生成AIガバナンス体制の作り方｜NIST AI RMFに学ぶGOVERN→MANAGE 4ステップ設計法【2026年版】

NIST AI RMF（NIST Artificial Intelligence Risk Management Framework）とは、米国国立標準技術研究所（NIST）が2023年1月に公開した、AIシステムのリスクを組織が自発的に管理するための国際的な標準フレームワークです。 GOVERN・MAP・MEASURE・MANAGEの4つのコア機能と72のサブカテゴリーを通じて、信頼できるAIの設計・開発・運用を支援します。2024年7月には生成AIに特化したGenAI Profile（AI 600-1）が追加され、2026年にはAI Agent Standards Initiativeや重要インフラ向けProfileなど大型アップデートが続いています。

本記事を読むと、以下が体系的に分かります。

• 生成AIのガバナンス体制を「誰が・何を・どの順番で」決めるべきかの4ステップ
• 各ステップで実際に定めるべき項目（責任者・リスク分類・評価基準・対応フロー）
• NISTのGenAI Profileが示す生成AI固有の確認ポイント（ハルシネーション・情報漏洩・著作権等）
• 人事採用AIを例にした、4ステップの記入サンプル

生成AIのガバナンス体制はなぜ「行き当たりばったり」になりやすいのか

生成AIを社内導入する企業の多くが直面するのが、「利用ルールは作ったが、責任の所在や評価の仕組みが曖昧なまま運用している」という状態です。情報漏洩やハルシネーションが起きたときに「誰が責任を持つのか」「どの基準で対策の要否を判断するのか」が決まっていないと、インシデント対応が後手に回ります。

この問題の多くは、ガバナンス体制を「利用ルールの文書化」だけで終わらせ、リスクを継続的に特定・評価・低減する仕組みまで作り込んでいないことが原因です。米国NISTが2023年1月に公開したAIリスク管理フレームワーク「NIST AI RMF（NIST AI 100-1）」は、この仕組み化を4つの機能に整理しており、汎用フレームワークとして自社のガバナンス体制設計にそのまま応用できます。

社内ルールの条文サンプルが欲しい場合は【2026年版】生成AI 社内ルール ひな形・テンプレート、経産省ガイドラインへの準拠手順は経産省「AI事業者ガイドライン第1.2版」とは？企業のAIガバナンス実装6手順を参照してください。本記事は、それらの前提となる「体制そのものの設計手順」に焦点を当てます。

ステップ1. GOVERN（統治）｜誰が責任を持つのかを最初に決める

体制設計の出発点は、リスクを誰が管理するかを決めることです。GOVERN（統治）では、次の3点を明確にします。

• 承認プロセス：新しい生成AIツールの業務利用や、既存AIの評価基準の見直しを誰が承認するか
• 責任の所在：情報漏洩やハルシネーションが発生した際、一次対応の責任者は誰か（情報システム部門か、業務部門の管理職か）
• 利用ルールの周知：シャドーAI（従業員が無許可で外部の生成AIツールを業務利用すること）を防ぐため、承認済みツール一覧と利用条件をどう周知するか

このステップが曖昧だと、後続のリスク特定・評価・対策がすべて「誰の仕事でもない」状態になります。経営層・情報セキュリティ責任者・現場部門の三層で意思決定権限を整理するのが定石です。

ステップ2. MAP（特定）｜業務ごとにリスクを洗い出す

生成AIを使う業務ごとに、想定されるリスクを具体的に洗い出します。ここで重要なのは、「業務効率化のメリット」だけでなく「意図しない悪影響」も同じ解像度で書き出すことです。

生成AI固有のリスクとして、NISTのGenAI Profile（AI 600-1、2024年7月公開）は次のような論点を挙げています。

• ハルシネーション（もっともらしい誤回答）：出力をそのまま採用せず人が確認する業務か
• データプライバシー：入力データに個人情報・機密情報が含まれる業務か
• 著作権侵害：生成物を外部に公開する業務か
• バイアスの増幅：採用・与信など人物評価に関わる業務か

これらを業務単位でリスト化し、リスクの高い業務（人事評価・顧客対応・対外公開物の作成等）から優先的に体制を整えるのが現実的です。

ステップ3. MEASURE（測定）｜評価基準を数値で決める

洗い出したリスクを「どう評価するか」の基準を、できる限り数値で定義します。定性的な「気をつける」だけで終わらせず、次のような測定可能な基準を設定します。

• 許容基準の例：属性間（性別・年齢等）での評価結果の差異が一定範囲内に収まっているか
• テスト頻度：四半期ごと・月次など、評価のサイクルをあらかじめ決める
• レッドチーミング：本番運用前に、意図的に問題のある入力を試して脆弱性を確認する回数

