生成AI時代のAIガバナンス｜安全な活用を支えるためのポイントとは

1. 生成AI活用で顕在化する新たなリスクと「AIガバナンス」の必要性

生成AIの導入が進む中で、企業の業務プロセスは大きく変わりつつあります。文章の作成や要約、問い合わせ対応、ソースコード生成など、従来は人がすべてを担ってきた知的作業をAIがアシストしてくれるようになっています。

こうした利便性の高さは、同時に新しい種類のリスクを伴います。入力情報がそのまま外部サービスに送信されてしまう懸念や、AIが誤った内容を提示する「ハルシネーション」と呼ばれる問題、さらには生成結果に偏りや不正確さが含まれる可能性など、従来のITシステムでは想定しづらかった課題が顕在化しています。

特に深刻なのは、利用者が意図せず情報漏えいを招くケースです。検索サイトに入力する感覚でプロンプト（AIへの指示文）に業務情報を入力してしまい、業務上重要なデータが外部に送信されるといった事例が国内外で報告されています。

また、自社で許可していないAIサービスを従業員が利用してしまうことで情報漏えいが起きる可能性もあります。さらに、利用者がAIに過度に依存し、出力結果をそのまま業務判断に用いてしまうことで、誤情報が組織内外に拡散されるリスクもあります。これらは特定の部門だけではなく、企業全体の信頼性や競争力に影響する可能性があります。

こうした背景から、多くの企業が「生成AIの利便性を活かしつつ、組織としてどう制御するか」という課題に直面しています。生成AIを禁止する方法もありますが、それでは業務効率化や競争力強化の機会を自ら手放すことになります。そこで重要になるのが「利用を止める」のではなく「リスクを把握し、ガバナンスをとりながら、安全な活用を促進するための仕組みづくり」です。この考え方こそが、いま求められているAIガバナンスの出発点です。

AIガバナンスとは、生成AIやLLM（大規模言語モデル）を安心して業務に活用するための「ルール・体制・技術」の総称です。単に利用ポリシーを作るだけでなく、AIがどのような情報と結びつき、どのような仕組みで出力を生成しているのかを把握し、必要な監査やチェックを行う体制を構築することが求められます。さらに、利用者の教育やリテラシー向上も欠かせません。AIの特性を理解したうえで利用者が自ら適切な判断を下せる組織文化を醸成することが、安全なAI活用を継続するための重要なポイントとなります。

生成AIは、業務効率化や価値創造を加速させる一方、その利用には新しい種類のリスクが存在することも事実です。だからこそ、企業は利便性と安全性の両立を図るためのガバナンス設計に本格的に取り組む必要があるのです。

2. AIガバナンス整備の出発点は「ルール」と「体制」の明確化から

生成AIの利活用に取り組む企業が最初に直面する課題は、「ルールが整備されていないまま利用が広がってしまうこと」です。業務効率化という統一的な目的で始めたはずの生成AI活用が、部署ごと・個人ごとに異なる使い方で拡大し、結果としてガバナンス不能な状態に陥るケースは少なくありません。情報システム部門にとっては、どの部門が、どのツールで、会社のどのデータを扱っているのか把握できない状況こそが最大のリスクとなります。

こうした問題に向き合うために、企業がまず着手すべきは「利用ルール」と「体制」の明確化です。利用目的、入力してよい情報・禁止すべき情報、生成物の取り扱い、再利用や外部共有の可否など、最低限のガイドラインを策定することが欠かせません。また、法務・情報システム・業務部門を横断する形で、ガバナンスに責任を持つチームを立ち上げることも重要です。CTCが支援を行ったケースでもプロジェクトの第一歩として、ポリシーやガイドラインを策定する組織を、情報システム部門や法務、経営層などを交えて立ち上げることが多いです。

図1：社内横断のAIガバナンス推進組織立ち上げ例

しかし、ルールの策定だけではガバナンスは機能しません。現場の利用者が「なぜこのルールが必要なのか」を理解し、日常の業務に落とし込めるようにしなければ、ルールは形骸化してしまいます。特に生成AIは使い方の自由度が高いので、入力の内容や出力結果の評価・使い方に関して利用者一人一人が適切な判断を下せるようにすることが強く求められます。

AI活用のルールは作ったものの、運用が定着しないケースには「AIの活用方法が周知されていない」「使用のメリットや目的に対する従業員の理解が不十分で活用が広がらない」「従業員がルールの目的を理解しておらず、なかなかそれを守ろうとしない」といったケースがあります。

