生成AIのリスク・AI倫理・ガバナンス
新しいAIツールの申請と承認フロー
新しいAIツールを使い始める前の手続きは、2027年2月試験から適用される生成AIパスポートの公式シラバスで、第4章の学習項目「新しいAIツールの申請と承認フロー」に置かれています。デジタル庁のガイドラインでは、企画者のリスク分析、AI統括責任者によるリスクレベルの判断、高リスクの可能性が高い案件の報告、という順に進みます。
このページは、デジタル庁とIPAの公的なガイドラインに書かれている範囲で、承認の判断の流れ、導入の3類型、部門単位の利用申請の例を整理しています。
公式情報の確認
試験日、料金、申込条件、試験方式など変動する情報は、公式情報を最終確認してください。 当サイトの一次情報確認日: 2026-08-31。
試験の出題範囲・実施要項は変動するため、受験前に公式情報を確認してください。
結論
- 政府のガイドラインでは、企画者がリスク分析を行い、AI統括責任者（CAIO）がリスクレベルを判断する
- 高リスクに当たる可能性が高いと判断した案件は、先進的AI利活用アドバイザリーボードに報告する。判断に迷う案件はAI相談窓口に相談できる
- 導入類型は、約款に同意して使うA、約款同意に個別契約を加えるB、個別開発もするCの3つ。Aは原則として要機密情報を扱わない
- 確認の強さは、概念検証か本番か、リスクレベル、使い方の性格に応じて変える
政府ガイドラインの判断の流れ
デジタル庁の「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン」（2026年6月12日）は、政府機関が生成AIを使い始めるときの役割を、次のように分けています。
| 役割 | 資料に書かれている内容 |
|---|---|
| 企画者 | 目的を明確にして目標を設定し、使う場面を想定した環境・リスク分析を行う。権限管理とログの取得・管理も企画時に押さえる |
| AI統括責任者（CAIO） | 企画者と連携してユースケースにあわせたリスク評価を行い、高リスクの可能性が高いかどうかを判断する。判断では「高リスク判定シート」を参考にする |
| 先進的AI利活用アドバイザリーボード | 高リスクの可能性が高いと判断された調達・利活用について、評価とリスクを減らすための助言を行う。CAIOはこの案件を報告する |
| AI相談窓口（デジタル庁） | 高リスクな生成AIシステムに当たるか判断に迷う案件などの相談を受ける。高リスクと判断しない場合でも、必要に応じて相談できる |
リスクの判断を企画者だけに任せず、リスクを見る責任者と、迷ったときの相談先を決めておく形です。ガイドラインの語は「リスクレベルの判断」と「報告」で、「承認」という語は使われていません。これは政府機関向けの定めで、民間企業の社内手続きをそのまま決めるものではありません。民間の社内ルールの作り方は、AIガバナンスとアジャイル・ガバナンスに整理しています。
一次資料: デジタル庁ガイドライン
導入類型A・B・Cの違い
同じガイドラインは、生成AIシステムの入れ方を、開発をするかどうかと、契約の形で3つに分けています。
| 類型 | 内容 | 確認の要点 |
|---|---|---|
| A | 個別開発をせず、定型約款や規約への同意でサービスを利用する | 原則、要機密情報を扱わない想定。調達チェックシート・契約チェックシートで、約款の項目に矛盾や問題がないかを確認する |
| B | 個別開発をせず、約款や規約への同意に加えて個別契約を結ぶ | 契約で要求事項を定められる |
| C | 個別開発を行い、個別契約を結ぶ | 契約で要求事項を定められる |
Aで確認した結果、求めたい要求事項があるときは、BまたはCでの調達を検討します。約款に同意するだけで使えるツールでも、承認の前に約款の中身を確認する手順が入っています。約款のどこを見るかの例は、生成AIツールを選ぶときの確認項目に、入力してよい情報の考え方は生成AIに入力してはいけない情報にまとめています。
一次資料: デジタル庁ガイドライン
対策の強さは案件で変える
