AIガバナンス

AI規制がリスクベースへ向かう時代、企業はAI台帳と責任分界をどう作るべきか

2026年7月7日11分で読める

QUICK CHECK

本文を読みながら、自社で進めるべきか、相談前に何を整理するかを確認できます。

5分で自社の状況を診断する

GXO COLUMN

AIガバナンス

先に結論

AI規制がリスクベースへ向かうというニュースを見て、企業が最初にやるべきことは、海外法の細かい条文を読むことではありません。最初にやるべきことは、自社で使っているAIを一覧化し、低リスク、中リスク、高リスクに分け、誰が責任を持つかを説明できる状態にすることです。

GXOの見解は明確です。AI台帳は、法務部門だけの文書ではありません。経営、情シス、DX推進、現場、外部ベンダーが同じ前提でAIを扱うための業務管理表です。AI台帳がない会社は、AI規制の議論以前に、何を守るべきか、何を止めるべきか、誰が判断するべきかを説明できません。

この記事は、経営者、DX責任者、情シス、法務、AI推進担当が、AI台帳作成、責任分界整理、AI利用規程、ベンダー契約レビュー、AI導入前監査の相談に進むための記事です。

FREE DOWNLOAD

中小企業のDX推進「失敗を防ぐ5ステップ」ガイドを無料でお送りします

多くの企業がつまずくポイントを着手順に整理した無料ガイド。相談する前に、自社の現在地と進め方を掴めます。

5ステップガイドを無料でダウンロード

何が起きているのか

2026年7月7日、Economic Timesは、インドで検討される新しいAI法が、AIシステムをリスクに応じて分類し、低リスクのチャットボットや生産性ツールには軽い規律を、高リスクの金融、医療、重要インフラ用途にはより厳しい義務を課す方向になり得ると報じました。

この記事はインドの報道であり、日本企業に直接同じ義務がかかると断定するものではありません。ただし、企業実務にとって重要なのは、国ごとの法律名ではなく、AIを用途とリスクで分けて管理する流れが強まっていることです。

日本でも、経済産業省・総務省のAI事業者ガイドライン、個人情報保護委員会の個人情報保護法関連情報、NIST AI RMFのような海外フレームワークを参照しながら、AI利用の説明責任、データ管理、リスク管理、ガバナンスを整える必要があります。

誰が読むべきか

最も刺さる読者は、次の不安を持つ人です。

社内でChatGPT、Copilot、AI議事録、AI検索、AIエージェントが増えているが、一覧化できていない経営者
AI利用規程は作ったが、現場の利用実態、データ、権限、外部送信まで追えていない情シス責任者
法務や監査から「どのAIを何に使っているか」と聞かれても即答できないDX責任者
ベンダーがAIを使っていると言うが、第三者モデル、ログ、成果物、責任分界を契約に入れていない発注担当

FREE DOWNLOAD

AI導入チェックリスト（PoC 失敗要因 10項目）

情シス部門が PoC 前に押さえるべき失敗要因を10項目に整理した無料チェックリスト。

30分で相談するチェックリストをDL

GXOの見解

リスクベースAI規制の流れで企業が作るべきものは、分厚い規程ではなく「運用されるAI台帳」です。AI台帳には、ツール名だけでなく、用途、データ、影響範囲、権限、人間承認、停止条件、ベンダー、契約、ログを入れます。

GXOでは、AI利用を次の4分類で見ます。

横にスクロールして確認できます

分類	例	最低限の管理
低リスク	文章の下書き、社内メモ要約、アイデア出し	入力禁止情報、利用ルール、教育
中リスク	社内FAQ、営業資料検索、議事録要約、問い合わせ下書き	データ範囲、権限、ログ、人間確認
高リスク	顧客対応、採用評価、与信、医療/介護、請求、契約レビュー	責任者、承認フロー、評価、停止条件、監査
特別管理	AIエージェントの外部送信、DB更新、権限変更、決済、削除	原則禁止または二重承認、監査ログ、権限分離

