中小企業のAIガバナンスとは、社員が生成AIを業務で使うときの「使ってよい範囲」「入力してはいけない情報」「人が確認する手順」「問題が起きたときの連絡先」を会社として決め、守られているかを定期的に確かめる仕組みのことです。大企業のような専門部署や大がかりな規程がなくても、担当者1〜2人で始められます。
社員が生成AIを業務で使う場面が増えています。一方で、「何を入力してよいか」「出力をどこまで信じてよいか」が決まっていない会社も少なくありません。使う人が増えるほど、決めていないことの影響も大きくなります。
この記事では、AIガバナンスの考え方、大企業との違い、最初に決めておきたい5つの項目、そして最初の30日の進め方を整理します。
なぜ今、AIガバナンスが必要なのか
生成AIは、文章の下書き、資料の要約、データの整理などに役立ちます。その反面、次のような問題が起きる可能性があります。
- 社外秘の情報や個人情報を、そのまま入力してしまう
- AIの出力をそのまま使い、誤りに気づかない
- 誰がどのツールを使ってよいか分からず、個人の判断だけで使われる
これらは「AIが悪い」から起きるわけではありません。会社としてのルールと確認の仕組みがないことから起きます。社員一人ひとりは、仕事を早く終わらせようとしてAIを使っています。悪気のない使い方が事故につながらないように、会社が線を引いておく必要があります。
AIガバナンスとは
AIガバナンスとは、AIを安全に、そして効果的に使うためのルールと体制のことです。具体的には、次のようなことを決めます。
- どの業務で、どのAIを使ってよいかを決める
- 入力してはいけない情報を決める
- 出力を人が確認する担当と手順を決める
- 問題が起きたときの連絡先と対応を決める
目的は、AIの利用を禁止することにはありません。決めたうえで、安心して使える範囲を広げることが目的です。全面禁止にすると、社員が会社に知らせずに個人のアカウントで使い始め、かえって実態が見えなくなることがあります。
大企業との違い：中小企業は何から始めればよいか
AIガバナンスについて調べると、大企業の方針や大手コンサルティング会社の解説が多く出てきます。そのまま真似しようとすると、中小企業には重すぎることがあります。違いを整理すると、次のとおりです。
| 項目 | 大企業でよく見る形 | 中小企業で始めやすい形 |
|---|---|---|
| 担当 | 専門の委員会や部署を置く | 総務・情報システムの担当者1〜2人と経営者で決める |
| 規程 | 数十ページの方針・規程・細則 | A4で2〜3枚の利用ルールから始める |
| 対象 | 自社でAIを開発・提供する場面も含む | 社員が生成AIサービスを「使う」場面に絞る |
| 点検 | 監査部門による定期監査 | 四半期に1回、チェックリストで自己点検する |
中小企業でまず大切なのは、社員が毎日触れる場面、つまり「何を入力するか」と「出てきたものをどう使うか」を決めることです。自社に当てはまらない項目は、無理に決めなくてかまいません。
国の基準の位置づけ
国は、AIを開発・提供・利用する事業者に向けて「AI事業者ガイドライン」を公表しています。現在の最新版は第1.2版で、2026年3月31日に総務省と経済産業省が公表しました。
このガイドラインには法的拘束力はありません。ただし、事業者が取り組むべきことの基準として参照されています。AIを作る会社だけでなく、AIを業務で使う会社も対象に含まれています。
ガイドラインには、別添7として「チェックリスト」と、取り組み方を考えるための「ワークシート」が付いています。チェックリストのうち「全主体向け」のものは、事業者に求められる重要な取組事項のチェックに使うよう案内されています。自社でルールを考えるときの、抜けがないかを確かめる手がかりになります。ただし、そのままでは大企業向けの言葉も多いため、中小企業では自社の業務に当てはまる項目から読んでいくのが現実的です。
また、AI法（人工知能関連技術の研究開発及び活用の推進に関する法律）は2025年9月1日に全面施行されています。
※ 改訂点や条文の解釈は、必ず公表元の原文で確認してください。
最初に決める5項目
- 利用してよい業務の範囲
文章の下書きは可、顧客情報の加工は不可、のように業務ごとに決めます。 - 入力してはいけない情報
個人情報、契約書、未公開の財務情報、取引先の秘密情報などを具体的に書き出します。 - 出力を確認する担当
対外的に出す文書や数字は、人が最終確認する仕組みにします。 - 使ってよいツール
無料版と有料版では、入力データの扱いが異なる場合があります。利用するツールを限定します。 - 問題が起きたときの連絡先
誤送信や情報の入力に気づいたとき、誰に・何をすぐ報告するかを決めます。
5つのうち、どれから手をつけるか迷ったら、2番の「入力してはいけない情報」から始めてください。社員が毎日AIに何を入れるかは、そのまま情報漏えいの入り口になりやすいからです。
最初の30日でやること
5項目を一度に完璧に決めようとすると、手が止まります。1か月を4つに分けて、1週ずつ進めるのがおすすめです。
| 時期 | やること | できあがるもの |
|---|---|---|
