AIガバナンスのチェックリスト｜中小企業が点検する12分類と無料診断

AIガバナンスのチェックリストとは、生成AIを社内で使うときの「決めておくべきこと」に抜けがないかを確かめる点検表です。 保戸丸では、国の法令・ガイドラインをもとに97項目・12分類に整理しています。

この記事では、12分類それぞれで「何を確かめるのか」と、最初に確かめたい1問を紹介します。読みながら「うちはどうだろう」と思ったら、そのまま12問に答えてみてください。

※AIガバナンス：AIを社内で安全に使うための、ルール・体制・確認の仕組みのこと。

なぜチェックリストで点検するのか

社内ルールを作っても、それで安心とは言い切れません。ルールは、作った人が思いついたことしか書かれていないからです。

たとえば「顧客情報をAIに入力しない」と決めた会社でも、「AIで作った画像を公開する前に、似た作品がないか確かめる」ことまでは決めていない、ということはよくあります。抜けている分類は、事故が起きるまで誰も気づきません。だからこそ、分類ごとに並んだ表で、上から順に当てていく点検が役に立ちます。

僕は若いころ10年間、遠洋マグロ延縄漁船に乗っていました。海の上で「あれを確かめていなかった」と気づいても、港へ取りに戻るのは簡単ではありません。だから点検は、出港の前に済ませておくものでした。AIのルールも同じで、問題が起きてから探すより、決まった表で先に当てておくほうが、ずっと手間が少なく済みます。

ルールを作ったあとの見直しの進め方は、生成AIの社内ルールの作り方の「ステップ5：四半期ごとに見直す」で紹介しています。

国の資料にも、点検の考え方があります。総務省・経済産業省が2026年3月31日に公表した「AI事業者ガイドライン（第1.2版）」には、別添7として「チェックリスト」と、取り組み方を考えるための「ワークシート」が付いています。チェックリストのうち「全主体向け」のものは、事業者に求められる重要な取組事項のチェックに使うよう案内されています。AIを作る会社だけでなく、使う会社も読んでおきたい資料です。

AIガバナンスのチェックリストに入れる12分類

保戸丸のチェックリストは、次の12分類・97項目でできています。どの項目にも、根拠となる法令・政府ガイドラインと出典を付けています。

分類	何を確かめるか	項目数	主な根拠
A ガバナンス・体制	AIを使うルールと責任者が決まっているか	10項目	AI事業者ガイドライン／AI法
B リスク評価・棚卸	社内でどのAIが何に使われているか把握しているか	8項目	AI事業者ガイドライン／文化庁
C 入力情報・秘密管理	AIに入れてはいけない情報が決まっているか	11項目	営業秘密管理指針／個人情報保護委員会
D 個人情報保護	個人情報をAIで扱うときの決まりがあるか	10項目	個人情報保護法
E 著作権・知的財産	AIで作ったものが他人の権利を侵していないか	9項目	著作権法第30条の4／文化庁
F ベンダー・契約管理	AIサービスの契約・規約の中身を確かめているか	9項目	経産省 AI契約チェックリスト
G 出力・品質・人的確認	AIの出力を人が確認してから使っているか	8項目	AI事業者ガイドライン／総務省
H セキュリティ・犯罪対策	AIを悪用した詐欺や攻撃に備えているか	10項目	警察庁／総務省
I 対外発信・透明性	AIの利用について社外に必要な説明をしているか	7項目	AI事業者ガイドライン／警察庁
J 教育・研修	社員がAIの安全な使い方を学んでいるか	5項目	AI事業者ガイドライン／営業秘密管理指針
K インシデント対応	事故が起きたときの報告ルートが決まっているか	5項目	AI事業者ガイドライン／個人情報保護法
L 海外規制・越境	海外のAIサービスや海外の法律に対応しているか	5項目	EU AI規制法／個人情報保護法

合計は97項目です。項目数が多いのはC（入力情報・秘密管理）の11項目で、社員が毎日AIに何を入れるかが、それだけ事故の入り口になりやすいということでもあります。

