AIの管理体制に「認証」が始まった｜中小企業が今日からできる4つの棚卸し

「御社はAIをどう管理していますか」と聞かれたら

取引先から届いた一枚の質問票に、こんな項目が並んでいたとします。「業務で利用している生成AIサービスをすべて記載してください」「AI利用に関する社内規程の有無をお答えください」「AI利用のリスク評価を実施している部署名をご記入ください」。

ここで手が止まる会社は、決して珍しくありません。誰がどのAIを使っているのか、社内で把握できていない。ルールらしきものは朝礼で口頭で伝えただけ。リスク評価という言葉自体、初めて見た——。悪いことをしているわけではないのに、答えられない。これがいま、多くの中小企業で起きていることです。

そして2026年の夏、この「答えられるかどうか」を、第三者が正式に評価する仕組みが日本で動き始めました。

2026年8月4日、AIの管理体制に認証が生まれた

一般社団法人日本ディープラーニング協会（JDLA）は2026年8月4日、AIガバナンスの第三者認証制度「C認証（AI Governance Core Certification）」を創設し、同日から一般の申請受付を開始したと発表しました。JDLAはAI人材の資格試験「G検定」「E資格」で知られる団体です。

運用開始にあわせて、9つの法人が先行認証取得企業として公表されています。ABEJA、富士ソフト、Elith、ステッチ、Algomatic、経営共創基盤、キカガク、EY新日本有限責任監査法人、Rossoの9社です。このうち富士ソフトは自社サイトで、認証番号「2610002-01」、有効期間は2026年8月4日から2028年8月3日までと具体的に公表しています。制度が紙の上の構想ではなく、実際に番号を発番して動き出したことがわかります。

ニュースとしては地味です。しかし中小企業にとっては、「AIをどう管理しているか」が取引の場で数値化・可視化されていく流れの、はっきりした一歩だと言えます。

認証されるのはツールではなく「会社」

この制度でいちばん誤解しやすいのは、何が認証されるのかという点です。

C認証は法人単位の認証です。個別のAIツールやシステムが安全かどうかを検査するものではなく、その組織がAIのリスクをどう管理し、どう運用しているかという体制そのものを評価します。名称の「C」はCore、つまりAIガバナンスの基盤となる中核部分を指しています。

対象は幅広く、業種・規模を問わず、AIを開発・提供、または業務で利用・導入するすべての法人とされています。民間企業だけでなく、自治体などの公法人も含まれます。AIを「作る側」だけの話ではない、というところが重要です。ChatGPTを事務作業に使っているだけの会社も、制度上は対象に入ります。

認証の有効期間は2年間で、その後は更新審査を受ける形になります。取って終わりではなく、続いていることを確かめる設計です。

審査される4つの指標

では、何を見られるのか。JDLAの発表によれば、審査されるのは4つの中核的な指標のみです。項目が絞られている点が、この制度の特徴です。

第一に、利用するAIの把握。自社でどのAIを、どの部署が、どんな業務に使っているのかを、組織として掴んでいるかどうかです。社員が個人の判断で無料版を使っている状態は、ここで引っかかります。

第二に、リスク対応組織の設置。AIに関する判断を誰が行うのかを決めているか。専任部署である必要はありませんが、「迷ったらこの人に聞く」が決まっていることが求められます。

第三に、リスクアセスメント。自社のAIの使い方で、どんな困りごとが起こり得るかを事前に洗い出しているか。情報漏えい、誤った出力、なりすまし、著作権——業種によって中身は変わります。

第四に、リスク対応。洗い出したリスクに対して、防ぐ手と、起きたときに直す手を用意しているかどうかです。

並べてみると、特殊な技術の話が一つもないことに気づきます。要するに「把握・担当・想定・手当て」の4点セットで、これは経理でも労務でも安全衛生でも同じ形です。AIだから難しいのではなく、AIについてまだ誰もやっていないだけなのです。

なぜ「体制」が問われる時代になったのか

背景には、技術の進みかたとルールの整いかたのずれがあります。JDLAは制度創設の理由として、AI技術が急速に進化する一方で、利用ルールや責任体制の整備が追いつかず、AIガバナンスの整備が新たな経営課題になっている状況を挙げています。

国の側でも、総務省と経済産業省が「AI事業者ガイドライン」を公表しており、2025年3月28日には第1.1版が出ています。これは開発する側・提供する側・利用する側それぞれが取り組むべき事柄の基本的な考え方を示したもので、社会や技術の変化に合わせて更新されていく文書です。ルールは一度決めて終わりではなく、更新され続ける前提で作られているという点は覚えておく価値があります。

もうひとつ見落とせないのは、この制度の狙いがAIを制限することではないと明言されている点です。JDLAはC認証について、AIの制限ではなく、安心して活用できる共通の基盤を整えるための仕組みだと説明しています。リスクが怖くて手を出せない会社が動けるようにする——ブレーキではなく、安心してアクセルを踏むための仕組みという位置づけです。

取得までの流れと、かかる時間

実際に認証を取る場合、どう進むのか。JDLAが示している流れは6段階です。相談・資料請求から始まり、資料の送付と説明を受け、JDLAが認定したコンサルティング企業の伴走支援を受けながら体制を整備し、JDLAへ申請、認証委員会による審査を経て認証取得となります。

