本記事は、AIエージェント・ストラテジスト試験（AICX協会主催）の公式シラバスver1.0 Chapter 3 / Section 15「AIガバナンスと法務」 の解説です。Section7のリスクを、組織としてどう管理するか（ガバナンス）と法務との連携の観点から深掘りします。
到達目標は、AIポリシーの構成要素、著作権・個人情報保護法の基本、そして法務・セキュリティ部門と事業部門の「橋渡し役」としての役割を理解すること。技術と法務の両方を、関係者に伝わる形で整理して説明できることが鍵です。
AIガバナンスとは：「動かせる」からこそ「管理する」
AIガバナンスとは、組織としてAIエージェントをどう利用・管理・監督するかを定めた体制・ルール・プロセスの総称です。従来の「ツールとして都度操作する」使い方では何が起きているか把握しやすかったのに対し、エージェントは人の指示なしに判断・行動する部分がある。複数エージェントが連携し外部システムに接続し自律的に動く環境では、「誰が・どこで・何のために動かしているか」を組織で把握しておかないと、問題発生時に原因を特定できません。ガバナンスなしの導入は「ブレーキのない車」。自律性が高まるほど、ガバナンス設計はツール選定や業務設計と同等の重みを持ちます。
AIポリシー：何を許可し、何を禁止するか
AIポリシーは、組織としてのAI利用ルールを文書化したもの。核心は 「入力を許可するデータ」と「入力を禁止するデータ」の明確な定義 です。
重要なのは、AIポリシーに「万社共通の正解」は存在しないこと。許可・禁止の線引きは、業種・データの機密レベル・利用するAIサービスの形態・適用される法規制で企業ごとに大きく異なります（医療は患者データ、製造は製品設計、金融は未公開の顧客資産情報が最重要、など）。他社のポリシーを流用せず、自社の業務とリスク許容度に基づき、法務・セキュリティ・事業部門と協議して策定します。一般的な許可例は公開情報・社内FAQ・一般業務文書、禁止例はマスキング前の個人情報・未公開の財務情報・営業秘密。そして策定して終わりではなく、半年〜1年に一度の見直しを運用に組み込みます。
ポリシーを日常業務の判断に落とし込むのが 利用ガイドライン です。「個人名・顧客名・口座番号は匿名化／削除してから入力」「AIの出力はそのまま顧客に送らず必ず担当者が確認」のように、「何を・どうすれば・誰が確認するか」まで具体的に書いて初めて現場で機能します。「適切に利用すること」では判断基準になりません。
押さえるべき3つの法的リスク
- 著作権リスク：学習データに含まれる著作物の問題と、生成物の権利帰属の問題。現時点では「AIの出力そのものには著作権が原則発生しない」見解が主流だが、人間が創作的に関与すれば認められる可能性も。国・地域・判例で変化し続けるため法務との継続確認が必要。
- 個人情報保護法リスク：個人を特定できる情報を連携サービスへ送信する場合、利用目的の明示・本人の同意・安全管理措置が必要。入力時のマスキング処理が具体的な対応策。
- 責任分界点リスク：「AIが誤った判断をしたとき誰が責任を負うか」に組織が答えられていないリスク。AIに法的責任は負わせられない。Human-in-the-Loopで「そのまま実行したわけではない」状態を作り、設計者・承認者・経営者の責任範囲を明文化する。
ストラテジスト視点：技術を「法的リスクの言葉」に翻訳する
ストラテジスト固有の力が、技術と法務の橋渡しです。技術部門の言葉と法務部門が判断に必要な言葉は、多くの場合かみ合いません。たとえば技術側の「RAGでナレッジベースを検索し、LLMがプロンプトに含めて回答します」をそのまま伝えても、法務は「何が問題になりうるか」を判断できません。法務向けに翻訳すると——
「社内文書のテキストが外部のAIサービスに送信され、その内容を参照して回答が生成されます。送信文書に個人情報・未公開の財務情報・営業秘密が含まれる場合、個人情報保護法への対応と情報漏えいリスクの評価が必要です」
このように 技術の中身を正確に、かつ相手が判断できる言葉で伝える翻訳力がなければ、法務は適切にリスク評価できず、技術部門は必要な制約の理由を理解できないまま進みます。両者の認識のずれが、後から深刻なコンプライアンス問題として浮上するのが典型的な失敗です。ガバナンスはリスクを恐れて導入を止めるためではなく、リスクを可視化し許容範囲で管理して安全に活用する土台です。あわせて、Section7のブラックボックス化対策である AIエージェント台帳（目的・管理者・使用LLM・入力データ範囲・更新頻度・最終監査日）を整備し、定期棚卸で登録外エージェントの有無を確認します。
試験ではこう問われる（予想問題）
本試験は架空企業のケースをもとにした多肢選択式（4択）です。Section15の理解度を測る問題は、たとえば次のような形が予想されます。選択肢をクリックして解答してみてください（※当サイト独自の予想問題であり、公式の出題ではありません）。
AIポリシーの策定に関する記述として、最も適切なものはどれか。
このセクションの要点まとめ
- AIガバナンス＝AIを利用・管理・監督する体制。自律性が高いほど重要。「ブレーキのない車」にしない。
- AIポリシーの核心は入力許可データと禁止データの定義。万社共通の正解はなく、自社で・関係部門と協議して策定し、定期的に見直す。
- 利用ガイドラインは「何を・どうすれば・誰が確認するか」まで具体的に。
- 法的リスク3領域＝著作権／個人情報保護法／責任分界点。責任分界点はHuman-in-the-Loopと明文化で対応。
- ストラテジストの役割は技術を法的リスクの言葉に翻訳する橋渡し。ガバナンスは止めるためでなく安全に活用する土台。
関連記事・次に読む
※本記事は、AICX協会 公式シラバスver1.0 の構成（Section15「AIガバナンスと法務」）に基づき、当サイトが独自に解説・例示したものです。本記事は法的助言ではありません。実際の法的判断は必ず自社の法務部門・専門家にご確認ください。公式テキスト本文・図版の転載は行っていません。図はすべて当サイトのオリジナルです。例示や予想問題は当サイトオリジナルであり、実際の出題内容を示すものではありません。最新の正式情報は AICX協会公式サイト をご確認ください。
