Credo AIに載せる項目一覧｜持ち主と国内法への写し方

「AIの利用申請が月に何十件も来て、表計算の台帳がもう追いつかない」「海外の規制に対応した基盤を勧められたが、日本の法令にはどう対応させればいいのか分からない」——AI推進や法務、リスク管理の担当者から聞こえてくる声です。背景には事実があります。AI推進法は2025年9月に全面施行され、2025年12月には政府の指針が、2026年3月にはAI事業者ガイドラインの第1.2版が出ました。一方、海外で評価の高いAIガバナンスの基盤 Credo AI は、EUのAI法や米国の枠組みに合わせた既製のひな形は持つものの、日本の法令向けのひな形は確かめた範囲では見当たりません。基盤を入れることと、日本の法令に沿うことは別の作業です。この記事では、Credo AI に載せる項目、台帳の持ち主、国内の法令とガイドラインの写し方、ツールに判断させない範囲を、定着までの段取りとして整理します。

Credo AI は何をする基盤か

Credo AI は、企業のAIガバナンスを一か所で管理するための基盤です。公式サイトでは、AIのエージェント、アプリケーション、モデル、AIのベンダーを統治する基盤と説明されています。中心にあるのは三つの機能で、AIを一覧にする台帳、規制や社内方針を当てはめるポリシーエンジン、リスクを継続して評価する機能です。

台帳には、利用案件、モデル、ベンダー、エージェントを載せられます。公式サイトによれば、エージェントごとの説明書き（エージェントカード）、届け出のないAIの検出、リスクの区分、依存関係の対応づけが含まれます。ポリシーエンジンは、規制や規格の要求を確かめられる手順に分解したひな形（ポリシーパック）を案件に当て、評価の結果を証拠として要求に結びつけます。監査のための記録もここに残ります。

連携先として公式サイトは、ServiceNow、Jira、Confluence、Slack、GitHub、Snowflake、Databricks、Azure などを挙げています。多くの会社では、AIの利用申請はすでに業務の申請の仕組みや課題管理の道具で回っているはずで、既存の申請の流れから台帳へ記録を流し込めるかが、選ぶときの実務上の要点になります。

作っている会社と、国内でまだ知られていない理由

Credo AI は2020年創業の米国の会社で、最高経営責任者はナブリナ・シン氏です。公式ブログによれば、2026年3月24日に米国のビジネス誌の「最も革新的な企業」の一覧で、応用AIの部門の6位に選ばれました。同じ発表の中で、調査会社 Forrester の評価（Forrester Wave）でリーダーと位置づけられたこと、Gartner の注目企業に選ばれたことにも触れています。公式ブログには、マイクロソフト、IBM、Databricks などの名前が顧客や協力先として挙がっています。

2026年10月22日にはニューヨークで年次のイベントを開いており、活動は続いています。ただ、国内での知名度は高くありません。確かめた範囲では理由は三つあります。公式サイトが英語のみで、日本語の管理画面や国内の窓口を公式の資料で確かめられなかったこと。既製のひな形がEUのAI法や米国の州法・業界規制に寄っていること。そして国内の会社のAIガバナンスが、まだ規程と表計算の台帳の段階にあることです。

国内で検討する会社は、この三つを裏返して考えると判断が早くなります。英語の画面で運用できる人がいるか、EUや米国で事業をしていて海外の規制への対応が先に必要か、AIの利用案件の数が表計算で回らない規模になっているか。三つとも当てはまらないなら、まず規程と台帳の運用を固めるほうが先です。

事実で見る、2026年の動き

2026年の Credo AI の動きで、導入の判断に関わるのは二つです。一つは、統治支援のAIアシスタントの一般提供です。公式サイトでは、AIを使った申請の受付と台帳への登録、リスクと管理策の対応づけを行う機能として、一般提供の扱いで紹介されています。申請の内容から台帳の項目を埋め、当てはまりそうなリスクと管理策の案を出す役割です。

もう一つは、エージェントの統治です。台帳にエージェントの一覧と説明書きを持たせる機能に加え、エージェントを稼働中に統制する機能が、公式サイトでは研究段階のプレビューと表示されています。リスク評価の機能の説明には、道具の誤用、任された範囲からのずれ、エージェント同士の連鎖によるリスクを扱う管理策の一覧が挙がっています。エージェントの統制は、まだ提供元自身が完成品と呼んでいない段階だと理解しておくのが正確です。

