「生成AIを社内で使い始めたが、取締役会や監査役への報告をどこまで整備すればよいか分からない」──こうした問いを抱える管理部門責任者は少なくありません。生成AIはコスト削減や業務効率化に貢献する一方、情報漏洩・著作権侵害・誤情報の対外流出といったリスクも内包します。これらを把握・管理する仕組みが社内に整っているかは、内部統制の観点から取締役・監査役が確認すべき重要事項です。
この記事では、生成AIの社内利用状況を取締役・監査役に開示する際の具体的な報告項目と、内部統制上の確認観点を体系的に整理します。開示準備に活用できるチェックリストも含めています。
なぜ取締役・監査役へのAI利用状況の開示が求められるのか
会社法は取締役に対し、会社の業務全般を善良な管理者の注意義務をもって管理することを求めています。生成AIは2022年以降、業務現場への浸透が急速に進み、担当者レベルの判断で複数のクラウドサービス型AIツールが並行使用される状況が一般的になりました。この実態を経営層が把握していなければ、問題が発覚した際に適切な初動対応や原因究明が困難になります。
生成AIに関連する主なリスクは3つの領域に集約されます。第一は情報漏洩リスクです。クラウドサービス型の生成AIは、利用規約によって入力データが機械学習に利用されるケースと利用されないケースに分かれますが、担当者レベルではその違いを意識せずに顧客情報や未公開の財務情報を入力するケースがあります。第二は誤情報リスクです。AIが生成した情報をファクトチェックなしに対外文書や顧客報告に使用すると、事実と異なる内容が含まれた提案書や見積書が顧客に届き、信用失墜や損害賠償請求につながります。第三は著作権リスクです。AIが生成したコンテンツには著作権の帰属が不明確な場合があり、販促物やウェブコンテンツとして使用した際に問題が生じる可能性があります。
監査役の職責（会社法381条）は取締役の職務執行を監査することです。生成AIの利用状況は情報セキュリティ管理・法的リスク管理・個人情報保護の3領域に影響するため、監査役が職責を果たすうえで把握すべき経営上のリスク事項に位置づけられます。開示の粒度は企業規模や利用状況によって異なりますが、「何も報告していない」という状態は内部統制の空白として今後の監査・税務調査・取引先審査で問題視される可能性があります。特に近年、金融機関や大手取引先がサプライチェーン全体のセキュリティ管理水準を評価する動きが強まっており、AI利用ガバナンスの整備状況は取引関係の維持・拡大にも影響するようになっています。
取締役・監査役に開示すべき6つの報告項目
報告書には以下の6項目を含めることを推奨します。各項目の内容と整備のポイントを説明します。
1. 導入ツール・利用部門・利用頻度の一覧
どの生成AIツールを、どの部門が、どのくらいの頻度で使用しているかを一覧化します。ツール名・提供事業者・契約形態（法人契約か個人サインアップか）・月次の推定利用回数を記載します。法人契約のツールは契約条件が明確になっており、個人サインアップのツールは利用規約が個人向けのため企業の責任範囲が曖昧になることを注記します。
想定例として、営業部門がクラウドサービス型AIを見積書の下書き作成に利用し、総務部門が別ツールを議事録要約に利用しているような状態では、ツールの数だけ情報流出経路が存在することになります。ヒアリング票（ツール名・利用目的・使用頻度・入力データの種類）を配付して棚卸しを行い、一覧化することが開示の第一歩です。
2. 利用目的と業務への影響範囲
各ツールをどの業務プロセスで使用しているかを「文書作成補助」「顧客問い合わせの返答下書き」「データ整理」など業務プロセス単位で整理します。さらに、AIの出力がそのまま対外文書として使われる業務（高リスク）と、あくまで参考情報として人間が確認・編集する業務（低リスク）を区別して記載します。この区別が、次のリスク評価の基礎になります。
3. 入力データの機密分類と情報管理ルール
どの種類のデータをAIに入力してよいか、社内ルールが存在するかを報告します。機密分類（社外秘・部外秘・個人情報・顧客情報・取引先の機密情報）ごとに入力可否を整理し、現状のルールとその周知状況を明記します。ルールが存在しない場合は「未整備」として課題として提示し、整備のスケジュールを添えます。完璧なルールを整備してから報告するのではなく、現状と課題を誠実に報告することが内部統制の観点では重要です。
