2026.08.24
AI駆動開発のガバナンス・ポリシー設計
- AI
- IT戦略
- 情シス
AI利用ポリシーとガバナンス ― 規約・監査・教育・対応の4本柱
「Cursorを買って使い始めたら、3か月後にエンジニアの1人が顧客データをAIに流して指摘された」。「Claude Codeで生成したコードに、OSSライセンス違反の可能性が後から発覚した」。「業務時間中にAIで個人プロジェクトを進めていることが分かった」。AI駆動開発を導入した組織で、後から起きるガバナンス問題の典型例です。いずれも、ガバナンス整備が後手に回った ことが原因になっています。
AI利用ポリシーは、ツール導入の「次に整備するもの」ではなく、「同時に整備するもの」です。ツールを使い始めてから規約を作るのでは遅く、事故が起きてから対応するのでは、信頼回復に何倍ものコストがかかってしまいます。本記事では、AI利用ポリシーの策定と運用を、4本柱の構造で整理していきます。
要点：AIガバナンスは「規約・監査・教育・対応」の4本柱です。後付けではなく、ツール導入と同時に整備するのがおすすめです。事故が起きてからでは、信頼回復に多大なコストがかかります。
1. AIガバナンスの4本柱
AIガバナンスは、4つの柱で成立します。
第1柱：規約：何をしてよいか・してはいけないかを明文化します。AI利用ポリシー・機密情報分類・知財ルールが該当します。
第2柱：監査：実際の利用状況を記録します。AI利用ログ・PR履歴・規約適合性チェックが該当します。
第3柱：教育：規約の浸透を図ります。研修・チェックリスト・1on1での確認が該当します。
第4柱：対応：違反・事故時の対応プロセスです。インシデント手順・懲戒・再発防止が該当します。
4本のうち1つでも欠けると、ガバナンスが機能しなくなります。たとえば規約があっても監査がなければ違反は表面化しませんし、監査があっても対応がなければ抑止力になりません。
4本柱の相互依存
| 柱 | 単独の限界 | 他柱との連携 |
|---|---|---|
| 規約 | 守られないと意味なし | 教育で浸透・監査で確認 |
| 監査 | 検知だけでは抑止にならない | 対応・規約と接続 |
| 教育 | 教えるだけでは行動変わらない | 規約・評価と接続 |
| 対応 | 起きてからの対症療法 | 規約・監査・教育で予防 |
💡 ポイント：ガバナンスは「文書」ではなく「運用される仕組み」です。規約だけ作って終わりでは形骸化してしまいます。
2. AI利用ポリシーの構成
AI利用ポリシー文書は、以下の構成が標準的です。
1. 目的・適用範囲
2. 用語定義
3. 基本原則
4. 機密情報の取り扱い
5. 知財・著作権
6. 認可されたツール
7. 禁止事項
8. 違反時の対応
9. レビュー・更新
10. 付録（例・FAQ）
各項目は、抽象論ではなく 具体的な行動指針 にするのがおすすめです。「機密情報を適切に扱うこと」では現場で使えません。「顧客データを社外AIに送信しないこと」「個人情報を含むコードはマスキング後に扱うこと」のように具体化していきます。
ポリシー文書は社内ポータルで誰でもアクセスできるようにし、入社時オリエンテーションで配布します。バージョン管理もあわせて行います。
ポリシー文書の標準構成
| セクション | 内容 |
|---|---|
| 目的・適用範囲 | 誰に・何に適用 |
| 用語定義 | 「機密情報」「AIツール」等の定義 |
| 基本原則 | 大原則（プライバシー・誠実性等） |
| 機密情報 | 3段階分類と取扱ルール |
| 知財・著作権 | 生成コードの所有・OSSルール |
| 認可ツール | 全社認可・部門認可・禁止 |
| 禁止事項 | 具体的な禁止行為 |
| 違反対応 | 軽微・中・重大の段階別対応 |
| レビュー・更新 | 半年・1年の更新サイクル |
| 付録 | Q&A・実例 |
3. 機密情報の3段階分類
機密情報の取扱は、AI利用ガバナンスの核心です。3段階分類が標準的な整理になります。
🟢 公開可能：OSSコード、公開ドキュメント、業界一般情報、自社の公開情報。すべてのAIに渡して問題ありません。
🟡 社外秘：社内コード、設計書、社内Wiki、内部コミュニケーション。エンタープライズ契約のAIに限定します。
🔴 機密：顧客データ、認証情報、営業秘密、未公開財務情報。社内ホストAIに限る、もしくはAIに渡しません。
3段階分類の具体例
| 分類 | 例 | 渡してよいAI |
|---|---|---|
| 🟢 公開可能 | OSSコード・公開API・業界記事 | すべて（無料版可） |
