AIの利用ルール、いわゆるAIポリシーを整えた会社は増えました。ところが現場に話を聞くと、「ドキュメントは作ったが、誰がどう守っているのか分からない」という声が少なくありません。ルールが文書のまま止まり、日々の業務には浸透していない状態です。PwCが米国企業を対象に実施した責任あるAI（Responsible AI）の調査は、この感覚を裏づける数字を示しています。約半数の企業が、最大の難所として「原則を実際の業務に落とし込むこと」、すなわち運用化（operationalization）を挙げているのです。本稿では、AIポリシーが守られない理由を「運用化」という観点から整理し、成熟度の物差しを使ってどこから手をつけるかを考えます。
なお、社員が会社に隠れてAIを使う「シャドーAI」を禁止せず制度化する話は別稿で扱いました。本稿のテーマはその一歩先、つまり定めたルールや原則を「実際に回る仕組み」へどう落とすかという運用化の成熟度です。
ポリシーがあることと、守られていることは別問題
まず言葉の整理です。運用化（operationalization）という言葉は耳慣れないかもしれませんが、中身は単純です。「方針や原則を、日々の業務で実際に機能する手順・役割・チェックの形に落とすこと」を指します。たとえば「AIの出力は人が確認する」という原則を文書に書くのが方針づくり、「社外に出す資料は誰が・どの基準で確認し、記録をどこに残すか」まで決めて実際に回すのが運用化です。
PwCの調査で目を引くのは、責任あるAIへの期待が高い一方で、それを業務に落とす段階でつまずいている企業が多いという非対称です。同調査では、責任あるAIへの取り組みが投資対効果（ROI）を高めると考える企業が約6割にのぼります。さらに約55%が、顧客体験の向上やイノベーションの加速といった具体的な便益につながると答えています。AIを安全に使う取り組みは、守りのコストではなく、成果につながる投資だと多くの企業が認識し始めているということです。（参照：PwC「2024 US Responsible AI Survey」）
ところが同じ調査で、企業が直面する最大のハードルとして挙げられたのが、原則の運用化でした。約半数の企業が、責任あるAIの原則を実際の業務プロセスに組み込むことを最も難しい課題だと回答しています。期待は高く、便益も見えている。それでも、方針を現場の手順に変換する段階で多くの企業が足踏みしている。これが「ポリシーを作っても守られない」状態の正体です。（参照：RealKM「PwC 2024 US Responsible AI Survey の主要な発見」）
なお、この調査はPwCが自社の知見として米国企業を対象に実施したものです。米国と日本ではAI活用の進度や規制環境が異なるため、数字をそのまま日本に当てはめることはできません。ただし「期待は高いのに運用に落ちない」という構造的なつまずきは、稟議文化やセキュリティ統制の強い日本企業ではむしろ起きやすいと考えるのが自然です。ルールを作る部署と現場が離れていれば、原則は文書のまま宙に浮きやすくなります。
成熟度を4段階で測る。自社がどこにいるかの物差し
運用化の難しさを「気合いが足りない」で片づけてしまうと、対策は精神論になります。そこで役立つのが、取り組みの成熟度を段階で捉える見方です。PwCの調査では、責任あるAIへの取り組み状況がいくつかの段階に分かれて報告されています。ここでは、その分布を自己診断の物差しとして使ってみます。
調査によると、責任あるAIの取り組み段階は次のように分布しています。
- 戦略の策定段階（約28%）: 方針や原則を定義し、戦略として描いている段階
- 業務への組み込み段階（約33%）: 定めた原則を実際の業務プロセスに組み込んでいる段階
- 研修・教育に注力する段階（約21%）: 社員への教育を通じて浸透を図っている段階
- 初期段階（約18%）: 取り組みがまだ立ち上がったばかりの段階
注目したいのは、戦略策定の28%と業務への組み込みの33%を合わせると約6割（61%）になる点です。多くの企業が、方針を描く段階か、それを業務へ組み込む段階のいずれかにいます。逆に言えば、この2つの段階の間、つまり「描いた原則を実際の手順に変える」ところに大きな谷があり、そこで足踏みしている企業が相当数いることが読み取れます。（参照：PwC「2024 US Responsible AI Survey」）
この物差しは、稟議や社内説明の場面でそのまま使えます。「うちはまだ初期段階の18%側にいる」「戦略は描けたが組み込みに進めていない」と自社の現在地を段階で示せれば、次に必要な投資が具体的になります。漠然と「AIガバナンスを強化する」と言うより、「研修段階から業務組み込み段階に進むために、この手順とチェックを整える」と語るほうが、決裁者には通りやすくなります。第三者の調査データを現在地の物差しとして添えられる点は、稟議材料を探している立場にとって実務的な価値があります。
なぜ運用化でつまずくのか。3つの欠落
