アジャイル・ガバナンスとは？｜AI規程を回し続ける5段階

「AIの利用規程を作ったのに、半年で使っている道具も社外のルールも変わってしまった」「年に1回見直す決まりにしたものの、見直しの会議で何を直せばよいのかが分からない」。AI推進や法務の担当者から、こうした声をよく聞きます。規程が古びるのは、書いた人の力不足とは限りません。総務省と経済産業省の「AI事業者ガイドライン（第1.2版）」は2026年3月31日に公表され、事前にルールや手続きを固定したAIガバナンスではなく、「環境・リスク分析」「ゴール設定」「システムデザイン」「運用」「評価」のサイクルを継続的かつ高速に回す「アジャイル・ガバナンス」の実践が重要だと書いています。アジャイル・ガバナンスは、規程を早く作るための手法ではありません。本当は、規程を「ゴール」と「回し直す引き金」で持ち、変化が起きるたびに戻る段階を決めておく型です。この記事では、5つの段階を社内のAI規程に当てはめ、回し直す引き金、関わる人の広げ方、年1回の固定の見直しから切り替える手順までを整理します。

AI事業者ガイドラインが掲げる「アジャイル・ガバナンス」

まず原文の位置づけを確かめます。AI事業者ガイドラインは、総務省と経済産業省が2024年4月に策定した、AIを開発・提供・利用する事業者向けの指針です。第1.2版は2026年3月31日に公表されました。アジャイル・ガバナンスは、本編の第2部にある「AIガバナンスの構築」の節で説明されています。

その節では、AIを取り巻く社会は複雑で変化が速く、AIガバナンスが目指すゴールも常に変わっていくと述べたうえで、事前にルールや手続きが固定されたAIガバナンスではなく、5つの段階のサイクルを、企業・法規制・市場・社会規範といったさまざまな場で、マルチステークホルダーで継続的かつ高速に回すことが重要だとしています。マルチステークホルダーとは、立場の異なる多くの関係者という意味です。

段階の並びは、環境・リスク分析、ゴール設定、システムデザイン、運用、評価です。本文では、運用を始めた後も、規制など社会の制度が変わるといった「外部環境の変化」を踏まえて、再び環境・リスク分析を行い、必要に応じてゴールを見直すと書かれています。5段階は一度通って終わりではなく、外の変化をきっかけに最初へ戻る輪として描かれているのが要点です。

興味深いのは、ガイドライン自身もこの考え方で作られている点です。本編の冒頭には、AIガバナンスの継続的な改善に向け、アジャイル・ガバナンスの思想を参考にしながら、マルチステークホルダーの関与の下で、定義も含めた内容を適宜更新していると書かれています。国の指針そのものが、固定せずに改める前提の文書なのです。社内の規程だけが固定のままでは、指針との間にずれが生まれるのは自然なことです。

• ガイドラインの公表日と段階の名前は、総務省・経済産業省「AI事業者ガイドライン（第1.2版）」本編（令和8年3月31日）の原文に基づきます
• ガイドラインには、各段階の具体的な取組を示した別添もあります。自社で採り入れる際は、本編と別添の最新版を原文で確かめてください

ゴールベースとルールベースは何が違うのか

アジャイル・ガバナンスを理解するうえで外せないのが、ゴールベースとルールベースの違いです。ルールベースは、してよいこと・してはいけないことを細かい行為の単位で先に決める方法です。ゴールベースは、達成したい状態を先に示し、そこへ向かう具体的な手段は状況に応じて選ぶ方法です。

ガイドラインは、自らの作り方の説明でこの違いに触れています。細かな行為義務を定めるルールベースの規制はイノベーションを妨げるおそれがある、法律の整備が技術の速さに追いつかない、といった指摘を踏まえ、関係者の自主的な取組を促すゴールベースの考え方でガイドラインを作成したと書かれています。

