「御社はAIをどう管理していますか」と聞かれたら
取引先から届いた質問票に、こんな項目が並んでいたとします。「業務で利用している生成AIサービスをすべて記載してください」「AI利用に関する社内規程の有無をお答えください」。
ここで手が止まる会社は珍しくありません。誰がどのAIを使っているのか把握できていない。ルールは朝礼で口頭で伝えただけ。悪いことをしているわけではないのに、答えられない。これがいま、多くの中小企業で起きていることです。
認証されるのはツールではなく「会社」
JDLAは2026年8月4日、AIガバナンスの第三者認証制度「C認証（AI Governance Core Certification）」を創設し、同日から一般の申請受付を開始したと発表しました。JDLAはAI人材の資格試験「G検定」「E資格」で知られる団体です。ABEJA、富士ソフト、キカガクなど9法人が先行認証取得企業として公表されています。
いちばん誤解しやすいのは、何が認証されるのかという点です。C認証は法人単位の認証で、個別のAIツールが安全かを検査するものではなく、その組織がAIのリスクをどう管理し運用しているかという体制そのものを評価します。対象は業種・規模を問わず、AIを開発・提供、または業務で利用・導入するすべての法人とされ、自治体などの公法人も含まれます。有効期間は2年間です。
審査される4つの指標
第一に、利用するAIの把握。どのAIを、どの部署が、どんな業務に使っているかを組織として掴んでいるか。社員が個人の判断で無料版を使っている状態は、ここで引っかかります。第二に、リスク対応組織の設置。専任部署である必要はありませんが、「迷ったらこの人に聞く」が決まっていることが求められます。
第三に、リスクアセスメント。自社の使い方でどんな困りごとが起こり得るかを洗い出しているか。情報漏えい、誤った出力、なりすまし、著作権——業種によって中身は変わります。第四に、リスク対応。洗い出したリスクに、防ぐ手と、起きたときに直す手を用意しているか。
並べてみると、特殊な技術の話が一つもないことに気づきます。要するに「把握・担当・想定・手当て」の4点セットで、経理でも労務でも安全衛生でも同じ形です。AIだから難しいのではなく、AIについてまだ誰もやっていないだけなのです。
なぜ「体制」が問われる時代になったのか
背景には、技術の進みかたとルールの整いかたのずれがあります。JDLAは制度創設の理由として、AI技術が急速に進化する一方で利用ルールや責任体制の整備が追いつかず、AIガバナンスが新たな経営課題になっている状況を挙げています。国の側でも総務省と経済産業省が「AI事業者ガイドライン」を公表し、2025年3月28日に第1.1版が出ました。ルールは更新され続ける前提で作られているのです。
見落とせないのは、この制度の狙いがAIを制限することではないと明言されている点です。リスクが怖くて手を出せない会社が動けるようにする——ブレーキではなく、安心してアクセルを踏むための仕組みという位置づけです。
取得までの流れ・時間・費用
JDLAが示す流れは6段階です。相談・資料請求に始まり、JDLAが認定したコンサルティング企業の伴走支援を受けながら体制を整備し、申請、審査を経て取得となります。期間の目安は体制整備が1〜2か月程度、審査が最短1か月程度で、法人によっては最短で約2か月程度とされています。新規取得時は支援が必須です。
費用は企業規模に応じて異なるとだけ示され、金額は公開されていません。認証費用に加えて支援の費用もかかりますから、従業員数名の会社がすぐに手を挙げる性質のものではない、というのが率直なところです。
認証は目的ではありません
認証は「体制があること」を外に示す手段であって、体制そのものではありません。先に中身を作らなければ、認証を検討することすらできないのがこの制度の構造です。まず社内で4つの指標に手をつけ、必要になった段階で認証を検討する。この順番が現実的です。
説明できる会社と、できない会社
| 問われること | 説明できない会社 | 説明できる会社 |
|---|---|---|
| 利用状況 | 誰が使うか不明 | 台帳に一覧がある |
| リスク | 各自任せ | 書き出し済み |
| 責任 | 決める人がいない | 担当と決裁が明確 |
| 事故時 | 手が無い | 止め方が決めてある |
右側の状態は、高価なシステムでも実現できます。しかし多くの中小企業にとって、いちばん早いのはエクセル1枚と、担当者ひとりを決めることです。重要なのは、この違いが取引の場面に出てくること。答えられる会社が選ばれ、答えられない会社が候補から静かに外れる——その差は、能力ではなく準備の差です。
