生成AIガバナンスの考え方｜禁止ではなく「使わせながら統制」へ
生成AIのガバナンスは「禁止」では機能しません。禁止はシャドーAIを生み、実態を見えなくします。使ってよい経路を用意して誘導し、入力してよい情報の基準を示し、利用を可視化して逸脱に気づく「使わせながら統制する」設計への転換を、禁止が失敗する理由、経路別のリスクと統制、段階的な移行手順とともに説明します。
生成AI のガバナンスは、「禁止」では機能しません。禁止された社員は個人のアカウントで使い続け、会社はその実態を把握できなくなります。現実的なのは、使ってよい経路を用意して誘導し、入力してよい情報の基準を示し、利用を可視化して逸脱に気づく「使わせながら統制する」設計です。
この記事では、禁止が失敗する理由、経路ごとのリスクと統制、禁止から統制への移行手順を説明します。全体像は「企業の AI ガバナンス 完全ガイド」を参照してください。
禁止が失敗する 3 つの理由
1. シャドー AI を生む
業務で生成AI が役に立つことを、社員はすでに知っています。会社が禁止しても、個人のスマートフォンや自宅の PC、無料アカウントで使い続けます。会社契約の経路なら把握できた利用が、把握できない場所に移るだけです。
| 会社契約の経路 | 個人の無料アカウント | |
|---|---|---|
| 利用実態 | 管理 API・管理画面で把握できる | 把握できない |
| 入力データの扱い | 学習に使われない契約を選べる | 無料枠は学習に使われる場合がある |
| 費用 | 会社が把握・統制できる | 見えない（個人負担または無料） |
| インシデント時 | ログ・監査証跡がある | 何も残らない |
禁止は、リスクを減らすのではなく、リスクを見えない場所に移すだけです。
2. 便益を失う
生成AI の業務利用は、要約・翻訳・文書作成・コード生成など、多くの職種で時間の短縮につながります。禁止すれば、競合他社が得ている便益を自社だけが失います。「リスクがゼロになるが便益もゼロ」は、ガバナンスの目的（リスクを許容範囲に収めて便益を得る）に反します。
3. 例外が増えて形骸化する
全面禁止のルールは、必ず例外申請が出ます。「この部署だけ」「この用途だけ」と例外が積み重なり、実質的に誰も守らないルールになります。最初から「使ってよい条件」を示すほうが、ルールとして機能します。
「使わせながら統制する」設計
| 要素 | 内容 |
|---|---|
| 経路の用意 | 会社契約のサブスク（ChatGPT Team など）または API 経由の社内ツールを用意し、「ここなら使ってよい」を示す |
| 基準の提示 | 入力してよい情報の基準を、経路ごとに示す |
| 可視化 | 会社契約の経路の利用量と費用を、部署・利用者別に把握する |
| 検知と是正 | 予算超過・急増・禁止事項の兆候に気づき、是正する |
| 見直し | 実態に合わせてルールと経路を更新する |
「禁止」は 1 行で書けますが、「使わせながら統制」は経路・基準・可視化・検知・見直しの 5 つを揃える必要があります。手間はかかりますが、この 5 つが揃って初めて、リスクが許容範囲に収まっていることを説明できます。
経路ごとのリスクと統制
生成AI の利用経路は大きく 3 つで、リスクの種類と統制の方法が違います。
| 経路 | 例 | 主なリスク | 統制の方法 |
|---|---|---|---|
| 個人アカウント | 無料の ChatGPT・Claude・Gemini | 入力データの学習利用、実態の不可視、退職時の持ち出し | 禁止ではなく会社契約への誘導。入力してよい情報の基準 |
| 会社契約のサブスク | ChatGPT Team／Enterprise、Claude Team | 席数の管理、入力情報の基準、業務外利用 | 席の台帳、入力基準、管理画面での利用状況の確認 |
| API 経由の社内ツール | 社内 GPT、業務システムへの組み込み | 費用の膨張、キーの漏えい、用途の不明、モデル選択の過剰 | 部署別の費用可視化、予算と急増の通知、キーと組織の対応付け |
3 つを同じルールで統制しようとすると無理が出ます。経路ごとに「何を見て、何を止めるか」を決めるのが実務的です。
入力してよい情報の基準
「使わせながら統制」の中核は、入力してよい情報の基準です。禁止事項の列挙ではなく、情報の区分と経路の対応で示します。
| 情報の区分 | 個人アカウント | 会社契約（学習に使われない契約） | API 経由の社内ツール |
|---|---|---|---|
| 公開情報 | 可 | 可 | 可 |
| 社内限定（一般） | 不可 | 可 | 可 |
| 社外秘・営業秘密 | 不可 | 契約と設定を確認のうえ可否を決める | 契約と設定を確認のうえ可否を決める |
| 個人情報・顧客情報 | 不可 | 原則不可。必要なら匿名化と法務の確認 | 原則不可。必要なら匿名化と法務の確認 |
この表の空欄を自社の契約に合わせて埋めるのが、ガイドライン策定の中心作業です。作り方は「社内向け生成AI 利用ガイドラインの作り方」を参照してください。
可視化がなければ統制にならない
「使わせながら統制」の「統制」は、可視化があって初めて成立します。
| 可視化が無いと | 可視化があると |
|---|---|