これを社内のAI規程に当てると、次のようになります。ルールベースだけで書かれた規程は「このツールは使ってよい」「この情報は入れてはいけない」といった条文の集まりです。条文が具体的なので守りやすい反面、新しい道具や使い方が出るたびに、どの条文にも当てはまらない空白が生まれます。空白が出るたびに条文を足すと、規程は長くなり、読まれなくなります。

ゴールベースの規程は、たとえば「顧客の情報が、本人の想定しない形で社外に出ないこと」のような達成したい状態を先頭に書き、個々の条文はその手段として位置づけます。新しい道具が出ても、ゴールに照らせば判断の筋道が残るのが利点です。ただし、ゴールだけでは現場は動けません。実務では、ゴールを上に置き、その下に具体的なルールを手段として並べる二段の形にするのが現実的です。

この記事が扱う範囲：開発手法ではなく規程の回し方

「アジャイル」と聞くと、ソフトウェアを短い期間で作って直す開発の進め方を思い浮かべる人が多いはずです。名前の由来に通じるところはありますが、本稿が扱うのは開発の手法ではありません。社内のAI規程と、それを支える体制や手続きを、変化に合わせて回し直す型です。開発チームの進め方の話は出てきません。

生成AIの利用ルールに入れる項目そのもの、つまり入力してよい情報の線引きや、出力の確認の流れといった中身は、別の記事「生成AI利用ルールに入れるべき項目一覧」で扱っています。本稿は中身ではなく、その中身を何をきっかけに、誰が、どの段階から見直すかという回し方に絞ります。

ガイドラインを読み、自社の規程と対応づける作業は「AI事業者ガイドラインを実務に落とす4工程」に、規程が守られているかを数字で測る方法は「AI規程は作った後に守られない」に、リスク評価の具体的な手順は「AIのリスク評価を進める5工程」にまとめています。本稿でこれらに触れるときは、どの段階で使うかを1行で示すだけにします。

読者として想定しているのは、AI推進の責任者、法務・コンプライアンスの担当者、情報システム部門の管理職です。すでにAIの利用規程を1度作り、運用を始めている会社を前提にしています。これから初めて規程を作る場合も、最初から5段階の形で組んでおけば、後で作り直す手間を省けます。

段階1 環境・リスク分析：規程の前提を書き出す

最初の段階は、規程が前提にしている環境を書き出すことです。ガイドラインは、AIがもたらしうる便益とリスク、社会に受け入れられるか、外部環境の変化、組織のAIへの習熟度などを踏まえて分析するとしています。社内の規程に当てると、規程を書いた時点で何を当たり前として置いていたかを一覧にする作業になります。

前提の例を挙げます。社内で使ってよいAIの道具はどれか、その道具は入力を学習に使うか、使っている部署と用途は何か、参照している国の法令や指針はどの版か、AIが自分で操作を行う使い方をしているか、といった点です。こうした前提が変われば、条文が正しくても規程は実態とずれます。前提の一覧は、規程の付属の表として持っておきます。

この段階でAIが役に立つのは、外の変化の洗い出しです。使っている道具の更新情報、国の指針の改定の告知、業界団体の公表物を集め、前提の一覧のどの行に関わりそうかを当たり付けさせます。洗い出しの結果には、出どころの文書名と日付を必ず添えさせるようにします。出どころのない変化は、人が確かめるまで前提の変更として扱いません。

一方で、その変化が自社にとってどれほど大きなリスクかを決めるのは人です。リスクの大きさを測る物差しや評価の進め方は、別の記事「AIのリスク評価を進める5工程」で扱っています。本稿では、段階1の出口を「前提の一覧のどの行が変わったか」が分かる状態、と決めておけば十分です。

段階2 ゴール設定：条文の前に「何を守りたいか」を書く

2つ目の段階はゴールの設定です。ガイドラインは、分析を踏まえてAIを使うかどうかを判断し、使う場合はポリシーの策定などを通じてAIガバナンス・ゴールを設定するとしています。このゴールは、会社の存在意義や理念といった経営上のゴールと整合させるとも書かれています。

