はじめに — なぜ今AIガバナンスが必要か
2025年は日本のAIガバナンス元年と呼ぶべき年でした。
3つの動きが同時進行しました：
-
METI AI事業者ガイドライン第1.1版公開（2025年3月）
経済産業省・総務省が共同で策定。AI開発者・提供者・利用者の全事業者類型を対象に、10の基本原則と28の具体的要件を定義しました。 -
ISO/IEC 42001:2023 発効・普及加速
AIマネジメントシステム（AIMS）の国際標準。ISO 27001（情報セキュリティ）に相当するAI版の認証規格で、取引先や入札における要求事項として採用が始まっています。 -
AI推進法（人工知能関連技術の研究開発及び活用の推進に関する法律）施行（2025年6月）
高リスクAIへのリスク管理体制整備・重大インシデントの報告義務などを定めた日本初のAI基本法。
この3つが重なることで、「AIガバナンスは努力義務だから後回し」という判断が通じなくなりつつあります。特に、AI推進法の第15〜18条は高リスクAIに対する義務規定を含んでいます。
本記事では、実務担当者がすぐに使えるよう、MEITガイドライン v1.1 の全28要件をチェックリスト形式で整理し、ISO 42001・AI推進法との対応関係もまとめました。
METI AI事業者ガイドライン 10原則の概要
ガイドラインはAI開発者・AI提供者・AI利用者の3事業者類型すべてに共通する10の基本原則を定めています。
| # | 原則 | 概要 |
|---|---|---|
| 1 | 人間中心（Human-Centric） | AIの判断が人間の尊厳を損なわないよう、人間が意思決定の主体であることを確保する |
| 2 | 安全性（Safety） | 学習データの品質管理と安全な運用・停止手順を整備し、人命・財産への危害を防ぐ |
| 3 | 公平性（Fairness） | 性別・人種・年齢等に基づく不当な差別が生じないようバイアスを評価・是正する |
| 4 | プライバシー保護（Privacy Protection） | AI固有のリスクを考慮した個人情報取扱方針の策定とPIA（プライバシー影響評価）を実施する |
| 5 | セキュリティ確保（Security） | 敵対的攻撃・データポイズニング等AI固有の脅威に対応した防御策を講じる |
| 6 | 透明性（Transparency） | AI利用を開示し、技術的に可能な範囲で判断根拠を説明できるようにする |
| 7 | アカウンタビリティ（Accountability） | ガバナンス責任者を指定し、方針・体制・記録を整備して監査可能な状態にする |
| 8 | 教育・リテラシー（Education & Literacy） | AI担当者への定期教育と利用者への適切な情報提供を行う |
| 9 | 公正競争の確保（Fair Competition） | 不当な競争制限行為を避け、他者の知的財産権を尊重する |
| 10 | イノベーション（Innovation） | 技術の囲い込みを避け、相互運用性・オープン性の確保に努める |
28要件の完全チェックリスト
各要件に対して「エビデンス例」と「対応難易度（★〜★★★）」を付けました。
難易度の目安
★ … 既存の方針・文書に追記・修正で対応可能
★★ … 新規プロセスの設計が必要
★★★ … 組織横断の体制変更・システム改修が必要
原則1: 人間中心
| 要件ID | 要件名 | 内容 | エビデンス例 | 難易度 |
|---|---|---|---|---|
| C01-R01 | 人間の尊厳・自律の尊重 | AIの判断が人間の尊厳を損なわないよう、人間中心の原則を方針として定め、組織内に周知すること | AI利用方針書、社内周知記録 | ★ |
| C01-R02 | 意思決定における人間の関与 | AIの判断結果を最終的に人間が確認・判断できるプロセスを整備すること。特に高リスク領域では人間の介在を必須とすること | プロセスフロー図、承認記録 | ★★ |
| C01-R03 | 誤情報・偽情報への対処 | AIが生成する情報の正確性を確認する仕組みを設け、誤情報・偽情報の拡散防止策を講じること | ファクトチェックルール、モニタリングログ | ★★ |
原則2: 安全性
| 要件ID | 要件名 | 内容 | エビデンス例 | 難易度 |
|---|---|---|---|---|
