するのかを誰も推測せずに済む状態です。
このページは一般的な情報を提供するものであり、法的助言ではありません。製品にAIを組み込む場合、人に関する判断を自動化する場合、規制対象の業種で業務を行う場合は、ここに記載した内容にとどまらない専門家の確認が必要です。
NISTのAIリスク管理フレームワークは、小規模企業にどう適用できますか？
NISTのAIリスク管理フレームワークは、2023年1月26日に公開された任意利用の枠組みです。AIリスクへの対応を、統治、把握、測定、管理の4つの機能に整理しています。NISTは、任意利用を前提とし、特定の業種や用途に限定せず、あらゆる規模の組織が柔軟に使えることを目的としていると説明しています。また、利用者は自らの資源や能力に応じて必要なカテゴリーを選べるとしており、これは小規模チームが取るべき方法そのものです。
「統治」は、文化、方針、役割、説明責任に関わる横断的な機能です。「把握」では、システムが使われる状況と、その状況におけるリスクを明らかにします。「測定」では、定性的または定量的な手法でリスクを分析し、監視します。「管理」では、特定されたリスクに対応するための資源を配分し、事故への対応と復旧の計画を扱います。NISTのページには、この枠組みは改訂中と記載されているため、引用する前に最新版を確認してください。
下の表は、小規模チーム向けに当社が調整したものです。NISTの公式プロファイルではなく、これを使用しても、企業が何らかの基準に準拠したことにはなりません。
| NIST の機能区分 | 30人の会社にとっての意味 | 具体的な成果物 |
|---|---|---|
| 統治 | 担当責任者を決め、方針を文書化し、従業員を教育し、新しい用途の承認者を決める | 責任者名を明記した規程、研修記録 |
| 全体像を整理する | AIの利用ごとに、作業内容、扱う情報、誤りによって影響を受ける人を書き出してください | 利用1件につき台帳に1行記録します |
| 測定する | 出力の抜き取り確認、報告された問題の収集、定期的な提供元の利用規約の確認 | レビューの記録と課題管理表 |
| 管理 | 確認結果に基づいて用途を承認・制限・廃止し、インシデントに対応します | 更新済みの管理台帳とインシデント記録 |
小規模企業では、AIガバナンスの責任は誰が持つべきですか？
AIガバナンスには責任者を1人明確に定め、その人だけでは決められない事項の承認手順も明確にする必要があります。実務では、従業員50人未満の企業では創業者や最高執行責任者が、大規模な企業では経営陣に報告する業務運営責任者やIT責任者が担うことが多いです。NISTのガバナンス指針には、経営幹部がAIリスクに関する意思決定に責任を持つことや、役割と連絡経路を明確にすることが含まれています。
架空の従業員60人のソフトウェア会社、ケストレル・システムズでの実用的な役割分担です。業務統括責任者が台帳を管理し、新しいツールを承認します。データ保護の責任者が、個人データを扱うすべての利用を承認します。各部門長が、担当領域のワークフローを承認し、出力を確認します。社長が年次見直しを承認します。4人で全体をカバーでき、それぞれがどの問題を担当するか把握できます。
責任者
台帳を管理し、見直しを実施し、最初の相談窓口を務めます。担当者1人と代理担当者を指名します。
データ利用の承認
個人情報を扱うすべての利用を承認し、影響評価が必要かどうかを判断します。
業務フローの承認者
業務を理解し、自部門での利用を承認し、出力の確認担当者を指名する部門責任者。
経営・管理職
全体のリスク水準を受け入れ、年次レビューを承認します。
AI管理台帳には、何を記録すべきですか？
AI管理台帳には、承認済みの各ツールと用途について、契約プラン、許可された業務、入力できる情報、責任者、レビュー担当者、レビュー日を記録してください。NISTのガバナンスに関する指針には、リスクの優先順位に応じた資源を割り当ててAIシステムを一覧管理する仕組みが含まれています。小規模企業であれば、共有スプレッドシートで十分です。
小規模企業が使うAIシステムのほとんどは外部事業者が提供しているため、その詳細も記録します。NISTのガバナンスに関する資料では、外部事業者のAIに伴うリスクへの方針や、そのシステムに障害が起きた場合の対応手順を扱っています。管理台帳には、学習への利用、データの保持と削除について事業者の規約がどう定めているか、最後に確認したのはいつか、ツールが使えなくなったり規約が変わったりした場合にどう対応するかを記載します。
ケストレルの記入例：「ツール：[アシスタント]の業務用ワークスペース。用途：社内文書の下書きと公開調査資料の要約。情報：公開情報と社内情報のみ。管理責任者：業務運営部門長。確認者：社外向けのものはすべて作成者の直属の上司。提供元の利用規約の確認日：[日付]。代替手段：AIを使わずに下書きを作成。次回見直し日：[日付]。」