成熟度の段階を踏まえると、運用化の谷で起きていることが見えてきます。方針を業務に落とせない企業に共通して欠けているのは、おおむね次の3点です。
第一に、役割の不在です。ポリシーに「出力は確認する」と書いてあっても、誰が確認の責任を負うのかが決まっていなければ、確認は誰の仕事にもなりません。AI利用の承認・確認・記録を、どの役割が担うのかを明示しないかぎり、原則は宙に浮きます。
第二に、手順の粗さです。「適切に管理する」「慎重に扱う」といった表現は方針としては書けても、現場はそれだけでは動けません。どのデータは入力してよく、どれは禁止か、社外公開物は誰のチェックを通すか、といった水準まで具体化して初めて、業務の手順になります。
第三に、記録の欠如です。AIを誰がどの業務に使い、どんな確認を経たのかが記録に残らなければ、後から振り返ることも改善することもできません。問題が起きたときの原因究明も、うまくいった使い方の横展開もできません。運用化とは、つまるところ役割・手順・記録の3つを業務の中に埋め込むことだと整理できます。
この3点は、AI活用の経営要請を受けながらセキュリティ統制との両立に悩む立場にも、我流のAI利用を一人で抱える少人数チームにも、同じように当てはまります。レイヤーは違っても、つまずく構造は共通しています。
統制の強い組織が運用化を進める段取り
セキュリティ統制が強く、稟議を通す必要のある組織では、運用化を一気に進めようとすると稟議が重くなり、かえって止まります。段階を踏むのが現実的です。
まず、自社が成熟度のどの段階にいるかを先述の物差しで確認します。多くの場合、戦略は描けているが業務組み込みに進めていない、あるいは研修は始めたが手順に落ちていない、のいずれかに該当します。次に、全業務を一度に対象にするのではなく、リスクと効果の見合う業務を1つか2つ選びます。たとえば社外に出る文書の作成や定型的な要約から始めると、リスクの所在が明確で手順も作りやすくなります。
選んだ業務について、役割・手順・記録の3点を最小限の形で定めます。誰が確認するか、何を入力してよいか、利用をどこに記録するか。これを1枚から2枚の文書にまとめ、実際に1か月ほど回してみる。回してみて詰まった箇所を直し、対象業務を少しずつ広げていく。この「小さく回して広げる」進め方であれば、稟議も段階的に通せますし、塩漬けの高額投資という最も避けたい失敗も起きにくくなります。どの業務からAIを組み込み、ポリシーをどう運用に落とすかの設計は、ポリシーを運用に落とすAI活用支援で扱っていますので、進め方の地図が必要な場合は参照してください。
少人数チームが我流の利用を運用に変える最小手順
一方、一人または少人数でマーケティングや営業企画を回している立場にとって、運用化は大げさに聞こえるかもしれません。会社に立派なポリシーがなくても、自分の使い方を「説明できる手順」に整えるだけで、運用化の第一歩は踏めます。次の3点を書き出すところから始められます。
- 役割（誰が確認するか）: 社外に出すものは上長か同僚のダブルチェックを通す、社内利用は自分で確認、と最低限の確認者を決める
- 手順（何を入れてよいか・出力をどう確かめるか）: 顧客名や未公開の数字は入力しない、数字と固有名詞は元資料で照合する、を一覧にする
- 記録（どこに残すか）: 使っているツールと指示文（プロンプト）、確認の有無を、チームが見られるドキュメントに残す
この3点をまとめれば、我流の利用が「説明できる業務手順」に変わります。会社にポリシーがなければ、この手順書がそのままたたき台になり、上長への説明材料にもなります。研修段階に投資できていない企業が多い現状（調査では研修注力段階は約21%）を逆に見れば、ルールと手順を自分で整えるだけで、社内での発言力につながる余地は大きいということです。
まとめ
- PwCの責任あるAI調査では、約6割が責任あるAIはROIを高めると考え、約55%が顧客体験やイノベーションの向上につながると答える一方、約半数が「原則の運用化」を最大の難所に挙げています。期待は高いのに、業務に落とす段階でつまずく非対称が起きています。
- 取り組みの成熟度は、戦略策定（約28%）、業務への組み込み（約33%）、研修注力（約21%）、初期（約18%）の段階に分かれます。戦略と組み込みを合わせた約6割の間に運用化の谷があり、自社の現在地を測る物差しとして稟議や社内説明に使えます。
- 運用化でつまずく原因は、役割の不在・手順の粗さ・記録の欠如の3点に整理できます。運用化とは、この3つを業務の中に埋め込むことです。
- 統制の強い組織は、対象業務を1つか2つに絞って役割・手順・記録を最小限で定め、小さく回して広げるのが現実的です。少人数チームは、我流の利用を3点の手順に書き出すだけで運用化の第一歩を踏めます。
- 米国の調査データはそのまま日本に当てはまりませんが、「期待は高いのに運用に落ちない」という構造は、統制の強い日本企業ほど起きやすいと考えられます。
AIポリシーをどこから運用に落とすか迷う場合は、無料相談で現状の利用実態とルールの整備状況を伺いながら、進め方を一緒に整理します。