ほかに、ひな形の対象として、EUのAI法、NIST の AIリスク管理の枠組み（NIST AI RMF）、ISO 42001 のほか、米国の行政や州、保険の業界の規制が挙がっています。公式ブログでは SOC2 も挙げています。一方で、2026年10月時点で確かめた公式の資料と検索の範囲では、日本のAI推進法やAI事業者ガイドラインに対応した既製のひな形は見当たりませんでした。

台帳を Credo AI で持つか、ほかの形で持つか

AIの台帳の持ち方は、大きく三つあります。表計算や社内の申請の仕組みで持つ形、個人情報の管理の基盤の延長で持つ形、Credo AI のような専業の基盤で持つ形です。個人情報の管理の基盤の延長については OneTrust を扱った記事で触れたので、ここでは専業の基盤を選ぶ理由に絞って比べます。

持ち方	向いている会社	Credo AI と比べたときの弱み・強み
表計算・社内の申請の仕組み	案件が数十件までで、国内中心の会社	安く始められるが、規制ごとの要求と証拠の対応づけは手作業になる
個人情報の管理の基盤の延長	すでに個人情報の台帳と同意の管理を同じ基盤で回している会社	個人情報の台帳とつなぎやすい。AI固有の評価やエージェントの統治の深さは製品次第
Credo AI のような専業の基盤	EUや米国で事業をし、AIの案件が多く、外部ベンダーのAIも多い会社	規制のひな形と証拠の対応づけ、ベンダーとエージェントの台帳が厚い。日本の法令は自分で写す

Credo AI を選ぶ理由が立ちやすいのは、海外の規制への対応と、外部ベンダーのAIの評価が同時に必要な会社です。EUで事業をしていて自社のAIがEUのAI法の対象になりうる会社、海外の取引先から AI管理の規格への対応を求められている会社などです。逆に国内向けの事業だけで、AIの利用が汎用のチャットAIと業務ソフトのAI機能に限られるなら、専業の基盤の厚みを使い切れない可能性が高いでしょう。

台帳の持ち主は誰か：登録・承認・証拠の三つの役

基盤を入れても、台帳が止まる会社の多くは、持ち主を決めていません。持ち主は一人ではなく、三つの役に分けて考えると決めやすくなります。登録の持ち主は、その利用案件を使う部門の責任者で、案件の中身が変わったときに台帳を直す人です。承認の持ち主は、リスクの区分を確定し、利用の可否を決める人で、多くの会社ではAI推進の責任者や法務、リスク管理の部門が担います。証拠の持ち主は、評価の結果や管理策の実施の記録を台帳に添える人で、情報システムの部門や案件の開発の担当です。

Credo AI の統治支援のAIアシスタントは、申請の受付と登録の下ごしらえを手伝いますが、登録の持ち主の代わりにはなりません。案件の中身が変わったことを知っているのは使っている部門だけだからです。台帳の記録が古くなる一番の原因は、登録した人と直す人が決まっていないことです。案件ごとに、三つの役を部署名ではなく人の名前で台帳に持たせます。

外部ベンダーのAIの案件では、もう一つ役が増えます。ベンダーとの契約の窓口です。ベンダーがAIの機能を追加したり、使うモデルを変えたりしたときに、知らせを受けるのは契約の窓口です。窓口の担当者が知らせを台帳の登録の持ち主に回す流れがないと、ベンダーのAIの台帳はすぐに現物とずれます。

Credo AI に載せる項目一覧

台帳の項目の一般論は既存の記事で扱ったので、ここでは Credo AI の構造に合わせて、載せる対象ごとに最低限の項目を並べます。Credo AI は、利用案件、モデル、ベンダー、エージェントを別の対象として持てるので、項目も対象ごとに分けるのが自然です。