さらに、従業員によるルール順守を徹底させ、活用の安全性を確保するうえでは、AIの利用状況を“見える化”することが欠かせません。「誰が、どのAIを、どのような用途で使っているのか」「入力データやプロンプトの内容は適切か」といったことが把握できなければ、問題発生の兆候を早期に察知できません。さらに、AIサービスに対するアクセスログや操作ログの収集・可視化は、サイバー攻撃や情報漏えいなどの有事の際の原因特定や再発防止にも役立ちます。

AIガバナンスの整備は、単なる文書化でも、単なるセキュリティ対策でもありません。ルールづくり、体制構築、利用者教育、そして継続的な監査を組み合わせ、企業としての運用文化を確立するためのプロセスそのものであるといえるでしょう。

3. AIガバナンスを支える3つの原則

AIガバナンスを整備するうえで、企業が押さえておくべき基本原則があります。この基本原則は、経済産業省が策定した「AI原則実践のためのガバナンス・ガイドライン」(*1)をはじめ、独立行政法人 情報処理推進機構（IPA）による「テキスト生成AIの導入・運用ガイドライン」（*2）、さらには、経済産業省と総務省による「AI事業者ガイドライン」(*3)などの公的資料で共通して言及されています。それは「透明性」「説明責任」「監査性（トレーサビリティ）」の3点です。

*1 参考：経済産業省「AI原則実践のためのガバナンス・ガイドライン」（2022年1月公開）
*2 参考：IPA「テキスト生成AIの導入・運用ガイドライン」（2024年7月公開）
*3 参考：経済産業省・総務省「AI事業者ガイドライン」

（1）透明性

透明性とは、AIがどのような仕組みで出力を生成しているのか、利用者や管理者が理解できる状態を指します。生成AIは学習データやモデル構造がブラックボックスになりがちですが、業務利用においては「なぜその回答になったのか」を一定の範囲で把握できる必要があります。判断根拠が不透明なまま業務判断に用いると、誤情報の拡散や不適切な意思決定につながるためです。AIの回答を検証するためには、入力情報や利用環境を把握し、前提を確認できる状態にしておくことが重要です。

（2）説明責任

ここでいう説明責任とは、AIが誤った出力をした際に、誰がその結果を確認し、どのように対応するのかを明確にすることを指しています。生成AIの出力は、常に正確であるとは限りません。内容の正確性を担保し、人が最終判断を行うプロセスを組み込むことで、業務上の重大な誤判断を防ぐことができます。特に顧客への対応や営業文書の生成など、社外に影響が及ぶ業務では、AIの出力をそのまま利用するのではなく、チェックフローを確立することが求められます。

（3）監査性（トレーサビリティ）

監査性（トレーサビリティ）とは、AIの入出力や利用履歴、モデル更新の履歴などを、あとから確認できる状態にしておくことを意味します。監査ログやプロンプト履歴を記録しておくことで、有事の際に原因を特定しやすくなり、再発防止策も講じやすくなります。また、利用状況を可視化することで、ポリシーに反した使い方を早期に察知できるという利点もあります。実際にCTCが支援を行ったケースでも、導入当初から「ログ取得、管理の仕組み」を組み込むことで、運用全体の安全性が大きく向上しています。

これら3つの原則は、AI活用にブレーキをかけるものではありません。AIによる処理を業務プロセスに安心して組み込むための方法論、あるいは設計思想といえるものです。実際、これらの原則に従うようにすれば、業務にAIツールを使うとき、そのツールがどのような条件で動作し、どのような前提で出力が生成されたのかが把握できるようになります。それは組織としての安心感につながります。同様に3原則を守ることで、管理者はAIの利用状況が把握できるようになり、利用者は適切な判断のもとでAIが使えるようになります。それは長期的なAI活用の土台となります。

4. 実践事例にみる成功パターンと課題とは

AIガバナンスを整備するうえでは、取り組みを進めている企業の実践例を知ることも有効です。本章では、実際の企業で見られた成功パターンと課題、そしてガバナンスを機能させるためのポイントを紹介します。

まず、成功事例に共通しているのは、最初の段階で経営層を含む体制を整備していることです。生成AIなどの活用は部門をまたいで広がるため、情報システム部門だけでガバナンスをとるのが困難になります。そこでガバナンスを推進する専門チームを設け、法務、セキュリティ担当、業務部門などが連携することが重要となり、それによって利用ルールの整合性や実効性が高まります。また、導入初期から「AIをどの業務で、どのように使うか」を具体的に整理することで想定外の利用やリスクが抑えられます。

一方、課題の典型例として挙げられるのが、「ルールは整備したが、実際の運用に落とし込まれていない」というケースです。例えば、入力してはいけない情報を定めても、利用者がその内容を理解していなければ、誤って機密情報を入力してしまう可能性があります。また、利用ポリシーが単に文書化されているだけでは、業務遂行の当事者から意識されにくく、ポリシーが形骸化してしまいます。

