レッスン8：規程を陳腐化させない

このレッスンで学ぶこと

年次見直しのサイクルと、見直しの引き金となる4つの出来事を理解できる
モニタリング指標を、何を測るためにどう置くかを設計できる
自社のAIガバナンスの成熟度を、段階的に測る考え方を理解できる
ISO/IEC 42001の認証取得プロセスと、コース修了後に押さえておきたい次の論点を把握できる

前回のレッスンでは、教育・違反対応・インシデント対応・相談窓口という、日々の運用を回す仕組みを扱いました。最終レッスンとなる今回は、レッスン1で示した中核メッセージの1つ、「年に一度見直さない規程は、翌年には嘘になる」を実現するための、見直しのサイクルとモニタリング指標を扱います。

なぜ「陳腐化」が起きるのか

AI利用規程は、作った瞬間から陳腐化が始まります。新しいAIサービスが次々と登場し、規制やガイドラインが改定され、社内の組織や業務も変わり続けるためです。規程を1年前と同じ内容のまま放置すると、現場の実態と規程の間に、少しずつずれが生まれます。このずれが積み重なると、規程は「建前として存在するが、誰もその通りには動いていない文書」になってしまいます。

レッスン1で紹介した4つの器（申請・台帳・審査・監視）のうち、「監視」の役割は、単に個別のAIサービスの状態を見張ることにとどまりません。規程そのものが現場の実態からずれていないかを見張ることも、監視の重要な機能です。本レッスンで扱う年次見直しとモニタリング指標は、この「規程を監視する仕組み」に当たります。

年次見直しのサイクルと4つの引き金

規程の見直しは、決まった周期で定期的に行うことに加えて、特定の出来事が起きたタイミングでも実施する必要があります。実務では、次の4つを見直しの引き金として整理すると、見落としを防げます。

1つ目は、法改正です。 レッスン1で前提として扱った、AI推進法やAI事業者ガイドラインをはじめとする規制の動向は、改定が続く分野です。規制関連の入門コースで学んだ最新の動向を踏まえて、自社の規程が最新の要件に沿っているかを確認します。

2つ目は、ガイドラインの改訂です。 政府や業界団体が公表するガイドラインが改訂された場合、レッスン2で扱った別表（分類系の別表など）の内容が、改訂後の内容と整合しているかを確認します。

3つ目は、新サービスの導入です。 新しい種類のAIサービス（これまで扱ってこなかった機能を持つサービスなど）が社内で使われ始める際、既存の規程や部門別の利用範囲マトリクスがその新サービスを想定した内容になっているかを確認します。

4つ目は、インシデントです。 レッスン7で扱った違反対応やAIインシデントへの対応を通じて明らかになった、規程や教育の不備を、次の改定に反映します。

flowchart TD
  A[法改正] --> E[年次見直し]
  B[ガイドラインの改訂] --> E
  C[新サービスの導入] --> E
  D[インシデント] --> E
  E --> F[規程・細則・別表の改定]
  F --> G[周知・教育の更新]

この図が示すとおり、4つの引き金はいずれも年次見直しという1つのプロセスに合流し、そこから規程の改定と、周知・教育の更新という2つの作業につながります。年に一度、定期的な見直しの機会を設けたうえで、4つの引き金のいずれかが発生した場合には、定期のタイミングを待たずに、臨時の見直しを行う判断も必要です。

📝 補足 年次見直しは、レッスン5で扱ったAI委員会の定例議題の1つとして組み込んでおくと、実施を忘れるリスクを減らせます。「年に一度、決まった時期に、規程全体を見直す」という予定を、あらかじめ委員会の年間スケジュールに組み込んでおくことをおすすめします。

モニタリング指標の置き方

規程が機能しているかどうかを、感覚ではなくデータで把握するために、モニタリング指標を置くことが有効です。レッスン5で触れた「経営層の関心が薄れ、報告が形式的になる」という形骸化の兆候も、具体的な指標を用いた報告によって防ぎやすくなります。

モニタリング指標は、4つの器それぞれに対応させて設計すると、全体像を整理しやすくなります。

器	指標の例	何がわかるか
申請	申請件数の推移、申請から承認までの平均日数	申請フローが現場に使われているか、滞留していないか
台帳	台帳の登録件数、最終更新日からの経過期間	台帳が最新の状態に保たれているか
審査	差し戻し件数、AI委員会での審議件数	審査の質や、申請内容の記入品質
監視	棚卸しで新たに発見された未登録のAI数、インシデント件数	見えていないAIがどれだけ残っているか、運用が安定しているか

これらの指標は、単独の数値そのものよりも、四半期や半期ごとの推移を見ることに意味があります。例えば、申請件数が右肩上がりに増えているのに、承認までの平均日数も同時に伸びている場合、審査体制の増強が必要というシグナルとして読み取れます。