脚注では、AIガバナンス・ゴールの例として、ガイドラインの指針への対応を中心とした自社の取組方針（「AIポリシー」など。呼び方は会社ごとに違う）や、それ以外の要素も含むデータ活用の方針などが挙げられています。つまりゴールは、規程の条文とは別に、規程の上に置く文書として持つのが自然な形です。

社内のAI規程では、ゴールを3〜5行程度で書きます。たとえば「顧客と取引先の情報を、本人の想定しない形で社外に出さない」「AIの出力を、人が確認しないまま社外に出さない」「業務の生産性を上げるために、使ってよい範囲を広げ続ける」といった書き方です。3つ目のように、守ることだけでなく、使うことをゴールに含めておくと、規程が禁止の一覧に偏るのを防げます。

ゴールの文案をAIに作らせることはできます。しかし、どのゴールを採るか、何を優先するかは経営の判断です。ゴールの設定と見直しは、AIに決めさせない。AIの案は、他社の公表物や一般論の平均に寄りやすく、自社の事業が何を大切にしているかは反映されません。決めるのは経営層と、AIの規程を主管する責任者です。

段階3 システムデザイン：ゴールを規程と手続きに落とす

3つ目の段階は、ゴールを達成する仕組みの設計です。ガイドラインの本文では「AIマネジメントシステムの設計」とも書かれています。ここで言うシステムは機械の仕組みに限らず、規程、手続き、担当、記録、使う道具の設定までを含む、管理の仕組み全体を指します。

社内のAI規程でいえば、利用の申請と承認の手続き、入力してよい情報の区分、出力を確認する担当、相談の窓口、利用の記録の残し方などがここに入ります。それぞれの中身の作り方は「生成AI利用ルールに入れるべき項目一覧」で扱っているので、本稿では設計の段階で守る1つの原則だけを示します。

その原則とは、条文ごとに、どのゴールのための手段かを書き添えておくことです。たとえば入力の区分の条文には「ゴール1：顧客の情報を想定外の形で社外に出さない」と注記します。こうしておくと、後の段階で条文を直すとき、ゴールに照らしてその条文がまだ必要か、別の手段に替えられるかを判断できます。理由の書かれていない条文は、誰も消せず、誰も直せなくなります。

ガイドラインは、検討にあたって、AIがもたらすリスクの程度と起きやすさ、そして各社の資源の制約に配慮することが重要だとも書いています。小さな会社が大企業と同じ仕組みを作る必要はありません。ゴールが同じでも、手段は会社の規模に合わせて軽くしてよい、というのがゴールベースの考え方です。

段階4 運用：社外への説明までを運用に含める

4つ目の段階は運用です。設計した規程と手続きを実際に動かします。ここでガイドラインが強調しているのは、各社がAIガバナンス・ゴールとその運用の状況について、外部の関係者に対する透明性とアカウンタビリティを果たすことです。アカウンタビリティは、説明し、その結果に責任を持つことを指します。

社内の規程の運用というと、申請を受け付け、承認し、相談に答える社内の作業を思い浮かべがちです。しかしアジャイル・ガバナンスの運用には、取引先や顧客から「AIをどう使っているか」と問われたときに、ゴールと運用の状況を説明できる状態も含まれます。説明できる材料がそろっていることが、次の評価の段階の土台にもなります。

運用の段階で必ず残しておきたいのが、規程に当てはまらなかった事例の記録です。申請の中で判断に迷ったもの、例外として認めたもの、相談で答えに詰まったものを、日付と判断の理由とともに残します。当てはまらなかった事例は、規程の前提が古くなった最初の合図です。この記録が、回し直す引き金を見つける材料になります。