• 利用案件：目的、使う部門、対象となる人（社員・顧客・応募者など）、扱うデータの種類、登録・承認・証拠の持ち主
• 利用案件：AI事業者ガイドラインの立場（開発者・提供者・利用者のどれか、兼ねるならどれとどれか）
• 利用案件：当てるひな形（EUのAI法・ISO 42001・自社の独自のひな形など）と、確定したリスクの区分
• モデル：提供元、版、自社で調整したか、学習や調整に使ったデータの出どころ
• ベンダー：提供するAI機能、使っているモデルの提供元、入力データの学習への利用の有無、データの保存場所、契約の窓口
• エージェント：任せる作業、使える道具と権限、人の承認が要る操作、止める手順と止める権限を持つ人
• 共通：次の見直しの時期と、見直しを前倒しする引き金（モデルの変更、対象者の拡大、事故など）

このうち、AI事業者ガイドラインの立場の列は、海外の基盤の既製の項目にはない日本固有の列です。同じ道具でも、社内で使うだけなら利用者、顧客に向けたサービスに組み込めば提供者になり、求められることが変わります。Credo AI に載せるときは、独自の項目として追加しておくと、後の国内法への写しがしやすくなります。

日本の法令は、既製のひな形にない前提で考える

Credo AI のポリシーパックは、規制や規格の要求事項を、何をどう測り、どんな記録が要るかという確かめられる手順に分け、評価の結果を証拠として結びつける仕組みです。公式の用語解説によれば、一つの案件に複数のひな形を同時に当てられ、社内の基準を反映した独自のひな形も作れるとされています。日本の法令とガイドラインは、この独自のひな形として載せることになります。

ここで注意したいのは、日本のAIに関する決まりの性格です。AI推進法は、罰則で縛る法律ではなく、研究開発と活用を推進する基本的な法律です。AI事業者ガイドラインも、拘束力のない、いわゆるソフトローとして作られています。EUのAI法のように、区分ごとに義務が条文で決まっている法律とは違い、何を要求事項とするかを自社で決める余地が大きいのが特徴です。

そのため、日本の分を写す作業は、条文を機械的に項目に移す作業ではなく、自社の方針として何を守るかを決める作業になります。ひな形の中身を決めるのは法務とAI推進の責任者で、基盤の担当者ではありません。決まった方針を、確かめる手順と要る証拠の形に落とすところで、基盤の担当者が加わります。

AI推進法と政府の指針を、台帳に写す

AI推進法（人工知能関連技術の研究開発及び活用の推進に関する法律）は2025年6月に公布され、9月に全面施行されました。事業者に向けた条文は、AIを活用する事業者が国や自治体の施策に協力するよう努める責務を定めたもので、個々の利用案件に具体的な手続きを求める条文はありません。2025年12月19日には、人工知能戦略本部がAIの適正性を確保するための指針を決めています。

台帳に写すときは、法律そのものより、指針と、法律にもとづいて国が行う調査や情報提供の求めに、どう応えられるようにしておくかを考えます。たとえば、重大な事故や不適正な利用が起きたときに、どの案件で何が起きたかを台帳からすぐ引けることは、協力の責務に応える前提になります。Credo AI の側では、事故の記録と、案件ごとの連絡の窓口を、独自のひな形の要求事項として持たせておく形が考えられます。

指針の中身を独自のひな形の要求事項にどう分けるかは、自社の事業によって変わります。指針の全文を要求事項にすると、案件ごとの評価が重くなりすぎて誰も登録しなくなります。まず自社の主要な利用案件に当たる部分だけを要求事項にし、運用しながら広げる順番が現実的です。

AI事業者ガイドライン第1.2版を、独自のひな形にする

AI事業者ガイドラインは総務省と経済産業省が出しているもので、最新は2026年3月31日に公表された第1.2版です。対象の事業者を、AI開発者、AI提供者、AI利用者の三つに分け、同じ事業者が複数の立場を兼ねる場合もあるとしています。また、リスクの大きさに応じて対策の程度を変えるリスクベースの考え方をとっています。

独自のひな形に写すときの骨組みは、ガイドラインの共通の指針の10項目が使えます。人間中心、安全性、公平性、プライバシー保護、セキュリティ確保、透明性、アカウンタビリティ、教育・リテラシー、公正競争確保、イノベーションです。このうち、各事業者が取り組む事項として整理されている最初の7項目を、立場ごとの要求事項に分けて写し、残りの3項目は会社全体の方針として別に持つと、案件ごとの評価が軽くなります。