💡 ポイント モニタリング指標は、多ければ多いほどよいわけではありません。指標が多すぎると、集計そのものが事務局の負担になり、かえって形骸化の一因になります。まずは4つの器に1つずつ、合計4つ程度の指標から始め、運用しながら必要な指標を追加していく進め方をおすすめします。

成熟度の測り方

個別の指標に加えて、自社のAIガバナンス全体が、どの段階にあるのかを大まかに把握しておくことも有効です。ここでは、成熟度を4つの段階に分けて整理します。

第1段階「個別対応」は、規程や台帳がなく、問い合わせや問題が起きるたびに、その都度対応している状態です。第2段階「文書化」は、規程は整備されているものの、申請・台帳・審査・監視の器がまだ十分に機能していない状態です。第3段階「運用定着」は、4つの器が回り始め、モニタリング指標も一定程度整備されている状態です。第4段階「継続的改善」は、年次見直しのサイクルが定着し、モニタリング指標の推移を踏まえて、規程や体制そのものが継続的に改善され続けている状態です。

段階	状態	次の段階に進むための課題
第1段階：個別対応	規程・台帳がなく、都度対応	まず規程を起草し、申請の器を作る（レッスン2・3）
第2段階：文書化	規程はあるが器が機能していない	台帳・審査・体制を整え、器を回し始める（レッスン4・5）
第3段階：運用定着	器が回り、指標も整備されている	年次見直しのサイクルを定着させる（本レッスン）
第4段階：継続的改善	見直しのサイクルが定着し、継続的に改善している	成熟度をさらに高める外部認証の取得を検討する

自社が今どの段階にあるかを把握することで、次に何に取り組むべきかの優先順位が見えてきます。本コースの8つのレッスンは、おおむねこの4段階の順序に沿って構成されています。

🔰 初学者の方へ 4段階の成熟度モデルは、自社を厳しく評価するための道具ではありません。「今、自社はどの段階にいて、次に何をすればよいか」を関係者で共有するための、対話の道具として使ってください。第1段階から第2段階に進むだけでも、大きな前進です。

自己診断——自社は今どの段階にいるか

4段階の成熟度モデルを、簡単な自己診断の形で確認しておきます。次の問いに、自社が「はい」と答えられるかどうかを確かめてみてください。

AI利用規程が文書として存在し、社内で周知されているか
利用申請の様式があり、実際に申請が提出されているか
AI台帳が存在し、直近半年以内に更新されているか
AI委員会または類似の会議体が、定期的に開催されているか
申請件数や台帳の更新状況などの指標を、定点観測しているか
年次見直しの予定が、あらかじめスケジュールに組み込まれているか

最初の2つに「はい」と答えられれば第2段階、4つ目までに「はい」と答えられれば第3段階に近づいている状態です。すべてに「はい」と答えられる場合、第4段階の継続的改善に近い状態にあると考えられます。「いいえ」が多い項目こそが、次に着手すべき優先順位を示しています。

📝 補足 この自己診断は、厳密な採点ツールではなく、対話のきっかけとして使うものです。AI委員会やレッスン5で扱った事務局のメンバーで、それぞれの項目について「はい」か「いいえ」かを一緒に確認してみると、認識のずれが見つかることがあります。

ISO/IEC 42001の認証取得プロセス

成熟度が第4段階に近づいた企業の中には、AIマネジメントシステムの国際規格であるISO/IEC 42001の認証取得を検討する企業もあります。規格そのものの構造や要求事項の中身は、AI規制関連の入門コースが専門に扱う領域であるため、本コースでは深追いしません。ここでは、認証取得の実務プロセスに絞って整理します。

認証取得は、おおむね次の流れで進みます。ギャップ分析では、現状の規程・体制と、規格が求める要求事項との差分を洗い出します。ここまでのレッスンで整えてきた申請・台帳・審査・監視の器は、ギャップ分析の土台として活用できます。是正の実施では、ギャップ分析で見つかった不足を、規程や体制の改善によって埋めます。内部監査では、認証機関による審査の前に、自社内で規格への適合状況を確認します。レッスン5で扱った第三防衛線としての内部監査部門が、この役割を担います。認証機関による審査では、外部の認証機関が、規格への適合状況を審査します。維持審査では、認証取得後も、定期的な審査によって適合状況が維持されているかを確認され続けます。

📖 もっと詳しく 認証取得のプロセスは、個人情報保護に関するプライバシーマークや、ISO/IEC 27701の取得プロセスと、進め方の型が似ています。すでに何らかのマネジメントシステム認証を取得している企業では、既存の認証取得・維持の体制やノウハウを、AIマネジメントシステムの認証取得にも応用できる部分が多くあります。

次の論点——AI生成物の表示と来歴

最後に、本コースでは深く扱いませんが、今後の実務で重要性が高まっていくと見られる論点を1つ紹介しておきます。AIが生成したコンテンツであることを、どのように表示し、その来歴（コンテンツがどのように作られ、どのような経路をたどったかという記録）をどう証明するか、という論点です。