記録の整理はAIに任せやすい作業です。相談や例外の記録を月ごとにAIに渡し、どのゴールに関わるか、規程のどの条文に近いか、似た事例がいくつあるかを下書きさせます。ただし、記録に個人名や取引先の名前が含まれる場合は、渡す前に伏せる手順を決めておきます。

段階5 評価：守られているかより、ゴールに届いているか

5つ目の段階は評価です。ガイドラインは、リスクアセスメントなどをはじめとして、管理の仕組みが有効に機能しているかを継続的に監視し、評価と継続的な改善を行うとしています。ここで問うのは、規程が守られているかだけではありません。規程を守った結果、段階2で置いたゴールに近づいているかです。

たとえば、入力の区分の条文は守られていても、手続きが重すぎて社員が会社の認めていない道具を使っているなら、「顧客の情報を想定外の形で社外に出さない」というゴールからは遠ざかっています。逆に、条文の一部が守られていなくても、ゴールに影響しない形式的なずれであれば、条文の側を軽くする判断もありえます。

規程が守られているかを測る具体的な数字の取り方は、別の記事「AI規程は作った後に守られない」で扱っています。本稿の範囲で決めておくのは、評価の出口です。評価の結果は「ゴールはそのままで手段を直す」「ゴール自体を見直す」「変えない」の3つのどれかに振り分けます。評価の出口を3つに決めておくと、会議が感想の交換で終わらないからです。

評価の段階でAIに任せられるのは、運用の記録と前提の一覧を突き合わせ、ゴールごとに気になる兆しを並べた下書きを作ることです。どの出口を選ぶかは人が決めます。特に「ゴール自体を見直す」は経営の判断になるので、AI推進の責任者が経営層に上げる流れを先に決めておきます。

5段階を社内のAI規程に当てた対応表

ここまでの5段階を、社内のAI規程の運用に当てて1枚にまとめます。真ん中の2列が、AIに任せる作業と人が決めることの線です。自社の規程に合わせて、右端の「残すもの」を具体的な文書名に置き換えて使ってください。

段階	規程で作るもの	AIに任せる	人が決める	残すもの
環境・リスク分析	規程の前提の一覧	外の変化の洗い出しと、前提のどの行に関わるかの当たり付け	変化を前提の変更として扱うか	前提の一覧と、変化の出どころ
ゴール設定	3〜5行のゴール	文案の候補出し	どのゴールを採るか、優先の順	ゴールと決めた日
システムデザイン	条文・手続き・担当・記録の形	条文の下書き、ゴールとの対応の注記案	条文の確定と、規程の改定の決裁	条文ごとのゴールの注記
運用	申請・承認・相談・社外への説明	相談と例外の記録の整理	例外を認めるか	当てはまらなかった事例の記録
評価	評価の出口の3区分	ゴールごとの兆しの下書き	どの出口を選ぶか	評価の結論と理由

表を縦に見ると、AIに任せる列はどれも「洗い出す」「下書きする」「整理する」で止まっています。回し直すかどうか、ゴールをどうするか、規程をどう改めるかは、どの行でも人の列にあります。この線を表として残しておくと、担当者が替わってもAIへの任せ方がぶれません。

AIの管理の仕組みについては、国際規格のISO 42001もあります。規格の読み方は別の記事「ISO 42001とは何か」に譲りますが、段階ごとに決めたことと理由をこの表の形で残しておけば、将来その規格を参照するときにも、これまでの記録を説明の材料として使えます。

回し直す引き金を先に決めておく

アジャイル・ガバナンスの実務で最も効くのが、回し直す引き金を事前に決めておくことです。ガイドラインは、規制など社会の制度の変更といった外部環境の変化を踏まえて、再び環境・リスク分析を行うとしています。何が起きたら回し直すかを決めていなければ、変化に気づいても誰も動きません。