ガイドラインには、別添としてチェックリストとワークシートも公表されています。独自のひな形の要求事項は、ゼロから書くより、この別添の項目を自社の言葉に直して使うほうが早く、版の更新にも追いやすくなります。ガイドラインは版を重ねて更新されているので、版が変わったら独自のひな形をどう直すかの担当を先に決めておきます。海外の既製のひな形は提供元が更新しますが、日本の独自のひな形を更新するのは自社だけです。

EUのAI法・ISO 42001 の既製のひな形を、そのまま当てるか

Credo AI の強みは、EUのAI法や ISO 42001 などの既製のひな形にあります。ただ、既製のひな形をすべての案件に当てるのが正しいとは限りません。EUのAI法は、EUの市場にAIを出す、あるいはEUの人に影響が及ぶ場合などに関わる法律で、国内向けの事業だけの案件に当てると、不要な評価の作業が増えます。

当て方の線は、案件の性格で引きます。EUの顧客や社員に関わる案件にはEUのAI法のひな形を、海外の取引先から AI管理の規格への対応を求められている事業の案件には ISO 42001 のひな形を当て、それ以外の国内の案件には日本の独自のひな形だけを当てる、という分け方です。一つの案件に複数のひな形を当てられる仕組みは、当てすぎる危険も含んでいると考えておきます。

もう一つ、既製のひな形の区分をそのまま社内の区分にしないことも大切です。EUのAI法の高リスクの区分と、自社のAI規程の区分が別の言葉で並ぶと、現場はどちらに従えばよいか分からなくなります。社内の区分は自社の規程の言葉で一つに決め、海外のひな形の区分は、その案件が海外の規制の対象かどうかの記録として持つ形にそろえます。

外部ベンダーのAIを、Credo AI で評価する

多くの会社にとって、AIのリスクの大半は自社で作ったAIではなく、外部から買う業務ソフトに入ったAI機能にあります。Credo AI の公式サイトには、ベンダーの台帳とベンダーのリスクの評価の使い方が挙がっています。外部ベンダーのAIをまとめて把握できることは、専業の基盤を選ぶ理由の一つになります。

ベンダーの評価でまず確かめるのは、入力したデータがベンダーやその先のAIの提供元の学習に使われるか、データがどこに保存されるか、AIの機能を利用者の側で止められるか、の三つです。評価の質問票をベンダーに送り、回答を証拠として台帳に添える流れを作ります。回答の中身を読んで合否を決めるのは人で、統治支援のAIアシスタントに任せるのは回答の要約と、未回答の項目の洗い出しまでにとどめます。

ベンダーの評価は、一度で終わりません。ベンダーはAIの機能を頻繁に追加し、使うモデルを変えます。契約の更新の時期だけでなく、ベンダーからAIの機能の追加の知らせが来たときを見直しの引き金にして、台帳の記録を更新します。この知らせを受ける契約の窓口と、台帳の登録の持ち主をつなぐ流れが、ここでも要になります。

統治支援のAIに任せることと、ツールに判断させない範囲

Credo AI の統治支援のAIアシスタントは、申請の受付と登録、リスクと管理策の対応づけを支えます。任せてよいのは、申請の文章から台帳の項目を埋める下ごしらえ、当てはまりそうなリスクと管理策の案、未記入の項目の指摘、評価の結果の要約です。どれも、人が判断する材料をそろえる作業です。

ツールに判断させないのは、次の四つです。利用してよいかの判断、リスクの区分の確定、規程の例外の承認、どのひな形を当てるかの決定。AIの案をそのまま採ると、案の根拠を誰も説明できなくなります。統治支援のAIが区分の案を出した場合は、その根拠になった申請の記述を確かめ、承認の持ち主が自分の判断として確定させます。台帳には、AIの案と人の確定を別の欄で残すと、後から見直すときにどこで判断が変わったかが分かります。

エージェントの統制の機能が研究段階のプレビューであることも、線を引く理由になります。稼働中のエージェントを止める判断を基盤の自動の動きに任せるのではなく、止める権限を持つ人を案件ごとに名前で決め、止める手順を台帳に書いておくことが先です。基盤の自動の見張りは、その人に知らせる仕組みとして使います。

定着までの段取り

専業の基盤は、入れた直後より、半年後に使われているかで価値が決まります。全社の案件を一度に載せようとすると、登録の作業が重くて止まります。定着までの段取りは、次の順番で進めるのが現実的です。

