世界中で相次ぐAI規制の制定に完璧な明快さを待つ時間はない。シャドーAIの把握からベンダー管理まで、法改正に即応できる柔軟なガバナンス体制を今すぐ構築するための実践アプローチを解説する。
AI規制を取り巻く環境は複雑だが、強力なガバナンス原則があれば、企業は法制化に先回りして対応できる。
企業は、欧州連合（EU）、全米各州、米連邦政府によるAI規制の複雑な組み合わせに直面している。こうした要件の多くが変化し続ける中で、規制の不透明感が解消されるのを待つという選択肢はない。最高情報責任者（CIO）はAI投資を進めつつ、新たに登場する法律に適応できるガバナンスプログラムを構築しなければならない。
そのためには、組織全体で誰がどこでAIを利用しているかを特定し、リスクを評価し、複数の管轄区域で通用する方針を作成し、規制の変化に応じて調整する必要がある。包括的で柔軟なAIガバナンスの枠組みを構築した企業は、イノベーションを減速させることなく将来の要件に対応できる。
Rimini StreetのグローバルCIOを務めるジョー・ロカンドロ氏は「規制が完全に明確になるのを待ってはいけない。今すぐ適応力のあるガバナンス枠組みを構築すべきだ。責任の所在を明確にし、全てのユースケースを棚卸し、リスクに応じた監視を実施することが重要だ」と語る。
以下では、シャドーAIの把握からベンダー管理まで、法改正に即応できる柔軟なガバナンス体制を今すぐ構築するための実践アプローチを解説する。
企業は、世界中の管理機関から出されるさまざまなAI規制に直面している。CIOは、こうした法律がガバナンスや導入の意思決定にどう影響するかを理解しなければならない。
「EU AI法（EU AI Act）」は、多国籍企業にとって最も重要なAI規制の1つだ。この法律はリスクベースのアプローチを採用しており、雇用、ヘルスケア、金融などの分野に影響を与える可能性のあるAIシステムにより厳しい要件を課している。
多国籍企業にとって、この規制はAIガバナンスプログラムを構築し、各市場でのAI展開方法を決定する際の重要な検討事項になっている。
ネットワークカメラ製造大手、スウェーデンのAxis CommunicationsでCIOを務めるジョナス・ハンソン氏は「EU AI法は、包括的かつ原則に基づいた規制に向けた真剣な試みだ。個々の具体的な規定がどうであれ、ユースケースをリスクに基づいて評価し、明確で一貫した基準を設定するという狙いは正しい」と述べる。
米国では連邦政府の政策立案者がAI規制の枠組みについて議論を続ける一方で、州レベルでは独自のAI法案が次々と成立している。これらの規制により複雑な要件が生まれており、企業がAIシステムを導入する際、特に人間の重要な意思決定にAIが影響を及ぼす分野で考慮すべき点が増えている。
コロラド州の法律は、AIによる重大な意思決定を対象とした全米初の包括的な規制枠組みの1つで最も注目を集めた。同州は当初、アルゴリズムによる意思決定でより厳しい要件を提案していた。しかし、AIを開発・導入する企業への負担を懸念する業界団体などの声を受けて、議員らは法案の一部を改定した。
大手国際法律事務所米Reed Smithの先進技術プラクティスグループでパートナー兼弁護士を務めるタイラー・トンプソン氏は「その後に起きたのは、巨額の外部資金の投入や、コロラド州法を阻止しようとするxAIなど外部からの訴訟だ。経営層が理解すべき重要な環境要素は、現時点でAI規制全般に対する猛烈な反発があるという点だ」と指摘する。
2025年12月、トランプ大統領は州レベルで異なるAI関連法や規則が乱立するのを抑え、国家レベルで統一された連邦基準の枠組みを構築することを目指す大統領令に署名した。この大統領令は連邦機関に対し、既存の州のAI法を評価し、現政権が過度な負担と見なす州レベルの規制を制限する全国的な枠組みの提言を作成するよう指示している。
大統領令は、州ごとに分断されたAI法がイノベーションを遅らせ、複数の管轄区域で事業を展開する企業のコンプライアンス上の課題になると主張した。そして、負担を最小限に抑えた連邦AI政策枠組みの策定を求め、その方針に反する州法を特定するよう機関に指示した。
