用語集 | AI ガバナンス・社内ルール策定

AIガバナンス（えーあいがばなんす）

AIの利用を、申請・台帳・審査・監視という4つの器で統制し続ける取り組み。禁止事項の列挙だけでなく、それを動かす仕組みまでを含めて設計する考え方。→ レッスン1

AI委員会（えーあいいいんかい）

法務・情報システム・事業部門の代表者などで構成され、リスクの高い利用申請の審議や、規程本体の改定といった重要事項を決定する会議体。→ レッスン1

AI影響評価（えーあいえいきょうひょうか）

AIサービスを利用する前に、公平性・正確性・説明可能性・人への影響の大きさという観点から、業務や関係者への影響を確認する作業。案件ごとに軽重をつけて実施する。→ レッスン4

AIインシデント（えーあいいんしでんと）

利用者側の過失・意図的な違反、AIサービス側の不具合、外部からの攻撃など、原因を問わずAIの利用にまつわって発生する問題の総称。→ レッスン7

AIサービス（えーあいさーびす）

社員が業務で利用する、生成AIをはじめとするAI機能を持つクラウドサービスの総称。申請・台帳・審査・監視の対象となる。→ レッスン1

AI推進体制（えーあいすいしんたいせい）

AI委員会・事務局・各部門の責任者という3点セットで構成される、AIガバナンスの4つの器を実際に動かす組織的な仕組み。→ レッスン5

AI台帳（えーあいだいちょう）

社内で利用されているAIサービスを一覧として管理する仕組み。AIインベントリとも呼ばれる。台帳がなければ利用実態を経営層も把握できない。→ レッスン4

AI利用規程（えーあいりようきてい）

目的・適用範囲・定義・禁止事項・承認・違反時対応の6部構成で組み立てる、AIの社内ルールの根本原則を定める文書。→ レッスン1

AIベンダー審査シート（えーあいべんだーしんさしーと）

学習利用・データ所在・再委託・監査権・データ返還という5つの観点で、AIサービスを提供する事業者を確認するための様式。→ レッスン6

AIマネジメントシステム（えーあいまねじめんとしすてむ）

AIの企画・開発・運用にかかわるリスクを組織的に管理する仕組み。ISO/IEC 42001はこの仕組みを対象とする国際規格。→ レッスン8

相乗り（あいのり）

新設するAI委員会を、既存の情報セキュリティ委員会など別の会議体の枠組みに組み込んで運用する形。独立させる形と対比される。→ レッスン5

一覧系の別表（いちらんけいのべっぴょう）

承認済みのAIサービスの一覧や審査の観点の一覧など、随時更新される情報を示す別表の種類。AI台帳と密接に関わる。→ レッスン2

委託先管理（いたくさきかんり）

外部の事業者に業務を委託する際、情報セキュリティなどの観点から評価・管理する既存の仕組み。AIベンダー審査はここに接続して設計する。→ レッスン6

違反時対応（いはんじたいおう）

AI利用規程の6部構成の1つ。規程に違反した場合の対応を定める部分で、悪意のない誤用と意図的な違反を区別する考え方を示す。→ レッスン2

違反対応フロー（いはんたいおうふろー）

違反の発覚・事実確認・影響範囲の特定・応急対応・原因分析と再発防止策・記録と報告という段階で構成する、違反発覚時の対応手順。→ レッスン7

影響範囲の特定（えいきょうはんいのとくてい）

違反対応フローの1段階。機密情報の漏えいの可能性や、対外的に発信された情報の有無を確認する作業。→ レッスン7

eラーニング（いーらーにんぐ）

動画や資料をあらかじめ用意し、社員が都合のよいタイミングで学習する教育形式。全社員向けの基礎教育の継続提供に向く。→ レッスン7

応急対応（おうきゅうたいおう）

違反対応フローの1段階。被害の拡大を防ぐため、該当するAIサービスの利用停止や関係者への周知を即座に行う対応。→ レッスン7

維持審査（いじしんさ）

ISO/IEC 42001などの認証取得後も、適合状況が維持されているかを認証機関が定期的に確認する審査。→ レッスン8

ガイドライン（がいどらいん）

規程・細則・ガイドライン・手順書という4階層のうち、望ましい使い方や判断に迷ったときの考え方を示す、拘束力が規程より弱い手引き。→ レッスン2

開示範囲（かいじはんい）

取引先からの質問状に対し、AI台帳の内容などをどこまで社外に開示できるかを、あらかじめ整理しておく区分。→ レッスン6

学習利用（がくしゅうりよう）

入力したデータや生成した出力が、AIベンダー側のモデルの学習に使われること。法人向けプランではオプトアウトできる場合が多い。→ レッスン6

監査権（かんさけん）