基準を数値化しておくことで、「対策が必要かどうか」の判断が属人化せず、次のMANAGEのステップに接続できます。

ステップ4. MANAGE（管理）｜対応フローと継続モニタリングを設計する

測定で基準を超えたリスクに対し、実際にどう対応するかのフローを決めます。

• 一次対応：問題を検知した従業員が誰に報告するか（窓口の一本化）
• 是正措置：モデルやプロンプトの見直し、業務範囲の縮小など、基準超過時の具体的なアクション
• 継続モニタリング：運用開始後も月次・四半期でレポートを作成し、体制自体を更新し続ける
• 第三者リスク：利用しているAIベンダーがモデルを更新した際、再評価する手順

このステップまで設計して初めて、ガバナンス体制は「文書」から「運用される仕組み」に変わります。

【サンプル】人事採用AIで4ステップを記入する例

4ステップの使い方をイメージしやすくするため、人事採用に生成AIを導入する場合の記入例を示します。

• GOVERN（統治）
  • 責任者：人事部長および情報セキュリティ責任者
  • ルール：AIの評価結果のみで不採用を決定せず、必ず人が最終確認する
  • 承認プロセス：AIモデルの更新時は経営会議で再承認
• MAP（特定）
  • 想定リスク：過去の採用データの偏りによる性別・年齢バイアス
  • 生成AI固有リスク：応募者プロフィール要約時のハルシネーション、入力データ経由の個人情報漏洩
  • 影響範囲：企業のブランドイメージ低下、法的な差別問題への発展
• MEASURE（測定）
  • 評価方法：属性別の書類通過率を四半期ごとに測定
  • 許容基準：属性間の通過率の差異が5%以内
  • テスト頻度：本番投入前のレッドチーミングを年2回実施
• MANAGE（管理）
  • 対応：基準を超えた場合はモデルの再学習を実施
  • モニタリング：運用開始後も毎月、合格者の属性バランスをレポート
  • 第三者リスク：採用AIベンダーのモデル更新通知を受け、即座に再評価

このように4ステップへ落とし込むことで、「なんとなく気をつける」という状態から、抜け漏れのない運用体制に変えられます。

よくある質問（FAQ）

この4ステップは何を参考にしていますか？

米国国立標準技術研究所（NIST）が2023年1月に公開した「NIST AI RMF（AI Risk Management Framework）」のGOVERN・MAP・MEASURE・MANAGEという4つのコア機能を、生成AIの社内ガバナンス体制の設計手順として応用したものです。NIST AI RMF自体は無料で公開されており、日本語版もAI Safety Institute（aisi.go.jp）が公式に提供しています。

すでにNIST AI RMFの本体を読んだ方が早いですか？

体制の骨組みを短時間で把握したい場合は本記事のステップで十分です。72のサブカテゴリーまで詳細に確認したい場合や、2026年のAI Agent Standards Initiative・重要インフラ向けProfileなど最新動向まで把握したい場合は、NIST公式サイト（nist.gov）またはAISIの日本語訳版を参照してください。

社内ルールの条文自体はどこにありますか？

本記事は体制の設計手順に焦点を当てています。すぐに使える条文サンプルが必要な場合は、生成AI 社内ルール ひな形・テンプレートの全7条サンプルをご参照ください。

中小企業でも4ステップを実践できますか？

実践できます。まずはGOVERN（統治）にあたる「誰が責任者か」「どのツールを使ってよいか」という最低限のルール決めから始め、その後MAP・MEASURE・MANAGEを段階的に追加していくのが現実的です。すべてを一度に厳密化しようとせず、リスクの高い業務から優先的に体制を整えることをおすすめします。

シャドーAIを防ぐにはどうすればよいですか？

従業員が個人判断で無許可のAIツールを利用するシャドーAIは、情報漏洩の主要な原因になります。会社が安全性を確認した公式AIツールを導入し、業務利用の選択肢として提供するのが効果的です。詳しくはシャドーAIとは？法人で起きる情報漏洩リスクと対策5ステップも参照してください。

まとめ｜ガバナンス体制はGOVERNから順番に組み立てる

生成AIのガバナンス体制は、GOVERN（誰が責任を持つか）→MAP（どんなリスクがあるか）→MEASURE（どう評価するか）→MANAGE（どう対応・モニタリングするか）の順で組み立てると、抜け漏れなく設計できます。この4ステップは米国NISTのAIリスク管理フレームワークに基づいており、業界・企業規模を問わず応用できる汎用的な骨組みです。

条文レベルの社内ルールが必要な場合は生成AI 社内ルール ひな形・テンプレート、経産省ガイドラインへの準拠も同時に進めたい場合はAI事業者ガイドライン第1.2版とは？企業のAIガバナンス実装6手順を、体制設計のあとに合わせてご確認ください。