取締役会が監督すべきAIリスク｜経営判断のための論点整理と確認事項
77509664・取締役会が監督すべきAIリスクを5つの領域に整理
・「現場任せ」「IT部門任せ」は経営責任上の問題になりうる
・社外取締役・監査役が確認すべき具体的な質問事項を提示
・AIガバナンス体制の有無は上場企業のCGコード対応にも影響
はじめに
取締役会の議題にAIリスクが上がることは、まだ少ない企業が多い。しかし、生成AIが業務に広く浸透した今、経営判断としてAIリスクを監督することは取締役会の重要な役割の一つになっている。
「現場が使っているだけ」「IT部門が管理している」という認識では、経営責任を果たせない。本記事では、取締役会・社外取締役・監査役が理解すべきAIリスクの全体像と、具体的な確認事項を整理する。
目次
1. 取締役会がAIリスクを監督すべき理由
取締役の善管注意義務は、AIリスクにも及ぶ。具体的には以下の3つの根拠がある。
① リスク管理義務
会社法上、取締役会は内部統制システムの整備・運用を決定する義務を負う。AIが業務に組み込まれた場合、そのリスク管理は内部統制の一部となる。
② 情報開示義務
有価証券報告書・コーポレートガバナンス報告書では、リスク情報の開示が求められる。AIリスクが重要性を持つ場合、開示事項になりうる。
③ CGコード対応
コーポレートガバナンス・コードは、取締役会に対してリスクの適切な認識と対応を求めている。AIリスクはこの対象リスクに含まれる。
2. 5つのAIリスク領域
リスク①：情報漏洩・機密情報管理
顧客情報・未公表財務情報・知的財産・個人情報が、AI利用を通じて外部に漏洩するリスク。
経営への影響： 顧客・取引先との信頼喪失、法的損害、競争上の不利益
リスク②：コンプライアンス・法的リスク
個人情報保護法・秘密保持契約・著作権法・独占禁止法等の法令違反リスク。AI生成コンテンツの権利帰属問題も含む。
経営への影響： 行政処分、訴訟リスク、上場基準・コンプライアンス評価への影響
リスク③：内部統制・財務報告への影響
AI出力が不十分なレビューで財務報告や業務処理に使われるリスク。ハルシネーション（誤情報）が統制を通過する可能性。
経営への影響： 財務報告の信頼性毀損、内部統制の重要な欠陥認定、J-SOX対応コスト増大
リスク④：倫理・社会的リスク
AIが差別的・不適切なコンテンツを生成するリスク、AI利用による雇用・業務への影響、AIの誤情報が意思決定に影響するリスク。
経営への影響： レピュテーションリスク、社員・社会からの信頼喪失
リスク⑤：戦略・競争リスク
AI活用の遅れによる競争劣位、AIに過度に依存した業務プロセスへの依存リスク、AI事業者（OpenAI・Google等）のサービス変更・停止リスク。
経営への影響： 事業競争力の低下、事業継続リスク
3. 取締役会・社外取締役が確認すべき事項
取締役会での確認事項（質問例）：
管理体制に関する確認：
- AI利用規程は整備されているか。誰が管理責任者か
- 社員への研修・周知は実施されているか
- 違反事案が発生した場合の報告経路は確立しているか
リスク把握に関する確認：
- 社内で使われているAIツールの一覧を把握しているか
- 財務報告プロセスでのAI利用状況はどうか
- 情報漏洩リスクへの対応策は何か
内部統制に関する確認：
- AI利用が業務プロセス・内部統制評価に組み込まれているか
- 監査法人からAI利用についての指摘はあったか
戦略に関する確認：
- AIを活用した業務効率化の効果測定はされているか
- AI規制の動向（EU AI Act等）への対応方針はあるか
4. 監査役の確認ポイント
監査役は、取締役のAIリスク管理の適切性を確認する観点から以下を確認する。
内部統制監査の観点：
- AI利用プロセスが内部統制評価に含まれているか
- 取締役会への定期的なAIリスク報告が行われているか
- 内部監査部門がAI利用のリスクを監査計画に含めているか
業務監査の観点：
- AI利用による業務品質・精度への影響
- AI依存による人的判断力の低下リスク
コンプライアンス監査の観点：
- AI利用規程の整備・運用状況
- 法令遵守状況（個人情報・著作権等）
5. CGコード・開示との関係
コーポレートガバナンス・コードでは、取締役会に対してリスク管理の適切な実施を求めている。AIリスクが自社の重要リスクに該当する場合、以下の開示への反映が求められる。
開示が求められる可能性がある項目：
- コーポレートガバナンス報告書：リスク管理体制の記載
- 有価証券報告書：事業等のリスクへのAI関連リスクの追加
- サステナビリティ情報：AI倫理・責任ある活用に関する方針
よくある質問（FAQ）
Q1. 取締役会でAIリスクをどのくらいの頻度で取り上げるべきですか？
A. 最低でも年1回、AIリスクと対応方針を報告事項として取り上げることを推奨します。重要なインシデントや法改正があった場合は都度報告が必要です。
Q2. 社外取締役はAIの技術的な知識がなくても確認できますか？
A. 技術的な専門知識は不要です。「リスクを把握しているか」「管理体制があるか」「規程が機能しているか」という経営管理の観点から確認してください。本記事の確認事項はそのまま質問として使えます。
Q3. 「AIリスク管理責任者」は誰が担うべきですか？
A. CIO（最高情報責任者）・CISO（最高情報セキュリティ責任者）・管理部門長等が担うケースが一般的です。明確な責任者を置くことで、取締役会への報告経路が確立します。
関連記事
- 監査役によるAIガバナンス監査の方法
- AIガバナンス診断｜5領域25項目
- 取締役会のAIリスク（既存記事）
- AI利用チェックリスト
Follow me!
