AIガバナンスとは？意味・仕組みと社内で決めること（2026年11月時点）

ひとことで言うと

AIガバナンスは、会社などの組織が AI を使うときに、リスクを管理するための方針、ルール、役割、確認の手順を決めて回していくことだ。このページでは米国の NIST（国立標準技術研究所）の AI Risk Management Framework と、国際規格 ISO/IEC 42001 の公式ページの説明から、この意味で使う。NIST はこの働きを「govern」と呼び、ISO は AI に関する組織の健全なガバナンスのための方針と手順を整えることだと説明している。

身近な例は、社員が生成AIのチャットに会議のメモを貼って要約させる場面だ。どのツールなら使ってよいか、どんな情報なら入力してよいか、出てきた要約を誰が確かめるか。これを前もって決めて社内に伝え、守られているかを見直すのが AIガバナンスにあたる。

このページは公式の資料をまとめたもので、法的な助言ではない。TRAIL は法律事務所ではない。

仕組み

NIST の AI RMF（2023年1月26日公開）は、AI のリスクの管理を4つの機能に分けている。

1. Govern（統治）：組織の中にリスク管理の文化をつくり、方針、手順、役割と責任を決める。NIST は、ほかの3つの機能すべてにかかわる横断的な機能と位置づけている。
2. Map（把握）：AI システムがどんな目的と場面で使われるかを整理し、リスクを捉える前提をつくる。
3. Measure（測定）：リスクと影響を、量や質の方法で分析し、評価し、監視する。NIST は、AI システムを導入の前と運用中に定期的に試験すべきだとしている。
4. Manage（対応）：把握して測ったリスクに資源を割り当て、問題が起きたときの対応、復旧、連絡の計画を持つ。

ISO/IEC 42001 は組織の中に AI マネジメントシステム（AIMS）をつくり、実施し、維持し、継続的に改善するための要求事項を定めた規格だ。ISO は PDCA（Plan-Do-Check-Act）の方法で、AI に関する方針と手順を整えるものだと説明している。

日本では、総務省と経済産業省が「AI事業者ガイドライン」を公表している。内閣府の一覧では事業活動で AI の開発、提供、利用を担うすべての者に、必要な取り組みの基本的な考え方を示すものと説明されている。

表で見る最新の状況

上の年表は社内での AI の使い方を管理するための機能について、TRAIL の DB にある6件の出来事を古い順に並べたものだ。確認日は2026年10月10日から10月22日。

Microsoft 365 Copilot（2023年3月16日発表）は、顧客のデータをモデルの学習に使わないとした。Claude Enterprise（2024年9月10日開始）は、SSO、監査ログ、SCIM（利用者の登録を自動でそろえる仕組み）によるユーザー管理を備え、会話内容を学習に使わない方針を明記した。NotebookLM は2025年2月5日に Google Workspace のコアサービスになり、アップロードや回答がモデルの学習に使われない対象になった。

2026年には、管理者が細かく制御する機能が続いた。Perplexity は7月27日に Enterprise 向けにロールベースのアクセス制御を出した。Notion は9月9日に、ワークスペースのオーナーが使える AI モデルを選べるようにした。Claude Console では10月20日から、組織の管理者が web fetch（AI がウェブのページを読みにいく機能）を止めたり、読めるドメインを決めたりできる。

TRAIL の年表では、学習に使わない方針の明記から、モデルやウェブ閲覧を管理者が選ぶ機能へと、管理の範囲が細かくなっている。社内で決めたルールを、ツールの設定で守らせられるかを確かめる手がかりになる。

各機関の公式資料の更新は次のとおりだ（2026年11月6日に確認）。

AIガバナンスと AI推進法・EU AI法の違い

AIガバナンスは組織の中の仕組みで、AI推進法と EU AI法は国や地域の法令だ。法令の側は TRAIL のそれぞれのページと同じ事実だけを書いた。

AIガバナンスは、法令や指針の要求を自社でどう守るかを決める組織の仕組みだ。NIST も、AI にかかわる法令の要件を理解して記録することを Govern の項目に挙げている（Govern 1.1）。

仕事でどう関係するか

社内の利用ルールを作るとき

NIST は Govern 1 として、AI のリスクにかかわる方針と手順が組織全体で整い、実際に運用されている状態を挙げている。使っている AI システムの一覧を持つこと（Govern 1.6）もその1つだ。AI事業者ガイドラインには、チェックリストとワークシート（別添7）があり、両省はガイドラインのチャットボットも公開している。

入力してよい情報を決めるとき

AI推進法の第3条4項は、AI の不適切な使い方が、個人情報の漏えいや著作権の侵害を助長するおそれに触れている。内閣府の一覧には、個人情報保護委員会の「生成AIサービスの利用に関する注意喚起等について」（2023年6月）が載っている。NIST は、信頼できる AI の特性の1つにプライバシーへの配慮を挙げ、第三者のソフトウェアやデータから生じるリスクへの方針と手順を整えることを挙げている（Govern 6）。

上の年表のとおり、法人向けのプランには会話の内容を学習に使わないと明記したものや、管理者が機能を止められるものがある。

出力を確かめるとき

生成AIの出力には、事実と違う内容が混ざることがある（ハルシネーション）。NIST は、AI システムを導入の前と運用中に定期的に試験すべきだとしている（Measure）。人と AI の分担と、AI システムを監督する役割と責任を決める方針も挙げている（Govern 3.2）。

責任者と教育を決めるとき

NIST は AI のリスクにかかわる役割と責任、連絡の経路を文書にすること（Govern 2.1）を挙げている。社員とパートナーにリスク管理の研修をすること（Govern 2.2）と、経営陣がリスクの判断に責任を持つこと（Govern 2.3）も挙げている。EU AI法の対象になる提供者と導入者には、同法の第4条が AI を扱う社員などの AI リテラシーを育てる措置を求めている。

注意点と限界

• このページは法的な助言にあたらない。TRAIL は法律事務所ではない。自社に何が必要かは、法令の条文と各省の公式の資料で確かめる必要がある。
• NIST の AI RMF は任意の枠組みで、NIST は公的機関にも民間にも使うことを義務づけていない。NIST は、特性を個別に満たしても AI システムが信頼できるとは限らないとしている。
• ISO/IEC 42001 の本文は ISO のサイトで販売されている（2026年11月6日の表示で CHF 225）。このページは ISO の紹介ページの説明だけを使った。
• AI事業者ガイドラインの本文は PDF で公開されている。このページは、両省と内閣府の HTML のページで確かめられる範囲だけを書いた。
• 指針と規格は改められる。AI事業者ガイドラインは版を重ねており、NIST は米国政府の AI Action Plan にもとづいて AI RMF 1.0 を改訂中だ。社内で参照するときは、版と日付を記録する。

よくある質問

関連する用語

• AI推進法：日本が AI の研究開発と活用を進めるために定めた法律
• EU AI法：EU が AI の使い方をリスクで分けて義務を定めた規則
• ガードレール：AI の入力と出力を検査して止める安全対策の仕組み
• レッドチーミング：AI のシステムの危険や弱点を前もって見つける試験
• 生成AIと著作権：AI の学習と生成にかかわる著作権の扱い
• LLMO：生成AIの回答に自社の情報が正しく引用されるようにする取り組み
• ツール：Claude、Microsoft Copilot、NotebookLM、Perplexity、Notion AI