結論：完璧な把握を目指さず「把握できていない状態」を解消することが第一歩
生成AIのガバナンスでは、まず社内で誰が・どの目的で使っているかを大まかに把握することが重要です。
多くの企業では、最初から網羅的な管理を目指さず、利用実態の見えない状態を解消することから始めています。
理由：把握できていないAI利用が最大のリスクになりやすい
現場では次のような状況が起きがちです。
- 情シスが把握していない生成AI利用が存在する
- 部署ごとに独自ルールで使われている
- 監査直前に「実は使っていました」と判明する
この状態では、**ルール違反そのものより「管理していないこと」**が問題視されやすくなります。
そのため、利用を止める前に実態を把握するプロセスが必要です。
用語解説（初心者向け）
| 用語 | 意味 |
|---|---|
| 利用棚卸し | 社内で使われているAIやITツールを洗い出すこと |
| シャドーAI | 会社の把握や承認なく使われている生成AI利用 |
| 利用実態 | 誰が、何の業務で、どの程度使っているかの状況 |
手順：生成AIの利用棚卸しを進める4ステップ
ステップ1：目的を「禁止」ではなく「把握」と明言する
最初に重要なのは、目的の伝え方です。
伝えるべきポイント
- 利用を責めるためではない
- 今後のルール作りの参考にする
- 回答したことで不利益は生じない
取り締まり目的と誤解されると、正直な回答が得られません。
ステップ2：簡単な自己申告ベースで集める
最初の棚卸しは、簡易で十分です。
最低限聞く項目
- 利用している生成AIの有無（Yes／No）
- 主な利用目的（下書き、要約、調査など）
- 業務で使っているか、個人利用か
ツール名や細かい設定までは求めません。
ステップ3：リスクの高そうな利用だけを抽出する
集まった情報をもとに、優先順位を付けます。
注意して見る利用例
- 個人情報・顧客情報に関わりそうな利用
- 対外資料や意思決定に使われている利用
- 継続的な業務プロセスに組み込まれている利用
多くの利用は低リスクである場合も多いため、深掘りは限定します。
ステップ4：結果をもとに次の施策を決める
棚卸しはゴールではありません。
次のアクション例
- 共通ルールや注意点の周知
- 申請や相談が必要なケースの整理
- 高リスク利用への個別対応
この流れで、段階的にガバナンスを強化していきます。
注意点：生成AI利用棚卸しでありがちな失敗
| よくある失敗 | 結果 |
|---|---|
| 最初から詳細報告を求める | 回答率が下がる |
| 利用を一律に問題視する | 実態が見えなくなる |
| 一度きりで終わらせる | 新しい利用がすぐに生まれる |
| 結果を共有しない | 協力する意味が伝わらない |
すぐ使える：生成AI利用棚卸し 最低限チェックリスト
- [ ] 目的を「把握」と明確に伝えている
- [ ] 簡単な項目で自己申告を集めている
- [ ] 高リスク利用を優先的に整理している
- [ ] 棚卸し後の対応方針を決めている
- [ ] 定期的な見直しを前提にしている
参考（公式・一次情報中心）
- 経済産業省：AI事業者ガイドライン（第1.1版） https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20240419_report.html
- 総務省：AIネットワーク社会推進会議 https://www.soumu.go.jp/main_sosiki/kenkyu/ai_network/index.html
- NIST：AI Risk Management Framework 1.0 https://www.nist.gov/itl/ai-risk-management-framework
- OECD：AI Principles https://www.oecd.org/en/topics/ai-principles.html
※本記事は一般的な情報提供であり、法務・監査の個別助言ではありません。最終判断は社内ルールおよび専門家にご確認ください。