AI・開発トレンド

AIガバナンス

（えーあいがばなんす／AI Governance）

一言でいうと

AIを誰がどこまで使ってよいか、判断を誤ったときに誰が責任を負うかを、組織として先に決めておく枠組みです。

米国では NIST が2023年に AI Risk Management Framework を公開し、リスクを識別・測定・管理する共通の枠組みを示しました。以降、企業の内部規程がこの構造を参照して作られるようになっています。

国内では2024年に総務省と経済産業省が AI事業者ガイドラインを公表し、事業者が参照する指針が整いました。同年には AI セーフティ・インスティテュートも設置され、評価手法の検討が進んでいます。企業側で生成AIの利用規程を作る動きが広がったのも同じ時期です。

その後、国内の枠組みは指針だけの層から広がりました。内閣府のAI戦略のページには、人工知能関連技術の研究開発及び活用の推進に関する法律、人工知能基本計画、適正性確保に関する指針が並んでいます。自社の規程を作るときは、まずこの一次情報を確認してください。

生成AIは、使い方を決めないまま導入すると事故につながります。顧客情報を外部サービスに貼り付ける、出力をそのまま社外へ出す、判断の理由を説明できないまま合否を決める。いずれも技術ではなく運用の問題です。

AIガバナンスは、この判断を個人任せにしない仕組みです。何を渡してよいか、どこまで自動で決めてよいか、誰が責任を持つかを先に定めます。

社内の利用規程、導入時の審査、外部サービスの選定、ログの保全に関わります。個人情報や顧客の機密を扱う業務では、規程がないまま導入すると監査で指摘を受けます。

採用の領域は特に慎重さが要ります。理由は2つあります。

1つは個人情報保護法です。人種・信条・社会的身分・病歴・犯罪の経歴といった要配慮個人情報は、原則として本人の同意なく取得できません。AIに候補者情報を機械的に集めさせる設計は、まずこの取得段階で止めてください。

ただし、応募書類に本人が自ら病歴や障害を書いて提出する場面は実際に発生します。この場合は本人の提供にもとづいて手元に入るため、取得段階の話とは分けて、保管の範囲と「判定には使わない」運用を別に決める必要があります。

もう1つは職業安定法です。求職者の個人情報の収集・保管・使用は業務の目的に必要な範囲に限られ、社会的差別の原因となるおそれのある事項の収集は指針で制限されています。AIに候補者情報を機械的に集めさせる仕組みは、まずこの制約に照らして設計してください。

ここまでの記述は概説です。自社の運用が適法かどうかは、個人情報保護委員会と厚生労働省の公表資料を参照し、弁護士に確認してください。

専任の職種としてはまだ確立していません。情報システム部門、コーポレートセキュリティ、法務が分担している組織が大半です。

技術側の採用では、この観点を持っているかどうかが実務の差になります。何を外部に渡してよいかを自分で判断できない候補者は、業務データを扱う場面で止まります。

用語	指すもの	AIガバナンスとの違い
情報セキュリティ	情報資産を攻撃と事故から守る取り組み	守る対象が広い。AIガバナンスはAI利用に伴う判断を扱う
コンプライアンス	法令と社内規則の遵守	遵守が目的。AIガバナンスは使い方の設計まで含む
LLMOps	生成AIの運用の総称	技術的な運用。AIガバナンスは組織としての判断の枠組み

技術職の面接でも、何を外部サービスに渡してよいかの判断を聞いてください。ここが曖昧な候補者は、業務データを扱う場面で事故を起こします
自社の規程の整備状況は、求人票に書く価値のある情報です。使ってよい範囲が明示されている環境は、この領域に慣れた候補者にとって働きやすさの指標になります
採用業務でAIを使う場合は、何を集めさせないかを先に決めてください。そのうえで、本人が自発的に書いてきた情報をどこまで保管し、何を判定に使わないかを別に定めます
応募書類を外部のAIサービスへ渡す場合、個人情報保護法上どの整理になるかは自社の判断が要ります。本ページの記述は概説なので、個人情報保護委員会の公表資料を参照し、弁護士に確認してください