分類ごとに最初に確かめたい1問

ここからは、12分類それぞれで最初に確かめたい1問を紹介します。この12問は、無料診断（12問セルフチェック）の設問と同じものです。「できている」「一部できている」「できていない」「わからない」のどれに当たるか、考えながら読んでみてください。

A ガバナンス・体制

確かめる1問： 生成AIを業務で使う際のルール（使ってよい範囲・禁止事項・承認の手続き）を、社内規程として定めているか。

ルールが口頭や個人のメモだけだと、人によって解釈が変わり、異動や退職で消えてしまいます。AI法（人工知能関連技術の研究開発及び活用の推進に関する法律）は、AIを事業活動で使う「活用事業者」に、国や自治体の施策への協力を求めています。会社としての決まりを文書にしておくことが、その出発点になります。

整っていないと起きやすいこと：社員ごとに「どこまで使ってよいか」の判断が分かれ、問題が起きても誰の判断だったのか分からなくなります。

最初に決めることの全体像は、中小企業のためのAIガバナンスとは？最初に決めること5つにまとめています。

B リスク評価・棚卸

確かめる1問： 社内で使われているAI・生成AIサービスを一覧にしているか（使う目的・扱うデータ・提供会社・利用部門）。

棚卸し（社内にあるものを一つずつ数えて一覧にすること）をしないと、どこにリスクがあるのか見えません。会社が契約したサービスだけでなく、社員が個人の判断で使い始めたサービスも含めて一覧にすることが大切です。

整っていないと起きやすいこと：会社が把握していないAIサービスに業務の情報が入り、問題が起きても気づくのが遅れます。

C 入力情報・秘密管理

確かめる1問： 生成AIに入力してはいけない情報（顧客情報・社外秘など）をリストにして、社員に示しているか。

経済産業省の「営業秘密管理指針」（2025年3月改訂）は、不正競争防止法で保護を受けるために必要な、最低限の水準の対策を示したものです。営業秘密（社外に出していない、事業に役立つ技術や営業の情報）として守られるには、会社がその情報を秘密として管理していることが求められます。何をAIに入れてはいけないかを明文化することは、その管理の一部になります。

整っていないと起きやすいこと：社員が悪気なく顧客情報や未公開の情報を入力し、社外に出てはいけない情報の扱いがあいまいになります。

入力禁止情報の決め方は、生成AIの社内ルールの作り方の「ステップ2」で詳しく紹介しています。

D 個人情報保護

確かめる1問： 病歴・信条など、特に慎重な扱いが必要な個人情報（要配慮個人情報）をAIで扱う場合のルールを、通常より厳しく定めているか。

要配慮個人情報は、本人が不当な差別や偏見を受けないよう、特に慎重な扱いが求められる個人情報です。社員の健康診断やストレスチェックの結果、休職時の診断書、障害者手帳の情報などが当たります。総務や人事の仕事でAIを使うほど、この線引きが必要になります。

整っていないと起きやすいこと：社員の健康情報などが、通常の個人情報と同じ感覚でAIに入力されてしまいます。

E 著作権・知的財産

確かめる1問： AIで作った文章・画像を社外に公開する前に、既存の作品と似ていないかを確認しているか。

AIで作ったものでも、既存の作品とよく似ていれば、他人の権利を侵してしまうおそれがあります。ホームページの画像、チラシ、SNSの投稿など、社外に出すものほど確認の手順を決めておきたい分類です。

整っていないと起きやすいこと：公開した画像や文章が他社の作品と似ていると指摘され、差し替えや説明に追われます。

F ベンダー・契約管理

確かめる1問： 利用しているAIサービスの契約・利用規約で、入力したデータがAIの学習に使われるかどうかを確認しているか。

経済産業省は2025年2月18日に「AIの利用・開発に関する契約チェックリスト」を公表しました。AIサービスの利用者が、提供者に渡すデータの利用範囲などを十分に検討できるよう、契約時に確かめるポイントを示したものです。法務の担当者だけでなく、事業部門の担当者が最初に契約を検討する場面も想定されています。

