AIガバナンス 97項目セルフチェック

対応しない場合の危険性

• 「誰が・どの業務で・どのAIを・何のために使っているか」が経営層に見えず、問題が起きて初めて把握する状態になります。
• 責任者・決裁経路が定まっていないため、事故発生時の初動対応と対外説明が遅れ、被害と信用失墜が拡大します。
• 組織的・人的・物理的・技術的安全管理措置（個人情報保護法）を講じていないと評価され、個人情報保護委員会からの指導・勧告・命令のリスクが高まります。
• AIリスクが経営リスクとして管理されず、情報漏えい・権利侵害・風評被害といった重大損失の芽を、誰も除去・監視しません。

対応しない場合の危険性

• 部門の黙認利用や個人アカウントなど「見えないAI利用（シャドーAI）」が広がり、統制外のリスクが積み上がります。
• 人事・与信・医療等の高リスク領域での利用が特定されず、誤判断・差別的な結果が本人や顧客に直接の被害を与えます。
• 利用目的の適法性（目的外利用の有無）を確認しないまま利用し、個人情報保護法の利用目的規制に抵触し得ます。
• どの利用が最も危険か評価されていないため、対策の優先順位が決められず、コストが非効率に散らばります。

対応しない場合の危険性

• 従業員が営業秘密・個人情報・未公開情報（M&A・契約情報等）をうっかり入力し、外部サーバーへ送信・学習利用されても回収できません。
• 秘密管理性（営業秘密の3要件の1つ）を欠いた管理と判断され、不正競争防止法上の営業秘密としての法的保護を喪失します。
• 顧客・取引先の機密情報を入力し、秘密保持契約（NDA）違反として損害賠償・取引停止に発展します。
• 承認していない無料版・個人アカウントの業務利用が横行し、統制の外から情報が流出します。

対応しない場合の危険性

• 外国にある事業者のAIサービスへの入力が個人情報保護法第28条の「外国にある第三者への提供」に該当すると知らずに行い、法令違反になります。
• 要配慮個人情報や、改正法で新設される「特定生体個人情報」（顔特徴データ・声紋等）を不適正に取り扱い、個情委の報告徴収・立入検査や勧告・命令の対象になります（改正法の施行後は、一定の違反に課徴金も科され得ます）。
• 本人からの開示・訂正・利用停止等の請求に応じられず、訴訟・行政対応・評判悪化を招きます。
• 改正法（令和8年法律第56号）の段階施行に向けた社内準備を欠き、施行時に対応できない状態で当日を迎えます。

対応しない場合の危険性

• 生成物を既存著作物と類似したまま公開し、著作権侵害として差止請求・損害賠償・公開済み物の回収コストを負います。
• 著作権法第30条の4の適用要件（著作物の表現を享受する目的がないこと等）を満たさない学習・利用を行い、権利侵害と評価されます。
• 実在の人物の顔・声・氏名を本人の許諾なく生成・公開し、肖像権・パブリシティ権の侵害として紛争化します。
• 生成物の権利帰属（人の創作的寄与の有無）を整理しないまま納品・利用し、取引先と「誰が責任を負うか」で紛争になります。

対応しない場合の危険性

• 学習利用を止める条項がなく、入力した社内データがベンダーのモデル学習に使用され、意図しない形で外部化します。
• データの保管場所（国内／国外）・保存期間・削除条件が未定義のままとなり、解約後もデータが残存して漏えいリスクが続きます。
• 出力の権利帰属・保証・責任制限が未定で、生成物が原因のトラブル時にベンダーへ責任を追及できません。
• 外注先・フリーランスの無断AI利用が承認フローを迂回し、自社の責任問題（漏えい・権利侵害）に発展します。

