AIガバナンスとは企業がAI活用で管理すべき「リスク管理・説明責任・監査」。IBMの定義、責任の所在、EU AI法・SR 26-2・OECD原則の位置づけ

2026年9月25日（日本時間）時点の情報です。 社内で生成AIの利用ルールを作る担当者や、AI事業者ガイドラインを読んだ人に向けて、「AIガバナンス」という語を整理する。IBMの用語解説はこれを「AIシステムが安全かつ倫理的であることを確保するためのプロセス・基準・ガードレール」と定義している。この記事はそのIBMの解説記事を主な材料に、定義・誰が担うか・何を管理するか・各国の規制動向を並べる。「何を管理するか」をリスク管理・説明責任（アカウンタビリティ）・監査の3つに分けたのは当サイトの整理で、IBMの記事（2026年9月25日に取得した版）がこの3分類で説明しているわけではない。EU AI法の適用日と米国のSR 26-2は、EUR-Lexと連邦準備制度理事会（FRB）の一次資料で別に確かめた。当サイトが既に扱ったAI事業者ガイドライン・CAIO（最高AI責任者）・生成AIのセキュリティリスク・シャドーAIへの入口も兼ねる。

3行まとめ

1. 定義。 IBMは「Artificial intelligence (AI) governance refers to the processes, standards and guardrails that help ensure that AI systems are safe and ethical.」（AIガバナンスとは、AIシステムが安全かつ倫理的であることを確保するためのプロセス・基準・ガードレールを指す）と定義する。同記事が引用するIBM Institute for Business Valueの調査では、経営層の**80%が説明可能性・倫理・バイアス・信頼のいずれかを生成AI導入の大きな障壁に挙げ、組織の80%**がリスク管理部門の中にAI関連リスクを専門に扱う部分を設けているという。
2. 誰が担うか。 IBMは「特定の一人や一部署の責任ではない」としつつ、CEOと経営陣が最終責任を負い、法務・監査チーム・CFOにそれぞれ役割が分かれると書く。透明性・説明責任・バイアス管理・共感の4原則を挙げ、取り組みの段階を（網羅的ではないと断ったうえで）「非公式」「その都度」「公式」の3つで説明する。
3. 規制は国ごとに違う。 IBMによると、EU AI法は2024年8月に発効し、違反時の制裁金は最大3,500万ユーロまたは全世界年間売上高7%。高リスクAIの義務の適用日は、2026年7月の改正規則（Regulation (EU) 2026/1744）で2027年12月2日と2028年8月2日に延びた（EUR-Lexで確認）。米国では銀行向けのSR 11-7が、2026年4月17日付のSR 26-2に置き換わった（FRBの書簡で確認）。中国とシンガポールの動きはIBMの記述による。

IBMの記事と一次資料から拾った数字と日付

「AIガバナンス」は何を指すのか

IBMの定義をそのまま訳すと、AIガバナンスは「AIシステムが安全かつ倫理的であることを確保するためのプロセス・基準・ガードレール」。もう少し具体的には、AIの研究・開発・応用の方向づけをして安全性・公平性・人権の尊重を確保する枠組みで、組織がAI技術に関して規制順守を保ち、機密データを守る助けにもなる、とIBMは書く。対象は方針や規程だけでなく、新しいモデルの開発・訓練の手法、モデルを使うときの運用ガイドライン、そして人間による監督を組み込んだソフトウェアや技術まで含む、と説明している。

なぜ必要とされているかについて、IBMは過去の事故を2件挙げる。1つはMicrosoftのチャットボット「Tay」が、管理されていないデータで学習した結果、ソーシャルメディアの投稿から覚えた有害な言動を繰り返すようになった事例。もう1つは刑事裁判の量刑判断に使われたAIソフトウェア「COMPAS」で、IBMは、AIモデルに内在するバイアスが不当な刑事訴追につながったと書いている。どちらも「適切な監督のないAIは社会的・倫理的に大きな害を生みうる」ことを示す例としてIBMは紹介している。

誰が担うのか

IBMは「AIガバナンスの責任は特定の個人や部署に属さない」としながらも、企業内の役割分担を次のように説明する。

• CEO・経営陣: AIのライフサイクル全体を通じたガバナンスの実施に最終責任を持ち、実務的な方針づくりの一部をCTOとその配下などに委任するのが一般的
• 法務部門・法務顧問: 規制上の含意が大きいため、リスクの評価と軽減で重要な関係者になる。AIの活用が関連法令や順守要件を満たすよう確保する役割を担うことが多い
• 監査チーム: 組織の規模によっては専任チームが、使っているAIシステムのデータの完全性を検証し、誤りやバイアスを持ち込まずに意図通り動作しているかを確認する
• CFOとその配下: AI関連の取り組みや、財務リスクを抑えるためのガバナンス施策にかかる費用を管理する