契約後、自社がAIベンダーのデータ取り扱いの状況を確認できる権利。定期報告や監査の実施を契約上どこまで求められるかを示す。→ レッスン6

規程（きてい）

規程・細則・ガイドライン・手順書という4階層のうち、全社に適用される根本原則を定める文書。改定には重い承認手続きを要する。→ レッスン2

規程例（きていれい）

AI利用規程の条文の書き方を示す参考例。自社にそのまま流用するのではなく、型として参考にしたうえで法務の確認を経て確定させる。→ レッスン2

禁止事項（きんしじこう）

AI利用規程の6部構成の1つ。してはならない行為を定める部分。分類の中身は本則ではなく別表に切り出すことが多い。→ レッスン2

ギャップ分析（ぎゃっぷぶんせき）

ISO/IEC 42001の認証取得プロセスの最初の段階。現状の規程・体制と規格の要求事項との差分を洗い出す作業。→ レッスン8

契約条項（けいやくじょうこう）

AIベンダー審査シートで確認した内容のうち、監査権やデータ返還のように実効性を問われる項目を、契約書に明記したもの。→ レッスン6

契約更新時の再審査（けいやくこうしんじのさいしんさ）

AIベンダーとの契約更新のタイミングにあわせて、利用規約の改定状況などをあらためて確認する運用。→ レッスン6

決裁権限規程（けっさいけんげんきてい）

既存の稟議・決裁権限に関する社内規程。AI利用規程の決裁ラインを設計する際、この規程との整合を確認する必要がある。→ レッスン2

決裁ライン（けっさいらいん）

利用申請のリスクの大きさに応じて、誰が承認するかを段階的に分けた仕組み。低リスクは上長のみ、高リスクはAI委員会での審議とする。→ レッスン3

原因分析（げんいんぶんせき）

違反対応フローの1段階。なぜ違反が起きたのかを分析し、規程や教育内容の見直しにつなげる作業。→ レッスン7

個人データ側の評価（こじんでーたがわのひょうか）

AI影響評価とは別に必要となる場合がある、個人データの取り扱いに関する評価。入口を1つにして振り分ける設計で二重運用を避ける。→ レッスン4

回答のひな形（かいとうのひながた）

取引先からの質問状に含まれる典型的な項目に対して、あらかじめ用意しておく標準的な回答文書。→ レッスン6

形骸化（けいがいか）

規程や体制が、実質的な機能を失い、書類や会議体としてだけ存在する状態になること。実質的な議論の欠如などが兆候として現れる。→ レッスン5

再委託（さいいたく）

契約したAIベンダーが、さらに別の事業者にデータを渡すこと。再委託先がどこまで開示されるかを審査で確認する。→ レッスン6

細則（さいそく）

規程・細則・ガイドライン・手順書という4階層のうち、規程を補足するより具体的な運用ルール。事務局レベルの決裁で改定できることが多い。→ レッスン2

差し戻し（さしもどし）

申請内容が不十分な場合に、審査担当者が申請者へ再提出を求めること。記入例やFAQの整備で件数を減らせる。→ レッスン3

事業部門（じぎょうぶもん）

実際にAIを利用する現場の部門。申請の起点となり、現場の実態を審査に伝える役割を担う。→ レッスン1

事後届出（じごとどけで）

利用範囲マトリクスで「許可」に区分された低リスクの用途について、利用開始後にAI台帳への反映を目的として提出する届出。→ レッスン3

自己診断（じこしんだん）

規程・台帳・審査・監視の整備状況を問いの形で確認し、自社の成熟度がどの段階にあるかを大まかに把握する取り組み。→ レッスン8

事実確認（じじつかくにん）

違反対応フローの1段階。いつ・誰が・どのAIサービスで・どのような行為を行ったかを、憶測ではなく事実として整理する作業。→ レッスン7

事前申請（じぜんしんせい）

利用範囲マトリクスで条件付きや個別審査が必要とされる用途について、利用を始める前に審査を経て承認を得る仕組み。→ レッスン3

質問状（しつもんじょう）

取引先が委託先管理の一環として、AIの利用状況や審査体制などを問い合わせてくる文書。規程整備の引き金の1つ。→ レッスン1

情報システム企画（じょうほうしすてむきかく）

AI台帳の管理やシステム的な統制の実装を担う役割。多くの企業でAI推進体制の事務局を兼務する。→ レッスン1

情報セキュリティ委員会（じょうほうせきゅりてぃいいんかい）

既存の情報セキュリティに関する会議体。AI委員会を新設せず、この会議体に相乗りする形で運用する選択肢がある。→ レッスン5

情報セキュリティ規程（じょうほうせきゅりてぃきてい）

