中堅企業のためのAIガバナンス：実践的な入門ガイド

このガイドは、すでにAIを製品や業務に活用しているか、これから活用しようとしている従業員50〜2,000人規模の企業のCEO、CTO、COO、コンプライアンス担当者、データ保護担当者を対象としています。ガバナンスが中堅企業にも求められるようになった背景、EU AI法の要求事項と適用時期、活用できるフレームワーク、10ステップのガバナンスベースライン、AIエージェントのコントロール、そして顧客の調査票に記載されたAI関連の質問への回答方法を解説します。本ガイドはテクノロジートレンド2026シリーズの一部です。法的アドバイスではなく、実践的なガイダンスです。

本ガイドの内容

• ガバナンスが中堅企業にも求められるようになった理由
• EU AI法の要求事項と適用時期
• 活用できるフレームワーク
• 10ステップのガバナンスベースライン
• AIエージェントと統合のコントロール
• 顧客の調査票のAI関連質問への回答
• Netbaseが自社のAIデリバリーをどのようにガバナンスしているか
• 本ガイドの限界
• よくある質問
• 本ガイドの作成について
• 次のステップ

ガバナンスが中堅企業にも求められるようになった理由

3つのことが同時に起きています。

期日を伴う規制。 EU AI法は初めての包括的なAI法であり、その義務は2028年までに段階的に適用されます。AIシステムやその出力物がEU内で利用される場合、EU域外の企業にも適用される可能性があります。

顧客からの問い合わせ。 エンタープライズのバイヤーは、サプライヤーへの調査票にAIに関する項目を含めるようになっています。「AIをどこで使用しているか」「どのデータを対象としているか」「どのモデルを使用しているか」「アウトプットを誰が確認しているか」といった質問です。これらに答えられない企業は、規制当局が動く前に商談を失います。

AIが行動する。 ツールやAPIを呼び出すエージェントは、誤った答えを誤った行動に変えます。Postmanの「2025 State of the API」レポートによると、開発者の51%が、AIエージェントによる不正または過剰なAPI呼び出しをセキュリティ上の最大の懸念事項として挙げています。

中堅企業のほとんどはデプロイヤーです。他社が構築したAIシステムを利用するか、商用・オープンウェイトモデルの上に機能を構築しています。デプロイヤーの義務は高リスクシステムのプロバイダーより軽いですが、義務がないわけではなく、顧客は法的最低基準に関わらずガバナンスを期待しています。

EU AI法の要求事項と適用時期

最後の2つの日付はAI Omnibusによるものです。AI Omnibusは2026年7月27日に発効し、高リスクの期限を変更するとともに、簡素化された義務の対象をSMEから小規模の中間資本企業にも拡大しました。実際に行動する前に、欧州委員会のページで現行テキストを確認してください。

活用できるフレームワーク

ISO/IEC 42001。 AIマネジメントシステムの国際規格です。ポリシー、役割、リスク評価、影響評価、AIライフサイクル全体のコントロール、継続的改善が含まれます。構造が類似しているため、すでに情報セキュリティのISO 27001を導入している企業に適しています。

NIST AIリスクマネジメントフレームワーク。 ガバナンス（Govern）、マッピング（Map）、測定（Measure）、管理（Manage）の4つの機能で構成された任意のフレームワークです。所在地を問わず、リスクに関する議論のための実践的な語彙として活用できます。

LLMアプリケーション向けOWASP Top 10。 プロンプトインジェクションや過剰なエージェンシーを含む、言語モデル上に構築されたアプリケーション向けのセキュリティリストです。エンジニアが直接適用できる緩和策が含まれています。

3つすべてを一度に導入する必要はありません。EU AI法で何が求められているかを把握し、ISO/IEC 42001またはNISTフレームワークでマネジメントシステムを整備し、OWASPで構築物を保護してください。

AIエージェントと統合のコントロール

業務システムに接続されたエージェントやAI機能には、ポリシー文書以上のコントロールが必要です：

• ツールの絞り込み。 各エージェントには、そのタスクに必要なツールとデータのみを付与し、まず読み取り専用アクセスから始めます。
• 影響を伴う操作への承認。 支払い、返金、価格変更、顧客へのメッセージ、データ削除は、エラー率が十分に低いことが証明されるまで、人間の承認を必要とします。
• スコープを限定した認証情報。 エージェントは共有の管理者キーではなく、専用のIDとスコープを使用します。
• レート制限とモニタリング。 エージェントの呼び出しを新しいクライアントと同様に監視し、異常なボリュームに対してアラートを発します。
• 意思決定ログ。 ケースごとに入力、ツール呼び出し、アウトカムを記録し、障害の追跡と説明を可能にします。
• 手動フォールバック。 すべての自動化プロセスには、ケースを人間に引き渡す方法を維持します。

