AIインベントリ（AI利用台帳）を作る目的は、台帳を持つこと自体ではありません。次の二つの観点で、その場で答えられる状態になることです。

入力の観点。社員が「この情報は、このAIに入れていいか」を迷わず判断できること。そして、万一漏れたときに、何をするかが先に決まっていること。

出力の観点。出荷物（成果物）に、AIに由来するどんなリスクがあるかを管理できること。そして、顧客に対して、成果物にAIをどう使い、どんなリスクがあるかを明確に説明できること。

AHACRAFT（アハクラフト）は、この二つを満たすAIインベントリとAI利用ポリシーを作り、コードとして継続運用します。AISI（AIセーフティ・インスティテュート）が2026年3月に公開した「CAIO AIガバナンス実践マニュアル」も、CAIOが最初の90日で達すべきゴールの一つに、現状把握（インベントリ）を置いています。

目的は台帳ではなく、「入れていいか」に即答できること

AIガバナンスの相談は、多くが「原則を作りたい」「検知ツールを入れたい」から始まります。ですが、その手前に要るのは、社員が入力の可否を判断でき、成果物のリスクを顧客に説明できる、という現場の状態です。AIインベントリは、その状態をつくるための土台です。

■作り方：二つの分類の掛け算で、AI利用ポリシーにする

初手は、ヒアリングなどで二つの分類を作ることです。

・AI環境分類：使っている（使おうとしている）AIを、環境ごとに分類します。公開の生成AIサービス、学習に使わない契約のエンタープライズ版、閉域で動く自社モデルなど、環境によってデータの扱い、学習の有無、保存先が違います。

・情報資産分類（リスク分類）：社内の情報を、漏れたときの影響で分類します。公開してよい情報、社外秘、顧客の個人情報や未公開の契約情報、ソースコードなど、資産ごとにリスクの重さが違います。

次に、この AI環境分類 × 情報資産分類 の掛け算で、「どの情報を、どのAI環境に入れてよいか」の利用可否を決めます。これがAI利用ポリシーです。

たとえば、顧客の個人情報を、学習にデータが使われうる公開の生成AIに入れるのは禁止。同じ情報でも、学習に使わない契約のエンタープライズ環境なら条件付きで可。というように、分類の組み合わせごとに可否が決まります。社員は、自分の扱う情報と使うAIの組み合わせを見れば、入れていいかを判断できます。

ここまでで手元に残るのが、AIインベントリ v1 と AI利用ポリシー v1 です。以降の原則づくり、体制、検知ツールの運用は、この二つを基準に動きます。

■一度作って終わりにしない：AI Governance as Codeで継続運用

AIも情報資産も、増えたり減ったり、扱いが変わったりします。台帳とポリシーは、作った瞬間から古くなります。文書で作ってフォルダに眠らせると、半年で実態とずれます。

AHACRAFTは、インフラをコードで管理するのと同じ考え方（AI Governance as Code）で、AIインベントリとAI利用ポリシーもコードとして管理します。変更は履歴が残り、レビューを通し、いつ・誰が・なぜ変えたかを追えます。台帳とポリシーを、運用が続く仕組みとして引き渡します。

■放置すると、こうなります

入力と出力の二つが押さえられていない組織では、次のような形で損が出ます。

・顧客に説明できず、取引で不利になる：セキュリティ調査票で「御社は当社のデータをどのAIに入れ、成果物にどう使っていますか」と聞かれ、答えられない。説明できないこと自体が、失注や取引見送りの理由になります。

・社員が判断できず、機微情報が漏れる：入れていいかの基準がないため、現場は「たぶん大丈夫」で顧客情報やソースコードを外部AIに貼る。漏れても、対処の手順が決まっていません。

・同じ機能を二重に払っている：部署ごとに別々のAIツールを契約し、重複や、契約したまま使われていない枠に気づけません。

■インベントリの先：AIガバナンスの立ち上げ

AIインベントリとAI利用ポリシーは、AIガバナンスの最初の工程です。この二つができて初めて、AI原則の策定、判断する体制づくり、リスクの受入基準、規制への対応が動き出します。

専任のCAIO（最高AI責任者）を置けない組織には、この立ち上げを続けて代行することもできます。AISIのCAIOマニュアルが90日のゴールに挙げる成果物、権限と責務のRACI・憲章、AI原則の草案、リスクレジスター、AIステアリングコミッティの設置までを、外部の手として引き受けます。

さらに、可否が決まったAIを実際に業務へ組み込み、運用して改善する段階では、AIプロダクションシステム導入・実装支援と組み合わせられます。現状を分類し、使える範囲を決めるところから、成果を生む仕組みに実装するところまで、同じ技術者が一貫して引き受けます。

■お問い合わせ

「社員がどの情報をどのAIに入れていいか、基準がない」「顧客に成果物のAIリスクを説明できない」という段階から、ご相談ください。AI環境分類と情報資産分類、AI利用ポリシーの策定、コードでの継続運用まで、一貫して支援します。その先のガバナンス立ち上げの代行も、あわせてご相談いただけます。

お問い合わせ