| ルールが守られているか分からない | 禁止した経路や上位モデルの利用が無いかを確認できる |
| 費用の膨張に請求書で気づく | 予算の消化率と急増を当月中に検知できる |
| 誰が使っているか分からない | 部署・利用者別の利用量が分かり、活用の偏りも見える |
| シャドー AI の兆候に気づけない | 会社経路の利用が無い部署で AI が使われていれば疑える |
| インシデント時に経緯を追えない | キーと組織の対応付けと監査証跡がある |
会社契約の API・クラウド経由の利用は、プロバイダの管理 API から利用量と費用を取得できます。プロンプトの内容に触れる必要がないため、機密性と社員の信頼を損なわずに可視化できます。詳細は「AI ガバナンスは「可視化」から始まる」を参照してください。
禁止から統制への移行手順
すでに全面禁止のルールがある企業が、統制へ移行する手順です。
| 順 | 内容 | ポイント |
|---|---|---|
| 1 | 実態の棚卸し | 匿名アンケートなどで、禁止下でも使われている実態を把握する。責めない |
| 2 | 会社契約の経路を用意 | サブスクか API 経由の社内ツール。学習に使われない契約を選ぶ |
| 3 | 入力基準を示す | 情報の区分 × 経路の表で。禁止事項の列挙にしない |
| 4 | 可視化を入れる | 会社経路の利用量と費用を部署別に。予算と急増の通知 |
| 5 | ルールを「禁止」から「条件付き許可」に改定 | 使ってよい経路と基準を明記し、個人アカウントの業務利用を不可に |
| 6 | 周知と教育 | 「使ってよくなった」ことと「守ること」をセットで伝える |
| 7 | 月次の確認 | 利用状況、逸脱、要望を見て、経路とルールを更新 |
2 と 4 を先に整えてから 5 でルールを変えるのが順序です。ルールだけ先に緩めると、経路が無いまま利用が広がります。
社員への伝え方
「禁止」から「条件付き許可」へ変えるとき、伝え方で定着が変わります。
| 伝えること | 例 |
|---|---|
| 変わったこと | 会社契約の経路を用意した。業務で使ってよい |
| 守ること | 入力してよい情報の基準。個人アカウントの業務利用は不可 |
| 見ていること | 会社経路の利用量と費用。プロンプトの内容は見ていない（構造上、見られない） |
| 困ったとき | 相談窓口。報告は不利益に扱わない |
| 目的 | 監視ではなく、活用の推進と費用の説明責任 |
「見ていること」を隠すと、後で分かったときに信頼を失います。先に「何を見て、何を見ていないか」を伝えるのが、可視化を受け入れてもらう条件です。
「統制」の強さをどう決めるか
すべての利用を同じ強さで統制する必要はありません。リスクに応じて段階を付けます。
| リスクの高さ | 例 | 統制 |
|---|---|---|
| 低 | 公開情報の要約・翻訳、社内文書の下書き | 経路の指定と入力基準のみ。事前承認なし |
| 中 | 社外秘を含む文書の処理、顧客対応の下書き | 会社契約の経路に限定。部署長の把握。費用の可視化 |
| 高 | 個人情報の処理、契約書の生成、対外的な成果物 | 法務・セキュリティの事前審査。用途ごとの承認。ログの保持 |
「低」を事前承認制にすると、申請が滞って個人アカウントに戻ります。「高」だけを厳しくし、「低」は自由に使わせるのが、活用と統制を両立させる配分です。
よくある質問
Q. 個人アカウントの業務利用は禁止してよいですか？ 会社契約の経路を用意したうえでなら、禁止が機能します。経路が無いまま禁止すると、シャドー AI に戻ります。
Q. 統制を緩めたら情報漏えいが増えませんか？ 「入力してよい情報の基準」と「学習に使われない契約の経路」がセットなら、個人アカウントで使われていた状態より漏えいリスクは下がります。
Q. 現場の利用を全部把握することはできますか？ 個人アカウントの利用は把握できません。だからこそ会社契約の経路に誘導し、そこを可視化します。「全部把握」ではなく「会社経路に集めて把握」が現実的な目標です。
Q. 費用が増えるのが心配です。 使わせれば費用は増えます。増えること自体より、「どの部署が・何に・いくら」が説明できないことが問題です。部署別の可視化と予算の通知があれば、増加は統制下に置けます。
まとめ
- 禁止はシャドー AI を生み、便益を失い、例外で形骸化する。リスクを見えない場所に移すだけ
- 「使わせながら統制」は、経路の用意・入力基準・可視化・検知と是正・見直しの 5 つで成り立つ
- 経路（個人・会社サブスク・API）ごとにリスクと統制の方法が違う
- 統制の強さはリスクに応じて段階を付け、低リスクは自由に使わせる
- 移行は経路と可視化を先に整え、その後にルールを「条件付き許可」へ改定する
ManageAI は、会社契約の API・クラウド経由（5 プロバイダ）の利用量と費用を、プロンプト原文に触れずに部署・利用者別に可視化し、予算と急増を通知します。「使わせながら統制」の可視化と検知の部分を担います。モニター企業を募集中です。
関連記事
この記事を書いた人
モニター企業募集
初期費用0円・月額5万円（税別）
先着5社・2026年11月末まで
5プロバイダの利用量と費用を部署・利用者・APIキー別に可視化。読み取り専用キーの登録だけで当日から始められます。
募集要項を見る資料請求・お問い合わせ