エグゼクティブ・サマリー
- 現場AIのガバナンスは「禁止事項リスト」では機能しない。 現場が知りたいのは「使ってよいか」ではなく「この作業に使ってよいか」である。作業単位で線引きしない規程は、読まれないまま影で使われる状態を生む。
- リスクは一律ではなく4層に分かれる。 ①人体に触れる ②モノ・設備を動かす ③意思決定を左右する ④文章・情報を生成するだけ、の順にリスクの重さが違う。同じ「AI利用ルール」で束ねると、①が緩みすぎるか④が窮屈すぎるかのどちらかになる。
- 決めるべきは精度ではなく「誰が止められるか」である。 AIの誤りをゼロにはできない。ガバナンスの実体は、異常に気づく仕組みと、現場の担当者が上司の承認なしに止められる権限を明文化することに尽きる。
- 判断ログを残していない現場は、事故のあとに説明ができない。 入力・出力・人が採否をどう判断したかの3点を残す設計を、運用開始前に組み込む必要がある。あとから足すのは難しい。
- ガバナンスは一社では完結しない。 現場のAIはユーザー企業・SIer・メーカー・運用事業者にまたがって動く。責任分界を契約前に文書化しないと、不具合発生時に全員が「自分の範囲ではない」と言う状態に陥る。
現場でのAI活用が広がるにつれ、「ガバナンスをどうするか」という問いが増えている。しかし多くの企業で実際に起きているのは、情報システム部門が一般的なAI利用ガイドラインを作成して全社配布し、現場がそれを読まずに使い続ける、という状態である。規程は存在するのに実効性がない。逆に、規程が厳しすぎて現場が申請を諦め、個人アカウントで生成AIを使う「影のAI利用」が発生している例もある。
この状態が生まれる理由ははっきりしている。ガバナンス文書が作業単位ではなくツール単位で書かれているためである。「生成AIの業務利用について」という文書は、日報の下書きにも、検査判定にも、ロボットへの動作指示にも同じ規律を当てようとする。しかし現場から見れば、この3つはまったく別の話である。本稿では、現場のAI利用を4層に分解し、それぞれに何を決めるべきかを具体的に示す。
