AI事業者ガイドライン第1.2版に学ぶ、リスクに応じたAI運用

ChatGPTをはじめとする生成AIは、文書作成や情報収集、要約、議事録の整理など、さまざまな業務で利用されるようになりました。

一方で、生成AIの業務利用に前向きになれない企業も少なくありません。

「情報漏えいが心配なので、社内では利用させていない」
「生成AIを何に使えばよいのか分からない」
「本当に業務改善につながるのか判断できない」

こうした疑問を持ち、しばらく様子を見たいと考えるのは自然なことです。

しかし、その間にも生成AIを活用する企業では、情報整理、文書作成、顧客対応、開発支援などの効率化が進んでいます。今後は、AIを利用することによるリスクだけでなく、利用しないことによる生産性や競争力の低下も無視できなくなるでしょう。

企業はいま、「AIを使うリスク」と「AIを使わないリスク」の間に立っています。

そのような状況で、企業は生成AIをどのように管理すればよいのでしょうか。本記事では、総務省と経済産業省が2026年3月31日に公表した「AI事業者ガイドライン第1.2版」（2024年4月の初版公表から数えて2度目の改定版）を手がかりに、現在のAIガバナンスの考え方と、企業が取り組むべき基本的な対応を整理します。

会社が生成AIを正式に導入していなくても、社員がすでに個人向けのAIサービスを業務で利用している可能性があります。個人アカウントのChatGPTやGeminiに、会議資料や顧客への提案内容を入力し、下書きや要約に使うようなケースです。

こうした利用が会社の管理外で行われる状態は、一般に「シャドーAI」と呼ばれます。従来のシャドーITと同様に、会社が把握していないサービスが業務に使われることで、次のような問題が生じます。

• どのAIサービスに、どのような情報が入力されているのか把握できない
• サービスの利用規約やデータの取り扱いを確認できない
• 問題が起きた場合の相談先や対応方法が決まっていない

特に、顧客情報や未公開の事業情報、契約書などを外部のAIサービスへ入力するケースには注意が必要です。また、生成AIの出力は常に正しいとは限らず、確認せずに顧客対応や意思決定へ利用すれば、新たなリスクにつながります。

このため、企業として生成AIの利用を管理する必要があります。ただし、管理が必要であることと、利用を一律に禁止することは同じではありません。重要なのは、AIを使わせないことではなく、会社が把握できる範囲で安全に利用できる環境を整えることです。

AI事業者ガイドライン第1.2版は、AIの安全・安心な活用に向けて、企業や組織が取り組むべき事項を整理した指針です。AIに関わる事業者を「AI開発者」「AI提供者」「AI利用者」に分けており、ChatGPTやMicrosoft Copilotなどを社内業務で利用する一般企業の多くは「AI利用者」に該当します。

このガイドラインで重要なのは、すべての企業や業務に同じ管理方法を一律に求めているわけではないことです。AIの利用目的、扱う情報、想定される影響、企業の規模や体制などを踏まえ、リスクに応じた対応を選ぶことが基本となっています。

「使うか、使わないか」だけでは判断できない

公開情報をもとに社内イベントの案内文を作成する用途と、顧客情報を含む契約書を分析する用途では、必要な管理水準は同じではありません。前者は、生成された文章を人が確認するという基本的なルールで対応できるかもしれませんが、後者は契約条件やアクセス権限、個人情報の取り扱いなどを慎重に確認する必要があります。「生成AIだから危険」「企業向けサービスだから安全」と一括りにせず、何に使い、どのような情報を扱うのかによって管理の強さを変えることが求められます。

利用を広げる判断にも、慎重さは必要

生成AIを活用する企業では、文書作成や情報整理にとどまらず、企画や顧客対応、開発支援まで、さまざまな業務の効率化が進み始めています。だからといって、準備が整わないまま無秩序に利用を広げてよいわけではありません。企業に求められるのは、「利用するか、禁止するか」の二者択一ではなく、どの業務で、どの情報を使い、どの程度の管理を行えば安全に活用できるのかを判断することです。

ルールは一度作って終わりではない

生成AIサービスは短期間で機能や利用条件が変化します。文章入力だけだったサービスに、ファイルのアップロードや社内データとの連携機能が追加されれば、想定されるリスクも変わります。そのため、利用ルールは一度決めれば完成するものではなく、実際の利用状況やサービスの変化を確認しながら継続的に見直す必要があります。AIガバナンスとは、固定的な規制を作ることではなく、変化するAI利用を組織として管理し続ける仕組みだと捉えるとよいでしょう。

AIを一律に禁止するのではなく、利用目的やリスクに応じて管理する考え方は、日本だけのものではありません。

フレームワーク	策定主体	特徴
NIST AI RMF	米国国立標準技術研究所（NIST）	リスク管理を「統治」「状況把握」「測定」「管理」の機能に整理し、利用場面に応じて適用する
Microsoftのガバナンス方針	Microsoft	AIサービスだけでなく、データ・ID・アクセス権限・利用ルールを組み合わせて継続的に管理する
Google SAIF	Google	AIモデルだけでなく、データやインフラ、運用監視まで含めてAIシステム全体を守る