IBMが引用するIBM Institute for Business Valueの報告では、組織の80%が、リスク管理部門の中にAIや生成AIの利用に伴うリスクを専門に扱う部分を別に設けているという。日本の実例としては、当サイトが既に扱った福岡県直方市・イトーキ・株式会社アップル（引越業）の3例のように、この「経営陣の責任」を「CAIO（最高AI責任者）」という肩書に落とし込む動きがある。

何を管理するのか(1) リスク管理

IBMは、NIST AI Risk Management Framework・OECD AI原則・欧州委員会の「信頼できるAIのための倫理ガイドライン」を広く使われている枠組みとして挙げる。そのうえで、AIガバナンスにはサイバーセキュリティのような統一された「レベル」は無いと断り、網羅的ではない概観として、取り組み方を3つに分けて説明する。

1. 非公式(informal)governance: 組織の価値観や理念に基づく最も緩やかな取り組み。倫理審査会や社内委員会のような非公式のプロセスはあっても、正式な構造や枠組みは無い
2. その都度(ad hoc)governance: 非公式から一歩進み、AIの開発・利用に関する個別の方針や手続きを必要になったときだけ作る段階。特定の課題やリスクへの対応として作られることが多く、網羅的・体系的でない場合がある
3. 公式(formal)governance: 最も進んだ段階で、組織の理念や関連法規に沿った包括的なAIガバナンスの枠組みを持つ。リスク評価・倫理審査・監督プロセスを含むのが一般的

管理すべきリスクの例としてIBMが挙げるのは、バイアス、プライバシー侵害、誤用。バイアスについては、AI・機械学習・深層学習のモデルが結局は人間由来のデータで学習される以上、人間のバイアスの影響を受けやすく、放置すれば個人や集団全体に深刻な害を及ぼしうる、とIBMは書く。

何を管理するのか(2) 説明責任(アカウンタビリティ)

IBMが挙げる「責任あるAIガバナンスの原則」は次の4つ。

• 共感(Empathy): 技術面・財務面だけでなく、AIが社会に与える影響を理解し、提供者だけでなく顧客・関係者全員への影響に配慮する
• バイアス管理(Bias control): 学習データを厳密に精査し、現実世界のバイアスがアルゴリズムに埋め込まれるのを防ぐ。量刑判断や医療診断のように、特定の集団に不当な影響が出かねない場面で特に重要
• 透明性(Transparency): AIのアルゴリズムがどう動作し、どう判断しているかを明確にし、組織側がその論理を説明できる状態にしておく
• 説明責任(Accountability): AIが与える影響について組織が責任を持ち続ける。医師がX線などの検査結果の解釈に責任を持つのと同様に、AIが診断を支援する場面では、医師の責任がどこで終わりAIモデルの責任がどこから始まるかを明確にする必要がある、とIBMは例える

透明性・説明責任を組織として実践する例として、IBMは自社のAI倫理委員会を挙げる。2019年以降、新しいAI関連の製品・サービスがIBMの責任あるAI原則に沿っているかをこの委員会が審査している、とIBMは書く。

何を管理するのか(3) 監査

IBMは、コンプライアンスの遵守だけにとどまらない「AIガバナンスのロードマップ」に含まれうるものとして、次の8項目を挙げる。

1. 可視化ダッシュボード: AIシステムの状態をリアルタイムで把握できるようにする
2. ヘルススコア: 複数の指標を1つの分かりやすいスコアに集約し、一目で状態を判断できるようにする
3. 自動モニタリング: バイアス・ドリフト・性能・異常を自動検知し、常時の人手監視に頼らず正しく動作しているか確認する
4. パフォーマンスアラート: あらかじめ定めた性能パラメータから外れたときに自動で通知し、迅速な対応を可能にする
5. カスタム指標: 組織独自のKPIや閾値に沿った指標を設定する
6. 監査証跡: アクセスしやすいログと監査証跡を残し、AIの判断や挙動の説明責任とレビューを支える
7. オープンソース互換性: オープンソースのツールはコードが公開されることで透明性を高め、最新のセキュリティ対策も反映されやすい、とIBMは書く
8. 既存基盤との統合: データベースやソフトウェア環境と統合し、サイロ化を避ける

8項目のうち「監査」に直接当たるのは6の監査証跡で、残りは監視と運用の仕組みだ。当サイトは、これらをAIの挙動を後から確かめられる状態を作るものとして、この節にまとめた。

