AI 利用ポリシーが機能しない理由 ― 規程・運用・監査の 3 層を接続するフレーム

なぜ AI 利用ポリシーは「読まれない文書」になるのか

多くの企業で AI 利用ポリシーは、社内の弁護士・コンプライアンス部門が中心となって作成し、全社員に通達される。だが現場で実際に参照される頻度は極めて低い。当社が支援先で実施したサーベイでは、「ポリシーの内容を理解している」と答える社員の割合は 10 〜 25% にとどまる。残りの 75 〜 90% は、ポリシーの存在は知っているが、日常業務でどう適用するかまでは知らない。

この乖離は、文書としてのポリシーの完成度の問題ではない。むしろ多くの企業のポリシー文書は、法律家の眼から見れば極めて精緻に書かれている。問題は、ポリシーが「読まれること」を前提に設計されている点にある。実効性ある AI ガバナンスは、文書として読まれる必要はない。日々の業務に組み込まれた仕組みとして「機能する」必要がある。両者は別物である。

本稿では、AI ガバナンスを規程（Policy）・運用（Operations）・監査（Audit）の 3 層接続構造として再設計する論を提示する。各層は別の機能、別の更新サイクル、別の責任者を持つ。それらを Cascade（規範の展開）と Feedback Loop（実態の還流）の双方向で接続することで、ポリシーが「読まれる」ことなく機能する。

3 層設計 ― 規程・運用・監査の役割定義

AI ガバナンスの 3 層は、それぞれ別の機能を担う。同じ層に複数の機能を詰め込むと、ポリシーは肥大化し、結果として読まれない文書になる。

第 1 層 ― 規程（What）

規程は「何を許可し、何を禁止するか」を定める。これは法律 ・ 規制 ・ 業界標準を踏まえた静的なルールである。

規程に求められるのは明確で短いことである。法律家が書く詳細な文書は、現場では参照されない。理想は「A4 用紙 1 〜 2 枚で全社員が要点を理解できる」レベルである。詳細な解釈ガイドは別文書に分離し、規程本体は宣言的に書く。

主要な記載事項：

• 5W1H で記述: 誰が（Who）/ 何を（What）/ いつ（When）/ どこで（Where）/ なぜ（Why）/ どのように使ってはいけないか（How not）
• 許可された AI ツール一覧と利用条件
• 禁止される利用: 個人情報、機密情報、著作権、業務外利用など
• 例外規定: 緊急時、研究開発、外部委託など
• 違反時の責任分界: 個人責任 ／ 会社責任の明確化

更新サイクルは規制変更ごと（年 2 〜 4 回）。EU AI Act、各国の AI 規制、業界別ガイドラインの動きを追従する。AI 推進法案（日本）、生成AI 暫定弁法（中国）など、地域ごとの規制差にも対応する。

第 2 層 ― 運用（How）

運用層は、規程を日々の業務にどう適用するかを定める。具体的・実用的・ユースケース別のガイドラインである。

運用層が機能する条件：

• ユースケース別ガイドライン: 「議事録要約」「顧客向け文書ドラフト」「コード生成」などケース別に
• 承認フロー: どのレベルで誰が承認するか
• 違反時のエスカレーション: 検知 → 報告 → 対処の流れ
• ツール内ガード: DLP（Data Loss Prevention）、プロンプトフィルター、出力検証
• 研修と認証: 利用者が運用ルールを実践できることの確認

運用層の最大の特徴は「業務に組み込まれている」ことである。現場が「ポリシー文書を参照する」のではなく、業務システムやツール自体に運用ルールが組み込まれているため、意識せずに適用される。これが「読まれないが機能する」状態を作る。

更新サイクルは月次 〜 四半期。新しいユースケースが現れるたびに、運用ガイドラインを追加・改訂する。これは法務部門ではなく、各事業部 ・ 業務部門 ・ IT 部門が主導する。

第 3 層 ― 監査（Verify）

監査層は、規程と運用が実際に機能しているかを検証する。データ駆動で、継続的に行う。

監査の主要対象：

• 利用ログ分析: 誰が、いつ、どの AI を、どう使ったか
• ポリシー違反の検出: 機密情報の入力、外部漏洩、不適切な利用
• インシデントの根本原因: 違反が起きた構造的要因（規程の不備、運用ガード不足、教育不足）
• 規程・運用へのフィードバック: 監査結果を上位 2 層の改善に接続
• 外部監査対応: 規制当局、業界団体、認証機関への報告