この大統領令によって既存の州AI法が無効になるわけではなく、企業はすでに施行されている要件に従い続ける必要がある。しかし、大統領令はトランプ政権のAI規制に対する姿勢を明確に示している。
「少なくとも短期的には、連邦レベルで具体的な動きが起きる気配はない。この見立ては正しいと思う。州レベルであっても、今後のAI法制化は険しい道のりになることを示している」とトンプソン氏は語る。
2026年6月、トランプ大統領は特定フロンティアモデルと呼ばれる高度なAIシステムのセキュリティリスクに焦点を当てた新たな大統領令に署名した。2025年12月の大統領令とは異なり、この措置は州のAI法を対象とはしていない。最先端のAIモデルを開発する事業者が、一般公開前に連邦政府と情報を共有するための自主的なプロセスを設置した。
この大統領令は、特定フロンティアモデルが脆弱（ぜいじゃく）性を露出させたり重要インフラに影響を与えたりするリスクなど、安全保証やサイバーセキュリティ上の懸念に重点を置いている。AI開発を遅らせるような強制的な承認要件を避けつつ、政府が潜在的なリスクを特定できるようにすることを目的としている。
この大統領令が日常的な企業向けAIの導入に新たなコンプライアンス要件を生むわけではない。影響を受けるのは主に最先端のフロンティアモデルを開発する事業者だ。
AI規制が流動的な状態であっても、企業は変化する要件に適応できるガバナンスプログラムを構築できる。
企業はまず、IT、法務、セキュリティ、リスク、コンプライアンス、人事、その他の関連事業部門の代表者からなる横断的なガバナンス委員会を設立すべきである。この組織は、提案されたAIのユースケースの審査、リスク評価、ポリシー策定、社内開発システムやサードパーティー製ツールの監督を担う。
SedgwickのグローバルCIOを務めるジェイソン・ランドラム氏は「そのメンバーが隔月で集まる会議を設けている。そこで組織に寄せられるAIの利用申請を全て審査している」と話す。
AIの導入が進むにつれ、手動の審査では追い付かなくなる恐れがある。ランドラム氏のチームは、承認プロセスの一部自動化を進めている。低リスクの申請はあらかじめ設定したワークフローで自動処理し、高リスクのユースケースに絞って人間による詳細な審査を実施する仕組みだ。
例えば、承認済みベンダーを使用し、リスクの低いデータのみにアクセスするAI申請は自動ワークフローで処理される。一方で、顧客の機密情報や新しいモデルを扱う申請は手動審査のために委員会へエスカレーションされる。
ハンソン氏は、ガバナンスを公式な委員会の枠にとどめるべきではないと指摘する。各事業部門に「AIアンバサダー」のネットワークを構築することで、新たなリスクを発掘し、ガバナンスを机上の空論ではなく日常業務の一部として定着させることができる。
使われている場所が分からなければ、AIをガバナンスで管理することはできない。ポリシーの策定や新しい規制への対応を始める前に、AI委員会は使用中のあらゆるAIシステムを特定し、その役割を把握し、法的リスクやビジネスリスクの有無を判断する必要がある。
トンプソン氏は「事実確認や調査を行い、ユースケースを理解することだ。現状を把握することが間違いなく第一歩になる」と語る。
棚卸しの対象には、承認済みのAIツールだけでなくシャドーAIも含める必要がある。従業員が気付かないうちにAIを使っているケースもあるため、サードパーティー製ソフトウェアに組み込まれたAI機能も特定すべきだ。
委員会がAIシステムを特定したら、それぞれのシステムがもたらすリスクを評価する。審査ではバイアス、プライバシー、セキュリティ、コンプライアンスなどのリスクに加えて、期待できるビジネス上のメリットを検証し、システムを本番稼働させる前にどのような統制が必要かを特定する。
ロカンドロ氏は「監査可能性とリスクについて評価する。IT部門は自社エコシステムでの稼働可能性を評価し、そこに数人の事業部門担当者が加わる」と説明する。