期間の目安は、体制整備の支援が1〜2か月程度、審査が最短で1か月程度。JDLAは、法人によっては最短で約2か月程度で体制構築から認証取得まで進むことが可能だとしています。

特徴的なのは、新規取得時には認定コンサルティング企業の支援が必須とされていることです。更新のときは選択制になります。認定コンサルティング企業は運用開始時点で6社が登録済みで、順次追加される予定と発表されています。自力で書類を整えて申請する形ではなく、専門家と一緒に体制を作るところから制度に組み込まれている、と理解するとよいでしょう。

費用と、中小企業が現実的に考えるべきこと

気になる費用ですが、JDLAは企業規模に応じて異なるとだけ示しており、金額は公開されていません。詳しくは問い合わせて資料を取り寄せる形になります。認証費用に加えてコンサルティング支援の費用もかかりますから、従業員数名の会社がすぐに手を挙げる性質のものではない、というのが率直なところです。

逆に言えば、認証を取らない会社にとっても、この4指標は無料で使える優れた点検表です。審査項目が公開されているということは、答え合わせの基準が公開されているということでもあります。使わない手はありません。

説明できる会社と、できない会社

4つの指標に手をつけた会社と、つけていない会社では、日常の景色がどう違うのか。取引先から質問票が届いた場面を思い浮かべながら見てください。

右側の状態は、高価なシステムでも、分厚い規程集でも実現できます。しかし多くの中小企業にとって、いちばん早いのはエクセル1枚と、担当者ひとりを決めることです。実際、右側の4項目はどれも、外注も投資も必要としません。

そして重要なのは、この違いが取引の場面に出てくることです。大手企業や官公庁との取引では、委託先の管理体制を確認されることが増えています。答えられる会社が選ばれ、答えられない会社が候補から静かに外れる——その差は、能力ではなく準備の差です。

認証がなくてもできる4つの棚卸し

ここからは実践編です。C認証の4指標を、そのまま中小企業の作業手順に置き換えます。

順番には意味があります。台帳がなければリスクは洗い出せませんし、担当がいなければ洗い出しても止まります。上から順に、1つずつ片づけてください。全部そろえるのに、中小企業なら1か月もかかりません。

AI台帳は、エクセル1枚で足ります

最初の一歩である「利用するAIの把握」は、台帳を1枚作るだけです。難しく考える必要はありません。列は次の6つで十分です。

ツール名、使っている部署、主な用途、個人情報や社外秘が通るかどうか、入力データが学習に使われる設定かどうか、契約形態（無料版か法人契約か）。この6列を埋めるだけで、会社のAI利用の輪郭がはっきりします。

作るときのコツは、責める空気を出さないことです。「勝手に使っている人を探す調査」だと受け取られた瞬間、台帳は嘘の一覧表になります。「安全に使い続けるために全部書き出したい」と伝えて集めてください。会社が把握していないAI利用、いわゆるシャドーAIの問題は、情報漏えいを防ぐ基本の記事でも扱っています。

「決める人」を置くだけで会社は変わる

2つ目の指標「リスク対応組織の設置」という言葉は、中小企業には大げさに聞こえます。しかし実態は、迷ったときに判断する人をひとり決めるだけです。

その人が専門家である必要はありません。求められるのは、新しいAIを導入したいという相談が来たときに一度立ち止まって考えること、社外から質問票が来たときに答えを取りまとめること、そして判断に困ったら外部に相談すると決めることです。

逆に、担当が決まっていない会社では何が起きるか。誰もが「たぶん大丈夫だろう」と考え、誰も確認しません。全員の仕事は、誰の仕事でもない——AI利用のルールが形骸化する原因は、たいていここにあります。社内ルールの作り方そのものはAI利用ガイドラインの記事にまとめています。

よくある3つの勘違い

ひとつめ。「認証を取れば安全になる」。逆です。安全に運用する体制ができているから認証されるのであって、認証が安全を作るわけではありません。順番を取り違えると、書類だけ整った会社ができあがります。

ふたつめ。「うちは小さいから対象外」。C認証の対象は業種・規模を問わないと明記されています。もっとも、だから今すぐ取るべきという意味ではありません。対象になることと、優先度が高いことは別です。

みっつめ。「AIを使っていないから関係ない」。これがいちばん危険です。会社が使っていないつもりでも、社員が個人のスマートフォンで業務文書をAIに読ませているかもしれません。使っていないことを確かめるためにも、台帳は必要です。

そのまま使えるプロンプト

4つの棚卸しは、ゼロから紙に向かうと重く感じます。たたき台をAIに作らせてしまうのが早道です。[　]の中に自社の情報を入れてお使いください。

出てきたものは、あくまでたたき台です。自社の実態と違う行は必ず人が直してください。とくにツール名と用途は、AIには知りようがありません。

よくある質問（Q&A）

まとめ

認証制度の登場は、AIの使い方が「個人の工夫」から「会社の仕組み」へ移りつつあることの表れです。数年前まで、AIを上手に使える社員がいる会社が強い、と言われていました。これからは、誰が何をどう使っているかを会社が説明できるかどうかが問われます。幸い、そのために必要な作業は地味で、費用もかかりません。使っているものを書き出し、決める人を置き、困りごとを想像し、止め方を決める。この4つだけで、質問票は怖くなくなります。

筆者コメント