生成AI規制が日本企業の経営・内部統制に与える影響

分析レポート（サンプル）｜CFOs LLC 経営判断支援レポート

---

エグゼクティブサマリー

生成AIをめぐる規制環境は2024年以降、急速に整備が進んでいる。EU AI法（EU AI Act）は2024年8月に発効し、段階的施行スケジュールにより2026年以降に日本企業の欧州事業にも直接的な義務が及ぶ見込みとなっている。国内でも経産省・内閣府がAI事業者向けガイドラインを整備しており、「ソフトロー」から「ハードロー」への移行を前提とした体制整備が問われている。

本記事は、取締役会、監査役、監査等委員会、CFO、経営企画部門、内部監査部門が生成AI規制対応を検討する際の参考資料として作成している。

取締役会・経営層が今すぐ確認すべき3点

1. EU AI Actの域外適用——欧州に拠点・顧客・取引先を持つ日本企業は、法人所在地にかかわらず一定の義務対象になり得る

2. ガバナンスの空白——生成AIの業務利用が先行する一方、社内ポリシーと監督体制の整備が追いついていない企業が多い。事故発生時の経営責任の所在が不明確なまま運用が進んでいるケースが目立つ

3. 情報管理ポリシーの限界——生成AIへの機密情報・個人情報の入力リスクは、既存の情報セキュリティポリシーでは対応しきれない領域を含んでいる

---

実務上よく見られる課題

近年、取締役会・経営会議向けのAIガバナンスや内部統制に関する調査・論点整理を支援する中で、共通して見られる課題がある。

それは、生成AIの利用が急速に拡大している一方で、社内規程や管理体制の整備が追いついていないことである。

実際には、

• 社員が個別にChatGPT等を利用しているが会社として把握できていない
• 入力禁止情報が明確化されていない
• AI利用時の承認プロセスが存在しない
• 取締役会が利用実態を把握していない

といったケースが少なくない。

実務上よく見られる相談事例

経営会議向けのAIガバナンス調査や内部統制レビューを支援する中で、生成AI利用ルールと実際の利用状況の間に大きなギャップが見られるケースは少なくない。

例えば、社内規程上は「機密情報の入力禁止」と定められているにもかかわらず、現場では契約書レビュー、提案書作成、取締役会資料作成、調査業務等で生成AIが日常的に利用されているケースがある。

一方で、

• 利用実態を把握する仕組みが存在しない
• 利用申請や承認プロセスが存在しない
• 入力禁止情報が明確化されていない
• 経営陣が利用状況を把握していない

といった状況も見受けられる。

生成AIリスクの本質は技術そのものではなくガバナンスにあり、取締役会がどのように監督するかが重要な論点となる。

生成AIリスクの本質は技術ではなくガバナンスであり、取締役会がどのように監督するかが重要な論点となっている。

詳細な調査手法や成果物例については、経営判断支援レポートのご案内ページをご覧ください。

【経営判断支援レポートを見る】

1. 規制動向の概要

EU AI Act（欧州AI法）

2024年8月に発効した世界初の包括的AI規制法。AIシステムをリスクレベルに応じて4段階に分類し、高リスクAIに対しては事前適合評価・技術文書整備・人間監督の確保等を義務付ける。

リスク区分	主な対象	主な義務
容認不可能なリスク	社会的スコアリング・生体情報の大量収集	原則禁止
高リスク	採用・信用審査・重要インフラ管理等	事前適合評価・人間監督・登録義務
限定リスク	チャットボット・ディープフェイク生成	透明性の確保（AI使用の開示）
最小リスク	スパムフィルター等	義務なし（行動規範を推奨）

段階的施行により、禁止事項は2025年前半、汎用AIモデル規定は2025年後半、高リスクAI規定は2026年以降に完全適用されると見込まれている（詳細は執筆時点の情報による）。

日本国内の規制・ガイドライン動向

日本では現時点でAI専用の規制法は存在しないが、ソフトローとしてのガイドライン整備が進んでいる。

• AI事業者ガイドライン（経産省・総務省）: 人間中心のAI利用、説明可能性、公平性を企業に求める
• 個人情報保護法（改正対応）: AI処理による個人情報の第三者提供・プロファイリングへの対応が問われつつある
• コーポレートガバナンス・コード: AIガバナンスを取締役会の監督事項として位置づける動きがある

政府は「AIガバナンス」を企業評価の一要素とする方向性を示しており、有価証券報告書等での開示要請が強化される可能性がある。

---

2. 日本企業への影響

欧州事業・取引がある企業

以下のいずれかに該当する場合、EU AI Actの域外適用の検討が必要になる。

• 欧州に子会社・拠点を持つ
• 欧州の顧客・取引先にAIシステムを提供している
• 欧州向けにAI搭載製品・サービスを輸出している

対応が必要になり得る業務の例

• 採用システムへのAIスクリーニング導入（高リスク区分に該当し得る）
• 欧州顧客向けチャットボットへのAI使用（透明性確保義務）
• グループ会社間でのAI生成コンテンツ共有（出所表示義務）