対象や構成に違いはありますが、「AIの活用を前提に、利用目的とリスクを把握し、リスクに応じて対策を選び、組織で責任を分担しながら継続的に見直す」という方向性は共通しています。AI事業者ガイドライン第1.2版も、こうした国際的なAIガバナンスの流れと重なるものです。

現在の主流は、AIを危険なものとして一律に規制することではなく、活用を前提に、状況に応じた管理を行うことだと言えます。

大企業であれば、専門部署を設置し、利用ログの監視やデータ漏えい防止の仕組みを導入することも可能です。しかし、100～300名規模の企業が同じ管理体制をそのまま再現するのは現実的ではありません。重要なのは、大企業と同じ仕組みを用意することではなく、自社の業務、扱う情報、人員、予算に合った管理水準を決めることです。まずは、次の4つから始めるとよいでしょう。

① 会社として利用を認めるAIサービスを決める

社員がそれぞれ異なるAIサービスを個人アカウントで利用していると、会社として利用実態やデータの取り扱いを把握できません。まずは、業務で利用してよいAIサービスを会社として選びます。選定時には、入力データが学習に利用されるか、退職者や異動者の利用を停止できるか、契約終了後にデータがどう処理されるかを確認しましょう。利用を認めないサービスを列挙するより、会社が確認した推奨サービスを示す方が、シャドーAIの防止につながります。

② 入力してはいけない情報を具体的に示す

「機密情報を入力しない」という表現だけでは、社員によって判断が分かれます。顧客の個人情報、未公開の事業情報、契約書の非公開情報、認証情報など、日常業務で遭遇しやすい具体例を示すことが実効性につながります。あわせて、固有名詞を削除する、数値を仮のものに置き換えるといった代替方法も示すと、単なる禁止ルールで終わりません。

③ AIの出力を人が確認する

生成AIの出力は、必ずしも正確とは限りません。顧客への回答や経営判断に使う資料、外部へ公開する記事などでは、誰が何を確認するのかを明確にする必要があります。生成AIは最終判断を任せる存在ではなく、下書きや検討を支援する道具として位置づけるのが基本です。

④ 相談と見直しの仕組みを作る

生成AIの利用場面をすべて事前にルール化することはできません。禁止事項を増やすだけでなく、社員が判断に迷った際に相談できる窓口を設け、半年に一度など定期的に、利用状況や社内からの相談内容、サービスの仕様変更を確認しましょう。最初から完璧な管理体制を作る必要はありません。社員が理解でき、日常業務で守ることができ、会社として継続できる仕組みから始めることが大切です。

取り組み	内容
① 推奨AIサービスを決める	業務で利用してよいAIサービスを選定し、学習利用の有無やアカウント管理機能を確認する
② 入力禁止情報を明確にする	個人情報・未公開情報など具体例を示し、代替方法（匿名化など）もあわせて周知する
③ 出力を人が確認する	顧客対応や経営判断に使う場合は、確認者と確認項目を明確にする
④ 相談・見直しの仕組みを作る	相談窓口を設け、半年に一度など定期的に利用状況とルールを見直す

生成AIを業務で利用することには、情報漏えいや誤情報などのリスクがあります。一方、生成AIを利用しないことにも、業務効率や競争力の面で取り残されるリスクがあります。

企業に求められるのは、AIを無秩序に使わせることでも、一律に禁止することでもありません。自社の業務や扱う情報、組織の体制に応じて、安全に活用できる範囲と方法を決めることです。AI事業者ガイドライン第1.2版や海外のフレームワークが示しているのも、単なる規制ではなく、リスクに応じて管理しながらAIを活用するという考え方です。

まずは、社内でどのようなAIサービスが、どの業務に利用されているのかを確認することから始めてみてはいかがでしょうか。利用実態を把握したうえで、推奨サービス、入力ルール、出力の確認方法、相談先を決める。それだけでも、シャドーAIを放置する状態から、管理されたAI活用へ一歩進むことができます。

そして、管理の基本を整えた次に考えるべきなのが、生成AIをどの業務で、どのように活用すれば、本当の業務改善につながるのかという問いです。このテーマについては、別のコラムで具体的な業務例とともに考えていきます。

ドコモソリューションズのWindows運用支援

ドコモソリューションズでは、ゼロトラストセキュリティサービスの導入を前提に、Copilot導入前のセキュリティ準備支援や、Microsoft 365（Teams・SharePoint・OneDrive）の運用設定支援をあわせてご提供しています。お気軽にご相談ください。

参考資料

総務省・経済産業省『AI事業者ガイドライン 第1.2版』（2026年3月31日）
NIST（National Institute of Standards and Technology）『AI Risk Management Framework（AI RMF 1.0）』
Microsoft『Microsoft AI Documentation』『Microsoft Copilot documentation』
Google『Secure AI Framework（SAIF）』

※ChatGPTはOpenAIの商標です。
※GeminiはGoogle LLCの商標です。
※Microsoft、Microsoft 365、Microsoft Copilot、Teams、SharePoint、OneDriveは、Microsoft Corporationの米国およびその他の国における登録商標または商標です。
※その他、記載されている会社名、製品名、サービス名などは、各社の登録商標または商標です。