機密情報の取り扱いに関する既存の社内規程。AI利用規程の禁止事項や、ログの保存方針を検討する際に整合を確認する。→ レッスン2

情報管理規程（じょうほうかんりきてい）

情報の管理に関する既存の社内規程。AI利用規程と重複しやすく、内容の正本をどちらかに一本化する必要がある。→ レッスン2

承認（しょうにん）

AI利用規程の6部構成の1つ。AIを利用するにあたって経る手続きを定める部分。利用申請フローと直結する。→ レッスン2

集合研修（しゅうごうけんしゅう）

講師が対面またはオンライン会議で説明し、質疑応答の時間を設ける教育形式。規程導入時のまとまった周知に向く。→ レッスン7

出力の使途（しゅつりょくのしと）

利用申請様式の項目の1つ。AIが生成した内容を、どこでどう使うのかを申請者に記述してもらう項目。→ レッスン3

就業規則（しゅうぎょうきそく）

懲戒などを定める既存の社内規則。AI利用規程の違反時対応は、懲戒の詳細を独自に定めず、就業規則を参照する形にする。→ レッスン2

申請様式（しんせいようしき）

用途・データ区分・出力の使途・想定リスク・責任者という5つの観点で設計する、利用申請のための書式。→ レッスン3

申請者向け教育（しんせいしゃむけきょういく）

AIサービスを実際に申請・利用する社員を対象に、申請様式の書き方や審査の観点を扱う、実践的な教育。→ レッスン7

スリーラインズ（すりーらいんず）

リスクへの対応を、現場、監督・支援機能、独立した確認機能という3つの防衛線に分けて整理する考え方。→ レッスン5

成熟度モデル（せいじゅくどもでる）

自社のAIガバナンスを、個別対応・文書化・運用定着・継続的改善という4段階で捉える考え方。→ レッスン8

責任分界（せきにんぶんかい）

法務・情報システム・事業部門など、AIガバナンスに関わる複数の役割の間で、それぞれが担う責任範囲を明確にすること。→ レッスン5

想定リスク（そうていりすく）

利用申請様式の項目の1つ。申請者自身が気づいたリスクを一言でも記述してもらう項目。→ レッスン3

相談窓口（そうだんまどぐち）

規程やマトリクスで判断がつかないときに、社員が気軽に相談できる窓口。相談による不利益がないことを明示する必要がある。→ レッスン7

全社員向け教育（ぜんしゃいんむけきょういく）

AIを直接利用するかどうかにかかわらず、すべての社員が知っておくべき、規程の存在や相談窓口などを扱う基礎的な教育。→ レッスン7

第一防衛線（だいいちぼうえいせん）

スリーラインズにおいて、リスクを直接抱える現場そのものを指す。事業部門と各部門の責任者がここに当たる。→ レッスン5

第二防衛線（だいにぼうえいせん）

スリーラインズにおいて、現場の活動を横断的に監督し支援する機能を指す。AI委員会と事務局がここに当たる。→ レッスン5

第三防衛線（だいさんぼうえいせん）

スリーラインズにおいて、独立した立場で体制全体を確認する機能を指す。内部監査部門がここに当たる。→ レッスン5

台帳の粒度（だいちょうのりゅうど）

AI台帳に何を1つの単位として登録するかという設計。サービス単位・部門×サービス単位・用途単位の3段階がある。→ レッスン4

棚卸し（たなおろし）

申請・届出ベース、契約情報ベース、ヒアリングベース、技術的なログベースの4手法を組み合わせて、台帳に載っていないAIを見つける作業。→ レッスン4

データ区分（でーたくぶん）

利用申請様式の項目の1つ。AIに入力する予定のデータが、公開情報か社内限定情報かなど、どのような性質のものかを示す項目。→ レッスン3

データ所在（でーたしょざい）

AIベンダー審査の観点の1つ。入力・生成したデータがどの国・地域のサーバーに保存されるか。→ レッスン6

データ返還・削除（でーたへんかん・さくじょ）

AIベンダー審査の観点の1つ。契約終了時にそれまで預けていたデータが返還・削除されるか、どう扱われるかの確認。→ レッスン6

定義（ていぎ）

AI利用規程の6部構成の1つ。規程内で使う用語の意味を確定させる部分。「AI」の範囲などをここで明確にする。→ レッスン2

適用範囲（てきようはんい）

AI利用規程の6部構成の1つ。誰に、どの業務に、どのAIサービスに規程が適用されるかを定める部分。→ レッスン2

手続き系の別表（てつづきけいのべっぴょう）

申請様式や決裁ラインの一覧のように、手順を具体的に示す別表の種類。→ レッスン2

手順書（てじゅんしょ）

規程・細則・ガイドライン・手順書という4階層のうち、申請の入力方法など作業レベルの具体的な手順を示す文書。→ レッスン2

