はじめに — なぜ今AIガバナンスが必要か

2025年は日本のAIガバナンス元年と呼ぶべき年でした。

3つの動きが同時進行しました：

METI AI事業者ガイドライン第1.1版公開（2025年3月）
経済産業省・総務省が共同で策定。AI開発者・提供者・利用者の全事業者類型を対象に、10の基本原則と28の具体的要件を定義しました。
ISO/IEC 42001:2023 発効・普及加速
AIマネジメントシステム（AIMS）の国際標準。ISO 27001（情報セキュリティ）に相当するAI版の認証規格で、取引先や入札における要求事項として採用が始まっています。
AI推進法（人工知能関連技術の研究開発及び活用の推進に関する法律）施行（2025年6月）
高リスクAIへのリスク管理体制整備・重大インシデントの報告義務などを定めた日本初のAI基本法。

この3つが重なることで、「AIガバナンスは努力義務だから後回し」という判断が通じなくなりつつあります。特に、AI推進法の第15〜18条は高リスクAIに対する義務規定を含んでいます。

本記事では、実務担当者がすぐに使えるよう、MEITガイドライン v1.1 の全28要件をチェックリスト形式で整理し、ISO 42001・AI推進法との対応関係もまとめました。

METI AI事業者ガイドライン 10原則の概要

ガイドラインはAI開発者・AI提供者・AI利用者の3事業者類型すべてに共通する10の基本原則を定めています。

#	原則	概要
1	人間中心（Human-Centric）	AIの判断が人間の尊厳を損なわないよう、人間が意思決定の主体であることを確保する
2	安全性（Safety）	学習データの品質管理と安全な運用・停止手順を整備し、人命・財産への危害を防ぐ
3	公平性（Fairness）	性別・人種・年齢等に基づく不当な差別が生じないようバイアスを評価・是正する
4	プライバシー保護（Privacy Protection）	AI固有のリスクを考慮した個人情報取扱方針の策定とPIA（プライバシー影響評価）を実施する
5	セキュリティ確保（Security）	敵対的攻撃・データポイズニング等AI固有の脅威に対応した防御策を講じる
6	透明性（Transparency）	AI利用を開示し、技術的に可能な範囲で判断根拠を説明できるようにする
7	アカウンタビリティ（Accountability）	ガバナンス責任者を指定し、方針・体制・記録を整備して監査可能な状態にする
8	教育・リテラシー（Education & Literacy）	AI担当者への定期教育と利用者への適切な情報提供を行う
9	公正競争の確保（Fair Competition）	不当な競争制限行為を避け、他者の知的財産権を尊重する
10	イノベーション（Innovation）	技術の囲い込みを避け、相互運用性・オープン性の確保に努める

28要件の完全チェックリスト

各要件に対して「エビデンス例」と「対応難易度（★〜★★★）」を付けました。

難易度の目安
★ … 既存の方針・文書に追記・修正で対応可能
★★ … 新規プロセスの設計が必要
★★★ … 組織横断の体制変更・システム改修が必要

原則1: 人間中心

要件ID	要件名	内容	エビデンス例	難易度
C01-R01	人間の尊厳・自律の尊重	AIの判断が人間の尊厳を損なわないよう、人間中心の原則を方針として定め、組織内に周知すること	AI利用方針書、社内周知記録	★
C01-R02	意思決定における人間の関与	AIの判断結果を最終的に人間が確認・判断できるプロセスを整備すること。特に高リスク領域では人間の介在を必須とすること	プロセスフロー図、承認記録	★★
C01-R03	誤情報・偽情報への対処	AIが生成する情報の正確性を確認する仕組みを設け、誤情報・偽情報の拡散防止策を講じること	ファクトチェックルール、モニタリングログ	★★

原則2: 安全性

要件ID	要件名	内容	エビデンス例	難易度
C02-R01	リスクアセスメントの実施	AIシステムのリスクを特定・評価・軽減するためのリスクアセスメントを定期的に実施すること	リスク評価書（年次以上）、リスクレジスター	★★
C02-R02	学習データの品質管理	学習データの品質（正確性・網羅性・偏りの有無）を管理し、不適切なデータによる危害を防止すること	データ品質管理手順書、検証記録	★★★
C02-R03	安全な運用・停止手順	AIシステムに異常が発生した場合の安全な停止手順、フォールバック手段を事前に定めること	緊急停止手順書、訓練記録	★★

原則3: 公平性

要件ID	要件名	内容	エビデンス例	難易度
C03-R01	バイアス評価の実施	AIシステムの出力が特定の属性（性別・人種・年齢等）に基づく不当な差別を含まないか評価すること	バイアス評価レポート、テスト結果	★★★
C03-R02	公平性基準の策定	利用文脈に応じた公平性の基準を定め、定期的にモニタリングすること	公平性基準文書、モニタリング記録	★★
C03-R03	差別的影響の是正措置	バイアスが検出された場合の是正手順を事前に定め、速やかに対応すること	是正手順書、対応履歴	★★