ガイドラインは、導入類型に応じた対応事項を、案件ごとにリスクと対策のバランスを考えて選ぶとしています。考慮する観点として、次の3つが挙がっています。
- 概念検証（PoC）の段階か、本番開発の段階か。概念検証で全ての対応事項を行うと、対策が過剰になる可能性がある
- 高リスクの可能性が高い利用か、そうでないか。高リスクなら追加の対応が必要になる可能性がある
- ユースケースの性格。たとえば行政内部で大量の文書を検索する用途では、有害情報の出力制御などの要求事項が不要になる可能性がある
承認は一律に重くするものではなく、案件の段階と使い方に合わせて、確認する項目を増減します。社内ルールを現場に広める体制は、社内ルールを定着させる体制と教育で扱っています。
一次資料: デジタル庁ガイドライン
部門単位の利用申請の例
IPAの「テキスト生成AIの導入・運用ガイドライン」（2024年7月）は、RAGを導入した組織へのヒアリング結果を載せています。 RAGを導入済みの組織では、最初から全社のデータをベクトルDBに格納するのではなく、部門単位やプロジェクト単位で利用申請を行い、ドキュメントを単位ごとに領域を分けて格納し、その中で検索を実行する運用が多く見られたとしています。
申請の単位を、全社ではなく部門やプロジェクトに区切ると、データを入れる範囲を小さく始められます。同じガイドラインの目標設定の例には、ユーザー利用率として「生成AI利用申請が従業員の40％」という数値が挙がっています。 申請の数は、導入の効果を測る指標にも使えます。RAGの仕組みはRAG（検索拡張生成）とはにまとめています。
一次資料: IPA「テキスト生成AIの導入・運用ガイドライン」
シラバスのどこに出るか
| 場所 | 内容 |
|---|---|
| 第4章の中項目「AIガバナンスと社内ガイドライン」の学習項目（2027年2月適用版） | 「新しいAIツールの申請と承認フロー」が、「AIツールのレベル分けと入力情報のルール」の次に並ぶ |
| 同じ中項目の詳細キーワード | 承認済みツール、利用目的、入力可能な情報、コスト管理などが並ぶ（中項目全体の欄で、この学習項目専用ではない）。解説文はなく、キーワードだけが示されている |
受験する回の適用版を確かめてから、この範囲の優先度を決めます。章立ての変更は2027年2月試験の新シラバスに整理しています。試験での出題を予想するものではありません。
よくある質問
新しいAIツールの申請書には、決まった書式がありますか？
このページで使った公的資料には、民間企業向けの申請書式や承認の段階数を定めたものは見当たりません。書式の例は載せていません。確認できたのは、政府機関向けのデジタル庁ガイドラインが定める判断の流れと、IPAのヒアリングで見られた部門単位の利用申請の運用です。
高リスクかどうかは、誰が判断しますか？
デジタル庁のガイドラインでは、各府省庁のAI統括責任者（CAIO）が、企画者と連携してユースケースにあわせたリスク評価を行い、リスクレベルを判断します。高リスクに当たる可能性が高いと判断したときは、先進的AI利活用アドバイザリーボードに報告します。
高リスクかどうか迷ったときはどうしますか？
デジタル庁が運用するAI相談窓口に相談できます。ガイドラインは、高リスクな生成AIシステムに当たるか判断に迷う案件の相談を、窓口の受け付け内容に挙げています。
約款に同意して使うだけのツールにも、確認は必要ですか？
必要です。デジタル庁のガイドラインは、導入類型Aでも、調達チェックシートと契約チェックシートに照らして、約款の項目に矛盾や問題がないかを確認するとしています。求めたい要求事項があるときは、個別契約を結ぶBまたはCでの調達を検討します。
どのAIツールでも同じ強さの確認をしますか？
しません。デジタル庁のガイドラインは、概念検証（PoC）の段階か本番開発の段階か、リスクレベル、ユースケースの性格を踏まえ、対策が不十分にも過剰にもならないよう、要求レベルを選ぶとしています。
生成AIパスポートの学習に使う書籍（Amazon）
試験範囲を通して読むときの1冊です。読んだ章は、このサイトの章別問題で確かめられます。
