AIガバナンスは、大規模なプログラムから始める必要はありません。明確な責任分担、利用状況の信頼できる把握、そして実際に守られる少数のルールから始まります。このチェックリストは基本事項を扱っています。順番に取り組み、組織の規模に見合った範囲にとどめ、決定した内容を記録してください。
このチェックリストは、EU AI法（EU AI Act）、GDPR（EU一般データ保護規則）、およびISO/IEC 42001:2023やNIST AI Risk Management Frameworkなどの確立されたフレームワークに基づいています。個々のユースケースに関する法的評価に代わるものではありません。
1. 責任者とポリシー
- 経営レベルでAIに関する説明責任を負う役員を指名する
- 事業部門、IT、情報セキュリティ、データ保護、法務、人事からなる小規模な部門横断グループを設置する
- 新しいAIユースケースを誰が承認し、誰が例外を認められるかを定める
- 利用を認めるツール、禁止される用途、データに関するルール、承認経路を定めた簡潔なAIポリシーを作成する
- ポリシーを従業員が見つけやすい場所に公開し、少なくとも年1回見直す
2. インベントリ
インベントリは、その後のすべてのステップの基盤です。まず網羅性を、次に詳細さを目指してください。
- 既存のSaaS製品に組み込まれたAI機能を含め、利用中のすべてのAIシステムを一覧化する
- プロキシ、ID、エンドポイントのデータなどからシャドーAIを特定する
- システムごとに、責任者、ベンダー、目的、利用者、影響を受ける人、データの種類を記録する
- システムごとに、EU AI法上の自社の役割（提供者または導入者）を記録する
- チャットツールだけでなく、AIエージェントや自動化も対象に含める
3. 受付と承認
明確な受付経路を設けることで、新しいAI利用がレビューを経ずに始まることを防ぎ、従業員は迅速に承認を得られるようになります。
- 新しいAI利用の申請窓口を一本化する
- 目的、データ、利用者、ベンダー、想定される意思決定を記入する簡潔な申請フォームを使う
- リスクに応じて、申請をデータ保護およびセキュリティのレビューに回す
- 承認、条件、受容したリスクを有効期限付きで文書化する
- 目的、データ、モデルが変わった場合は再評価する
4. リスク分類
分類によって、ユースケースにどの程度の精査が必要かが決まります。一貫して適用できるよう、手法はシンプルに保ってください。
- すべてのユースケースをEU AI法第5条の禁止行為と照合する
- 人事、与信、必要不可欠なサービスへのアクセスなど、高リスクに該当しそうなユースケースにフラグを付ける
- ディープフェイクや感情認識などの透明性義務を特定する
- 事業、プライバシー、セキュリティのリスクを、シンプルで一貫した尺度で評価する
- リスクレベルに応じてレビューの間隔を定める
5. データ保護
ほとんどのAIユースケースは、どこかの段階で個人データを扱います。GDPRの下での他の処理活動と同様に取り扱ってください。
- GDPR第6条に基づく法的根拠を確認し、特別な種類の個人データについては第9条に基づく例外を確認する
- 高いリスクが見込まれる場合はデータ保護影響評価（DPIA）（第35条）を実施する
- 第28条に基づく処理者契約を締結し、ベンダーが自社のデータでトレーニングしていないかを確認する
- 第三国への移転と再委託先を評価する
- 処理活動の記録（第30条）を更新する
6. セキュリティ対策
AIはプロンプトインジェクションなどの新たな攻撃経路をもたらしますが、ほとんどの対策は既存のセキュリティの基本の上に成り立ちます。
- AIツールにシングルサインオン、多要素認証、最小権限を適用する
- AIを文書保管庫に接続する前に過剰共有を是正する
- OWASP Top 10 for LLM Applicationsを指針として、プロンプトインジェクションとデータ漏えいに対するガードレールを適用する
- 外部モデルに渡る前に個人データを墨消しまたは仮名化する
- AIの操作ログを記録し、関連するイベントをセキュリティ監視に取り込む
7. エビデンスと研修
ガバナンスは、示すことができて初めて意味を持ちます。エビデンスは最初から計画し、研修をあらゆる導入の一部に組み込んでください。
- インベントリ、評価、承認、例外をバージョン履歴付きで一元管理する
- 監査の直前ではなく、継続的にエビデンスを収集する
- EU AI法第4条が求める、役割に応じたAIリテラシー研修を提供し、受講状況を記録する
- AIリスクの状況を定期的に経営陣に報告する
- Fidempliは、コンサルティング、プロフェッショナルサービス、マネージドサービスを通じてこれらのステップの導入を支援します。2026年12月からはFidempli プラットフォームがこれを補完します