社内のAI規程では、引き金を次の5つ程度に絞ります。1つ目は法令や国の指針の改定です。たとえば、人工知能関連技術の研究開発及び活用の推進に関する法律は2025年6月に公布され、9月に全面施行されました。2つ目は、使っている道具の機能や契約条件の変更です。3つ目は、AIが自分で操作を行う使い方のような新しい用途の申請、4つ目は事故やヒヤリとした事例、5つ目は取引先や顧客からの問い合わせや指摘です。

引き金ごとに、どの段階に戻るかも決めておきます。道具の機能の変更なら、まず段階1で前提の一覧を直し、段階3の手続きの手直しで済むことが多いはずです。事故が起きた場合は、段階5の評価からゴールに照らして検討し直します。引き金と戻る段階の組を表にしておくと、毎回ゼロから議論しなくて済むのです。

逆に、引き金にしないものも決めておきます。新しいAIの道具の話題がニュースになるたびに規程を見直していては、担当者がもちません。自社で使う予定がなく、前提の一覧のどの行にも関わらない変化は、記録だけ残して回し直しの対象にしない、と決めておくのが現実的です。

引き金を拾う作業をAIに任せる範囲

引き金のうち、法令や指針の改定、道具の機能の変更は、外の情報を追い続ける作業が必要です。この作業はAIに任せやすい部分です。官公庁の公表のページ、使っている道具の更新情報を定期的に集めさせ、前提の一覧と照らして、関わりのありそうな変化を一覧にさせます。

さらに、規程の該当箇所の当たり付けも任せられます。変化の要点と現行の規程をAIに渡し、影響しそうな条文を条番号と引用つきで挙げさせます。引用できない条文は候補として挙げさせないことで、もっともらしい関連づけを防ぎます。見直しの会議に出す材料、つまり変化の要約、影響しそうな条文、戻る段階の案も下書きさせられます。

ただし、AIに任せてはいけない判断がはっきりあります。次のような使い方は避けてください。

• AIが「影響なし」とした変化を、人が確かめないまま記録から外す
• 回し直すかどうかを、AIの要約の結論だけで決める
• AIが書いた改定の条文案を、ゴールとの対応を確かめずに決裁に回す
• 法令の施行日や指針の版を、所管の官庁の原文で確かめずに規程に書く
• 引き金の一覧そのものを、AIに毎回作り直させる

とくに最後の点に注意が要ります。引き金の一覧は、自社が何を大切にし、何に反応するかを表した決めごとです。どの変化に反応するかは、会社の意思として人が持つ。AIは、決めた引き金に当たる変化を見つける係にとどめます。

回し直しの会議の進め方

引き金に当たる変化が見つかったら、回し直しの会議を開きます。年1回の定例の見直しと違い、扱う変化が絞られているので、短い時間で終えられます。進め方は次のとおりです。

会議の出席者は、AI推進の責任者、規程の主管の担当者、利用の多い部署の代表を基本にし、変化の中身に応じて情報システム部門や法務を加えます。決める人を会議の冒頭で確かめておくと、議論だけで終わることを防げます。AIの責任者の置き方そのものは、別の記事「AIの責任者は情報システム部門ではない」で扱っています。

関わる人を社内の外にも広げる

ガイドラインは、5段階のサイクルをマルチステークホルダーで回すとしています。社内の規程で言えば、規程を作る部署だけで回さず、立場の違う人の声を入れる、という意味になります。規程を書く側だけで回すと、使う側の不便と社外の懸念が見えなくなります。

社内では、まず利用部門の声を入れます。規程が重すぎて使われていない、逆に規程が想定していない使い方が広がっている、といった情報は、利用部門にしかありません。運用の段階の相談と例外の記録に加えて、半年に1回ほど、利用の多い部署の担当者から短い聞き取りを行うと、前提の一覧の古い行が見つかります。

社外では、取引先や委託先、顧客の声を入れます。委託先がAIを使って成果物を作っている場合、自社の規程のゴールと委託先の運用がずれていないかは、委託先に聞かなければ分かりません。顧客や取引先からAIの使い方を問われた記録も、ゴールが社外の期待と合っているかを確かめる材料になります。