| 🟡 社外秘 | 社内コード・設計書・社内Wiki | エンタープライズ契約のみ |
| 🔴 機密 | 顧客データ・認証情報・営業秘密 | 社内ホストAI or 渡さない |
⚠️ 重要：3段階分類は「ポスター」レベルで全員が即答できる状態にしておきましょう。曖昧なままだと境界事故が起きやすくなります。
4. 知財・著作権の扱い
知財・著作権は、AI活用で複雑化する領域です。
AI生成コードの所有権：自社で開発契約のもとで生成されたコードは、自社所有が標準です。各AIサービスの利用規約もあわせて確認します。
第三者著作権：AI出力が既存作品を模倣する可能性があります。重要なコードは類似性チェックを行うのがおすすめです。
OSS連携：AIが提案したコードがOSSライセンスに触れる場合があります。自動検知ツール（FOSSology・Snyk等）と組み合わせて運用します。
契約条項：顧客向けプロジェクトでは、AI生成コードの取扱を契約に明記します。後から問題化することを防げます。
知財・著作権の主要論点
| 論点 | 対応 | ツール |
|---|---|---|
| AI生成コードの所有 | 利用規約確認・自社規約整備 | – |
| 第三者著作権 | 重要部分の類似性チェック | コピペチェッカー |
| OSSライセンス | 自動検知 | FOSSology・Snyk |
| 顧客契約 | AI使用を明記 | 契約テンプレ |
5. 認可ツール一覧の管理
AIツールは多数あり、すべてを使うのは管理上むずかしくなります。そこで「認可ツール一覧」を整備します。
全社認可：CursorとClaude Code・GitHub Copilotなど。エンタープライズ契約で、監査ログが取得できるものが対象です。
部門認可：一部部門・一部用途で認可されるツールです。条件付きで利用します。
禁止：監査が困難・規約NGのツールです。無料版で機密データを扱うリスクがあるものが該当します。
ツール一覧は四半期に1度レビューし、最新化していきます。新ツールは申請プロセスを通して認可する流れにします。
ツール認可の3段階
| 段階 | 例 | 条件 |
|---|---|---|
| 全社認可 | Cursor・Claude Code | エンタープライズ契約・監査可 |
| 部門認可 | 特定用途向けツール | 部門長承認・条件遵守 |
| 禁止 | 無料版（機密データ扱い不可） | 全社利用不可 |
6. 禁止事項の明示
ポリシーでは禁止事項を明示します。曖昧な「適切に扱う」ではなく、具体例で示すのがポイントです。
典型的な禁止事項：
- 顧客データを未承認のAIに渡す
- 個人情報をマスキングなしで扱う
- 業務に無関係な利用（個人プロジェクト等）
- AIに重要判断を完全委任
- 規約違反者の隠蔽
- 利用ログの改ざん
境界事例の扱い：判断に迷うケースは、CTO・法務・情シスに相談します。「悩んだら聞く」を文化にしていきましょう。
禁止事項の例（チェックリスト形式）
- ❌ 顧客データを未承認AIに送信
- ❌ 個人情報をマスキングなし
- ❌ 業務無関係の利用
- ❌ AIへの重要判断完全委任
- ❌ 違反の隠蔽
- ❌ ログ改ざん
- ✅ 上記でない通常の業務利用
7. 監査の仕組み
監査があることで、抑止力が生まれます。
監査ログ：誰が・いつ・どのAIに・何を渡したかを、可能な範囲で記録します。エンタープライズ契約のAIであれば取得できます。
定期レビュー：月次・四半期で監査ログを確認します。異常パターン（大量の機密情報送信等）を検知していきます。
第三者監査：年1回、外部監査を入れる組織もあります。コンプライアンス要件が高い業界では必須といえます。
インシデント時：問題が発生したとき、ログを遡って調査します。証跡が取れていることが、対応の前提になります。
監査の3レベル
| レベル | 頻度 | 内容 |
|---|---|---|
| 自動ログ | 常時 | すべてのAI利用記録 |
| 定期レビュー | 月次・四半期 | 異常パターン検知 |
| 第三者監査 | 年1回 | 外部視点の確認 |
8. 違反時の対応プロセス
違反が起きたときの対応は、事前に決めておきます。
軽微な違反：注意・指導を行います。1on1で指摘し、規約を再確認します。記録は残しておきます。
中程度の違反：始末書・研修受講を求めます。再発時は懲戒対象になります。
重大な違反：懲戒・解雇・法的対応となります。機密情報の意図的な流出などが該当します。
事故対応：違反ではなく事故（マスキングミス等）の場合は、即時報告・影響範囲調査・再発防止策の策定を行います。当事者を罰するのではなく、組織として学ぶ姿勢が大切です。
違反対応の3段階
| 段階 | 例 | 対応 |