AIエージェントとワークフロー自動化の比較では、エージェントがそのオーバーヘッドに見合う場合を解説しています。エージェント型コマース・レディネスガイドでは、同じコントロールをショッピングエージェントに適用しています。AIエージェントのセキュリティと人間による承認ガイドでは、これらのコントロールをゴーライブ前にテスト可能なレイヤーとして整理しています。

顧客の調査票のAI関連質問への回答

バイヤーの調査票では通常5つのことが問われます。回答を一度準備し、常に最新の状態を維持してください：

• AIの利用箇所。 インベントリから、平易な言葉で。
• アクセスするデータ。 データルールから、顧客データがモデルの学習に使われているかどうかを含む。
• 使用するモデルとサプライヤー。 サプライヤー確認から。
• アウトプットのレビュー担当者。 監視ルールから。
• インシデントの対応方法。 インシデント経路から、担当連絡先を含む。

サービス会社やエージェンシーはこれらの質問を最も頻繁に受けます。業務上の背景については、プロフェッショナルサービスの業種ページをご覧ください。

Netbaseが自社のAIデリバリーをどのようにガバナンスしているか

Netbaseは、自社のAIデリバリーの実践にISO/IEC 42001のAIマネジメントシステムフレームワークを適用しています。これは自社の業務の進め方であり、クライアントのシステムに関する主張ではありません。すべてのプロジェクトで使用されているセキュリティ慣行の上に成り立っています。セキュアなコードレビューとバージョン管理、転送中のTLSと保存時のAES暗号化、ロールベースのアクセス制御、管理者ダッシュボードへのMFA、脆弱性スキャンおよびペネトレーションテスト、そして要望に応じたNDAとDPAが含まれます。Netbaseは自社の業務においてISO 27001認証とSOC 2 Type IIのアテステーション（証明報告書）を取得しています。詳細はセキュリティとコンプライアンスをご覧ください。

Netbaseは主要な商用・オープンウェイトAIモデルと連携し、プロジェクトごとに選択しています。これにより、ガバナンスは特定のベンダーではなくユースケースに焦点を当てることができます。デリバリー済みのAIには、4over4のレコメンデーションエンジンが含まれます。これは4over4が実装後6カ月以内に売上82%増加を報告したエンゲージメントの一部です。また、RAGナレッジアシスタントなど、名前を公開していないクライアントの匿名プロジェクトも含まれます。ガバナンスは責任あるAIとMLOpsおよび品質とセキュリティサービスに組み込まれており、AIファースト・オフショア開発センターガイドでは同じルールをAI支援デリバリーチームに適用しています。

本ガイドの限界

• 本ガイドは一般的なガイダンスであり、法的アドバイスではありません。義務は自社の役割、業種、市場によって異なります。
• EU AI法の期日は、AI Omnibus適用後の2026年9月時点の欧州委員会のページを参照しており、今後変更される可能性があります。
• ISO/IEC 42001、NISTフレームワーク、OWASPの概要はその目的を説明するものであり、完全な要件を記載したものではありません。
• ここに記載されている内容は、ベースラインに従うことで特定のシステムが準拠状態になることを示唆するものではありません。

本ガイドの作成について

Netbaseの編集チームが、欧州委員会のAI法関連ページ、ISO、NIST、OWASPの参考文献、およびNetbase JSCの検証済みのセキュリティ・AI関連の事実をもとに本ガイドを執筆しました。David（CEO）がすべてのNetbaseに関する記述をレビューしました。草稿作成にはAIアシスタンス（Claude）を使用しました。

次のステップ

AIインベントリ、または顧客から受け取った調査票を共有していただければ、ソリューションレビューを予約して適切なベースラインを設定します。また、ガバナンスを組み込んだデジタルプロダクトの構築方法の確認、デジタルトランスフォーメーションコンサルティングの探索、リテールとeコマースについての情報収集、またはNetbaseインサイトの閲覧もできます。

関連サービスとソリューション