複数の州や国で事業を展開する企業が、管轄区域ごとに別々のAIガバナンスプログラムを作成することは現実的ではない。代わりに、透明性、説明責任、人間の関与、リスク管理といった中核的な原則に基づいて、社内ルールを一本化して構築すべきだ。このアプローチによりさまざまな地域の要件に対応しやすくなり、新しい法律が施行されるたびにポリシーを書き直す手間を削減できる。
「規制の不透明感を理由にAI戦略や取り組みを停止させてはならない。複数の管轄区域をカバーできる原則を持つべきだ」とロカンドロ氏は助言する。
AIガバナンスで高い社内基準を設定している企業は、新たな規制が出ても大幅な変更を迫られずに済むことが多い。規制ごとに新しいガバナンスプロセスを作るのではなく、既存ポリシーの微調整で新要件に対応できる。
ハンソン氏は「長期的な視点での計画を優先すれば、規制のルールが確定する前であっても、すでに規制の方向性に沿った状態を維持できていることが多い」と話す。
社内システムに適用するガバナンス基準は、AIベンダーでも同様に適用すべきである。AIツールを採用する前に、情シスはその動作の仕組み、使用データ、自社のセキュリティ・プライバシー・コンプライアンス要件に適合しているかを確認する必要がある。
ハンソン氏は「リスクプロファイル、データセキュリティの取り扱い、知的財産の扱い、ベンダーの再委託先の管理体制などを評価している」と語る。
この審査には情シスだけでなく他のチームも巻き込むべきだ。事業部門のリーダーが業務上のニーズを満たしているかを判断し、法務・セキュリティチームが契約上、規制上、データ保護上のリスクを評価する。
ガバナンス基準を満たさないAIツールの不採用を決める覚悟も求められる。データの使用方法を追跡・制御できない場合、いくら有用な機能であってもリスクに見合わない可能性がある。
ロカンドロ氏は「導入を見送ったツールが2、3ある。一部のツールは、企業に入り込むと学習モデルに使うデータを抽出し、外部の広範な環境に出てしまうからだ。データが自社の管理下を離れた後の追跡性を確保できないため採用を見送った」と明かす。
規制の進展に合わせて、企業は規制環境を継続的に監視し、システム全体の大幅な改修を行わずに適応できるガバナンスプログラムを構築する必要がある。ポリシーや統制手段を一本化すれば、新しい要件を一貫して適用しやすくなり、組織全体でのコンプライアンス管理の負担を軽減できる。
ランドラム氏は「当社が構築している枠組みは、エージェントの行動を自動的に監視するツールを導入できるようにするものだ。規制変更が生じた場合でも、インフラの1カ所を修正するだけでシステム全体にその変更を反映できる」と語る。
Copyright © ITmedia, Inc. All Rights Reserved.
AI規制の乱立が企業を直撃 情シスに求められる「AIレジリエンス」の作り方
国内企業の73％が管理できない「シャドーAI」 Gartnerが示す現実的対策
情シスを追い詰める「ガバナンスなきAI導入」の代償とは？
従業員の4割がAIに機密データを送信 送っているのはどんな人？
日本のユーザーは保護対象外？ ChatGPT「米国法のわな」と情シスの防衛策7選
瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓
MFA（多要素認証）を入れたから安心という常識が崩れ去っている。フィッシング集団「Tycoon2FA」が摘発されたが、脅威が完全になくなったというわけではない。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年5月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10（2025年5月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年5月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
ITmediaはアイティメディア株式会社の登録商標です。