| C02-R01 | リスクアセスメントの実施 | AIシステムのリスクを特定・評価・軽減するためのリスクアセスメントを定期的に実施すること | リスク評価書（年次以上）、リスクレジスター | ★★ |
| C02-R02 | 学習データの品質管理 | 学習データの品質（正確性・網羅性・偏りの有無）を管理し、不適切なデータによる危害を防止すること | データ品質管理手順書、検証記録 | ★★★ |
| C02-R03 | 安全な運用・停止手順 | AIシステムに異常が発生した場合の安全な停止手順、フォールバック手段を事前に定めること | 緊急停止手順書、訓練記録 | ★★ |
原則3: 公平性
| 要件ID | 要件名 | 内容 | エビデンス例 | 難易度 |
|---|---|---|---|---|
| C03-R01 | バイアス評価の実施 | AIシステムの出力が特定の属性（性別・人種・年齢等）に基づく不当な差別を含まないか評価すること | バイアス評価レポート、テスト結果 | ★★★ |
| C03-R02 | 公平性基準の策定 | 利用文脈に応じた公平性の基準を定め、定期的にモニタリングすること | 公平性基準文書、モニタリング記録 | ★★ |
| C03-R03 | 差別的影響の是正措置 | バイアスが検出された場合の是正手順を事前に定め、速やかに対応すること | 是正手順書、対応履歴 | ★★ |
原則4: プライバシー保護
| 要件ID | 要件名 | 内容 | エビデンス例 | 難易度 |
|---|---|---|---|---|
| C04-R01 | 個人情報取扱方針の策定 | AIに関する個人情報の取得・利用・提供・保管・削除に関する方針を策定し、公表すること | AI固有プライバシーポリシー | ★ |
| C04-R02 | プライバシー影響評価 | AIシステムの導入前にプライバシー影響評価（PIA）を実施し、リスクを特定・軽減すること | PIA実施記録、リスク対応記録 | ★★ |
| C04-R03 | データ最小化・目的外利用禁止 | 必要最小限のデータのみを取り扱い、当初の目的以外での利用を行わないこと | データマッピング、利用目的管理台帳 | ★★ |
原則5: セキュリティ確保
| 要件ID | 要件名 | 内容 | エビデンス例 | 難易度 |
|---|---|---|---|---|
| C05-R01 | セキュリティ対策の実施 | AIシステムに対する攻撃（敵対的攻撃、データポイズニング等）への防御策を講じること | AI固有脅威対策手順書、ペネトレーションテスト結果 | ★★★ |
| C05-R02 | 脆弱性管理 | AIシステムの脆弱性を定期的に評価し、発見された脆弱性に速やかに対処すること | 脆弱性管理台帳、パッチ適用記録 | ★★ |
| C05-R03 | インシデント対応体制 | セキュリティインシデント発生時の対応手順・連絡体制を事前に整備すること | インシデント対応手順書、連絡網 | ★★ |
原則6: 透明性
| 要件ID | 要件名 | 内容 | エビデンス例 | 難易度 |
|---|---|---|---|---|
| C06-R01 | AI利用の明示 | AIを利用していることを利害関係者に適切に開示すること | 利用規約、サービス画面上の表示 | ★ |
| C06-R02 | 判断根拠の説明 | AIの判断結果について、技術的に可能な範囲で根拠を説明できるようにすること | 説明可能AI（XAI）の実装記録、説明ドキュメント | ★★★ |
| C06-R03 | 技術情報の文書化 | AIシステムの技術仕様・学習データ・性能指標等を文書化し、必要に応じて開示できるようにすること | モデルカード、システム仕様書 | ★★ |
原則7: アカウンタビリティ
| 要件ID | 要件名 | 内容 | エビデンス例 | 難易度 |
|---|---|---|---|---|
| C07-R01 | 責任者の指定 | AIガバナンスに関する責任者を指定し、その権限と責任を明確にすること | 組織図、辞令・規程 | ★ |
| C07-R02 | ガバナンス方針・体制の整備 | AIの開発・提供・利用に関するガバナンス方針を策定し、実施体制を整備すること | AI倫理・ガバナンス方針書、委員会規程 | ★★ |
