CAIO／推進役の「最初の30日」チェックリスト

今号のテーマ

きのう（11/2）は、CAIOや推進役を置いたあとに「何をしないか」を先に決める話でした。 今日はその続きとして、最初の30日で何を揃えるかをチェックリストにします。

参照するのは、総務省・経済産業省の「AI事業者ガイドライン第1.2版」（2026年3月31日公表）のAI利用者向けの事項と、IPA産業サイバーセキュリティセンターの中核人材育成プログラムのプロジェクトがまとめた「生成AIおよびAIエージェントを安全に活用するための手引書」（第1版、2026年7月31日発行）の、全社AIガバナンスとライフサイクルの章です。調査の％は使わず、手順に落とします。

Top Story今日いちばん大事な話

011. 最初の10日は、導入より棚卸し

何が起きた

手引書は、全社AIガバナンスの基本思想のひとつに現状の把握を挙げています。会社が認めたAIの利用状況に加え、組織が許可していないAIを社員が使う行為（シャドーAI）の実態も正確に把握する、という考え方です（第2章）。最初の10日でやることは、新しいツールの導入ではなく、次の棚卸しです。

• いま社員が使っているAI（会社契約／個人アカウント／無料）
• 入れている情報の種類（公開／社内／機密／個人情報）
• 「誰かが最終確認している」業務と、していない業務

前の2つは、手引書が実態把握の項目例に挙げている「契約形態」「入力データの種別」と重なります（表2-3）。聞き方は、10/22号の「今週やった業務」から聞くヒアリングがそのまま使えます。

完璧な台帳はいりません。1枚の表で足ります。分からないところは「不明」と書いて残します。不明が多いほど、30日目までの宿題がはっきりします。

022. 次の10日は、1ページのルールで始める

どういうことか

手引書は、全社のAI利活用ガイドラインに書く事項の例（表2-2）として、次のような観点を挙げています。

• 利用可能なAI（組織が承認したAIの一覧）
• データ入力基準（入れてよい情報・入れてはいけない情報、迷ったときの相談窓口）
• 出力結果の取扱い（人間による事実確認）
• 禁止事項（未許可のAIの利用、不適切な利用が判明したときの対応や利用停止）
• インシデント時の対応（連絡先・連絡の流れ）

AI事業者ガイドライン第1.2版のAI利用者向けの事項も、個人情報や機密情報を不適切に入力しないよう注意を払うこと、出力結果を事業に使うかどうかを責任をもって判断すること、を挙げています。

最初から長い規程は要りません。手引書も、網羅的なガイドラインを一度に整えようとすると時間がかかるため、最低限の内容から始め、継続的に更新していく運用が現実的だ、としています。30日目までに「1ページの利用基準」があれば十分です。10/20号で決めた「使うAIと入れてよい情報」も、ここに書き写せます。

033. 最後の10日は、確認する人を名前で置く

どういうことか

手引書は、AIシステムのライフサイクルの各フェーズで、実施すべき事項・判断基準・承認の観点を明確にする必要がある、としています（第3章）。現場向けに落とすと、次の3つです。

1. 誰が確認するか（部署の担当名。役職だけにしない）
2. いつ確認するか（下書き直後／対外送信前／週次、など）
3. 何をもって合格か（数字・固有名詞・相手先の照合、など）

全部の出力を確認対象にする必要はありません。手引書は、すべての出力に承認を求めると承認疲れが起き、形だけの確認になるおそれがあるとして、承認の対象を重要度で絞るよう勧めています（第6章）。顧客への回答送信やデータの外部送信のような、外に出る前の確認から決めます。

確認者が「みんな」だと、誰も確認しません。名前が付いてはじめて、30日後の定例に載せられます。

まとめ　30日で揃えるのは、道具より棚卸し・ルール・確認者

1. 最初の10日は、使っているAI・入れている情報・確認の有無を1枚の表にする
2. 次の10日で、使えるAI・入力・確認・禁止・連絡先を1ページの利用基準にまとめる
3. 最後の10日で、外に出る業務から確認する人を名前で置き、合格の見方を決める

宣言の次は、道具の追加より、棚卸し・ルール・確認者です。この3点が揃うと、あとの決裁の置き方や会議のリズムが楽になります。

自社の最初の30日で、どれから揃えるか。一緒にチェックします。