電子透かし（でんしすかし）

AIが生成した画像に、人の目には見えない形で識別情報を埋め込む技術。生成物の来歴を示す次の論点として位置づけられる。→ レッスン8

二重運用（にじゅううんよう）

AI影響評価と個人データ側の評価のように、別々の担当者が別々のタイミングで重複した内容を確認してしまう非効率な状態。→ レッスン4

内部監査（ないぶかんさ）

スリーラインズの第三防衛線を担う部門。AI委員会や事務局から独立した立場で、体制全体が機能しているかを確認する。→ レッスン5

認証機関（にんしょうきかん）

ISO/IEC 42001などの規格への適合状況を、外部の立場から審査する機関。→ レッスン8

年次見直し（ねんじみなおし）

法改正・ガイドラインの改訂・新サービスの導入・インシデントという4つの引き金を踏まえ、年に一度、規程全体を見直す取り組み。→ レッスン8

部門別の利用範囲マトリクス（ぶもんべつのりようはんいまとりくす）

部門を縦軸、用途の類型を横軸に置き、許可・条件付き・禁止の3段階で色分けする別表。日常的な利用での申請滞留を防ぐ。→ レッスン3

プロンプトインジェクション（ぷろんぷといんじぇくしょん）

AIへの入力に悪意ある指示を紛れ込ませ、意図しない動作を引き起こす攻撃。外部からの攻撃に分類されるAIインシデントの一種。→ レッスン7

分類系の別表（ぶんるいけいのべっぴょう）

入力可否の区分のように、対象を段階分けして示す別表の種類。→ レッスン2

ベンダー（べんだー）

AIサービスを提供する事業者。学習利用・データ所在・再委託・監査権・データ返還という観点から審査の対象となる。→ レッスン6

別表（べっぴょう）

規程本則から切り離して管理する表。分類系・手続き系・一覧系の3種類があり、改定権限を分けることで機動的に運用できる。→ レッスン2

報告・公表判断（ほうこく・こうひょうはんだん）

AIインシデントが発生した際、事務局・AI委員会・経営層・対外的な公表のどこまで報告するかを、影響の大きさに応じて判断すること。→ レッスン7

法務（ほうむ）

規程の条文としての整合性や、契約条項の法的な妥当性を確認する役割。AI委員会の構成メンバーの1つ。→ レッスン1

モニタリング指標（もにたりんぐしひょう）

申請・台帳・審査・監視という4つの器それぞれに対応させて設計する、規程の機能状況をデータで把握するための指標。→ レッスン8

窓口の一本化（まどぐちのいっぽんか）

取引先からの質問状や、社員からの相談を、複数の部門に分散させず1つの窓口に集約する運用。→ レッスン6

目的（もくてき）

AI利用規程の6部構成の1つ。規程がなぜ存在するのかを示す部分。禁止色ではなく活用の環境整備として書くのが一般的。→ レッスン2

四つの器（よっつのうつわ）

AIガバナンスを、申請・台帳・審査・監視という4つの機能として捉える、本コースの背骨となる考え方。→ レッスン1

リスク管理（りすくかんり）

規程が実際に守られているかを客観的に確認する役割。内部監査と並んで、スリーラインズの第三防衛線に位置づけられる。→ レッスン1

利用申請（りようしんせい）

社員がAIサービスを業務で使いたいときに、用途・データ区分・出力の使途・想定リスク・責任者を記入して提出する手続き。→ レッスン3

稟議規程（りんぎきてい）

既存の意思決定手続きを定める社内規程。AI利用規程の決裁ラインを、既存の稟議フローに載せるか独立させるかを判断する際に参照する。→ レッスン3

稟議フロー（りんぎふろー）

契約金額など、既存の決裁権限規程が定める基準に該当する場合に、AI利用申請とあわせて通す必要がある既存の意思決定の流れ。→ レッスン3

ログの保存方針（ろぐのほぞんほうしん）

誰が・いつ・どのAIサービスを利用したかという利用記録を中心に、何を、どこまで、どれだけの期間保存するかを定める方針。→ レッスン7

ワークショップ（わーくしょっぷ）

少人数のグループで具体的な事例をもとに議論しながら学ぶ教育形式。申請者向けの実践的な教育で効果を発揮する。→ レッスン7

C2PA（しーつーぴーえー）

Coalition for Content Provenance and Authenticityの略。画像や動画にコンテンツの生成過程を示す情報を埋め込む技術標準。→ レッスン8

ISO/IEC 42001（あいえすおーあいいーしーよんまんにせんいち）

2023年発行のAIマネジメントシステムに関する国際規格。規格の中身の解説は本コースでは扱わず、認証取得のプロセスに絞って扱う。→ レッスン8