この分類は、法律上の正式分類ではありません。GXOが企業の初期診断で使う実務分類です。目的は、社内のAI利用を止めることではなく、危ない用途と進めてよい用途を分けることです。

AI台帳に入れるべき項目

AI台帳は、ツール一覧で終わらせると弱いです。少なくとも、次の項目を入れます。

横にスクロールして確認できます

項目	書く内容	商談で確認する理由
AI名/ベンダー	ChatGPT、Copilot、社内RAG、議事録AI、外部委託先AIなど	シャドーAIと契約対象を分ける
利用部門	営業、CS、管理、開発、採用、経営企画など	部門別の責任者を決める
用途	下書き、検索、分類、判断補助、業務実行など	リスク分類の基礎になる
入力データ	個人情報、顧客情報、契約情報、社内文書、コードなど	個人情報・機密情報対応を決める
出力の使い方	下書き、社内確認、顧客送信、意思決定、システム更新	人間承認の要否を決める
権限	読み取り、書き込み、外部送信、削除、決済、権限変更	高リスク操作を分離する
ログ	プロンプト、回答、実行操作、承認、ダウンロード	監査と事故対応に必要
停止条件	誤回答、費用超過、情報漏えい疑い、権限逸脱	事故時に止める判断を早める
契約条件	学習利用、保存、削除、再委託、障害対応、責任範囲	ベンダー管理と発注前確認に必要

責任分界を決めない会社で起きる問題

AI導入で失敗する会社は、AIの精度だけを見ています。しかし、実際に問題になるのは、AIが間違えた時に誰が説明するか、AIが使ったデータに問題があった時に誰が直すか、外部ベンダーがAIを使った時に誰が責任を持つかです。

責任分界が曖昧な会社では、次のような会話が起きます。

現場は「便利だから使っただけ」と言う
情シスは「そのAIは管理対象外だった」と言う
法務は「契約上の扱いが分からない」と言う
ベンダーは「AIの回答は保証対象外」と言う
経営は「誰が承認したのか」と聞く

この状態を避けるには、AI台帳と責任分界をセットで作る必要があります。

GXOの責任分界テンプレート

GXOでは、AI利用ごとに次の責任分界を確認します。

横にスクロールして確認できます

役割	責任
経営責任者	AI利用の目的、リスク許容度、予算、停止判断を承認する
業務責任者	対象業務、評価方法、現場運用、人間確認を定義する
情シス/DX	ツール、権限、ログ、連携、セキュリティ、運用を管理する
法務/管理	個人情報、契約、責任分界、外部委託、規程を確認する
ベンダー	提供範囲、成果物、データ扱い、障害対応、再委託を明示する
利用者	入力禁止情報、確認義務、承認フロー、報告義務を守る

この表を作ると、AI利用規程が現場で使えるものになります。逆に、責任分界がない規程は「読まれない規程」になりやすいです。

導入前に確認すること

この記事からの商談は、法務解説ではなく「AI台帳・責任分界ワークショップ」に接続します。

相談前には、次の5点を確認します。

社内で使っているAIツールを一覧化できるか
AIに入力しているデータに個人情報や機密情報があるか
AIの出力を顧客対応、採用、請求、契約、意思決定に使っているか
外部ベンダーがAIを使って成果物を作る場合の契約条件があるか
誤回答、情報漏えい疑い、費用超過、権限逸脱の停止条件があるか

このテーマでは、AI台帳作成、AI利用規程、ベンダー契約レビュー、RFP項目整理、権限/ログ設計、月次監査まで順番に整理することが重要です。最初に確認観点をそろえることで、自社に必要な対策と外部に依頼すべき範囲が判断しやすくなります。

90日ロードマップ

横にスクロールして確認できます

期間	やること	成果物
1〜2週目	AI利用ツール、部門、用途、データを棚卸し	AI利用一覧
3〜4週目	低/中/高/特別管理に分類し、責任者を決める	AI台帳初版
5〜8週目	AI利用規程、承認フロー、停止条件、ログ要件を作る	運用ルール
9〜12週目	ベンダー契約、RFP、月次監査、教育を運用化	AIガバナンス運用表