対応しない場合の危険性

• ハルシネーション（誤情報）をそのまま対外文書・プレス・契約文書に使用し、誤認事故・信頼失墜・契約トラブルに発展します。
• 与信・人事・法務判断をAI出力に依存し、差別的・誤った判断が本人に直接の不利益（不採用・与信否決等）を与え、訴訟リスクになります。
• 出力の偏見・差別的表現に気付かず公開し、レピュテーションを大きく損ないます。
• 利用記録（プロンプト・出力・確認者）がなく、事故時に「なぜこの判断・この文章になったか」を説明できず、説明責任を果たせません。

対応しない場合の危険性

• なりすましや偽のビデオ通話（ディープフェイクを含む）で送金・契約の指示を受け、金銭被害・情報窃取に至ります。
• 自社名・役員を装った偽広告・SNS型投資詐欺が放置され、被害の拡大とともにブランド毀損・損害賠償請求に発展します。
• プロンプトインジェクションにより、Webページやメールを読み込ませただけでAIが文中の不正な指示を実行し、不正送信・ファイル操作・情報漏えいが起きます。
• AIエージェントの権限を限定しないと、送信・支払い・削除などの重大操作が人の承認なしに自動実行されます。
• 従業員が生成AIを不正プログラムの作成に使えば刑事罰の対象となり、会社の管理責任にも及びます。

対応しない場合の危険性

• 生成AI作成コンテンツを無表示で発信し、後から発覚した際に消費者・取引先の信頼を大きく失います。
• 生成AIで作った広告・商品説明・口コミ風の文章が景品表示法（優良誤認・有利誤認、ステルスマーケティング規制）に抵触し、措置命令・課徴金の対象になります。
• 利用者情報をAIサービス・広告事業者等へ外部送信するWebサイト・アプリで、電気通信事業法の外部送信規律（第27条の12）対応が欠落します。
• 自治体条例（性的ディープフェイクの禁止等）を確認せずにコンテンツを公開し、条例違反となります。

対応しない場合の危険性

• ルールを整備しても従業員が知らなければ形骸化し、C〜Iの全対策の実効性が失われます（最も起きやすい失敗）。
• 入力禁止情報を知らない従業員による情報入力が繰り返され、漏えい事故が頻発します。
• なりすましや偽のビデオ通話（ディープフェイクを含む）による詐欺の手口を知らない役職員が、折り返し確認もせずに送金・契約を実行します。
• 経営層がガバナンスの意義を理解しないまま、対策の予算・人員が確保されません。
• 受講記録がなく、事故時に「教育を実施していた」ことを証明できません。

対応しない場合の危険性

• 報告ラインが定まらず、情報漏えい・権利侵害・不正利用の発見・報告が遅れ、被害が拡大した後に対処することになります。
• 個人情報漏えい時に個人情報保護委員会・本人への報告義務（個人情報保護法）を期限内に果たせず、個情委の指導・勧告・命令の対象になります（命令に違反すれば罰則）。
• 初動手順（封じ込め・影響調査・公表判断）がなく、公表の遅れや不適切な公表が2次被害・信用失墜を招きます。
• 既存のCSIRT（セキュリティ事故対応チーム）・BCP（事業継続計画）にAIインシデントが組み込まれず、訓練もないため、実際に起きた時に組織として動けません。

対応しない場合の危険性

• EU域内の利用者にAIサービス・チャットボットを提供し、EU AI Actの透明性義務（AIとの対話である旨・生成コンテンツの表示。2026年8月2日から適用）を知らずに違反します。
• 高リスクAIシステムに該当する場合の義務（リスク管理・技術文書等）を把握せず、適用開始（2027年12月2日／2028年8月2日へ延期）までに対応できません。
• 制裁金は、禁止事項違反で最大3,500万ユーロまたは全世界売上高の7%、高リスク義務違反で最大1,500万ユーロまたは3%と、売上比例型の重大な金銭リスクになります。
• 外国のAIサービスへの入力が個人情報保護法第28条の越境移転に該当すると知らずに違反します。
• 各国・地域の規制動向を追えず、海外展開・海外顧客との取引で突然コンプライアンス違反になります。