2026.09.10

生成AIガバナンスとは｜企業の利用ルール・権限管理・監査ログの設計方法

企業による生成AI導入が進む一方、全社的な活用には課題が残っています。Accentureの2024年調査では、AI主導で業務プロセスを全面的に近代化した企業は16％でした[1]。また、生成AIの変革力を認識する経営者は97％に上るものの、本格的な投資を始めた組織は31％にとどまっています[2]。このギャップの背景の一つとして、利用ルールや権限管理、監査体制の未整備が考えられます。

2026年は、EU AI Actの執行と一定の透明性義務の適用[3]、「人工知能基本計画（第Ⅱ期）」の閣議決定[4]など、AIガバナンスを取り巻く環境が大きく動いています。IPAの「情報セキュリティ10大脅威 2026」でも、「AIの利用をめぐるサイバーリスク」が組織向け脅威の第3位に初選出されました[5]。

企業には、生成AIのルールを作るだけでなく、利用ルール・権限管理・監査ログを一体として設計することが求められます。本記事では、ガバナンスが機能しない理由と、実践的な設計方法を解説します。

生成AIガバナンスとは

3つの柱で構成される統制の仕組み

生成AIガバナンスとは、企業が生成AIを安全かつ効果的に活用するための統制の仕組みです。単なるルール策定ではなく、AIの利用実態を把握し、ルールの形骸化を防ぎながら、継続的なモニタリングと改善を行うことが本質です。

ガバナンスは3つの柱で構成されます。第一に「利用ルール」は、何を許可し何を禁止するかを定めます。第二に「権限管理」は、誰がどの情報にアクセスできるかを制御します。第三に「監査ログ」は、誰が、いつ、どのモデルやデータを使い、どのような結果を得たかを記録します。この3つを統合して設計することで、AI利用の実態を把握し、リスクを抑えながら価値を引き出せます。

ガバナンスが機能しない3つの理由

理由1：AI利用の見えにくさ（シャドーAI）

第一の理由は、AI利用の実態が見えにくいことです。公式ツールを導入しても、現場では会社が承認していない生成AIサービスや個人アカウントを利用するケースがあります。こうしたシャドーAIは、利用状況を可視化しない限り把握できません。シャドーAIの実態と統制する設計については、シャドーAIは禁止では消えない｜社員の無断AI利用を統制する設計で詳しく解説しています。

理由2：ルール形骸化（禁止事項だけのルール）

第二の理由は、ルールを作っても継続的に活用されないことです。利用ルールに「個人情報を入力しない」「機密情報を扱わない」といった禁止事項だけを列挙すると、「どの業務でどう使えるか」という許可条件が分からず、現場が使いづらくなります。ルールが禁止事項だけになっていると、社員は「使わない方が安全」と判断し、利用が進みません。ルール策定だけでなく、業務別の利用例、定期的な見直しと教育、利用状況の可視化を組み合わせることが重要です。

理由3：監査ログ・権限管理の不備

第三の理由は、監査ログと権限管理が整備されていないことです。ログを保存する仕組みを導入しても、確認担当者、確認頻度、異常と判断する基準、発見後の報告・是正手順まで設計されていなければ、実効的な統制にはなりません。

また、社内文書をAIで活用する際に、元文書のアクセス権限とAI経由の回答範囲が一致していないケースもあります。元文書では閲覧できない情報がAIの回答を通じて表示される状態は、権限設定の不備に当たります。EU AI Actでは、高リスクAIシステムについて、ログ記録を通じてシステムの動作を追跡できる設計が求められます[3]。社内AIについても、用途や扱う情報のリスクに応じて、必要なログ項目と確認体制を設計することが重要です。

利用ルール設計

法規制の要件を踏まえた設計

利用ルール設計では、まず法規制の要件を押さえます。EUでは2026年8月2日から、AI Actの執行と一定の透明性義務の適用が始まりました[3]。禁止対象としては、人の意思決定を不当にゆがめて重大な損害を与えるAI、一定の社会的スコアリング、職場・教育現場における感情認識などが定められています[3]。ただし、適用には条件や例外があるため、自社の利用目的と照らして確認する必要があります。また、一定の対話型AIにおけるAI利用の告知、AI生成・加工コンテンツの識別、ディープフェイクのラベリングなどを透明性義務として定めています[3]。

高リスクAIシステムには、ログ記録、リスク管理、人間による監督などの要件が設けられています。ただし、高リスクAIに関する規定の適用時期は、対象区分によって異なります。雇用、教育、重要インフラなど一定分野の高リスクAIには2027年12月2日から、機械などの規制対象製品に組み込まれる高リスクAIには、2028年8月2日から規則が適用される予定です。

日本では、AI法が2025年6月に公布・9月に全面施行され[6]、2026年7月には「人工知能基本計画（第Ⅱ期）」が閣議決定されました[4]。また、総務省・経済産業省の「AI事業者ガイドライン」が2026年3月に第1.2版へ更新されました[7]。企業が社内ルールを設計する際は、法律だけでなく、同ガイドラインのチェックリストやワークシートも参照すると実務へ落とし込みやすくなります。個人情報保護法の2026年改正も2026年7月に公布されており、今後、政令・委員会規則・ガイドラインの整備を確認する必要があります[8]。

利用ルールで決めるべき項目

利用ルールを機能させるには、禁止事項だけでなく、許可条件や運用手順まで明確にする必要があります。最低限、以下の項目を決めてください。

設計項目	決める内容
利用可能なAI	会社指定ツール、利用可能なモデル
入力可能な情報	公開情報、社内情報、個人情報、機密情報の区分
禁止用途	人事評価の自動決定、無承認での顧客回答、権利侵害につながる生成など
出力の確認	人間による確認が必要な業務と確認責任者
成果物の扱い	著作権確認、出典確認、社外公開時の承認
インシデント報告	誤入力、情報漏洩、誤回答が発生した際の報告先
ルール更新	見直し責任者、見直し頻度、改定履歴