| C07-R03 | 契約・SLAの整備 | AI関連の取引において、責任分界・品質保証・免責等を契約やSLAで明確にすること | AI取引契約書、SLA文書 | ★★ |
| C07-R04 | ガバナンス記録の保持 | ガバナンスに関する決定事項・実施記録を適切に保持し、監査可能な状態にすること | 議事録、意思決定ログ、監査証跡 | ★★ |
原則8: 教育・リテラシー
| 要件ID | 要件名 | 内容 | エビデンス例 | 難易度 |
|---|---|---|---|---|
| C08-R01 | 従業員教育の実施 | AIを扱う従業員に対して、AIの特性・限界・リスクに関する教育を定期的に実施すること | 研修実施記録、受講履歴 | ★★ |
| C08-R02 | 利用者への情報提供 | AIシステムの利用者に対して、適切な利用方法・注意事項を提供すること | 利用ガイドライン、FAQ、ヘルプドキュメント | ★ |
原則9: 公正競争の確保
| 要件ID | 要件名 | 内容 | エビデンス例 | 難易度 |
|---|---|---|---|---|
| C09-R01 | 公正競争への配慮 | AIの開発・提供・利用において、不当な競争制限行為を行わないこと | 法務レビュー記録、コンプライアンス方針 | ★ |
| C09-R02 | 知的財産の尊重 | AIの学習・利用において、他者の知的財産権を尊重すること | 学習データのライセンス管理台帳 | ★★ |
原則10: イノベーション
| 要件ID | 要件名 | 内容 | エビデンス例 | 難易度 |
|---|---|---|---|---|
| C10-R01 | イノベーション促進への貢献 | AIの研究・開発・利用を通じて、社会課題の解決やイノベーション促進に貢献すること | AI活用推進計画、社外連携記録 | ★ |
| C10-R02 | 相互運用性・オープン性の確保 | 技術的な囲い込みを避け、相互運用性やオープン性の確保に努めること | API公開方針、インターフェース標準準拠記録 | ★★ |
ISO 42001 とのクロスマッピング
ISO/IEC 42001:2023（AIマネジメントシステム）との主要な対応関係をまとめます。ISO認証取得を検討している場合、MEITガイドライン対応と並行して進めることで効率的に両方をカバーできます。
| 共通テーマ | METI要件 | ISO 42001 条項 | 備考 |
|---|---|---|---|
| ガバナンス体制の整備 | C07-R01, C07-R02 | 5.1 リーダーシップ・コミットメント, 5.2 AI方針, 5.3 役割・責任・権限 | ISOはトップマネジメントの関与を強く要求 |
| リスク管理 | C02-R01, C02-R03 | 6.1 リスク・機会への取組み, 8.2 AIシステムインパクト評価, 8.3 AIシステムライフサイクル | ISOはライフサイクル全体のリスク管理を求める |
| データ品質管理 | C02-R02 | 6.1.2 データに関するリスク | 学習データの代表性・バイアス管理が対象 |
| 公平性・バイアス対策 | C03-R01〜R03 | 8.4 AIシステム運用（公平性検証） | 継続的モニタリングが求められる |
| 透明性・説明可能性 | C06-R01〜R03 | 7.4 コミュニケーション, 7.5 文書化情報 | モデルカードの標準化が推奨される |
| プライバシー保護 | C04-R01〜R03 | 8.4 AIシステム運用（プライバシー） | PIAの実施方法論が詳細規定される |
| セキュリティ対策 | C05-R01, C05-R02 | 8.3 AIシステムライフサイクル（セキュリティ） | AI固有の攻撃手法への対策が要求される |
| インシデント対応 | C05-R03 | 10.1 不適合及び是正措置 | 報告・記録・再発防止が義務 |
| 人間による監視 | C01-R02 | 8.4 AIシステム運用（ヒューマンオーバーサイト） | 高リスクAIでは介入設計が必須 |
| 文書化・記録管理 | C06-R03, C07-R04 | 7.5 文書化情報, 9.2 内部監査 | バージョン管理・変更履歴が求められる |
| 教育・リテラシー | C08-R01, C08-R02 | 7.2 力量, 7.3 認識 | 役割別の能力要件定義が必要 |
