「AIとして買っていないソフト」が、更新のたびにAIになっている｜政府会議に記録された把握漏れ64%・外部委託先87%

「うちはまだAIを本格導入していないので、AIガバナンスの話は先でいい」。この判断が成り立つのは、社内で動いているソフトウェアにAI機能が入っていない場合だけである。そしていま、その前提が崩れつつある。

結論：先に答えるべきは「導入するか」ではなく「もう動いていないか」

2026年8月25日、デジタル庁が第5回先進的AI利活用アドバイザリーボードの議事要旨を公開した。会議自体は2026年7月14日に開催されたものである。

この議事要旨に、民間企業の実態として次の数字が記録されている。構成員である佐久間氏の発言として、AIガバナンス協会が約50社に対して実施したアンケートの結果が紹介されたものである。

• 64% が、自社のAIユースケースについて把握漏れの認識を示した
• 外部パートナーのAI利用状況については、全体の約87% に把握漏れがあるとの回答だった

議事要旨では、AIとして調達していないシステムにアップデートでAI機能が追加されることなどが、把握漏れの背景として挙げられている。

**「AIを買っていない」ことは、「社内にAIがない」ことを意味しない。**買ったときはAI機能のなかったソフトウェアが、更新によってAI機能を持つ。これは、把握漏れが起きる経路の一つとして政府の会議体に報告された事例である。

この数字の性質について、先に断っておく

上の64%・87%は、構成員の口頭発言として議事要旨に記録された数字であり、本記事はその議事要旨を出典としている。調査報告書そのものを一次資料として確認したものではない。

また、標本は約50社である。回答企業の属性や抽出方法を確認できていないため、日本企業全体を代表する数字として扱えるものではない。ここで読み取るべきは「日本企業の64%が」という一般化ではなく、自社にも同様の把握漏れがないかを実測する必要があるという点である。

「見えないAI機能」は、会議体でも論点になっている

同じ議事要旨で、門林座長は次の趣旨の発言をしている。サプライヤーの管理など見えないAI機能の管理については、CAIO（最高AI責任者）を設置してリスクを適切に管理すべきとしているものの、今後も留意が必要である、と。

つまり、この問題は「気をつけましょう」で終わる話として扱われておらず、誰が責任者かを決める話として整理されている。中堅企業にCAIOを置くかどうかは別として、「社内でAIがどこで動いているかを把握する責任が誰にあるか」が決まっていない会社は、いま決めていない状態にあるということになる。

事務局側の回答も示唆的である。各府省庁の定期報告は情報システムを対象としているため生成AIシステムは一通り報告されているが、約款に同意して使うサービス等については、各府省庁の情報システム担当部局が利用における監督をしている状況である、という趣旨の説明がなされている。

約款同意で使えるサービス——これは民間企業でも同じ構造である。稟議を通して調達したシステムは台帳に載る。しかし、担当者が利用規約に同意するだけで使い始められるサービスは、台帳に載らない。そこにAI機能が入る。

政府側の実態：224件、そのうち4割が機密性2情報を扱う

同会議の資料1「各府省庁生成AIシステム定期報告概要（令和7年度第4回）」には、令和8年3月末時点の政府側の状況が集計されている。民間企業が自社の状態を測るときの物差しになるので、いくつか引く。

• 全府省庁において、生成AIシステムを利用開始済み（前回報告から変更なし）
• 令和8年3月末時点までで、リスクケースの発生事例はなし
• 政府職員が利用者となる案件は 224件（うち2件は利用者規模が未回答のため、利用者規模別の内訳から除外）
• そのうち、機密性2情報や個人情報を取り扱う案件は約4割（90件／224件）
• 25府省庁中、20府省庁で府省庁内全体での利用を開始済み（前回報告から2府省庁増）
• 今回の定期報告で利用終了の報告があった案件は121件。うち約9割が課室単位以下の小規模で使われていた案件

注目したいのは最後の項目である。**今回の報告期間だけで121件の利用終了が把握され、その約9割が小規模利用だった。**資料は終了理由を示していないため、「失敗して定着しなかった」とは断定できない。ここから確認できるのは、開始件数だけでなく終了も定期報告で追跡しているという運用である。

そして、この一覧が存在するのは、**定期的に報告を求める仕組みがあるからである。**報告の仕組みがなければ、始まったものも終わったものも数えられない。民間企業で「うちにいくつAIの利用箇所があるか」に即答できないのは、能力の問題ではなく、数える仕組みがないという構造の問題である。