各国の規制はどうなっているか

IBMは主要な規制・指針として、EU・米国・カナダ・アジア太平洋地域の動きを紹介している。

EU AI法: リスクに応じて規制の強さを変える「リスクベース」の法律。IBMは「2024年8月から正式に発効し、その2年以内に全面適用される。ただし例外があり、たとえば規制対象の製品に組み込まれた高リスクAIシステムのルールは2027年まで移行期間が延びる」という趣旨で書いている。ただし、2026年7月24日に官報に載った改正規則Regulation (EU) 2026/1744（Digital Omnibus on AI、同27日発効）で、高リスクAIの義務（第III章第1〜3節）の適用日は、Annex IIIに基づく高リスクAIが2027年12月2日、Annex I（規制対象の製品）に基づく高リスクAIが2028年8月2日へ動いた（EUR-Lexの本文で確認）。同規則の前文は、AI法全体の一般適用日を2026年8月2日と書いている。IBMの「2027年まで」は、改正後のAnnex I分野の日付（2028年8月2日）と合わない。当サイトの生成AIのセキュリティリスクの記事も同じ改正を扱っている。制裁金は違反の種類に応じて750万ユーロ(または全世界年間売上高1.5%)から3,500万ユーロ(または同7%)まで、とIBMは書く。

米国SR 11-7とSR 26-2: 銀行のモデルリスク管理の基準として使われてきたSR 11-7が、2026年4月17日付でFRBの改訂ガイダンス「SR 26-2」に置き換えられた、とIBMは書く。IBMによると、FRB・通貨監督庁（OCC）・連邦預金保険公社（FDIC）による省庁横断のこの改訂は、これまでの画一的な要件から、機関の規模・複雑さ・モデルリスクの度合いに応じて求める水準を変える、よりリスクベースで比例的な方法へ重心を移すものだという。FRBの書簡で確かめた内容は次の節に書く。加えて、ホワイトハウスが2026年3月に「AIに関する国家政策枠組み（A National Policy Framework for Artificial Intelligence）」を出し、子どもの保護、地域社会の保護、知的財産権の尊重、検閲の防止、イノベーションの推進、AI人材育成の6つの政策課題への対応を議会に求めた、とIBMは紹介する。

カナダ: 政府がAIを使って行政上の判断をする際の「自動意思決定に関する指令」があり、市民向けに作られたAIツールに必要な人的介入・ピアレビュー・監視・緊急時計画の程度をスコアで評価する仕組みだ、とIBMは書く。

アジア太平洋地域: 中国は2023年に「生成人工知能サービス管理暫定弁法」を出し、生成AIサービスの提供・利用は「他者の正当な権利利益を尊重」し「他者の心身の健康を害さず、肖像権・名誉権・栄誉権・プライバシー権・個人情報権を侵害してはならない」と定める、とIBMは書く。シンガポールは2024年に生成AIの統治枠組み案を、2026年にはエージェント型AI向けの枠組みを出したという。日本については、当サイトのAI事業者ガイドラインの記事にまとめている。

FRBの書簡で確かめたSR 26-2と、IBM記事に残る誤字

IBMが「SR-26-2」と書くガイダンスは、FRBの表記では「SR 26-2」。当サイトが2026年9月25日にfederalreserve.govのSRレター2026年一覧ページを取得すると、SR 26-2「Revised Guidance on Model Risk Management」が載っていた。書簡本体（2026年4月17日付）は、FRB・OCC・FDICの3機関がこの改訂ガイダンスを出し、SR 11-7（2011年4月4日）と、SR 21-8（2021年4月9日、マネーロンダリング対策システムのモデルリスク管理に関する省庁間声明）を置き換えると書いている。IBMの記事はSR 21-8の置き換えには触れていない。書簡は対象について「FRBが規制する総資産300億ドル超の銀行組織に最も関係する見込み」とも書いている。

もう一点、IBMの記事本文を読んでいて気づいたのは、SR 26-2を説明する段落そのものに複数のタイプミスが残っていることだ。原文には「regularotory」(regulatoryの誤字)、「proportioanal」(proportionalの誤字)、「intreragency」(interagencyの誤字)、「guidence」(guidanceの誤字)、「effected institutions」(affectedの誤りとみられる)という表記が並ぶ。2026年7月8日更新と明記された記事の、しかも規制の名称・日付を扱う段落にこうした誤字が残っている点は、この記事を材料として使う上で留意しておきたい。

IBM記事に頼った範囲と、一次資料に当てた2点

この記事の定義・数字・役割分担・原則・各国規制の記述は、IBMの用語解説「What is AI governance?」（2024年10月10日公開・2026年7月8日更新、2026年9月25日に取得）の記載による。IBM Institute for Business Valueの調査の原典、OECD AI原則の原文、ホワイトハウスの国家政策枠組み、カナダ・中国・シンガポールの一次文書は、この記事では個別に確認していない。一次資料に当てたのは2点で、EU AI法の高リスクAIの適用日はEUR-LexのRegulation (EU) 2026/1744、米SR 26-2はFRBのSRレター（2026年4月17日付）で確かめた。日本国内の個別制度(AI事業者ガイドライン・CAIO・シャドーAI)については、当サイトの各記事に一次発表に基づく確認内容をまとめている。