| 継続的改善 | C10-R01 | 9.1 モニタリング・測定, 10.2 継続的改善 | PDCAサイクルの証拠記録が必要 |
| サプライチェーン管理 | C07-R03 | 8.1 運用の計画及び管理（サードパーティ） | AI APIのベンダー管理も対象 |
AI推進法とのクロスマッピング
AI推進法（2025年6月施行）との対応関係を整理します。義務規定（mandatory）は優先対応が必要です。
| AI推進法 条文 | 要件名 | 義務種別 | 対応するMETI要件 | 実務上の対応ポイント |
|---|---|---|---|---|
| 第3条 | 基本理念の遵守 | 義務 | C01-R01 | 人間中心の原則を経営方針に明文化 |
| 第10条 | 事業者の責務（安全性） | 努力義務 | C02-R01, C02-R03 | リスクアセスメントの定期実施 |
| 第10条 | 事業者の責務（透明性） | 努力義務 | C06-R01, C06-R02 | AI利用の積極的開示 |
| 第10条 | 事業者の責務（公平性） | 努力義務 | C03-R01, C03-R02 | バイアス評価の実施 |
| 第15条 | リスク管理体制の整備 | 義務（高リスクAI） | C02-R01, C02-R02 | 高リスクAIの定義と管理体制の確立 |
| 第16条 | 個人情報等の適正な取扱い | 義務 | C04-R01〜R03 | AI固有のプライバシーリスク対応 |
| 第17条 | セキュリティ対策の実施 | 義務 | C05-R01〜R03 | AI固有の脅威モデリングと対策 |
| 第18条 | インシデント報告義務 | 義務 | C05-R03 | 報告トリガーと手続きの事前整備 |
| 第22条 | AI人材の育成 | 努力義務 | C08-R01 | 役割別研修プログラムの整備 |
| 第23条 | AIリテラシーの向上 | 努力義務 | C08-R02 | 利用者向けガイダンスの整備 |
| 第28条 | AIガバナンス体制の整備 | 努力義務 | C07-R01, C07-R02 | 内部統制・ガバナンス委員会の設置 |
| 第29条 | 記録の保持・監査対応 | 努力義務 | C07-R04 | 改竄防止・長期保存体制の整備 |
注意: AI推進法の「高リスクAI」の範囲や具体的な判定基準は、政府によるガイダンス・施行令で随時明確化される予定です。最新情報は内閣府・経済産業省の公式発表を参照してください。
よくあるGapトップ10 — 企業がつまずきやすいポイント
実際の対応作業でよく見られる「やったつもり」になりがちなGapをまとめます。
Gap 1: 一般的なIT対策をAI対策と混同している（C05-R01）
症状: 「ISO 27001の認証を持っているからセキュリティは大丈夫」と判断している
問題点: 敵対的攻撃（Adversarial Attack）やデータポイズニング、プロンプトインジェクションはIT一般のセキュリティ対策では防げない
対応: AI固有の脅威モデリングを別途実施し、AIセキュリティのテスト手順を策定する
Gap 2: 汎用プライバシーポリシーをAI対応と見なしている（C04-R01）
症状: 既存のプライバシーポリシーに「AI」という文言がないのに適合済みと報告している
問題点: ChatGPT等の外部AIサービスへのデータ送信、AIによる自動プロファイリングなどAI固有のリスクが未対応
対応: AI専用のデータ処理付録を追加し、外部AI APIへの送信ルールを明文化する
Gap 3: リスクアセスメントが導入時の1回限りになっている（C02-R01）
症状: 「2023年にリスク評価を実施した」と記録されているが、その後更新なし
問題点: AI システムの利用範囲拡大・モデル更新・利用データの変化でリスクプロファイルが変わっている
対応: 年次以上の定期レビューと、重大変更時のアドホック評価を手順化する
Gap 4: 高リスク領域での人間関与が手順化されていない（C01-R02）
症状: 「最終的に人間が確認している」と口頭説明はできるが、手順書がない
問題点: 担当者が変わると対応が変わり、抜け漏れが発生する。監査での証拠提示もできない
対応: 人間確認が必要なトリガー条件と確認プロセスをフローとして文書化する
Gap 5: バイアス評価が「実施した」で終わっている（C03-R02）
