AI導入審査を社内で回す方法｜法務・情シス・事業部の分担設計

1. AI導入審査が法務単独では回らない理由

AI導入の相談は、外形的には「ベンダー契約のレビュー依頼」として法務に持ち込まれることが多いものの、実態としては契約・情報管理・社内ルール・業務設計が同時に絡む複合論点です。法務だけで判断しようとすると、次のような典型的な詰まり方が起きます。

• 契約条項上は問題ないが、入力されるデータが個人情報・個人関連情報・営業秘密に該当し、別途審査が必要だった
• SaaS型のAIサービスで、情シス側のセキュリティ審査・SSO要件・ログ取得要件と整合していなかった
• 事業部の利用目的・利用範囲が曖昧なまま契約締結に進み、運用段階で禁止用途への流用が発生した
• 社内ルール（生成AI利用ガイドライン）との整合確認が漏れ、後追いで規程改訂が必要になった
• 用途が採用・人事評価・与信判断等であったため、EU AI Act上のハイリスクAIに該当し、グローバル拠点の対応も同時に必要になった

つまり、AI導入審査を「法務の契約レビュー」に閉じてしまうと、契約は通ったが運用は止まるという最悪の結果になりがちです。AI事業者ガイドライン第1.2版がAIエージェントによる外部アクション時の人間関与（Human-in-the-Loop）を明確に求めるようになった以上、社内フロー上は、法務・情シス・セキュリティ・事業部の4者が、それぞれの論点を持ち寄って同じ案件を見る前提で設計する必要があります。

2. 部門別の役割分担

AI導入審査でつまずく最大の原因は、「論点はあるのに、誰の宿題か決まっていない」ことです。まず、部門別にどの論点を持つかを明示的に定義します。

部門別の役割分担表

ここで重要なのは、各部門の論点を「足し算」ではなく「直列または並列のフロー」として接続することです。論点リストを並べただけでは、案件は止まります。次の章で、これをフローに落とし込みます。

3. AI導入審査フローの基本設計

AI導入審査フローは、「事業部の起票 → 一次振り分け → 部門並走レビュー → 統合判断 → 承認 → 運用申し送り＋ライフサイクル管理」の6ステップで設計するのが、最も詰まりにくい形です。下図はその標準形です。

このフローのポイントは、STEP 3を並列レビューとして設計することと、STEP 4で法務が残リスクの一覧化と条件付き承認の組み立てを担うこと、そしてSTEP 6で導入後のライフサイクル管理（モデルドリフト・脆弱性・利用範囲乖離への対応）を制度に組み込むことです。並列レビューにせず直列に流すと、各部門の手番待ちで案件が長期間止まります。逆に、並列にして統合判断を置かないと、矛盾した指摘が事業部に同時に降ってきて現場が混乱します。承認時点で運用後の再審査トリガーを定義しないと、モデル更新やプロンプトインジェクション等の新たな脆弱性に対して制度的に手当てできません。

4. 既存SaaS審査フロー・セキュリティ審査フローへの組み込み方

多くの企業では、すでに情シスが管理するSaaS導入審査フローや情報セキュリティ審査フローが存在します。AI導入審査をゼロから別建てで作るより、既存フローに「AI追加審査項目」として上乗せするほうが、現場の運用負荷が下がります。

• 既存SaaS審査フォームに「生成AI機能の有無」「学習利用の有無」「入力データ類型」を追加項目として追加する
• 該当ありの場合のみ、法務・個情管理者等へ自動転送するワークフロー条件を設定する
• セキュリティ審査チェックシートに「AIサービス特有項目（学習利用・サブプロセッサー・モデル更新通知・プロンプトインジェクション対策）」を追記する
• 独立のAI審査フローを新設する場合でも、SaaS審査・セキュリティ審査と入口・申請フォームを共通化する
• 採用・人事評価・与信判断等のハイリスク用途が含まれる場合は、専用ルートを別途設計し、必要に応じグローバル拠点の法務・コンプライアンスとも連携する

5. 簡易審査案件と重点審査案件の分け方

AI導入審査をすべて重点審査として回すと、件数が増えた時点で破綻します。一方、すべて簡易審査にすると、リスクの高い案件を見落とします。振り分け基準を明文化し、入口で分岐させるのが現実的な解です。

簡易審査案件と重点審査案件の比較表

6. 申請フォームに入れるべき項目

申請フォームの設計は、審査フロー全体の質を左右します。フォームで聞ききれていない項目は、後工程の各部門レビューで個別ヒアリングを発生させ、所要期間を倍以上に伸ばします。逆に、フォームで一度に集めきれば、並列レビューが成立します。

申請フォームに入れるべき項目一覧

このフォームを「重点案件は全項目必須／簡易案件は基本＋利用目的＋入力データのみ必須」で出し分けると、申請者の負荷も下がります。とくに「データ利用の内訳」を①〜③に分解しておくことで、ベンダー側の仕様確認とオプトアウト交渉が噛み合いやすくなります。

7. 社内で止まりやすいポイントと改善策

AI導入審査フローは、設計段階より運用開始後3〜6か月で詰まるのが通例です。よくある詰まりどころと、その回し方を整理します。

詰まりどころ別の改善策

8. チェックリスト

9. 関連記事

10. 各工程のテンプレートで実務に落とす

11. まとめ

AI導入審査が法務単独で回らないのは、論点が複数部門にまたがる構造的な問題です。誰が何を見るかを部門別の役割分担表で固定し、並列レビュー＋統合判断のフローに落とし込み、申請フォームで論点を一度に集めきり、簡易/重点で入口を分岐させ、運用後のライフサイクル管理まで仕組みに含める。この5点を制度に組み込めば、属人化していた審査が動きはじめます。

2026年現在、AI事業者ガイドライン第1.2版がAIエージェント時代のHuman-in-the-Loop設計を求め、EU AI Actが8月から本格適用に入ります。本シリーズで扱ってきた契約審査・情報管理・社内ルール整備は、最終的にこのAI導入審査フローという一つの運用に接続されます。完璧な制度を一度に作ろうとせず、まずは申請フォームと振り分け基準から整え、運用しながら詰まりどころを潰していくのが現実的です。詰まりが見えるたびに、フォーム項目を1つ追加し、判定事例集を1件追加する。その積み重ねが、AI導入審査を「事故なく、止めずに回す」社内インフラに育てていきます。