生成AIのリスク・AI倫理・ガバナンス
生成AIの社内ルールを定着させる体制と教育
会社で生成AIの利用ルールを作ったあと、どう広めて守らせるかは、2027年2月試験から適用される生成AIパスポートの公式シラバスで、第4章の学習項目「社内ルールを定着させる体制と教育」に置かれています。IPAのガイドラインに沿うと、体制は導入・運用・セキュリティの3種類の担当者、教育は2つの効果と3つの方法で整理できます。
このページは、IPAとAI事業者ガイドラインに書かれている範囲で、この項目を整理しています。
公式情報の確認
試験日、料金、申込条件、試験方式など変動する情報は、公式情報を最終確認してください。 当サイトの一次情報確認日: 2026-08-31。
試験の出題範囲・実施要項は変動するため、受験前に公式情報を確認してください。
結論
- 体制は、導入担当者・運用担当者・セキュリティ担当者の3種類に分けて考える
- ルールを制定して周知するのは運用担当者、リスクアセスメントと対策はセキュリティ担当者
- 教育の効果は、倫理観とセキュリティ意識の醸成、業務効率の向上の2つ
- 教育の方法は、ガイドラインの普及（eラーニング）、プロンプトの共有、活用文化の醸成の3つ
- 教育は一度で終わらず、継続的に提供して、ルールも評価結果を受けて改善する
3種類の担当者
IPAの「テキスト生成AIの導入・運用ガイドライン」（2024年7月）は、組織で生成AIを導入・運用する担当者を3つに分類しています。ルールを作って広める側と、リスクを見積もって対策する側が、別の役割として置かれている点が要点です。
| 担当者 | 資料に書かれている役割 |
|---|---|
| 導入担当者 | 組織で生成AIの導入を担当する従業員。構想策定から要件定義、設計・開発、テスト、デプロイまでの導入プロセスを牽引する |
| 運用担当者 | 組織で生成AIの維持・運用を担当する従業員。安全に使うためのガイドライン・利用ポリシー・規定を制定し、ユーザーに周知する |
| セキュリティ担当者 | 組織のセキュリティやリスクマネジメントを担当する従業員。安全な利活用のためのリスクアセスメントを実施したうえで、対策を講じる |
同じガイドラインは、導入・運用を1回で終えず、構想策定から改善までの6つの段階を何度も回すものとしています。 最後の「改善」の段階では、運用・評価の結果をシステムと利用ポリシーに反映します。 要件定義の段階でも、利用ポリシーとユーザーへの教育内容、導入で生じるリスクを検討します。教育は、運用が始まってから考えるのではなく、導入の計画の段階から検討に入っています。
一次資料: IPA「テキスト生成AIの導入・運用ガイドライン」
教育で期待される2つの効果
IPAのガイドラインは、ユーザーが生成AIの正しい知識を身に付けて適切に使うことで得られる効果を、2点挙げています。
- 倫理観とセキュリティ意識の醸成：コンプライアンスに留意して知識を深めると、利用における倫理観が育ち、企業の信用失墜のリスクを軽減できる
- 業務効率の向上：操作方法や効果的な使い方を習得すると、業務プロセスの迅速化と生産性の向上が期待できる
教育は禁止事項を教えるだけでなく、使いこなす力をつけることも目的に含まれています。禁止事項そのものは、シャドーAIの問題と合わせてシャドーAIとはにまとめています。
一次資料: IPA「テキスト生成AIの導入・運用ガイドライン」
教育方法の3つ
同じガイドラインは、ユーザーへの教育方法を3つ示しています。
| 方法 | 資料に書かれていること |
|---|---|
| 利活用ガイドラインの普及 | eラーニングなどでガイドラインの内容を広め、定期的に実施する。利用規範や安全な使い方への意識付けになり、倫理観とセキュリティ意識の醸成につながる |
| 効果的なプロンプトの共有 | 効果的な使い方を示すプロンプトを共有する。具体例から書き方を学べ、業務効率の向上につながる |
| 生成AI活用文化の醸成 | 日報作成に使うなど日常業務の一部に取り入れ、使いこなせるようにする。有志で活用方法を探り共有するチームを設立する方法もある |