原則4: プライバシー保護

要件ID	要件名	内容	エビデンス例	難易度
C04-R01	個人情報取扱方針の策定	AIに関する個人情報の取得・利用・提供・保管・削除に関する方針を策定し、公表すること	AI固有プライバシーポリシー	★
C04-R02	プライバシー影響評価	AIシステムの導入前にプライバシー影響評価（PIA）を実施し、リスクを特定・軽減すること	PIA実施記録、リスク対応記録	★★
C04-R03	データ最小化・目的外利用禁止	必要最小限のデータのみを取り扱い、当初の目的以外での利用を行わないこと	データマッピング、利用目的管理台帳	★★

原則5: セキュリティ確保

要件ID	要件名	内容	エビデンス例	難易度
C05-R01	セキュリティ対策の実施	AIシステムに対する攻撃（敵対的攻撃、データポイズニング等）への防御策を講じること	AI固有脅威対策手順書、ペネトレーションテスト結果	★★★
C05-R02	脆弱性管理	AIシステムの脆弱性を定期的に評価し、発見された脆弱性に速やかに対処すること	脆弱性管理台帳、パッチ適用記録	★★
C05-R03	インシデント対応体制	セキュリティインシデント発生時の対応手順・連絡体制を事前に整備すること	インシデント対応手順書、連絡網	★★

原則6: 透明性

要件ID	要件名	内容	エビデンス例	難易度
C06-R01	AI利用の明示	AIを利用していることを利害関係者に適切に開示すること	利用規約、サービス画面上の表示	★
C06-R02	判断根拠の説明	AIの判断結果について、技術的に可能な範囲で根拠を説明できるようにすること	説明可能AI（XAI）の実装記録、説明ドキュメント	★★★
C06-R03	技術情報の文書化	AIシステムの技術仕様・学習データ・性能指標等を文書化し、必要に応じて開示できるようにすること	モデルカード、システム仕様書	★★

原則7: アカウンタビリティ

要件ID	要件名	内容	エビデンス例	難易度
C07-R01	責任者の指定	AIガバナンスに関する責任者を指定し、その権限と責任を明確にすること	組織図、辞令・規程	★
C07-R02	ガバナンス方針・体制の整備	AIの開発・提供・利用に関するガバナンス方針を策定し、実施体制を整備すること	AI倫理・ガバナンス方針書、委員会規程	★★
C07-R03	契約・SLAの整備	AI関連の取引において、責任分界・品質保証・免責等を契約やSLAで明確にすること	AI取引契約書、SLA文書	★★
C07-R04	ガバナンス記録の保持	ガバナンスに関する決定事項・実施記録を適切に保持し、監査可能な状態にすること	議事録、意思決定ログ、監査証跡	★★

原則8: 教育・リテラシー

要件ID	要件名	内容	エビデンス例	難易度
C08-R01	従業員教育の実施	AIを扱う従業員に対して、AIの特性・限界・リスクに関する教育を定期的に実施すること	研修実施記録、受講履歴	★★
C08-R02	利用者への情報提供	AIシステムの利用者に対して、適切な利用方法・注意事項を提供すること	利用ガイドライン、FAQ、ヘルプドキュメント	★

原則9: 公正競争の確保

要件ID	要件名	内容	エビデンス例	難易度
C09-R01	公正競争への配慮	AIの開発・提供・利用において、不当な競争制限行為を行わないこと	法務レビュー記録、コンプライアンス方針	★
C09-R02	知的財産の尊重	AIの学習・利用において、他者の知的財産権を尊重すること	学習データのライセンス管理台帳	★★

原則10: イノベーション

要件ID	要件名	内容	エビデンス例	難易度
C10-R01	イノベーション促進への貢献	AIの研究・開発・利用を通じて、社会課題の解決やイノベーション促進に貢献すること	AI活用推進計画、社外連携記録	★
C10-R02	相互運用性・オープン性の確保	技術的な囲い込みを避け、相互運用性やオープン性の確保に努めること	API公開方針、インターフェース標準準拠記録	★★

ISO 42001 とのクロスマッピング

ISO/IEC 42001:2023（AIマネジメントシステム）との主要な対応関係をまとめます。ISO認証取得を検討している場合、MEITガイドライン対応と並行して進めることで効率的に両方をカバーできます。