|---|---|---|
| 軽微 | 規約を知らずに違反 | 指導・記録 |
| 中程度 | 規約違反を意図的に | 始末書・研修 |
| 重大 | 機密の意図的流出 | 懲戒・解雇・法的 |
| 事故 | 規約遵守でも結果として漏洩 | 報告・調査・再発防止 |
💡 ポイント：「違反」と「事故」を区別しましょう。事故を罰してしまうと、報告が隠蔽されるようになります。報告された事故は、組織として学ぶ機会と捉えるのがおすすめです。
9. 規約の浸透
規約は作るだけでは意味がありません。浸透させる仕組み が必要になります。
入社時オリエンテーション：全員が必ず通過するチェックポイントです。
定期的な更新研修：年1-2回、最新規約の確認研修を行います。
違反事例共有：社内で発生した事例（匿名化）を共有し、学びにします。
1on1での確認：マネージャーが定期的にチェックします。
社内ポータル：いつでもアクセスできる規約集を置いておきます。
浸透の5ルート
| ルート | 頻度 | 効果 |
|---|---|---|
| 入社時 | 入社時 | 初期インストール |
| 更新研修 | 年1-2回 | 維持・最新化 |
| 事例共有 | 随時 | 実感を伴う学び |
| 1on1 | 月次 | 個別確認 |
| ポータル | 常時 | リファレンス |
10. ポリシーの継続更新
AIツール・利用パターン・規制環境は変化し続けます。ポリシーも継続的な更新が欠かせません。
更新サイクル：半年〜1年ごとに見直します。緊急時は随時対応します。
更新理由：新ツール登場、法改正、違反事例、業界ベストプラクティスの変化、組織変化などです。
関与者：法務・情シス・開発・人事。必要に応じて経営層も加わります。
版管理：履歴を残し、変更点を明示します。
更新サイクルの例
| 期間 | 内容 |
|---|---|
| 通常 | 半年〜1年に1回のレビュー |
| 緊急 | 重大インシデント発生時 |
| トリガー | 新ツール導入・法改正 |
| 関与者 | 法務・情シス・開発・人事 |
まとめ
AI利用ポリシーは、ツール導入と同時に整備するのがおすすめです。規約・監査・教育・対応の4本柱で構成し、相互依存的に機能させていきます。機密情報の3段階分類、知財・著作権、認可ツール一覧、禁止事項を具体的に明示しましょう。監査ログ・定期レビュー・第三者監査で運用を担保し、違反時の対応プロセスを事前に決めておきます。「違反」と「事故」を区別し、事故からは組織として学ぶ姿勢が大切です。浸透のための5ルート（入社時・更新研修・事例共有・1on1・ポータル）を整備し、半年〜1年ごとにポリシーを更新していきます。ガバナンスは文書ではなく運用される仕組み として、継続的に育てていきましょう。
AI利用ポリシー整備チェックリスト
- 4本柱（規約・監査・教育・対応）の体制
- AI利用ポリシー文書の作成
- 機密情報3段階分類
- 知財・著作権ルール
- 認可ツール一覧
- 禁止事項の具体化
- 監査ログ取得の仕組み
- 違反対応プロセス
- 浸透のための5ルート
- 半年・1年の更新サイクル
IT COMPASSのAI駆動開発支援
IT COMPASS では、CTO経験者が外部CTO・技術顧問として、AIガバナンス整備を伴走支援しています。
支援できること
- 🛡 ガバナンス・セキュリティ整備：AI利用ポリシー、権限設計、知財・契約ルール
- 📋 規約策定：機密・知財・OSS・違反対応
- 🛠 ツール選定とパイロット設計：Claude Code / Cursor / GitHub Copilot 等の評価・PoC設計
- 👥 開発組織の再設計：AIエージェントを前提としたチーム編成・役割定義・評価制度
- 📈 経営会議への定例参加：取締役会・経営会向けのKPI設計と進捗レポート
こんな方におすすめ
- AI利用ポリシーを策定したい経営者・法務責任者の方
- 監査・違反対応を仕組み化したい情シス・コンプラの方
- 規制業界で慎重に進めたいCTO・CISOの方
お問い合わせ
スポット相談（1回／契約不要・最短当日）から、月額契約での継続伴走まで、フェーズに応じて柔軟に対応します。
経営と技術の両面から、御社のAI駆動開発を一緒に設計しましょう。
監修者
西脇 靖紘（lanitech合同会社 代表取締役CEO 兼 CTO）
「テクノロジーで人と社会をつなぐ」をミッションに、企業のDX推進・AI導入支援から、デジタル教育・地域共創まで幅広く活動。エンジニアとしての現場経験と経営視点を活かし、外部CTO・AIコンサルティングなどを通じて企業のデジタル変革を支援しています。著書はオライリー・ジャパンから複数刊行。