欧州事業がない企業

直接の規制対象でない場合でも、以下の間接影響が考えられる。

• サプライチェーンへの波及: 欧州規制対応を進める取引先から、AIガバナンス体制の証明を求められる可能性
• 日本版規制の先行指標: EU AI Actは日本の規制立案に影響を与えており、国内強化の方向性を示すベンチマークになりつつある
• 機関投資家・格付機関の評価: ESG評価においてAIガバナンス体制が評価軸に加わりつつある

---

3. 取締役会が確認すべき論点

取締役会は、経営執行が適切にAIガバナンスを管理しているかを監督する責任を持つ。以下の論点について経営陣から定期的に報告を受ける体制があるかを確認したい。

論点1: AIシステムの棚卸し

自社および子会社で使用しているAIシステム・生成AIツールの全体像が整理されているか。高リスク区分に該当し得るユースケースを特定済みか。

論点2: 意思決定への関与と人間監督

AIが関与している意思決定プロセス（採用・与信・業績評価等）を把握しているか。AIの出力を人間が確認せずに採用するプロセスが存在しないか。

論点3: 責任の所在

AIに起因する事故・誤判断が発生した場合の責任の所在が明確か。AI活用の監督責任者が指定されているか。

論点4: 規制動向のモニタリング

最新情報が取締役会に定期的に報告される体制があるか。規制対応の担当部署・外部専門家との連携体制があるか。

---

4. 内部統制・情報管理上の対応

情報管理ポリシーの再設計

既存の情報セキュリティポリシーは、生成AI登場以前に設計されたものが多い。以下の点を再点検する。

生成AI固有のリスク

• 機密情報・営業秘密の学習データへの混入
• プロンプト履歴の外部保存・退職者アクセス
• AI生成コンテンツの著作権・知的財産リスク
• ハルシネーション（事実と異なる出力）による誤判断

整備優先項目

1. 生成AIへの入力禁止情報の定義（個人情報・非公開財務情報・顧客情報等）

2. 承認済みツールリストの整備と未承認ツール使用の禁止

3. AI出力を意思決定に使用する際の確認フロー

4. インシデント発生時の報告・対応手順

J-SOXへの影響

財務報告に関わる業務プロセスにAIが組み込まれた場合、J-SOXの評価スコープと統制設計の見直しが必要になり得る。

業務プロセス	AI活用の例	内部統制上の確認点
仕訳・勘定科目提案	AI自動仕訳	承認権限・例外処理手順の整備
月次レポート作成	AI草稿生成	レビュー・承認フローの明文化
不正検知	AI異常検知	アラート対応・誤検知時の手順
開示書類の作成支援	AI文書生成	最終確認責任者の明確化

---

5. 初期対応チェックリスト

経営層・取締役会

• AI活用状況の報告を経営執行から受けたことがある
• AIガバナンスの監督責任者が指定されている
• EU AI Act・国内ガイドラインへの対応方針が決まっている
• AIリスクが取締役会・監査委員会のアジェンダに定期的に含まれている

CFO・経営企画

• 財務・経理プロセスでのAI使用箇所を特定している
• AIシステムのベンダー選定・契約に法的レビューを組み込んでいる
• 内部監査・監査役へのAIリスク報告体制が整っている

情報システム・セキュリティ担当

• 承認済みAIツールリストを整備・周知している
• 生成AIへの入力禁止情報を定義・周知している
• インシデント対応手順にAI起因事案を含めている

法務・コンプライアンス担当

• EU AI Actの域外適用可否を専門家と確認済みである
• AIが関与する契約・約款の見直しを行っている
• 個人情報保護法のAI関連解釈を確認済みである

---

こんな企業におすすめです

以下のいずれかに該当する企業では、AIガバナンス体制の整備や経営判断に必要な論点整理が有効です。

• 生成AIの利用実態を把握できていない
• 生成AI利用ルールを整備したい
• 取締役会向けに論点整理を行いたい
• 海外規制の影響を確認したい
• 海外子会社の利用状況を把握したい
• M&A候補先のAIリスクを調査したい
• 競合他社のAIガバナンス体制を比較したい

---

本資料はサービス内容の例示を目的としたサンプルです。記載する数値・法令解釈・スケジュールは執筆時点の情報に基づく例示であり、最新情報については専門家にご確認ください。実際のご依頼時には、対象企業・テーマ・最新情報をもとに個別に作成します。