4つの棚卸しと、AI台帳の作り方
順番には意味があります。台帳がなければリスクは洗い出せませんし、担当がいなければ洗い出しても止まります。上から順に、1つずつ片づけてください。中小企業なら1か月もかかりません。
最初の一歩の台帳は、列が6つで十分です。ツール名、使っている部署、主な用途、個人情報や社外秘が通るかどうか、入力データが学習に使われる設定かどうか、契約形態。作るときのコツは責める空気を出さないこと。「勝手に使っている人を探す調査」だと受け取られた瞬間、台帳は嘘の一覧表になります（情報漏えいを防ぐ基本）。
意外と多い「気づかないうちに入っているAI」
会計ソフト、名刺管理、チャットツール——既存のサービスにAI機能が後から追加されています。申し込んだ覚えがなくても、契約中のツールにAIが入っていることがあります。台帳を作るときは、いま使っているソフトの機能一覧も見直してください。
「決める人」を置く／よくある勘違い
「リスク対応組織の設置」という言葉は大げさに聞こえますが、実態は迷ったときに判断する人をひとり決めるだけです。専門家である必要はありません。新しいAIの導入相談が来たら一度立ち止まる、質問票が来たら答えを取りまとめる、困ったら外部に相談する。担当が決まっていない会社では誰も確認しません。全員の仕事は、誰の仕事でもないのです（AI利用ガイドライン）。
勘違いも3つ。①「認証を取れば安全になる」。逆です。体制ができているから認証されるのであって、順番を取り違えると書類だけ整った会社ができあがります。②「うちは小さいから対象外」。対象になることと、優先度が高いことは別です。③「AIを使っていないから関係ない」。社員が個人のスマートフォンで業務文書をAIに読ませているかもしれません。使っていないことを確かめるためにも、台帳は必要です。
そのまま使えるプロンプト
4つの棚卸しは、たたき台をAIに作らせてしまうのが早道です。
出てきたものは、あくまでたたき台です。自社の実態と違う行は必ず人が直してください。とくにツール名と用途は、AIには知りようがありません。
よくある質問（Q&A）
従業員10人の会社です。C認証は取ったほうがよいですか？
いますぐ取る必要はまずありません。費用は企業規模に応じて異なるとされ、金額は公開されていないため、まずは資料を取り寄せて判断する形です。優先すべきは、認証の前提となる4つの指標を社内で満たすこと。取引や入札で証明を求められたときに検討すればよい制度です。
AIを開発していない、ただ使っているだけの会社も対象ですか？
対象です。JDLAは、業種・規模を問わず、AIを開発・提供、または業務で利用・導入するすべての法人が対象だとしています。自治体などの公法人も含まれます。市販のAIサービスを事務作業に使っているだけの会社も、体制を問われる側です。
自社だけで申請することはできますか？
新規に取得する場合は、JDLAが認定したコンサルティング企業の支援を受けながら申請する流れです。更新のときは選択制。認定企業は運用開始時点で6社が登録され、順次追加される予定とされています。体制づくりから伴走してもらう前提の制度です。
まとめ
- 2026年8月4日、JDLAがAIガバナンスの第三者認証「C認証」の申請受付を開始。対象は業種・規模を問わないすべての法人。
- 審査されるのは4指標（AIの把握・対応組織・リスク評価・リスク対応）のみ。認証を取らなくても社内点検に使える。
- 中小企業がまずやるべきは、AI台帳1枚と、判断する担当者ひとり。費用も外注も要らない。
認証制度の登場は、AIの使い方が「個人の工夫」から「会社の仕組み」へ移りつつあることの表れです。これからは誰が何をどう使っているかを会社が説明できるかどうかが問われます。使っているものを書き出し、決める人を置き、困りごとを想像し、止め方を決める。この4つだけで、質問票は怖くなくなります。
発表資料を読んでいて、いちばん印象に残ったのは審査項目が4つしかないことでした。この種の認証制度は往々にして項目が数十に膨れ上がり、専任の担当者を置ける会社しか手が届かなくなります。中核だけに絞った設計には、対象を広げたいという意思が見えます。
とはいえ費用が公開されていない以上、中小企業がすぐ手を挙げる制度ではありません。それでも取り上げたのは、この4項目が認証を取らない会社にとっての無料の点検表になるからです。今日のところは、エクセルを「AI利用台帳」と名前を付けて保存し、思いつくツールを3つ書くだけで十分。空欄のある台帳のほうが、台帳がないより百倍ましです。
── AutoAIPlatform編集部