日本企業のAIエージェント導入は33%——ただし対象は売上500億円以上

同会議の資料2「我が国及び諸外国における生成AIに係る動向」には、PwCの「生成AIに関する実態調査2026 春 6カ国比較」（2026年6月10日公表）からの引用が掲載されている。

日本、米国、英国、中国、ドイツ、韓国の6カ国の企業・組織のうち、「AIエージェントについて理解しており、導入済み／導入を進めている」割合は米国・英国・中国で特に高く、**日本は33%**と低い割合になっている、という内容である。

この数字を自社に当てはめる前に、調査対象を確認してほしい。資料の注記には、この調査が売上高500億円（日本国外企業については日本円換算）以上の企業・組織を対象としていると明記されている。

つまり33%という数字は、日本の大企業層の話である。売上10億〜100億円規模の会社が「日本は33%だからうちが遅れているわけではない」と読むのは、母集団の違う数字を自社に当てはめていることになる。中堅企業の数字がこれより高いか低いかは、この資料からは判断できない。

ここから読むべきは順位ではない。大企業層ですら3社に1社という段階であり、いま準備を始めても手遅れではないという時間感覚のほうである。

大手3社が共通して言っていること：AIを「管理対象の資産」として数えろ

資料2には、Microsoft、AWS、Google、Anthropic、IBM、ServiceNowが公開しているAIエージェントのガバナンス文書を、デジタル庁が公開情報に基づいて整理した比較が掲載されている。書きぶりは各社で違うが、共通している考え方がある。

Microsoft（「Govern and secure AI agents」2026年6月26日最終更新）の整理として資料に記載されているのは、AIエージェントを管理対象のリソースとして扱い、所有者、目的、アクセス範囲、一意IDを台帳で管理するという考え方である。

AWS（「A governance framework for building trustworthy agentic AI for public sector and regulated organizations」2026年5月26日）については、意思決定の自律度であるAutonomyと、実行を許可された行為範囲であるAgencyを区別し、AIシステムをScope 1〜4に分類する考え方が紹介されている。資料には、人間の承認なしに実行できる場合はScope 3以上と整理されており、「提案するだけ」か「実際に実行できるか」を明確に分けることが重要と示されている、と記載されている。

Google（「Govern your agents」2026年6月26日最終更新）については、組織内のエージェント、エンドポイント、MCPサーバを発見・管理するための統一的なAgent Registryを可視性の中核に置く考え方が整理されている。

3社に共通するのは、**「まず数えて、台帳に載せる」**という順序である。制御の仕組みや監視の仕組みは、その後に来る。数えられていないものは制御できない、という当たり前の順序が、各社の文書で先頭に置かれている。

中堅企業が最初に作る一覧は、この5列でよい

大手クラウドの管理基盤を導入する話ではない。**Excelの5列で始められる。**上のMicrosoftの整理（所有者、目的、アクセス範囲、一意ID）と、AWSの整理（提案するだけか、実行できるか）を、中堅企業の実務に落とすと次になる。

難所は①である。「AIツールを教えてください」と社内に聞いても、更新で機能が追加されたソフトは挙がってこないことがある。担当者本人が「これはAIだ」と認識していないからである。

聞き方を変える必要がある。有効なのは、機能から聞くことである。

• 文章の下書きや要約を出してくれる機能を使っているか
• 入力候補や次のアクションを提案してくれる機能を使っているか
• 問い合わせの自動応答や自動分類を使っているか
• 議事録や通話の自動文字起こしを使っているか
• 過去のデータから予測や推奨を出す機能を使っているか

この5つで聞くと、会計ソフト、名刺管理、グループウェア、CRM、勤怠、コールセンター、オンライン会議ツールから、次々に挙がってくる。それが「AIとして調達していないシステムに、アップデートでAI機能が組み込まれた」ものの正体である。

委託先の87%をどう扱うか

議事要旨で把握漏れが最も大きいとされたのは、**外部パートナーのAI利用状況（約87%）**だった。自社より外注先のほうが見えない、という結果である。

中堅企業にとって、ここは切実である。システム開発、記事制作、設計、経理代行、コールセンター。委託先のAI利用を契約書で確認していないなら、成果物だけでなく入力データの扱いも見えない。

契約や覚書に足しておきたいのは、次の3点である。禁止するかどうかは、この3点を確認したあとに決める話である。

1. 利用の有無と範囲の申告

委託業務の遂行にAIを利用する場合、その旨と利用範囲を事前に申告してもらう。禁止から入ると、申告されなくなる。まず見えるようにするのが先である。

2. 当社提供データの取り扱い

自社が渡した資料・データを、AIサービスの入力として使うか。使う場合、そのサービスが入力内容を学習に利用しない設定になっているか。ここは「使わない」と口頭で言われるより、どのサービスをどの設定で使うかを書いてもらうほうが確認しやすい。