監査層を持たない企業は、規程と運用を作っても、それが効いているかを知らない。実効性の証拠（エビデンス）を提示できない状態である。これは規制対応の観点でも、経営層への説明責任の観点でも、致命的な弱点となる。

監査層の責任者は、内部監査部門が中心である。AI 領域では監査の専門知識が必要なため、外部監査機関や専門コンサルタントとの連携も必要となる。更新サイクルは継続的（リアルタイム監視 〜 月次レビュー）。

Cascade と Feedback Loop ― 接続の双方向性

3 層を「ただ並べる」だけでは機能しない。層と層の間に双方向の流れがあって初めて、ガバナンスは実効性を持つ。一つは Cascade（規範の展開）、もう一つは Feedback Loop（実態の還流） である。

2 つの流れのうち、設計が遅れがちなのは Feedback Loop である。多くの企業では、現場から規程改定を提案する公式ルートが整備されていない。結果として、規程は現場の実態から徐々に乖離し、「読まれない文書」へと退化する。これを防ぐには、四半期ごとに監査結果と現場の声を規程改定に反映させる定例レビュー会を制度化することが有効である。

Maturity Levels ― 成熟度の 5 段階

3 層接続の構築は一夜にして完成しない。組織のガバナンス成熟度は、5 段階のレベルで段階的に進む。これは「次に何をすべきか」のステップではなく、「自社が今どこにいるか」を診断するための座標軸である。多くの企業は Level 2 〜 Level 3 に滞留している。

成熟度レベルは「次にやるべきこと」のリストではない。自社が現在どこに位置するかを診断する座標軸である。Level 1 から Level 5 まで一足跳びで進むことはできない。各レベルの構造を組織能力として確立してから、次のレベルへ移行する。Level 5 への到達には通常 3 〜 5 年を要する。

ガバナンス自己診断 ― 5 領域 10 項目

3 層接続の有無を診断するため、5 領域に分けて 10 項目を提示する。即答できない項目の数が、自社のガバナンス未着手領域の総量である。

10 問への自己診断結果が、自社のガバナンス現在地を示す。3 つ以上に「いいえ」がある場合、3 層接続の設計が未着手である可能性が高い。多くの企業がこの状態にある。問題は「ポリシー文書がないこと」ではなく、「3 層接続が設計されていないこと」にある。

AI ガバナンスは、文書として完成したときに機能するのではない。3 層が接続され、上下の流れが回り始めたときに機能する。これは法務部門だけの仕事ではなく、CEO・取締役会の責任である。

経営層に問われる構造設計の責務

AI 利用ポリシーを「読まれない文書」のままにするか、組織に組み込まれた機能として動かすかは、経営層の構造設計次第である。法務部門に任せておけば作られるのは精緻な「文書」であり、それは多くの場合 3 層接続を持たない。3 層接続は経営の責任で設計しなければ、自然には生まれない。

取締役会で問うべきは「AI 利用ポリシーは作ったか」ではなく、「3 層が接続された AI ガバナンスは機能しているか」である。前者は文書の有無、後者は組織能力の有無を問う。両者の差が、ガバナンスの実効性を決める。本稿で示した 3 層設計、Cascade と Feedback Loop、Maturity Levels、5 領域 10 項目の自己診断は、その実効性を高めるための実装ツールである。

References

本稿で示した 3 層設計と 2 つの接続フローは、当社の支援実績から抽出した独自フレームである。関連する公開フレームワーク・規制資料を以下に示す。

International Standards

ISO/IEC 42001 ― AI Management System iso.org/standard/81230.html

NIST AI Risk Management Framework nist.gov/itl/ai-risk-management-framework

Japan

経済産業省・総務省 AI 事業者ガイドライン meti.go.jp

個人情報保護委員会 ― AI 利用に関する注意喚起 ppc.go.jp

文化庁 ― AI と著作権の関係 bunka.go.jp

European Union

EU AI Act digital-strategy.ec.europa.eu

United States

US AI Safety Institute（NIST 内） nist.gov/aisi

International Cooperation

広島 AI プロセス（G7、2023） 日本主導の国際 AI ガバナンス枠組み

※ 本稿で示した社員のポリシー理解率（10 〜 25%）は当社の支援実績から抽出した経験値です。業種・組織規模で変動します。本稿の解釈・提言部分は DX Strategy 株式会社の独自視点です。