この段取りで一番時間がかかるのは、二つめの日本の独自のひな形づくりです。ここを提供元や導入支援の会社に任せきりにすると、自社の事業に合わない要求事項が並びます。要求事項の中身は社内で決め、基盤への設定を外部に手伝ってもらう分け方が、後の更新を自社で回せる形です。

台帳が止まる兆し

専業の基盤を入れても、運用が止まる会社には共通する兆しがあります。導入から3か月ほどたったら、次のような状態になっていないかを確かめます。

• 登録の持ち主が部署名だけで、案件の中身が変わっても誰も台帳を直していない
• 統治支援のAIが出したリスクの区分の案が、そのまま確定の欄に入っている
• 国内の案件にもEUのAI法のひな形が当たっていて、評価の作業が重く申請が減った
• 日本の独自のひな形が、AI事業者ガイドラインの前の版のまま更新されていない
• 外部ベンダーのAIの機能の追加の知らせが、契約の窓口で止まっている
• 台帳の見直しが年に1回の行事になり、引き金による見直しが一度も起きていない

このうち一つでも当てはまれば、基盤の機能を足すより、持ち主と引き金の決め直しが先です。台帳が止まる原因は、ほとんどの場合、道具ではなく役割の側にあります。基盤の画面を見直す前に、案件の一覧を持ち主の名前で並べ替え、名前の欄が空いている案件と、半年以上更新されていない案件を数えるところから始めると、どこで止まっているかが見えます。

導入前に、提供元に確かめること

最後に、導入を判断する前に提供元に確かめておきたい点です。2026年10月時点で確かめた公式の資料では、料金の体系は公開されていませんでした。費用は金額ではなく増え方で考えます。この種の基盤では、載せるAIの案件やベンダーの数、使う人の数、当てるひな形の数が費用の要因になりえます。案件が増えるほど費用が増える形なら、全社に広げたときの費用を契約の前に見積もってもらいます。

データの扱いも確かめます。台帳には、AIの利用案件の中身、ベンダーの評価の回答、事故の記録など、社外に出したくない情報が集まります。データの保存場所、統治支援のAIアシスタントがどのAIの提供元を使い、入力が学習に使われるか、契約をやめるときのデータの持ち出しと削除を、公式の信頼性の案内や契約書で確かめてください。第三者の解説には自社の環境に置く形もあるとするものがありますが、条件は提供元に確かめる必要があります。

日本語の対応も論点です。画面と報告書が英語中心なら、登録の持ち主になる各部門の担当者が使えるかを、試行の段階で確かめます。登録の画面を使えない部門があるなら、既存の日本語の申請の仕組みから記録を流し込む形にするほうが、定着しやすくなります。

まとめ

Credo AI は、AIの利用案件・モデル・外部ベンダー・エージェントを台帳に載せ、規制や規格のひな形を当てて証拠を残す基盤です。EUのAI法や ISO 42001 の既製のひな形が厚く、海外の規制への対応と外部ベンダーのAIの評価が同時に必要な会社ほど選ぶ理由が立ちます。一方で、日本の法令向けの既製のひな形は確かめられず、AI推進法と政府の指針、AI事業者ガイドライン第1.2版は、自社で要求事項に書き直して独自のひな形として載せる必要があります。登録・承認・証拠の持ち主を案件ごとに名前で決め、統治支援のAIには下ごしらえと案までを任せ、利用の可否・区分の確定・例外の承認・止める判断は人が持つ。この線を引いてから、リスクの高い案件から小さく載せ始めてください。

• 製品の機能と提供の状態は、Credo AI の公式サイト、2026年3月24日の公式ブログ、ポリシーパックの公式の用語解説を2026年10月26日に確かめた範囲に基づきます。エージェントの統制の機能は公式サイトで研究段階のプレビューと表示されています
• 国内の法令とガイドラインは、AI推進法（2025年6月公布・9月全面施行）、人工知能戦略本部の指針（2025年12月19日）、総務省・経済産業省のAI事業者ガイドライン第1.2版（2026年3月31日）に基づきます
• 料金の体系、日本語への対応、データの保存場所、統治支援のAIアシスタントが使うAIの提供元と学習への利用は公開の資料で確かめられなかったため、契約の前に提供元に直接確かめてください

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。