| 1週目 | 社内で使われているAIサービスと、使っている業務を聞き取る | AIサービスの一覧（サービス名・使う人・使う業務） |
| 2週目 | 入力してはいけない情報と、使ってよいツールを決める | 入力禁止情報のリスト、利用してよいツールの一覧 |
| 3週目 | 利用してよい業務の範囲、出力を確認する担当、問題が起きたときの連絡先を決める | A4で2〜3枚の利用ルール |
| 4週目 | 全社員に説明し、質問を受けて直す。次の点検日を決める | 周知の記録、次回の点検日 |
1週目の聞き取りでは、会社が契約したサービスだけでなく、社員が個人の判断で使い始めたサービスも含めて一覧にします。ここで責めるような聞き方をすると、正直な答えが返ってきません。「実態を知りたいだけ」と先に伝えておくと進めやすくなります。
4週目の説明は、ルールの文書を配るだけでは足りません。「取引先から届いた見積書をAIで要約してよいか」「社員の名前が入った議事録を整えてよいか」など、自社でよくある場面を3〜5個挙げて、その場で答えを確かめ合うと、ルールの中身が伝わりやすくなります。
よくある失敗
- 全面禁止にする
禁止しても、便利さを知った社員は使い続けます。会社から見えないところで使われるほうが、危険は大きくなります。 - ルールを作って配るだけで終わる
読まれていないルールは、ないのと同じです。具体的な場面を挙げて「これは入力してよいか」を一緒に考える時間をつくりましょう。 - 一度決めたら見直さない
AIサービスの機能や利用規約は、短い期間で変わります。四半期に1回など、見直す時期を先に決めておきます。
自社の状態を確かめる：3つの診断の違い
ルールを作る前に、今の状態を確かめておくと、どこから手をつけるべきかがはっきりします。保戸丸では、国の法令・ガイドラインをもとに整理した97項目・12分類のチェックリストを使い、目的に合わせて3つの確かめ方を用意しています。
| 確かめ方 | 内容 | かかる時間・費用 |
|---|---|---|
| 無料AIガバナンス診断（12問セルフチェック） | 12分類から1問ずつの12問に答え、自社の弱い分類を知る。回答をもとにした診断レポートも受け取れる | 約3分・無料 |
| 97項目セルフチェック | 97項目すべてを、Web上で自社で点検する。「A. ガバナンス・体制」の10項目は無料で試せる | 約15〜20分・無料（10項目）／会員プラン |
| 本診断（AIガバナンス支援） | 保戸丸がヒアリングで97項目を一緒に点検し、直す順番をまとめる。社内ルールづくりまで伴走する | ヒアリング1〜2回・107,800円（税込）〜 |
12分類それぞれで何を確かめるのかは、AIガバナンスのチェックリストで紹介しています。ルールの書き方は、生成AIの社内ルールの作り方を参考にしてください。
よくある質問
Q. 社員が数人の会社でも、AIガバナンスは必要ですか？
A. 必要です。人数が少ない会社ほど、一人が扱う情報の範囲が広く、一度の入力ミスの影響が大きくなりがちです。ただし、大企業と同じ規程は要りません。この記事の5項目をA4で2〜3枚にまとめるところから始めれば十分です。
Q. まだAIをほとんど使っていません。今から決める意味はありますか？
A. あります。使い始める前にルールがあれば、社員は迷わずに使えます。利用を禁止するか迷っている段階でも、先に「使ってよい範囲」を決めておくと、導入がスムーズになります。
Q. AIガバナンスは法律で義務づけられていますか？
A. AI事業者ガイドラインには法的拘束力はありません。ただし、個人情報保護法や著作権法など、AIを使うかどうかに関係なく守るべき法律があります。AIの使い方がそれらに反しないように決めておくのが、AIガバナンスの役割の一つです。個別の法律判断が必要な場合は、弁護士などの専門家にご相談ください。
Q. ルールを作ったあと、何をすればよいですか？
A. 社員への説明と、定期的な点検です。四半期に1回など時期を決めて、チェックリストで「決めたことが守られているか」「新しく使い始めたAIサービスはないか」を確かめます。
次のステップ
上の5項目を、自社の状況に合わせて決めるのは簡単ではありません。まずは、自社の状態を点検してみることをおすすめします。
- 弱い分類を確認する
無料AIガバナンス診断（12問・約3分）を始める → - AIガバナンス診断・導入支援で、97項目の点検と社内ルール整備の内容を確認する
出典
- 総務省「AI事業者ガイドライン」掲載ページ（第1.2版：令和8年3月31日公表）
https://www.soumu.go.jp/main_sosiki/kenkyu/ai_network/02ryutsu20_04000019.html - 内閣府「AI法（人工知能関連技術の研究開発及び活用の推進に関する法律）」（令和7年6月4日公布、9月1日全面施行）
https://www8.cao.go.jp/cstp/ai/ai_act/ai_act.html
※ 出典の最終確認日：2026年10月19日。法令・ガイドラインは改訂される場合があります。本記事は情報提供を目的としたもので、個別の法的助言ではありません。個別の事案については、弁護士などの専門家にご相談ください。
コメント