3. 再委託先まで及ぶか

委託先がさらに外注している場合、上の2点が再委託先にも及ぶか。実務上、ここが抜けていることが多い。

この記事を読むべき人

• 「うちはまだAIを入れていない」と認識している経営者
• 会計・CRM・グループウェア・勤怠などのSaaSを複数使っている会社
• システム開発、制作、事務処理などを外部に委託している会社
• AI利用のルールを作りたいが、何から書けばよいか決まっていない会社
• 担当者が利用規約に同意するだけでサービスを使い始められる状態の会社

GXOに相談できること

GXOは特定のAIツールの再販業者ではないため、「このツールを入れましょう」からは始めません。相談として多いのは次の内容です。

• 社内で実際に動いているAI機能の洗い出し（機能起点の聞き取り設計を含む）
• 洗い出した結果の一覧化と、実行権限を持つものと持たないものの切り分け
• 委託先へのAI利用確認と、契約・覚書に追記する条項の整理
• 「禁止する」「条件付きで認める」「推奨する」の線引きを、業務ごとに決める作業
• そのうえでの、投資対象になるAI活用の絞り込み

社内のAI利用状況を整理したい

FAQ

64%・87%という数字は、どこまで信用してよいですか

デジタル庁が公開した議事要旨に、構成員の発言として記録された数字です。出典としてはその議事要旨であり、調査報告書そのものを確認したものではありません。標本は約50社とされており、日本企業全体を代表する数字ではありません。**「自社もそうかもしれない」と考えるきっかけとして使い、実際の数字は自社で数えてください。**この記事の「5列の一覧」は、そのためのものです。

洗い出したあと、禁止すべきですか

いきなり禁止すると、使っていることを言わなくなるだけで、実態は変わりません。順序としては、洗い出し、実行権限の有無の切り分け、機密情報を扱うものへの条件付け、という段階を踏むことをおすすめします。禁止が必要なものは、洗い出したあとに自然と絞り込まれます。

従業員が10人程度の会社でも必要ですか

規模が小さいほど、1件あたりの影響が大きくなります。人数が少なければ洗い出しは短時間で終わりますし、5列の一覧も1枚に収まります。規模が小さいことは、やらない理由ではなく、早く終わる理由です。

「AI機能」と「ただの自動化」の区別がつきません

実務上、その区別に時間をかける必要はありません。一覧に載せるかどうかの基準は、**「入力した内容が、あらかじめ決まった処理ではなく、その都度違う結果になるか」**で十分です。判定に迷うものは、迷ったという記録とともに載せておいてください。区別より、載っていることのほうが重要です。

委託先にAI利用を聞くと、関係が悪くなりませんか

聞き方によります。「使っているか」ではなく「どう使っているか、当社のデータをどう扱うか」を確認する形にすると、委託先にとっても自社の管理体制を示す機会になります。むしろ、聞かれても答えられない委託先のほうが、リスクとして分かりやすくなります。

関連記事・サービス

• AIエージェントに共通管理者IDを渡すな｜利用者の権限を最後まで引き継ぐ設計
• 【2026年版】中小企業のAI導入完全ガイド｜費用・ツール・成功事例
• AI導入可否アセスメント
• AI・自動化支援
• AIガバナンス・LLMOps構築
• AI導入適性診断

参考情報

• 第5回先進的AI利活用アドバイザリーボード（デジタル庁、2026年8月25日掲載・開催は2026年7月14日、2026年8月28日確認、一次情報。64%・87%の数字は同ページ掲載の議事要旨に記録された構成員発言による）
• 同ページ掲載 資料1「各府省庁生成AIシステム定期報告概要（令和7年度第4回）」（デジタル庁、2026年8月28日確認、一次情報）
• 同ページ掲載 資料2「我が国及び諸外国における生成AIに係る動向」（デジタル庁、2026年8月28日確認、一次情報。日本33%はPwC「生成AIに関する実態調査2026 春 6カ国比較」2026年6月10日からの引用として同資料に掲載されたもの。同調査の対象は売上高500億円以上の企業・組織）

本記事の各社のAIエージェント・ガバナンス文書の要旨は、デジタル庁が資料2において公開情報に基づき整理した内容を基礎にしています。各社の原文にあたる場合は、資料2に記載された文書名と最終更新日を手がかりにしてください。5列の一覧と、委託先へ確認する3項目は、上記の各社文書の考え方を中堅企業の手数に合わせて縮めたGXOの整理です。デジタル庁や各社が推奨する様式そのものではありません。