Module 9 : AIガバナンス・社内導入

9.1 なぜAIガバナンスが必要か

「とりあえず使ってみよう」が招く事故

AI活用の現場でよく起きる事故ベスト5を見てみましょう。

ガバナンス3層モデル

【層1：技術】
  ↓ ログ・監査・アクセス制御
  　API管理 / 利用ログ / 権限分離

【層2：ルール】
  ↓ ガイドライン・契約・規程
  　社内ガイドライン / 顧客契約条項 / NDA

【層3：教育】
  ↓ リテラシー・倫理・継続学習
  　社員研修 / 事例共有 / OKR

この3層が揃って初めて「事故が起きにくく、起きても検知できる」体制になります。

9.2 法規制とコンプライアンスの基礎

押さえるべき主要法令・指針

個人情報をAIに入れていい？フローチャート

Q1: 個人を識別できる情報？
  ├─ NO → そのまま使ってOK
  └─ YES ↓
Q2: 利用目的を本人に通知済み？
  ├─ NO → 通知 or 同意取得が必要
  └─ YES ↓
Q3: 使うAIサービスは「学習に使わない」契約？
  ├─ NO → 使えない（or 個人情報を除外して使う）
  └─ YES ↓
Q4: 越境移転（海外サーバ）の場合、本人同意済み？
  ├─ NO → 同意取得 or 委託契約締結
  └─ YES → 利用OK（ログ保管推奨）

著作権の落とし穴3パターン

主要AIサービスのデータ取扱（2025年時点）

※ 各社の規約は更新されるため、導入時は必ず最新の利用規約・DPA（データ処理契約）を確認してください。

9.3 社内AI利用ガイドライン策定

ガイドライン10項目テンプレ

「入れてOK / NG」一覧

業種別カスタマイズ例

運用フロー

【新規ツール採用したい】
  ↓
情シス・法務に申請（フォーム）
  ↓
利用規約・DPA・セキュリティ要件チェック
  ↓
承認 → 「承認済みAIサービス」リストに追加
  ↓
全社周知（メルマガ・社内ポータル）

9.4 セキュリティ対策

情報漏えいルート5選と対策

APIキー管理のベストプラクティス

① ローカル開発

# .env ファイル（Git管理外）
ANTHROPIC_API_KEY=sk-ant-xxxx
OPENAI_API_KEY=sk-xxxx

# .gitignore
.env
.env.local
*.env

② 本番環境

• Vercel/Netlify: ダッシュボードのEnvironment Variables
• AWS: Secrets Manager / Parameter Store
• GCP: Secret Manager
• Azure: Key Vault
• GitHub Actions: Repository Secrets

③ ローテーション

• 3ヶ月ごとにキー再発行
• 退職者発生時は即時失効
• キーごとに利用範囲を最小化（read-only / 特定IPのみ）

シャドーAI対策

シャドーAI = 情シス未承認のAIツールが社員間で勝手に使われている状態。

監査ログ設計

事故発生時に「誰が・いつ・何を入力したか」を追えるようにします。

{
  "timestamp": "2026-04-25T10:30:00Z",
  "user_id": "u_12345",
  "service": "Claude API",
  "model": "claude-sonnet-4.5",
  "prompt_hash": "sha256:abc...",  // 内容そのものは保存しない
  "response_token_count": 1234,
  "ip_address": "203.0.113.45",
  "department": "営業部"
}

9.5 部門別ロールアウト戦略

失敗する導入 vs 成功する導入

パイロット部門の選び方

下記スコアの高い部門から始めると成功確率が上がります。

部門別 ロールアウト計画テンプレ

営業部門

開発部門

管理部門（人事・経理・総務）

「チャンピオン制度」の設計

各部門の「AI活用エース」を任命し、推進役にする仕組み。

• 選出: 1部門あたり1〜3名（自薦・他薦）
• 役割: 部門内のAIサポート、社内勉強会の発表、事例ヒアリング
• 支援: 月1回の全社チャンピオン会議、追加予算（書籍・研修費）
• 評価: 評価制度に「AI推進貢献」項目を追加（ボーナス10〜20%加点）

9.6 教育・研修プログラム設計

4階層の研修体系

役職別カリキュラム例

新入社員（L1 + L2基礎）

1. AI基礎（仕組み、できること・できないこと）
2. 当社ガイドライン（入れてOK/NG、事故事例）
3. 承認済みツール操作（Claude/ChatGPT基本）
4. 業務適用（議事録・調査・文章作成）
5. 習熟度テスト（合格点80%）

マネージャー（L2 + L3）

1. 部下のAI活用支援（質問への答え方）
2. 業務プロセス再設計（どこをAI化するか）
3. KPI設計と効果測定
4. 事故対応・エスカレーション
5. チャンピオン育成

経営層（L4）

1. AI市場動向と競合分析
2. 投資対効果の見極め
3. リスクマネジメント
4. 組織変革とカルチャー

継続学習の仕掛け

研修効果のKPI設定

【インプットKPI】
- 受講率: 95%以上
- 習熟度テスト合格率: 90%以上
- チャンピオン任命数: 部門あたり1〜3名

【アウトプットKPI】
- 業務時間削減: 部門平均10〜30%
- AI活用事例数: 月10件以上の社内投稿
- 事故件数: ゼロ目標
- 従業員満足度: AI活用満足度80%以上

9.7 効果測定とPDCA

3階層KPIツリー

【経営KPI】売上 / 利益 / 生産性
        │
        ├─【業務KPI】案件処理数 / 顧客満足 / リードタイム
        │       │
        │       └─【活動KPI】AI利用回数 / 時間削減 / エラー率
        │

下から積み上げて経営インパクトに繋げる設計が重要です。

ROI試算テンプレ

例: 営業部100名にAI導入

四半期PDCAサイクル

【Plan】
- 次四半期のKPI目標設定
- パイロット部門の追加検討
- ガイドライン改訂事項の洗い出し

【Do】
- 各部門で施策実行
- チャンピオン会議で進捗共有
- 事例の社内Wiki投稿

【Check】
- KPI実績の集計
- 事故・ヒヤリハットレビュー
- 従業員アンケート

【Act】
- 成功事例の横展開
- 失敗の原因分析と再発防止
- ガイドライン更新版を全社周知

ダッシュボード設計例

1年後にやってくる「定着 vs 形骸化」分岐