AIガバナンスを運用する — 方針を書いた後に残る仕事

方針だけでは動かない

方針の文書を公開した時点で終わりにすると、半年後には現場が勝手に使い始めている状態に戻る。禁止したからではなく、申請の経路が無いか、あっても返答が遅いからである。

必要なのは、申請してすぐ答えが返る仕組みである。これには担当と基準が要る。

既承認リストを作る

毎回個別に審査すると回らない。「このツールは、この用途の範囲でなら申請不要」というリストを作る。現場の大半の要望はこのリストで吸収できる。

リストには用途の範囲を必ず書く。「Claude は可」ではなく「Claude は社内文書の要約と文章の作成に限り可、顧客データの入力は不可」と書く。

例外を認める設計にする

例外を一切認めない方針は、守られない方針になる。条件付きで認める経路を作り、認めた例外を記録する。記録が溜まると、方針を直すべき箇所が見える。

例外承認の権限は、部門長レベルに置くのが現実的である。情シスに集めると詰まる。

棚卸しで見るもの

• 承認済みツールのうち、実際に使われていないもの（契約を切る）
• 提供元の利用規約が変わっていないか
• 承認時の前提（データの扱いなど）が維持されているか
• 申請されずに使われているツールがないか（費用の明細から探す）

4つ目が最も有効である。クレジットカードの明細と経費精算を見ると、申請されていない利用が見つかる。これを責めるのではなく、申請の経路が使いにくい証拠として扱う。

小さな組織での現実

数十人の組織で4つの役割を分けるのは過剰である。実務では、情シスまたは管理部門の1人が全部を持ち、既承認リストを公開して、新規の判断だけを引き受ける形になる。

重要なのは役割の数ではなく、申請先が明示されていて、答えが数日で返ることである。

よくある質問

Q. 専任を置く必要がありますか。

A. 数百人規模までは兼任で回ります。必要なのは専任者より、既承認リストと返答期限の明示です。