共通テーマ	METI要件	ISO 42001 条項	備考
ガバナンス体制の整備	C07-R01, C07-R02	5.1 リーダーシップ・コミットメント, 5.2 AI方針, 5.3 役割・責任・権限	ISOはトップマネジメントの関与を強く要求
リスク管理	C02-R01, C02-R03	6.1 リスク・機会への取組み, 8.2 AIシステムインパクト評価, 8.3 AIシステムライフサイクル	ISOはライフサイクル全体のリスク管理を求める
データ品質管理	C02-R02	6.1.2 データに関するリスク	学習データの代表性・バイアス管理が対象
公平性・バイアス対策	C03-R01〜R03	8.4 AIシステム運用（公平性検証）	継続的モニタリングが求められる
透明性・説明可能性	C06-R01〜R03	7.4 コミュニケーション, 7.5 文書化情報	モデルカードの標準化が推奨される
プライバシー保護	C04-R01〜R03	8.4 AIシステム運用（プライバシー）	PIAの実施方法論が詳細規定される
セキュリティ対策	C05-R01, C05-R02	8.3 AIシステムライフサイクル（セキュリティ）	AI固有の攻撃手法への対策が要求される
インシデント対応	C05-R03	10.1 不適合及び是正措置	報告・記録・再発防止が義務
人間による監視	C01-R02	8.4 AIシステム運用（ヒューマンオーバーサイト）	高リスクAIでは介入設計が必須
文書化・記録管理	C06-R03, C07-R04	7.5 文書化情報, 9.2 内部監査	バージョン管理・変更履歴が求められる
教育・リテラシー	C08-R01, C08-R02	7.2 力量, 7.3 認識	役割別の能力要件定義が必要
継続的改善	C10-R01	9.1 モニタリング・測定, 10.2 継続的改善	PDCAサイクルの証拠記録が必要
サプライチェーン管理	C07-R03	8.1 運用の計画及び管理（サードパーティ）	AI APIのベンダー管理も対象

AI推進法とのクロスマッピング

AI推進法（2025年6月施行）との対応関係を整理します。義務規定（mandatory）は優先対応が必要です。

AI推進法条文	要件名	義務種別	対応するMETI要件	実務上の対応ポイント
第3条	基本理念の遵守	義務	C01-R01	人間中心の原則を経営方針に明文化
第10条	事業者の責務（安全性）	努力義務	C02-R01, C02-R03	リスクアセスメントの定期実施
第10条	事業者の責務（透明性）	努力義務	C06-R01, C06-R02	AI利用の積極的開示
第10条	事業者の責務（公平性）	努力義務	C03-R01, C03-R02	バイアス評価の実施
第15条	リスク管理体制の整備	義務（高リスクAI）	C02-R01, C02-R02	高リスクAIの定義と管理体制の確立
第16条	個人情報等の適正な取扱い	義務	C04-R01〜R03	AI固有のプライバシーリスク対応
第17条	セキュリティ対策の実施	義務	C05-R01〜R03	AI固有の脅威モデリングと対策
第18条	インシデント報告義務	義務	C05-R03	報告トリガーと手続きの事前整備
第22条	AI人材の育成	努力義務	C08-R01	役割別研修プログラムの整備
第23条	AIリテラシーの向上	努力義務	C08-R02	利用者向けガイダンスの整備
第28条	AIガバナンス体制の整備	努力義務	C07-R01, C07-R02	内部統制・ガバナンス委員会の設置
第29条	記録の保持・監査対応	努力義務	C07-R04	改竄防止・長期保存体制の整備

注意: AI推進法の「高リスクAI」の範囲や具体的な判定基準は、政府によるガイダンス・施行令で随時明確化される予定です。最新情報は内閣府・経済産業省の公式発表を参照してください。

よくあるGapトップ10 — 企業がつまずきやすいポイント

実際の対応作業でよく見られる「やったつもり」になりがちなGapをまとめます。

Gap 1: 一般的なIT対策をAI対策と混同している（C05-R01）

症状: 「ISO 27001の認証を持っているからセキュリティは大丈夫」と判断している
問題点: 敵対的攻撃（Adversarial Attack）やデータポイズニング、プロンプトインジェクションはIT一般のセキュリティ対策では防げない
対応: AI固有の脅威モデリングを別途実施し、AIセキュリティのテスト手順を策定する

Gap 2: 汎用プライバシーポリシーをAI対応と見なしている（C04-R01）

症状: 既存のプライバシーポリシーに「AI」という文言がないのに適合済みと報告している
問題点: ChatGPT等の外部AIサービスへのデータ送信、AIによる自動プロファイリングなどAI固有のリスクが未対応
対応: AI専用のデータ処理付録を追加し、外部AI APIへの送信ルールを明文化する