症状: 導入時のバイアス評価レポートは存在するが、継続的モニタリングの仕組みがない
問題点: 運用中にデータの分布が変化し、バイアスが発生しても検知できない
対応: モニタリング指標（公平性メトリクス）を定義し、定期的な計測・アラート体制を整備する
Gap 6: モデルカード・技術文書が未整備（C06-R03）
症状: 開発者はモデルの詳細を把握しているが、文書化されていないため引き継ぎ・監査ができない
問題点: 規制当局・顧客から技術情報の開示を求められた際に対応できない
対応: Google等が公開しているModel Cardテンプレートを参考に、各AIシステムのモデルカードを作成する
Gap 7: AIガバナンス責任者が実質的に機能していない（C07-R01）
症状: 兼務の担当者が指定されているが、ガバナンス活動の時間・予算・権限がない
問題点: 責任者が形式的に存在するだけで、実際の意思決定に関与できていない
対応: ガバナンス責任者の権限・責任・リソースを明確化し、経営会議への報告ラインを確立する
Gap 8: AI研修がITリテラシー研修の延長になっている（C08-R01）
症状: 年次のITセキュリティ研修にAIの話題を追加しただけで「AI研修実施済み」としている
問題点: AIの特性（確率的な出力・ハルシネーション・バイアス）への理解が不十分のまま業務利用が進む
対応: AI固有のリスクと限界を扱う専用カリキュラムを開発し、役割別に必須化する
Gap 9: 外部AIサービス（API）がガバナンスの外にある（C07-R03）
症状: 自社開発のAIシステムにはガバナンスが適用されているが、OpenAI・Google等のAPI利用は野放し
問題点: 外部AIへのデータ送信・出力の利用について責任分界が不明確
対応: 外部AI API利用に関するポリシーを策定し、利用申請・承認・モニタリングプロセスを整備する
Gap 10: ガバナンス記録が分散していて監査に使えない（C07-R04）
症状: 議事録はSlack、決定事項はメール、リスク評価はExcelと散在している
問題点: 監査時に「何をいつ決めたか」を追跡できず、説明責任を果たせない
対応: 中央集権的な記録管理システムを導入し、変更履歴・承認記録を一元管理する
まとめ
MEITガイドライン v1.1 の28要件は、大きく分けて3つの優先度で対応できます：
即日対応できること（難易度★）:
- C01-R01: AI利用方針の明文化
- C04-R01: AI固有プライバシーポリシーの追加
- C06-R01: AI利用の開示（利用規約等への明記）
- C07-R01: ガバナンス責任者の指定
- C08-R02: 利用者向けガイドラインの整備
3〜6ヶ月で対応すべきこと（難易度★★）:
- 定期的なリスクアセスメントの仕組み構築
- プライバシー影響評価（PIA）の手順整備
- 高リスク領域での人間関与プロセスの手順化
- 従業員向けAI研修の体系化
組織横断の取り組みが必要なこと（難易度★★★）:
- バイアス評価と継続的モニタリングの仕組み
- AI固有のセキュリティ対策（敵対的攻撃対策等）
- 説明可能AI（XAI）の実装
本記事で整理したチェックリストは、自社のギャップ分析の出発点としてご活用ください。
本記事のチェックリストを自動スコアリングし、ISO 42001・AI推進法との対応状況をダッシュボードで可視化するツールを開発しました。無料で試せますので、ぜひご活用ください。
ブラウザで動作し、診断結果はPDF出力できます。入力データは外部に送信されません。
参考文献
- 経済産業省・総務省「AI事業者ガイドライン（第1.1版）」（2025年3月）
https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20240419_report.html - ISO/IEC 42001:2023 Information technology — Artificial intelligence — Management system
- 内閣府「人工知能関連技術の研究開発及び活用の推進に関する法律（AI推進法）」（2025年6月施行）
- NIST AI Risk Management Framework (AI RMF 1.0)
https://www.nist.gov/system/files/documents/2023/01/26/AI%20RMF%201.0.pdf