生成AIの利用ガイドラインを整備し、AI利用委員会も立ち上げた。ところが半年後、現場に聞くと「ガイドラインは読んだが、日々の判断には使っていない」——少なくない企業のAIガバナンスが、この「文書はあるが機能していない」状態にあります。原因は担当者の怠慢ではありません。「機密情報をAIに入力しない」というルールを守れるかどうかは、個人の注意力ではなく、データの流れがどう設計されているかで決まるからです。以下で扱うのは、ガバナンスが文書で止まる構造的な理由、実務の中心となる4つのデータの流れ、そしてルールを仕組みに翻訳する設計です。AI規制の法務的な整理ではなく、情報システム部門・DX推進部門が明日から動ける実務の話をします。
目次
規程が守られないのは、ルールの遵守を「毎回の人の判断」に委ねているからです。 たとえば「個人情報や機密情報を生成AIに入力してはならない」という条文を考えてみます。営業担当者が顧客との商談メモを要約させたいとき、そのメモのどこまでが「機密」なのかを、その場で正確に判定することを全社員に求めている。これがこのルールの実態です。判断は面倒で、業務は急いでいる。結果、善意の社員が「たぶん大丈夫」で入力するか、ルールを恐れて業務利用そのものを諦めるかの二択になります。前者はリスクの放置、後者は投資の無駄です。
守られない規程への典型的な対策が、研修とeラーニングの追加です。教育は必要ですが、限界も明確です。判断を要する場面が1日に何度もあれば、疲れた日・急ぎの日に判断の質は必ず落ちます。たとえば「この表に顧客名は入っているか」を毎回確認する運用は、100回に1回の見落としを前提にすべきです。教育が解決できるのは「知らなかった」であり、「知っているが毎回は無理」は仕組みでしか解決できません。ガバナンスの検討では、この2つの失敗モードを分けて対策を割り当てることが出発点になります。
機能していないガバナンスの多くは、禁止事項のリストが長いという特徴を持ちます。禁止が増えるほど現場は萎縮し、公式に認められた範囲では業務が回らないため、個人契約のAIサービスや私物端末に逃げる利用（いわゆるシャドーAI）が生まれます。統制の外で使われた瞬間、入力内容も生成物も組織からは見えなくなり、ガバナンスは実質的に失われます。つまり「厳しくしたのに統制が弱まる」逆説が起きます。守られるガバナンスの条件は、禁止の強さではなく、安全に使える公式ルートが業務に足りていることです。
AIガバナンスの議論は倫理・法務の言葉で語られがちですが、情報システムの視点で分解すると、その実体はデータの流れの制御に行き着きます。何がAIへ渡り、AIが何を読め、何が生成され、それらがどう記録されるか。実際、自社のガイドラインを条文ごとに仕分けてみると、倫理宣言や体制の定めを除く大部分（体感では8割前後）が、この4つの流れのどれかに対応する要求だと分かるはずです。この流れを設計し、機械的に制御できていれば、規程の大部分は「人が気をつける」から「仕組みがそうなっている」に変わります。データガバナンスの考え方をAIという新しい出口に拡張する、と捉えると全体像がつかみやすくなります。
| 流れ | 問い | 仕組みでの制御 |
|---|---|---|
| 入力 | 何をAIに渡してよいか | マスキング・項目の絞り込みを経路で自動適用 |
| 参照 | AIが社内の何を読めるか | 参照データの範囲と権限を接続側で制御 |
| 出力 | 生成物をどう扱うか | 人の確認を挟む経路設計・出所の明示 |
| 記録 | 誰が・何を・いつ使ったか | 公式ルート経由の自動ログ |
入力の統制は、利用者の注意力に頼る限り破られます。仕組み側の答えは、AIへ渡る前の経路で機械的に加工することです。たとえば問い合わせ対応の要約なら、顧客名・連絡先を自動でマスキングした上でAIへ渡す経路を用意する。営業データの分析なら、必要な項目だけを抽出した中間データを作り、そこだけをAIに見せる。「入力してよいか迷う」場面自体を減らすことが、入力統制の本体です。
社内データを参照して答えるAI（RAGや社内チャットボット）では、「AIが何を読めるか」が新しい権限設計になります。部門外秘の文書を全社向けAIが読めてしまえば、閲覧権限のない社員が質問経由で中身を知る、というアクセス制御の迂回路が生まれます。元システムの権限や機密区分を、AIに渡すデータの絞り込みへ引き継ぐ設計が必要です。この設計は後付けが難しいため、AI活用の初期に決めるべき事項です。「誰が使うAIか」と「何を読ませるか」は、常にセットで設計してください。
生成AIの出力には誤りが混ざり得ます。ガバナンス上の要点は「AIの出力を、誰の確認を経て、どの業務に使ってよいか」の経路を業務ごとに決めておくことです。社外へ出る文書は人の承認を必須にする、データとして基幹に入る値は検算と突き合わせる、といった具合に、出力の重大度に応じて確認の重さを変えます。全出力に一律の重い承認を課すと、今度は公式ルートが使われなくなります。たとえば「社内向けの要約は確認不要、顧客向け文面は上長確認、基幹への登録値は検算必須」のように3段階に分けるだけでも、現実に回る統制になります。
インシデントが起きたとき、監査が来たとき、「誰が・いつ・何をAIに渡し、何が返ったか」を追えるかどうかで、組織の説明能力は決まります。たとえば「退職予定者が直前1か月に何をAIへ渡していたか」を求められたとき、記録がなければ調査のしようがありません。利用者のメモや自己申告に頼るのは非現実的で、公式ルートを通ったやり取りが自動で記録される構成にするしかありません。記録は監視のためだけでなく、「どの部門で・どれだけ使われ・どれだけ時間を生んでいるか」という投資対効果の実測データにもなり、次の投資判断の根拠として使えます。