4. 情報セキュリティ上のリスク評価
使用中のツールの情報保護ポリシー（データが学習に使われるか・データの保存期間・保存地域）を確認した結果を報告します。クラウドサービス型ツールでデータが国外サーバーに保存される場合、個人情報保護法の第三者提供制限・越境移転規制との整合性も確認項目に含めます。複数のツールを使用している場合、各ツールのデータ保護水準の差異も比較して示すと、取締役・監査役が優先すべきリスク対応を判断しやすくなります。
5. インシデント・ヒヤリハットの発生状況
前四半期または前年度に発生した、AIツール使用に起因するインシデントやヒヤリハットを記録・報告します。想定例として、「顧客の氏名・連絡先を誤ってAIに入力してしまい、送信前に気づいた」「AIが作成した資料に事実と異なる数値が含まれており、送付前に確認で発見した」といった事象は、件数・発生部門・事象の概要・対応状況とともに記載します。ゼロ件であっても「発生なし」と明記することで、継続的な監視・記録の仕組みが機能していることの証拠になります。
6. ライセンスコストと契約管理の状況
各ツールの月額費用・年額費用、契約の自動更新設定、担当者管理の状況を報告します。特に個人のクレジットカードで契約されているツールは、担当者の退職時に解約忘れが生じやすく、また費用が経費計上されないままになるリスクがあります。法人契約への一元化と経費管理の状況を含めます。
7. 開示水準別のリスク比較
開示の有無・粒度によって内部統制上のリスクがどのように変わるかを、以下の表で整理します。
| 開示水準 | 開示する主な内容 | 内部統制上のリスク | 監査役からの評価 |
|---|---|---|---|
| 開示なし | AI利用の実態を経営層が把握していない | 高（リスクの所在が不明） | 情報管理体制の不備として指摘対象 |
| 基本開示 | ツール名・利用部門・ルールの有無のみ報告 | 中（リスクの全容は不明） | 不十分ながら管理意識はあると評価 |
| 標準開示 | ツール・用途・データ分類・インシデント状況を報告 | 低（主要リスクは把握済み） | 内部統制として適切に機能していると評価 |
| 詳細開示 | コスト・利用規約確認・リスク評価・改善計画を含む包括報告 | 最低（継続的改善のサイクルが機能） | AIガバナンスの模範的取組みとして評価 |
表中の「基本開示」以上を達成するための最小限の対応は、現状の利用ツール一覧を作成し、機密データの入力可否ルールを文書化することです。これだけでも「管理している状態」と「放置している状態」の差は明確になります。段階的に「標準開示」「詳細開示」へと整備水準を引き上げていくことが現実的なアプローチです。
内部統制の観点から確認すべき3つのポイント
開示資料を整備するにあたり、単に事実を列挙するだけでなく、内部統制システムとして機能しているかを確認する3つのポイントがあります。
1. アクセス制御：誰でも自由に使える状態になっていないか
生成AIツールの利用が「担当者の自由裁量」に任されている場合、業務上の要件と異なる用途での使用や、機密情報の誤入力が起きやすくなります。内部統制の観点では、使用可能なツール・使用可能な業務・使用不可のデータ種別を明文化し、利用申請と承認の仕組みを設けることが望ましい状態です。申請不要で自由使用を認める場合でも、利用ログの記録や定期的な棚卸しを実施することで、後から実態を把握できる状態を維持します。
想定例として、全社員が業務PCから外部クラウドサービス型AIに自由にアクセスできる環境では、誰がどのデータをどのツールに入力したかを後から追跡する手段がなく、インシデント発生時に原因特定が困難になります。対して、ツール利用を法人契約の1種類に限定し、使用ログをシステムで取得している環境では、インシデント発生時の原因特定が格段に容易になります。アクセス制御の仕組みの有無は、開示資料の中でも特に監査役が着目する項目です。
2. データ管理：機密情報の入力を防ぐ仕組みがあるか
AIへの入力が禁止されるデータ種別を明確化し、従業員がそれを知っている状態を維持することが内部統制の基本です。禁止対象として一般的に設定されるのは、顧客の個人情報、非公開の財務情報、取引先の機密情報、未発表の製品・サービス情報などです。これらを「入力前に判断できるガイドライン」として文書化し、定期的な周知・確認の仕組みを設けます。