ガイドラインは、これらを通じてユーザーのスキル向上を図り、運用部門が継続的に教育プログラムを提供することが重要だとしています。1つ目は、ルールの内容を知らせる教育で、2つ目と3つ目は、使いこなす力をつける教育にあたります。
一次資料: IPA「テキスト生成AIの導入・運用ガイドライン」
AI事業者ガイドラインの教育と文書化
総務省・経済産業省の「AI事業者ガイドライン」第1.2版（2026年3月31日）は、共通の指針の1つに「教育・リテラシー」を置いています。 各主体は、主体内のAIに関わる者が、AIの正しい理解と社会的に正しい利用ができる知識・リテラシー・倫理感を持つために、必要な教育を行うことが期待されるとしています。 AIの複雑性や誤情報といった特性、意図的な悪用の可能性を考え、ステークホルダーにも教育を行うことが期待されるとも書かれています。
同じガイドラインは、共通の指針の「アカウンタビリティ」の項目で「文書化」も挙げ、取組に関する情報を文書化して一定期間保管し、必要なときに参照できる状態にするとしています。 文書化は、後から確認できるよう適切なツールで記録が残っていればよく、紙や特定の書式でなくてよいと注記されています。教育は「8) 教育・リテラシー」、記録の保管は「アカウンタビリティ」と、別の項目に置かれています。ガイドライン全体の考え方は、AIガバナンスとアジャイル・ガバナンスに整理しています。
一次資料: AI事業者ガイドライン第1.2版
シラバスのどこに出るか
| 場所 | 内容 |
|---|---|
| 第4章の中項目「AIガバナンスと社内ガイドライン」の学習項目（2027年2月適用版） | 「社内ルールを定着させる体制と教育」「モニタリングと継続的な見直し」が並ぶ |
| 同じ中項目の詳細キーワード | アクセス管理、利用ログ、モニタリング、インシデント対応などが並ぶ（中項目全体の欄で、この学習項目専用ではない）。解説文はなく、キーワードだけが示されている |
| シャドーAI（未承認のAIツールの業務利用）の項目 | 「生成AIを安全に使うための会社と従業員の役割」「従業員が守るべき利用ルール」が学習内容に置かれ、企業と従業員がそれぞれ守るべきルールを理解することが目標になる |
受験する回の適用版を確かめてから、この範囲の優先度を決めます。章立ての変更は2027年2月試験の新シラバスに整理しています。試験での出題を予想するものではありません。
よくある質問
運用担当者とセキュリティ担当者の違いは何ですか？
IPAのガイドラインでは、運用担当者がガイドライン・利用ポリシー・規定を制定してユーザーに周知する役割で、セキュリティ担当者はリスクアセスメントを実施したうえで対策を講じる役割です。ルールを作って広めるのが運用担当者、リスクを見積もって対策するのがセキュリティ担当者という分担です。
ガイドラインを作れば、教育は不要ですか？
IPAのガイドラインは、ユーザーへの教育を利活用ガイドラインの策定とは別の項目に置いています。要件定義の段階でも、利用ポリシーとあわせてユーザーへの教育内容を検討するとしており、ルールを作ることと教えることは別の作業として扱われています。
教育は一度行えば足りますか？
IPAのガイドラインは、eラーニングを定期的に実施することで意識付けを行えるとし、運用部門が継続的に教育プログラムを提供して、ユーザーが最新の知識とスキルを持ち続けられるよう支えることが重要だとしています。
AI事業者ガイドラインは、教育について何を求めていますか？
各主体は、主体内のAIに関わる者が、AIの正しい理解と社会的に正しい利用ができる知識・リテラシー・倫理感を持つために、必要な教育を行うことが期待されるとしています。なお、このガイドラインは自主的な取組を促すもので、法的な強制力はありません。
社内ルールの定着度を測る数値の基準は、公的資料にありますか？
受講率などの基準値は、このページで使った公的資料には見つかりませんでした。シラバスでは、利用ログやモニタリングといった語が挙がっているだけです。数値の基準を覚える必要はないと考えられますが、出題範囲は公式情報で確かめてください。
生成AIパスポートの学習に使う書籍（Amazon）
試験範囲を通して読むときの1冊です。読んだ章は、このサイトの章別問題で確かめられます。