職種とのつながりを確認してみませんか？
計画中のチーム向けトライアルを見る ↗AIの新たな用途はどのように承認すべきですか？
AIの新たな用途は、5つの質問に答える簡潔な書面申請を通じて承認を得るようにします。責任者がすばやく判断でき、判断の記録も残せます。小規模企業の申請の多くは低リスクであり、委員会を開くのではなく、1日で判断できるはずです。手続きに時間がかかると、利用者は手続きを飛ばしがちになります。
ケストレルの申請書は5行です。回答に個人データや人に関する判断が含まれる場合は、承認前にデータ利用の審査に回します。
ツールとプラン
使用する製品とアカウントは、具体的にどれですか？
課題
どのような業務を行い、誰が使うのでしょうか？
情報
どの種類の情報を入力することになりますか？
誤りがもたらす影響
出力が間違っていた場合、誰にどの程度の影響がありますか？
確認
出力を使用する前に、誰が確認しますか？
AIガバナンス方針は、どのような原則に基づくべきですか？
AIガバナンスの原則に、統一された一覧はありません。枠組みによって原則が異なるため、チームが実践できる少数の原則を選びます。NISTは、信頼できるAIの特性として、妥当性と信頼性、安全性、セキュリティと回復力、説明責任と透明性、説明可能性と解釈可能性、プライバシー保護の強化、有害な偏りを管理した公平性を挙げています。英国政府が公務員向けに2025年2月に公表したAI実践ガイドは、AIとは何か、その限界は何かを理解することを最初に掲げ、適切な段階で人間が実質的に制御することなど、十の原則を示しています。
小規模企業では、通常、三つの運用原則で基本を押さえられます。すべての利用について責任者を明確にすること、情報は許可された場所だけに入力すること、利用する出力は人が確認して責任を負うことです。提案された使い方がこの三つすべてを満たせない場合、まだ承認できる段階ではありません。
AIガバナンスの3つの柱について聞かれることがありますが、標準とされる組み合わせはありません。実務では、人（誰が判断し、誰が研修を受けるか）、プロセス（利用をどう承認し、見直すか）、記録（管理台帳と、そこに記録する判断）の3つで考えると整理しやすくなります。
AIガバナンスに関する決定は、どのくらいの頻度で見直すべきですか？
台帳全体を少なくとも年に一度見直します。また、提供元の利用条件やプランが変わったとき、顧客との契約にAIに関する条項が追加されたとき、報告された問題から業務フローが機能していないと分かったときには、該当する項目を見直します。NISTのガバナンスに関する指針では、リスク管理プロセスの継続的な監視と定期的な見直しを扱っています。
小規模企業であれば、多くの場合、四半期ごとに30分で十分です。責任者が課題の記録を読み、取引先の規約を2つか3つ確認し、用途に変化がないか部門長に尋ね、誰も使っていないものを廃止します。使われていないツールの廃止もガバナンスの一部です。NISTのガバナンスに関する指針には、AIシステムを安全に廃止するための手順が含まれています。
AIガバナンスにおいて、研修はどのような役割を担いますか？
研修は、ガバナンスの中でルールを実際に使えるようにする役割を担います。NISTのガバナンスに関する指針には、職員がAIリスク管理の研修を受けることが含まれています。EUについては、欧州委員会によるEU AI Act第4条のAIリテラシーに関する一問一答で、すべてに当てはまる単一の方法はなく、修了証は必須ではなく、社内の研修記録で十分であると説明されています。
誰が何の研修を受けたかを記録し、研修は実際の業務に即した内容にします。Tosheo.aiは、職務別の実践練習を提供し、管理者がスキルの進捗と完了状況を確認できるよう開発中です。ガバナンスのプラットフォームではなく、管理台帳を管理するものでもありません。
小規模企業でこれだけでは足りなくなるのは、どのような場合ですか？
AIシステムを開発する場合、製品にAIを組み込む場合、人に関する重要な意思決定やその支援にAIを使う場合、特別なカテゴリーの個人データを大規模に処理する場合、規制対象の業種で事業を行う場合は、簡易的な枠組みだけでは不十分です。こうした場合は、正式なリスク評価や影響評価、認証取得が可能なマネジメントシステム、法的な審査が必要になることがあります。
AIガバナンス専用のソフトウェアはありますが、主に大規模な組織向けです。数種類のアシスタントを使うチームであれば、通常はスプレッドシートの管理台帳、簡潔な利用方針、見直し日の設定で十分であり、最新の状態も維持しやすくなります。
出典と対象範囲
NIST、AI リスクマネジメントフレームワーク 1.0（NIST AI 100-1）、January 2023 ↗
NIST、AI リスクマネジメントフレームワーク概要ページ、16 October 2026 確認 ↗
NIST AI RMF 実践ガイド：ガバナンス、16 October 2026 確認 ↗