ガイドラインが存在するだけでは不十分で、従業員が実際に読んで理解していることの確認記録（研修実施記録・確認テストの実施記録など）が内部統制の証拠として機能します。周知済みかどうかを「はい/いいえ」で報告できる状態を整備することで、開示資料の説得力が高まります。
3. インシデント報告経路：問題が経営層に届く仕組みがあるか
AIの誤出力・機密情報の誤入力・著作権が不明確な生成物の対外使用などのインシデントが発生した際、現場担当者から経営層（取締役・監査役）まで情報が伝達される報告経路が整備されているかを確認します。多くの中小企業では「大きな問題があれば報告する」という暗黙の前提で運用されていますが、「大きな問題かどうかの判断」が担当者に委ねられているため、過小報告が生じやすくなります。報告すべき事象の定義を明文化し、発生した場合は速やかに上長・情報管理担当者へ報告する手順を整備します。
さらに、インシデントの報告を受けた後に取締役・監査役への報告が行われるまでのタイムラインを定めることも重要です。想定例として、個人情報の誤入力が発覚した場合は24時間以内に情報管理担当者へ報告し、3営業日以内に取締役・監査役へ報告する、といったルールを設けておくことで、事後的な説明責任の履行が可能になります。
開示資料を整える4つの実践ステップ
取締役会または監査役への報告資料を初めて作成する場合、以下のステップで準備を進めると効率的です。
ステップ1：現状の棚卸し（2～3週間）
社内で使用している生成AIツールを全部門にヒアリングして一覧化します。法人契約のツールは契約管理担当者から情報を集め、個人サインアップのツールは部門長を通じて申告させる方法が現実的です。想定例として、ヒアリング票（ツール名・利用目的・使用頻度・入力データの種類）を配付し、2週間で回答を集める方法があります。ヒアリングの実施自体が、担当者に「AI利用状況は経営が把握する対象である」という認識を促す効果もあります。
ステップ2：リスク分類（1週間）
棚卸し結果を、データの機密性とツールのデータ保護水準の2軸で評価します。機密性の高いデータを入力しているにもかかわらずデータ保護水準が低いツールは、優先的に使用停止または代替手段への移行を検討します。この分類作業で、全ツールを均等に対処するのではなく、リスクの高い組み合わせに対して先行して対策を打つことが効率的です。
ステップ3：ルールの文書化（2週間）
現状のルールを文書化します。ルールがない項目については「未整備」として記録し、整備するタイムラインを設定します。完璧なルールを整備してから報告するのではなく、現状と課題と改善計画を誠実に報告することが内部統制の観点では重要です。ルールの文書化は、担当者が変わっても管理水準を維持するための基盤にもなります。
ステップ4：定期報告体制の設計（1週間）
報告書は四半期または半期ごとに更新する定期資料として設計します。毎回ゼロから作成するのではなく、前回報告からの変化点（新たに導入したツール・インシデントの発生状況・ルール整備の進捗）を差分で報告できる構造にします。報告のタイミングを取締役会または監査役との定例会議のアジェンダに組み込むことで、継続的な開示の仕組みが定着します。
よくある質問
Q. 生成AIはまだ試験的に使っているだけですが、それでも報告が必要ですか？
試験的な利用であっても、実際に業務データをAIに入力している時点で情報リスクが発生しています。「試験中だから報告不要」という判断は内部統制上の空白を生む可能性があります。試験段階での利用範囲・入力データの種類・終了判断の基準を含めた形で簡易報告を行うことを推奨します。試験フェーズから報告体制を整えることで、本格導入時の開示資料作成にも継続的に活用できます。
Q. 情報を外に出さない社内専用AI（ローカルLLM）でも同じ開示が必要ですか？
情報を外に出さない社内専用AI（ローカルLLM）はクラウドサービス型と異なりデータが外部に出ないため、情報漏洩リスクは大幅に低減されます。ただし、社内専用AIを「誰でも使える状態」にしている場合はアクセス制御の観点が、AIの出力を対外文書にそのまま使用する場合は品質管理の観点が残ります。開示の内容はクラウド型より簡略化できますが、利用実態の可視化と最低限のルールの明文化は同様に必要です。