整っていないと起きやすいこと：入力した社内の情報が、想定していない目的に使われる契約のまま、サービスを使い続けてしまいます。

G 出力・品質・人的確認

確かめる1問： 社外に出す文書・プレスリリース・契約書は、AIが作ったものでも必ず人が最終確認しているか。

生成AIは、事実と違う内容をもっともらしく書くことがあります。社外に出す文書ほど、最後に人が確かめる手順と、誰が確認したかの記録が欠かせません。

整っていないと起きやすいこと：誤った数字や事実が入った文書が、そのまま取引先や顧客に届きます。

H セキュリティ・犯罪対策

確かめる1問： メール・電話・ビデオ会議の指示だけで送金や契約をせず、別の連絡手段で本人確認するルールがあるか（なりすましや偽のビデオ通話による詐欺への対策）。

警察庁は、ビデオ通話で警察官や検察官を名乗り、制服姿や身分証を見せて信用させる詐欺に注意を呼びかけています。相手の顔や声が本物らしく見えても、それだけで信じない仕組みが必要です。警察庁の注意喚起は個人向けですが、会社でも同じ考え方が使えます。会社でいえば、社長や取引先を名乗る指示だけで送金しない、一度切って別の手段で確かめる、というルールになります。

整っていないと起きやすいこと：「急ぎで振り込んでほしい」という指示に、担当者が一人の判断で応じてしまいます。

I 対外発信・透明性

確かめる1問： AIの利用について、プライバシーポリシーや利用規約に必要な記載をしているか。

顧客の情報をAIサービスで扱う場合、そのことを社外にどう説明するかも決めておく必要があります。ホームページのプライバシーポリシーや利用規約が、いまの使い方に合っているかを確かめる分類です。

整っていないと起きやすいこと：実際の情報の扱いと、社外に示している説明が食い違ったままになります。

J 教育・研修

確かめる1問： 全役職員向けに、AIを安全に使うための研修を年1回以上実施しているか。

ルールは、読まれて、理解されて、初めて守られます。配って終わりにせず、具体的な場面で「これは入力してよいか」を考える機会をつくることが大切です。役員も対象に含めることで、会社全体の決まりとして伝わります。

整っていないと起きやすいこと：ルールはあるのに、社員がその存在や中身を知らないままAIを使い続けます。

周知の進め方は、生成AIの社内ルールの作り方の「ステップ4」で紹介しています。

K インシデント対応

確かめる1問： AIが原因の情報漏えい・権利侵害などが起きたときの報告ルート（誰に・いつまでに）を決めているか。

インシデント（情報漏えいや権利侵害など、事故やその手前の出来事）は、起きたあとの初動で被害の大きさが変わります。誰に、いつまでに報告するかが決まっていれば、現場の社員も迷わずに声を上げられます。

整っていないと起きやすいこと：「怒られるかもしれない」と報告が遅れ、気づいたときには対応の選択肢が少なくなっています。

L 海外規制・越境

確かめる1問： 海外の事業者が提供するAIサービスに個人データを入力する場合、法律上必要な条件（本人の同意や契約上の措置など）を確認しているか。

よく使われる生成AIサービスには、海外の事業者が提供しているものが多くあります。越境（データが国境を越えて海外の事業者に渡ること）が起きる使い方なら、個人情報保護法の上で必要な条件を確かめておく必要があります。海外に取引先や拠点がある会社は、海外の規制にも目を向けておきたい分類です。

整っていないと起きやすいこと：個人データが海外の事業者に渡っていることを、会社として把握しないまま使い続けます。

点検した結果の読み方と、直す順番

12分類すべてを一度に整えようとすると、手が止まります。点検の結果、弱い分類がいくつも見つかったときは、まず次の3項目から手をつけてください。

入力してはいけない情報をリストにする
顧客情報・社外秘・未公開情報など、AIに入力しない情報を明文化して社員に示します。（根拠：経済産業省「営業秘密管理指針」）
指示だけで送金・契約しない
なりすましや偽のビデオ通話による詐欺に備え、別の連絡手段で本人確認するルールを決めます。（参考：警察庁の偽警察官ビデオ通話詐欺の注意喚起、総務省情報通信白書（令和6年版）のディープフェイクの解説）
社外に出す文書は人が最終確認する
AIが作った文書でも、対外文書・契約書は必ず人が確認し、記録を残します。（根拠：AI事業者ガイドライン第1.2版）