「どの業務でどう使えるか」を業務別に示すことで、現場が判断しやすくなります。加えて、期待する効果と評価指標の具体化も欠かせません。「生成AIで業務を効率化する」といった抽象的な目標ではなく、問い合わせ対応時間や文書作成時間など、導入後に確認できる指標を設定します。「生成AIで業務を効率化する」といった抽象的な目標ではなく、問い合わせ対応時間や文書作成時間など、導入後に確認できる指標を設定します。

権限管理設計

リスクベースアプローチによる設計

権限管理設計では、リスクベースアプローチを採用します。EU AI Actの規制体系は、企業向けには一般に「禁止されるAI」「高リスクAI」「特定の透明性義務が課されるAI」「最小リスクのAI」という4つのリスク層で整理できます。高リスクAIシステムには、適切な人間による監視措置、リスク評価・軽減システムの構築を求めています[3]。NISTのAI RMF 1.0も、AIの設計・開発・利用・評価に伴うリスクを継続的に管理するための任意利用の枠組みを示しています[9]。

権限管理では、誰がどの情報にアクセスできるかを明確にします。社内文書を生成AIで活用する場合、部署・役職ごとにアクセス権限を設定し、機密情報へのアクセスを制御する必要があります。社内文書の権限管理とRAGシステムの具体的な設計については、RAGとは？社内文書をAIで活用する仕組み｜導入前の3つの落とし穴が参考になります。

権限管理で決めるべき軸

「部署・役職ごとに設定する」だけでは不十分です。以下の軸に分けて設計すると、きめ細かい制御が可能になります。

ユーザー権限：一般利用者、部門管理者、全社管理者、監査担当者
データ権限：閲覧、登録、更新、削除、外部出力
機能権限：チャット、RAG、エージェント、外部システム連携
管理権限：ログ閲覧、利用停止、ルール変更、権限付与
承認権限：高リスク用途の実行・公開・外部送信

特にRAGでは、元文書のアクセス権限とAI経由の回答範囲を一致させる必要があります。元文書では閲覧できない情報がAIの回答を通じて表示される状態は、権限設定の不備に当たります。

ゼロトラストとAIエージェントのセキュリティ

AIエージェントをクラウド環境で運用する場合は、ゼロトラストの考え方を取り入れたセキュリティ設計が重要です[10]。「信頼して検証する」のではなく、アクセスのたびに検証する姿勢が求められます。実行可能な操作や接続先を必要最小限に限定し、通常と異なる処理や大量アクセスを検知できる仕組みも必要です。

監査ログ設計

活動ログによるトレーサビリティ

監査ログ設計では、活動ログによるトレーサビリティを実現します。EU AI Actは、高リスクAIシステムについて、詳細な技術文書、市場投入後の監視システム構築、継続的モニタリングメカニズムを要求しています[3]。一般企業の社内AIでも、リスクの高い用途については定期レビューに加え、異常な利用を早期に検知できる仕組みを検討する必要があります。

監査ログには、利用者、利用日時、入力内容、生成結果、参照元データ、エラー・ブロック理由などを記録します。ログを取得するだけでなく、以下の項目まで決める必要があります。

取得目的：利用状況分析、インシデント調査、コスト管理など
保存期間：適用法令、社内規程、監査・インシデント調査の目的に応じた期間設定
閲覧権限：利用目的に応じて、ログの閲覧者を必要最小限の担当者に限定
異常と判断する基準：大量アクセス、機密情報の入力、ブロック頻発など
確認頻度：日次、週次、月次のレビュー担当者と手順
発見後の対応フロー：報告先、是正措置、ルール改定の流れ

ログ自体に個人情報や機密情報が含まれる可能性があるため、マスキングやアクセス制限も検討してください。

監査ログを改善につなげる方法

監査ログは、違反やインシデントの発見だけでなく、生成AIの利用状況、コスト、活用が進んでいる業務を把握するためにも利用できます。例えば、部署別の利用者数、利用回数、トークン数、ブロック件数などを継続的に確認することで、追加教育が必要な部門や、全社展開を検討できるユースケースを把握しやすくなります。

ただし、入力内容や生成結果には個人情報・機密情報が含まれる可能性があります。ログの閲覧者を必要最小限に限定し、分析目的に応じて匿名化や集計処理を行うことが重要です。

Smart Generative Chatでは、チャット内容・実施日時・トークン数を確認できる監査証跡画面と、部署などのタグ単位でトークン量や予想利用金額を確認できる分析画面を提供しています。権限管理と利用状況の可視化を同じ基盤で行いたい場合は、管理機能の詳細もご確認ください。

さいごに

生成AIガバナンスは、利用ルール・権限管理・監査ログを一体として運用する統制の仕組みです。2026年は、EU AI Actの執行と一定の透明性義務の適用、人工知能基本計画（第Ⅱ期）の閣議決定、IPA「情報セキュリティ10大脅威 2026」でのAIリスク初選出が重なった重要な年です。企業はルールを策定するだけでなく、利用状況の可視化と継続的なモニタリングまで含めて設計する必要があります。

AI活用を一部の試行で終わらせず、全社的な業務改善につなげるためには、業務別の利用ルールを示し、データや機能へのアクセス権限を管理しながら、ログを改善へ活用することが重要です。AI導入全体の流れと他のステップについては、企業向けAI導入ガイド｜失敗を防ぐ5ステップと成功要件をご覧ください。

まずは、自社のAI利用状況を可視化することから始めてください。