Q. 中小企業でも会社法の内部統制システム構築義務はありますか？
会社法上、内部統制システム構築の決議義務が明文化されているのは「大会社」（資本金5億円以上または負債200億円以上）と「監査役会設置会社」等に限られます。ただし、取締役は善管注意義務として会社の業務全般を適切に管理する責任を負っており、生成AIの利用が引き起こすリスクを把握しないまま経営を続けることは義務違反と評価されるリスクがあります。規模を問わず、利用実態の把握と最低限の報告体制を整備することを推奨します。
Q. 監査役が生成AIについて詳しくない場合、どの程度の説明が必要ですか？
監査役が生成AIに詳しくない場合は、技術的な説明よりも「会社として何がリスクで、どう管理しているか」の観点から報告を組み立てます。ツールの機能説明より「入力できるデータの範囲」「問題が起きたときの報告経路」に重点を置いた資料が、監査役の職責を果たすうえで有用です。専門用語を使わず、リスクの大きさとその管理状況を平易な言葉で示すことを優先します。
Q. 外部の顧問税理士や顧問弁護士もAI利用状況を把握すべきですか？
委託先の士業事務所が顧問先情報（貴社の財務データや法務書類）をAIに入力しているかどうかは、委託側の企業としても確認すべき事項です。個人情報保護法では、個人データを第三者に委託する際に適切な安全管理措置を講ずる義務があり、委託先のAI利用状況は委託側の責任範囲に影響します。顧問契約の更新時または年次の確認として、委託先のAI利用ポリシーを照会することを推奨します。
Q. 開示資料を作成するリソースがない場合、どこから着手すればよいですか？
最小限の着手点は2つです。第一に、社内で使用している生成AIツールの名称・利用部門・法人契約か個人契約かを一覧化すること。第二に、機密情報（顧客の個人情報・非公開の財務情報）をAIに入力することを禁止する旨を1枚の文書（メールでも可）で全社員に周知することです。この2点だけでも、「何も把握・管理していない状態」から「基本的な管理をしている状態」に移行できます。その後、四半期ごとに少しずつ開示の粒度を高めていく方法が現実的です。
開示前チェックリスト
取締役会または監査役への報告前に、以下の項目を確認します。
・ツール一覧の作成: 社内で使用しているすべての生成AIツールのツール名・提供事業者・契約形態（法人・個人）を一覧化した
・利用部門と目的の把握: 各ツールを使用している部門と主な利用目的（業務プロセス単位）を確認した
・入力データの機密分類: 各ツールに入力されているデータの機密分類（個人情報・顧客情報・社外秘情報など）を確認した
・利用ルールの有無の確認: 生成AIの社内利用ルール（入力禁止データの明記・使用可能ツールの範囲）が文書化されているかを確認した
・周知状況の確認: 利用ルールが全社員に周知されており、確認記録が存在するかを確認した
・インシデント記録の有無: 過去一定期間のインシデント・ヒヤリハット記録が存在するか、または発生ゼロであることを確認した
・コスト把握: 各ツールの月額費用と契約管理担当者を把握し、法人経費として計上されているかを確認した
・課題と改善計画の準備: 未整備の項目とその整備スケジュールを報告書に含める準備ができた
・次回報告タイミングの設定: 次回の定期報告時期（四半期または半期ごと）を確認・設定した
まとめ
生成AIの社内利用は、情報セキュリティ・著作権・個人情報保護の3領域にまたがるリスクを持ちます。これらを経営層が把握し、適切な管理体制を整えることが内部統制の観点から重要です。開示資料は完璧である必要はなく、現状の利用実態・リスク・課題・改善計画を誠実に整理して報告することから始めます。
特に優先して整備すべきは、使用ツールの一覧化・入力データの機密分類ルールの文書化・インシデント報告経路の設定の3点です。この3点が整えば「基本開示」の水準に達し、監査役や取引先への説明責任を果たす基盤が整います。四半期ごとに報告を重ねることで、AIガバナンスの水準を継続的に高めていくことができます。
生成AIの社内利用ガバナンスやコンプライアンス対応の進め方についてご不明な点がある場合は、お気軽にご相談ください。