ガイドラインは本文の後半で、経営層の責任は大きく、リーダーシップを発揮することが重要だとし、そのリーダーシップの下でサイクルを回し、組織の文化として根付かせることへの期待を述べています。社外の声を集めても、それを受け止めてゴールを見直すと決められるのは経営層です。回し直しの会議の記録は、四半期に1回程度、経営層に上げる流れを作っておきます。

年1回の固定の見直しから切り替える手順

すでに「AIの規程は毎年度の初めに見直す」と決めている会社も多いはずです。年1回の見直しを一度にやめる必要はありません。次の順で、少しずつアジャイル・ガバナンスの形に移します。

1. 今の規程の上に、3〜5行のゴールを書き、経営層の確認を受ける
2. 条文ごとに、どのゴールのための手段かを注記する。対応するゴールのない条文に印を付ける
3. 規程の前提の一覧を作り、規程の付属の表にする
4. 引き金と戻る段階の表を作り、外の変化の洗い出しをAIに任せる流れを決める
5. 回し直しの会議の進め方と出席者を決め、最初の引き金で一度回してみる
6. 年1回の見直しは残し、その年に回し直した記録を振り返る場に役割を変える

手順2で印が付いた条文、つまりどのゴールにも対応しない条文は、削るか、ゴールの側が足りないかのどちらかです。ゴールのない条文を見つけることが、切り替えの最初の成果になります。条文の注記と印付けの下書きはAIに任せられますが、削るかどうかは主管の責任者が決めます。

手順6のとおり、年1回の見直しはなくさず、役割を変えます。日々の変化への対応は引き金ごとの回し直しに任せ、年1回の場では、その年の回し直しの記録を見て、引き金の一覧と戻る段階の表そのものが適切だったかを振り返ります。年1回の場は、規程を直す会議から、回し方を直す会議に変えると考えると、両者の役割が重なりません。

よくある質問

アジャイル・ガバナンスは、AIの規程にだけ使う考え方ですか

いいえ。経済産業省は、AIに限らず、変化の速い技術を社会がどう統治するかという文脈でこの考え方を示してきました。AI事業者ガイドラインは、それをAIガバナンスの実践の型として採り入れています。本稿ではAIの規程に絞って説明しましたが、個人情報や情報セキュリティの規程にも同じ形は当てはまります。

小さな会社でも5段階を全部回す必要がありますか

ガイドラインは、各社の資源の制約に配慮することが重要だと書いています。小さな会社なら、ゴールを3行で書き、前提の一覧と引き金の表を1枚ずつ持つだけでも十分に回ります。段階ごとに文書を分ける必要はなく、1つの表に段階の列を設ける形でもかまいません。

回し直しの頻度はどれくらいが目安ですか

頻度を先に決めるのではなく、引き金に当たる変化が起きたときに回すのが基本です。ただし、何も起きない状態が続くと仕組みそのものが忘れられるので、引き金が半年ほど一度も当たらなければ、引き金の一覧が狭すぎないかを疑うようにします。

まとめ

アジャイル・ガバナンスは、AI事業者ガイドラインがAIガバナンスの実践の型として掲げる考え方で、環境・リスク分析、ゴール設定、システムデザイン、運用、評価の5段階を、外の変化をきっかけに回し続けます。社内のAI規程に当てるなら、条文の前に3〜5行のゴールを置き、条文ごとにどのゴールの手段かを注記し、規程の前提の一覧と、回し直す引き金と戻る段階の表を持ちます。外の変化の洗い出し、規程の該当箇所の当たり付け、会議の材料の下書きはAIに任せ、回し直すかどうか、ゴールの設定、規程の改定は人が決めてください。年1回の見直しは、規程を直す場から回し方を直す場へと役割を変えます。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。