この分野では、C2PA（Coalition for Content Provenance and Authenticity、コンテンツの来歴と真正性のための連合）と呼ばれる技術標準が、画像や動画にコンテンツの生成過程を示す情報を埋め込む仕組みとして知られています。また、AIが生成した画像に、人の目には見えない形で識別情報を埋め込む電子透かしの技術も、生成AIの拡大とともに注目が高まっています。

これらの技術は、AIが生成したコンテンツを対外的に発信する場面で、今後、企業に一定の対応が求められる可能性がある領域です。本コースでは詳細を扱いませんが、レッスン2で扱った規程の別表や、レッスン8で扱った年次見直しの引き金の1つとして、今後注視しておくべき論点だと捉えておいてください。

⚠️ 注意 C2PAや電子透かしをめぐる技術標準・法的な位置づけは、本コースの執筆時点でも変化が続いている分野です。自社での対応を具体的に検討する際は、その時点での最新の公的資料や専門家の見解を確認する必要があります。

コースのまとめ——8つのレッスンを振り返る

ここまでの8つのレッスンを、あらためて振り返っておきます。

レッスン1では、AIガバナンスを「申請・台帳・審査・監視」という4つの器として捉える発想と、姉妹分野との棲み分けを確認しました。レッスン2では、AI利用規程を6部構成で組み立てる方法を学びました。レッスン3では、利用申請の様式設計と決裁ラインの引き方を扱いました。レッスン4では、AI台帳とAI影響評価という、継続的な管理の仕組みを学びました。レッスン5では、AI委員会・事務局・責任者からなる推進体制の設計を扱いました。レッスン6では、AIベンダーとの関係を統制する審査シートの設計を学びました。レッスン7では、教育・違反対応・インシデント対応という運用の実務を扱いました。そして本レッスンでは、規程を陳腐化させないための見直しのサイクルを学びました。

レッスン1で示した6個の中核メッセージを、あらためて振り返ります。AIガバナンスは禁止事項リストではなく4つの器であること、規程は判断を代行する文書であること、台帳に載っていないAIは見えていないだけであること、ほかの部門に配れない様式は運用されないこと、監査と質問状が規程の締め切りを決めること、そして年に一度見直さない規程は翌年には嘘になること。この6つは、規制や技術が変わっても揺るがない、AIガバナンスの実務に共通する考え方です。

明日からの3つの実務ステップ

本コースで学んだ内容を、実際の職場でどこから着手すればよいか、迷う方もいるかもしれません。最後に、明日から着手できる3つの実務ステップを示しておきます。

1つ目は、自社の現状を、先ほどの自己診断で確認することです。 6つの問いに答えるだけで、自社が4段階のどこにいるかが大まかに見えてきます。

2つ目は、台帳の有無を確認することです。 台帳がまだない場合は、レッスン4で扱った棚卸しの手法のうち、まずは契約情報ベースの棚卸しから着手することをおすすめします。経理・調達部門の支払い記録を確認するだけでも、自社が把握していないAIサービスの利用実態が見えてくることがあります。

3つ目は、レッスン5で扱った体制のうち、事務局に当たる役割を誰が担うのかを、社内で明確にすることです。 規程や台帳がまだ整っていなくても、日常的な相談を受け止める窓口さえ決まっていれば、そこを起点に、申請・台帳・審査・監視という4つの器を、少しずつ整えていくことができます。

この3つのステップは、いずれも大きな予算や、経営層の大きな決断を必要としません。小さく始めて、レッスン8で学んだ年次見直しのサイクルに乗せながら、時間をかけて育てていくという姿勢が、AIガバナンスを長く機能させる現実的な道筋です。

修了後の情報源

本コースを修了した後も、AIガバナンスの実務は変化し続けます。規制やガイドラインの最新動向については、AI規制関連の入門コースで扱われる公的機関の情報源を、継続的に確認する習慣を持つことをおすすめします。生成AIに入力してよい情報の分類など、本コースが前提として扱った実務の詳細については、AI活用関連の入門コースを参照してください。

また、AI利用規程の起草にあたっては、自社の実情に即した最終確認を、必ず法務担当者や顧問弁護士とともに行ってください。本コースで学んだ骨格は、どの企業にも共通する型として設計していますが、業種や組織構造によって、最適な運用は変わります。本コースで身につけた「申請・台帳・審査・監視」という4つの器の考え方を土台に、自社に合った形へと育てていってください。

これで、本コース「AI ガバナンス・社内ルール策定」は修了です。8つのレッスンを通じて、規程の条文構成から、申請フロー、台帳、影響評価、推進体制、ベンダー審査、運用、そして見直しのサイクルまでを一通り学びました。学んだ内容を、自社のAIガバナンスを実際に動かす一歩として役立ててください。

確認クイズ

このレッスンの理解度をチェックしましょう。