要約・翻訳・問い合わせ回答・データ分析など、現場が実際にやりたいことを拾い、それぞれに「ここを通れば安全」という公式の経路を用意します。公式ルートが便利であるほどシャドーAIの動機は消えます。統制と利便性は対立概念ではなく、公式ルートの品質という一点で両立します。「守らせる」発想から「守るほうが楽な環境を作る」発想への転換が、この設計の核心です。
各部門が個別にAIサービスと接続を作ると、マスキングも記録も部門ごとの実装になり、統制は事実上できなくなります。社内システム・データとAIの間にデータ連携の基盤を置き、入力の加工・参照の絞り込み・記録をその一点で行う構成にすると、ルール変更（たとえば新しい機密区分の追加）も1か所の修正で全社に効きます。ガバナンスの持続可能性は、この「制御点の数」でほぼ決まります。
AIサービスも規制も業務も変わり続けます。参照データの範囲は今も適切か、マスキング対象に漏れはないか、使われていない公式ルートはないか。この棚卸しを四半期に一度、委員会の議題として固定します。仕組み化された環境なら、棚卸しは「設定と記録の確認」で済み、全社アンケートのような重い調査は不要になります。
ここまでの設計を一度に全社へ適用する必要はありません。最初の公式ルートには「利用希望が多く、入力データの機密度が中程度」の業務を選びます。たとえば議事録の要約や社内FAQの一次回答は、需要が大きく、マスキングの設計も比較的単純です。ここで「公式ルートを通したほうが速くて安心」という体験を現場に作ってから、機密度の高い業務へ広げます。逆に最初から人事評価や経営情報のような高機密の業務で始めると、設計の難度と社内調整の重さで止まり、その間にシャドーAIが育ちます。
EUのAI規制をはじめ、国内でも政府のガイドラインや業界指針の整備が続いています。個別の要求事項は今後も動くため、条文を追いかけて社内規程を書き換え続けるより、「データの流れを制御し、記録できる」土台を持っておくことが最も汎用的な備えになります。リスク分類や人的監督など規制固有の義務はあるものの、要求の多くは「何をAIに渡し、どう管理しているかを説明せよ」に帰着するからです。土台があれば、新しい要求は設定の追加で吸収できます。具体的な法的義務の解釈は、法務部門・専門家との連携を前提にしてください。
データ連携について詳しく学ぶ（無料ダウンロード）
4つの流れの制御点には、データ連携基盤「ASTERIA Warp」（累計10,000社超が導入）が使えます。社内システム・ファイル・SaaSからAIへ渡すデータの抽出・マスキング・絞り込みをノーコードのフローとして定義でき、生成AI連携のアダプターを通じた入出力はフローの実行記録として残せます。参照データの更新やアクセス範囲の変更もフローの修正で完結するため、「規程を変えたら、仕組みも同じ日に変わる」運用になります。ルールを紙から仕組みへ翻訳する制御点として、AI活用の入口に置く価値があります。
Q. 何から着手すべきですか？すでにガイドラインはあります。
A. ガイドラインの条文を「入力・参照・出力・記録」の4分類に振り分け、「現在は何で担保されているか」を書き出してください。多くが利用者の注意への依存だと可視化されるので、依存度の高い条文から経路の設計に置き換えます。
Q. リスクが読めないうちは、全面禁止にしておくべきではありませんか？
A. 全面禁止は統制が効いているように見えて、シャドーAIという見えない利用を生みやすい選択です。範囲を絞った公式ルートを用意し、記録を取りながら広げるほうがリスクの総量は小さくなります。
Q. AI利用委員会と情報システム部門の分担は？
A. 委員会は「何を許容するか」の判断と定期レビューを、情報システム部門はその判断を経路・権限・記録へ翻訳する実装を担います。判断と実装が分断されると、文書だけのガバナンスに戻ります。
Q. 監査や取引先から説明を求められたら、何を出せばよいですか？
A. 公式ルートの構成図（何がどう加工されAIへ渡るか）と利用記録が基本セットです。仕組みで制御していれば、この2点を「現物」で示せるため、規程の朗読より短時間で強い説明になります。
AIガバナンスが文書で止まるのは、遵守を人の判断に委ねているからです。実務の中心は、入力・参照・出力・記録という4つのデータの流れを設計し、公式ルートと一元的な制御点で機械的に担保すること。禁止を増やすより、安全で便利な公式ルートを増やすほうが統制は強くなり、規制の変化にも土台で応えられます。その制御点として、データ連携基盤「ASTERIA Warp」は現実的な選択肢です。
▼ 「規程を仕組みに翻訳する」制御点を試してみる ASTERIA Warpは全機能を試せる無料体験版をご用意。マスキングや絞り込みを挟んでAIへ渡す公式ルートを、ノーコードで確かめられます。 |
PM・SE・マーケティングなど多彩なバックグラウンドを持つ「データ連携」のプロフェッショナルが、専門領域を超えたチームワークで「データ活用」や「業務の自動化・効率化」をテーマにノウハウやWarp活用法などのお役立ち情報を発信していきます。
ASTERIA Warp製品の技術情報やTips、また情報交換の場として「ADNフォーラム」をご用意しています。
アステリア製品デベロッパー同士をつなげ、技術情報の共有やちょっとしたの疑問解決の場とすることを目的としたコミュニティです。
