AI ガバナンスの方針とは？小さな会社に要るもの

AI ガバナンスとは

2023 年 1 月 26 日に公開された NIST の AI リスク管理フレームワークは、任意で使う枠組みで、AI のリスクへの取り組みを 4 つの機能に分けます。統治（Govern）、把握（Map）、測定（Measure）、管理（Manage）。2024 年 7 月 26 日には生成 AI のプロファイル（NIST AI 600-1）が加わりました。小さな会社が始めるのは「統治」です。だれが決めるか、どのルールが当てはまるか、みんながどう覚えるか。

EU では、AI 法の第 4 条が、AI システムの提供者と導入者に、従業員や、業務委託先など代わりに AI を使う人の AI リテラシーを支える措置を求めています。欧州委員会の Q&A によると、この義務は 2025 年 2 月 2 日から適用され、各国の監督は 2026 年 8 月 2 日から始まり、証明書は要らず、研修の社内記録で足ります。この条文は 2026 年に改正されたとも書かれています。自社に当てはまるかは、いまの条文を確かめるか、弁護士に相談してください。

公務員向けに書かれた英国政府の AI Playbook は、わかりやすいルールの見本です。AI にできることとできないことを知る、法律を守り安全に使う、適切な場面で人が意味のある判断を持ち続ける。

小さなチームにとっての意味

• もうみんな使っている。2024 年の Work Trend Index では、AI を使う人の 78% が自分の AI ツールを持ち込んでいました。ルールがなければ、各自が自分のルールを決めます。
• 1 回の貼りつけが漏えいになる。個人のチャットのアカウントにお客さんの一覧を貼れば、自社のプライバシーの約束を破るかもしれません。
• お客さんが聞いてくる。セキュリティの質問票で、AI の使い方を聞かれることが増えています。1 ページの方針がその答えになります。

具体例

例として架空の会社を使います。12 人の会計事務所ノースポイントでは、スタッフが 3 種類の AI を使い、2 人は個人のアカウント、1 人はお客さんの給与ファイルをチャットに貼っていました。パートナーは午後のうちに 1 ページの方針を書きました。会社のアカウントで使う 2 つの道具。貼ってはいけないものの一覧（お客さんの個人情報、口座情報、マイナンバーなどの番号、秘密保持契約の対象）。AI が下書きしたお客さんへのメールは送る人が読む。お客さんに聞かれたら AI の助けを伝える。持ち主は業務の責任者、半年ごとに見直す。

チームの共有の AI スキルにも同じルールを入れたので、AI 自身がお客さんを特定する情報を入れないよう促します。方針の説明は 30 分、だれが出たかを簡単に記録しました。

1 ページの方針の書き方

1. いま使われている AI を、推測ではなく聞いて書き出し、使ってよいものを選ぶ。
2. 貼ってはいけないものの一覧を、契約、プライバシーの告知、お客さんとの約束から書く。
3. 社外に出るものの確認と開示のルールを決める。
4. 持ち主と見直しの日を決め、弁護士が確かめるべき点に印をつける。
5. 業務委託先も含め、AI を使う全員に説明し、簡単な記録を残す。

よくある誤解

• 「ガバナンスは AI の禁止」禁止すると、個人のアカウントでの利用に流れます。はっきりした上限つきで道具を認めるほうがうまくいきます。
• 「IT の文書」書く人、売る人、支える人みんなの、仕事のルールです。
• 「一度書けば終わり」道具も法律も変わります。日付を決めて見直します。新しい道具を AI につなぐ前にはコネクタのレビューを。

よくある質問

小さな会社にも AI の方針は要る？

仕事で AI を使う人が 1 人でもいるなら、1 ページでも要ります。Microsoft と LinkedIn の 2024 年の Work Trend Index では、AI を使う人の 78% が自分の AI ツールを職場に持ち込んでいました。方針は、使ってよい道具、決して入れてはいけないデータ、出力を確かめる人を決めます。

EU の AI 法は、AI を使う小さな会社に何を求める？

第 4 条（AI リテラシー）は、AI システムの提供者と導入者に、従業員や業務委託先など代わりに AI を使う人の AI リテラシーを支える措置を求めています。欧州委員会の Q&A によると、2025 年 2 月 2 日から適用され、監督は 2026 年 8 月 2 日から始まり、証明書は要りません。2026 年に改正されたので、いまの条文を確かめてください。このページは法的な助言ではありません。

NIST の AI RMF とは？

米国の国立標準技術研究所（NIST）による、AI のリスクを管理するための任意の枠組みです。2023 年 1 月 26 日に公開され、統治（Govern）、把握（Map）、測定（Measure）、管理（Manage）の 4 つの機能があります。2024 年 7 月 26 日に生成 AI のプロファイル（NIST AI 600-1）が加わりました。