こうした課題に対応するために、CTCでは、お客様に提案する際に「可視化」と「監査」を重視しています。具体的には、プロンプト履歴や生成物のログを自動で記録し、管理者が利用状況を把握できるようにする仕組みを、AI導入の初期段階から整備するようにしているわけです。これにより、問題の兆候を早期に察知し、改善につなげることが可能になります。

また、生成物に対しては、業務部門が最終確認を行うフローを組み込み、誤情報の拡散を防ぐ工夫も有効です。

例えば、CTCのある事例では、チャットボットやFAQシステムへの生成AIの導入にあたり、「回答の信頼性をどう担保するか」が課題でした。そこで、AIが生成した回答に対してガードレールを設ける仕組みや、業務担当者が最終確認するプロセスを採用し、ハルシネーションの抑制に成功しました。さらに、モデル更新や利用履歴を監査する仕組みを整えたことで、継続的に品質を改善できる体制を構築しています。

 図2：生成AIチャットボットにおけるハルシネーションを抑制する機能のイメージ 

出典：伊藤忠テクノソリューションズ株式会社「金融機関向けクラウドサービス「C-NOAH」にAIガバナンスを強化する機能を追加」（2025年4月30日）を基に作成

このように、AIガバナンスを実装する際の重要なポイントは、「ルール」「技術」「人材」を組み合わせ、段階的にガバナンスを実装することです。ガバナンスを支える仕組みを一気に整備しようとすると現場の負荷が大きく、定着しないケースもあるからです。まずは利用ルールや体制を明確にし、次にログの取得や自動監査など、ガバナンスを効率化するテクノロジーを導入し、最後に教育や運用改善の仕組みを実装するステップが有効だといえます。

5. CTCが描くAIガバナンス実践のアプローチ

生成AIの利用が広がるにつれ、企業が向き合うべきリスクは多様化し続けています。プロンプトインジェクションやハルシネーションといったAI特有の脅威に加え、今後はAIが自律的に判断・行動する「AIエージェント」型の活用も一般化すると予測されています。こうした環境の変化に対し、CTCでは「従来のセキュリティ対策だけでは不十分であり、生成AIだけでなく、AIエージェント全体をどう安全に運用し、組織として責任を持てる状態にするかが重要になる」と考えます。

なかでも重要なのが、AI活用に関する“ガバナンスの仕組み化”です。つまり、AIの利用状況を把握し、出力の品質を継続的に評価し、利用ルールと整合しているかを確認するプロセスをシステム化してしまうということです。これにより、AIの利便性を損なわずにリスクを低減することが可能になります。

CTCは、この仕組みづくりを「Security for AI」というコンセプトで体系化し、企業のAI活用プロセス全体を安全に支えるアプローチとして位置付けています。

この体系について少し詳しく説明すると、まずは以下の3つの仕組みを構築します。

1. 企業独自の利用ポリシーにもとづいてアクセス制御やプロンプト監査を行う仕組み

2. 大規模言語モデルなどの評価基準・品質指標を継続的にチェックする仕組み

3. 利用ログを記録・監査する仕組み

これらの仕組みを組み合わせ、運用フェーズでのガバナンスを強化するのです。

また、生成AIを活用した業務プロセスが増えていくと、ルールや教育の見直しも避けられません。ですので、運用全体を通じた継続的な改善サイクルを支援する姿勢を重視しています。

図3：AIガバナンスの継続的改善サイクル 

さらに、CTCはこれらの取り組みを支えるために、AIガバナンスの実装を後押しする各種ツール群の提供も進めています。

例えば、生成AIの活用に際してはポリシーやガイドラインの策定、体制設計、生成AIに対するセキュリティ確保が重要であることから、CTCではセキュリティ確保を自動化・効率化するツールとして「Dynamo AI」の取り扱いを2026年3月頃に予定しています。Dynamo AIには、AIの利用状況を可視化し、ポリシーに反する利用を検知する機能や、生成AIの出力品質を評価する機能、モデル更新の履歴を管理する機能など、企業が独力では整備しにくいガバナンス支援の機能が備わっています。

AIはいまや、企業の業務改革と価値創造を支える中心的なデジタルテクノロジーとなっています。一方で、AIによる処理の信頼性や安全性が揺らぐと、活用をストップせざるをえなくなる可能性があります。CTCでは今後、Dynamo AIなどのAIセキュリティツールを活用しながら、生成AIだけではなくAIエージェントも含めた幅広い範囲でSecurity for AIのソリューションを拡充していく予定です。安全で持続的なAI活用を目指されているならば、ぜひCTCにご相談ください。