「真ん中の層」を思い出す
前回の記事で、 Agenticシステムのリスク管理には空白があると書きました。 ポリシーという「上から」のアプローチと、 脅威分類という「下から」のアプローチの間にある、 役割・意思決定権・エスカレーション構造という「真ん中の層」です。 今回はこの空白を、組織全体のガバナンス設計という、 もう一段高い視点から見てみます。
ある架空の企業を想像してください。 取締役会直下にAI Governance Councilがあり、 Chief AI Officerが四半期ごとに立派な報告書を提出しています。 監査人はその報告書を見て「ガバナンスは機能している」と評価するでしょう。 しかし同じ週、現場のエンジニアは、 AIエージェントが生成した与信判断ロジックを、 委員会に諮ることなく本番にデプロイしています。 この二つの現実は、同じ会社の中で同時に存在しえます。
企業のAIガバナンス体制は、すでに標準形ができつつある
2026年時点で、企業のAIガバナンス構造には、 ある程度共通したパターンが見えてきています。
- AI Governance Council：リスク・法務・コンプライアンス・データ・技術・事業の各部門長で構成され、高リスクなユースケースの承認とプログラム全体の評価を担う
- Chief AI Officer（CAIO）／Head of Responsible AI：AIガバナンス全体に責任を持ち、取締役会への直接的な報告ラインを持つ役職
- ステアリング委員会：AI導入申請のレビュー、リスク分類、ポートフォリオの監視という実務を担う
- 四半期ごとの取締役会報告：高リスクなAI導入事例と新たな規制動向のサマリーを報告する
枠組みとしては、NIST AI RMFの4機能—— GOVERN（方針・文化・説明責任）、MAP（リスクの文脈化）、 MEASURE（性能・公平性の測定）、MANAGE（優先順位づけと対応）——や、 認証取得が可能なISO/IEC 42001が、この体制の骨格を支えています。
この体制は、何を守れていないのか
一見すると、これで十分に思えます。 委員会があり、責任者がいて、取締役会にも報告されている——。 しかし、これらはすべて組織図の上での構造です。 前回の記事 で見たように、実際の失敗が集中するのは、 AIエージェントの確率的な出力が、 決定論的な前提を持つ他のシステムに渡される境界でした。
ここで問うべきは、こういうことです。 四半期に一度取締役会に報告される「高リスクな導入事例」は、 誰が・どんな基準で「高リスク」と判断しているのか。 その基準は、現場でエージェントに日々指示を出している人の 意思決定権と、実際につながっているのか。
多くの組織で、答えは「つながっていない」です。 立派な委員会と役職名が存在する一方で、 現場のスクラムマスターやエンジニアリングマネージャーが 実際に直面する「このエージェントの提案を採用していいか」 という日々の判断は、委員会の議題に上がることすらありません。
「ガバナンス劇場」のリスク
この状態を、ここでは「ガバナンス劇場」と呼びます。 外形——委員会、役職、報告書——は完璧に整っているのに、 実際にリスクが生まれる現場の意思決定とは、 何もつながっていない状態のことです。
ガバナンス劇場が危険なのは、 それが「何もしていない」よりも見つけにくいからです。 監査や規制当局への説明においては、 委員会の議事録や報告書という「証拠」が存在するため、 ガバナンスが機能しているという幻想が生まれやすくなります。 しかし実際に事故が起きたとき、 その原因は委員会が一度も議題にしなかった、 現場レベルの小さな判断の積み重ねだった、ということが起こり得ます。
接続するための具体的な問い
組織図の上のガバナンスと、現場の判断をつなぐには、 次のような問いを、委員会自身が定期的に持つ必要があります。
- 直近の委員会の議題は、実際にエージェントが起こした問題（あるいはヒヤリハット）から出発しているか、それとも一般的なポリシー議論に終始しているか
- 「高リスク」の分類基準は、現場のエンジニアリングマネージャーやスクラムマスターが理解し、日々の判断に使える粒度になっているか
- 現場からエスカレーションされた事案は、実際に委員会まで届いているか。届く前に握りつぶされる構造はないか
これらは、Human-AI Systems Coach として動くスクラムマスターや、 判断基準を設計するPO が、日々の実践を通じて委員会側に押し返していくべき問いでもあります。 組織的ガバナンスは、上から降ってくるものではなく、 現場との往復運動によって初めて機能します。
機能するガバナンスと、劇場としてのガバナンス
| ガバナンス劇場 | 機能するガバナンス | |
|---|---|---|
| 委員会の議題 | 一般的なポリシーの承認 | 直近に現場で起きた実際の事案 |
| リスク分類基準 | 抽象的で、現場の日々の判断に使えない | 現場のマネージャーがそのまま適用できる粒度 |
| エスカレーション | 形式上は存在するが、実際には届かない | 現場からの声が実際に議題へ反映される |
おわりに
AI Governance CouncilもChief AI Officerも、 それ自体は間違った発明ではありません。 問題は、それらが「真ん中の層」との接続を欠いたまま、 自己完結した儀式になってしまうことです。 委員会を作ったことに満足するのではなく、 「その委員会は、先週現場で実際に起きた判断とつながっているか」 を問い続けることこそが、組織的統治の実質です。
NIST AI RMFとISO 42001は、それぞれ違う強みを持ちます。 NISTのGOVERN／MAP／MEASURE／MANAGEという4機能は、 組織ごとに柔軟に適用できる原則ベースの構造です。 一方ISO 42001は、認証取得が可能な、より形式化・監査可能な枠組みです。 どちらを選ぶにせよ、その枠組みが「真ん中の層」と 接続されているかという問いは共通して残ります。 枠組みの選択そのものが、ガバナンス劇場を防ぐわけではありません。