Gap 3: リスクアセスメントが導入時の1回限りになっている（C02-R01）

症状: 「2023年にリスク評価を実施した」と記録されているが、その後更新なし
問題点: AI システムの利用範囲拡大・モデル更新・利用データの変化でリスクプロファイルが変わっている
対応: 年次以上の定期レビューと、重大変更時のアドホック評価を手順化する

Gap 4: 高リスク領域での人間関与が手順化されていない（C01-R02）

症状: 「最終的に人間が確認している」と口頭説明はできるが、手順書がない
問題点: 担当者が変わると対応が変わり、抜け漏れが発生する。監査での証拠提示もできない
対応: 人間確認が必要なトリガー条件と確認プロセスをフローとして文書化する

Gap 5: バイアス評価が「実施した」で終わっている（C03-R02）

症状: 導入時のバイアス評価レポートは存在するが、継続的モニタリングの仕組みがない
問題点: 運用中にデータの分布が変化し、バイアスが発生しても検知できない
対応: モニタリング指標（公平性メトリクス）を定義し、定期的な計測・アラート体制を整備する

Gap 6: モデルカード・技術文書が未整備（C06-R03）

症状: 開発者はモデルの詳細を把握しているが、文書化されていないため引き継ぎ・監査ができない
問題点: 規制当局・顧客から技術情報の開示を求められた際に対応できない
対応: Google等が公開しているModel Cardテンプレートを参考に、各AIシステムのモデルカードを作成する

Gap 7: AIガバナンス責任者が実質的に機能していない（C07-R01）

症状: 兼務の担当者が指定されているが、ガバナンス活動の時間・予算・権限がない
問題点: 責任者が形式的に存在するだけで、実際の意思決定に関与できていない
対応: ガバナンス責任者の権限・責任・リソースを明確化し、経営会議への報告ラインを確立する

Gap 8: AI研修がITリテラシー研修の延長になっている（C08-R01）

症状: 年次のITセキュリティ研修にAIの話題を追加しただけで「AI研修実施済み」としている
問題点: AIの特性（確率的な出力・ハルシネーション・バイアス）への理解が不十分のまま業務利用が進む
対応: AI固有のリスクと限界を扱う専用カリキュラムを開発し、役割別に必須化する

Gap 9: 外部AIサービス（API）がガバナンスの外にある（C07-R03）

症状: 自社開発のAIシステムにはガバナンスが適用されているが、OpenAI・Google等のAPI利用は野放し
問題点: 外部AIへのデータ送信・出力の利用について責任分界が不明確
対応: 外部AI API利用に関するポリシーを策定し、利用申請・承認・モニタリングプロセスを整備する

Gap 10: ガバナンス記録が分散していて監査に使えない（C07-R04）

症状: 議事録はSlack、決定事項はメール、リスク評価はExcelと散在している
問題点: 監査時に「何をいつ決めたか」を追跡できず、説明責任を果たせない
対応: 中央集権的な記録管理システムを導入し、変更履歴・承認記録を一元管理する

まとめ

MEITガイドライン v1.1 の28要件は、大きく分けて3つの優先度で対応できます：

即日対応できること（難易度★）:

C01-R01: AI利用方針の明文化
C04-R01: AI固有プライバシーポリシーの追加
C06-R01: AI利用の開示（利用規約等への明記）
C07-R01: ガバナンス責任者の指定
C08-R02: 利用者向けガイドラインの整備

3〜6ヶ月で対応すべきこと（難易度★★）:

定期的なリスクアセスメントの仕組み構築
プライバシー影響評価（PIA）の手順整備
高リスク領域での人間関与プロセスの手順化
従業員向けAI研修の体系化

組織横断の取り組みが必要なこと（難易度★★★）:

バイアス評価と継続的モニタリングの仕組み
AI固有のセキュリティ対策（敵対的攻撃対策等）
説明可能AI（XAI）の実装

本記事で整理したチェックリストは、自社のギャップ分析の出発点としてご活用ください。

本記事のチェックリストを自動スコアリングし、ISO 42001・AI推進法との対応状況をダッシュボードで可視化するツールを開発しました。無料で試せますので、ぜひご活用ください。

JPGovAI — AIガバナンス自己診断ツール

ブラウザで動作し、診断結果はPDF出力できます。入力データは外部に送信されません。

参考文献

経済産業省・総務省「AI事業者ガイドライン（第1.1版）」（2025年3月）
https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20240419_report.html
ISO/IEC 42001:2023 Information technology — Artificial intelligence — Management system
内閣府「人工知能関連技術の研究開発及び活用の推進に関する法律（AI推進法）」（2025年6月施行）
NIST AI Risk Management Framework (AI RMF 1.0)
https://www.nist.gov/system/files/documents/2023/01/26/AI%20RMF%201.0.pdf