どれも、大きな費用をかけずに今週から始められることです。机の上で完璧な規程を作るより、まずこの3つを決めて社内に伝えるほうが、現場は動き出しやすくなります。

また、自社の業務に当てはまらない項目は「対象外」として点検から外してかまいません。たとえば海外のサービスに個人データを入れていない会社なら、L分類の一部は当てはまらないはずです。97項目すべてに「できている」を付けることが目的ではありません。自社の規模と業務に合った点検にすることが大切です。

チェックリストを使う3つの方法

保戸丸では、目的に合わせて3つの使い方を用意しています。

1. 無料診断で、弱い分類を確かめる

12問セルフチェック（約3分）に答えると、その場でスコアと弱い分類が分かります。さらに、12問の回答をもとにした自社専用の診断レポートを受け取れます（無料）。

無料AIガバナンス診断（12問・約3分）を始める →

2. 97項目を自社で点検する

97項目すべてを、Web上で自社で点検できます。まずは無料プランで「A. ガバナンス・体制」の10項目を、会員登録なしで試せます。

97項目セルフチェック（無料10項目／会員）

97項目すべてを点検するには会員プランをご利用ください。2026年12月20日までのお申し込み分は、キャンペーン価格です。

プラン	キャンペーン価格（2026年12月20日まで）	内容
定期チェックプラン	24,900円（税別）／年	全97項目のセルフチェックを1年間。診断書PDFは年4回まで
使い放題年額プラン	39,800円（税別）／年	全97項目のセルフチェックと診断書PDFの発行が、1年間何度でも

会員プラン（料金プラン）を見る

3. ルールづくりまで任せる

診断から、社内ルールや体制づくりまで一緒に進めたい場合は「AIガバナンス支援」をご利用ください。料金は107,800円（税込）〜で、日本全国からオンラインでご依頼いただけます。

AIガバナンス支援について問い合わせる（お問い合わせ種別は「AIガバナンス支援について」をお選びください）

チェックリストを自社で使うときの注意

点検する時期を先に決めておく。 AIのサービスも、法令・ガイドラインも、年に何度も変わります。一度点検して終わりにせず、「四半期に1回」など時期を決めて見直してください。保戸丸のチェックリストも、法令・ガイドラインの改訂に合わせて更新しています。

「わからない」を放置しない。 点検で「わからない」と答えた項目は、誰が確かめるかを決めておきましょう。「わからない」は、実態を誰も把握していないという結果でもあります。

法的な判断が要る項目は専門家へ。 このチェックリストと本記事は、法令・ガイドラインに基づく点検のための情報提供であり、個別の事案に対する法的助言ではありません。契約の解釈や個人情報の扱いなど、個別の法律判断が必要な場合は、弁護士等の専門家にご相談ください。

よくある質問

Q. 無料で点検する方法はありますか？

A. 2つあります。1つは無料診断で、12分類から1問ずつの12問セルフチェック（約3分）に答えると、その場でスコアと弱い分類が分かり、診断レポートも受け取れます。もう1つは97項目セルフチェックの無料プランで、「A. ガバナンス・体制」の10項目を会員登録なしで点検できます。

Q. 小さな会社でも97項目すべて必要ですか？

A. 必要ありません。業種・規模は問いませんが、自社の業務に該当しない項目は「対象外」として点検から外すため、規模に合った診断になります。

Q. チェックリストはどの基準で作られていますか？

A. 国の法令・政府ガイドラインをもとに作っています。主なものは、AI法、総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」、個人情報保護法、著作権法、経済産業省の「営業秘密管理指針」と「AIの利用・開発に関する契約チェックリスト」、警察庁の注意喚起などです。すべての項目に根拠と出典を付けています。

Q. 回答内容は送信されますか？

A. 回答の集計は画面の中だけで行われ、診断レポートの受け取りを申し込んだ場合にのみ、回答内容とご入力の連絡先が保戸丸に届きます。

次のステップ

12分類のうち、どこが弱いかを約3分で確かめられます。結果は診断レポートでお受け取りいただけます。