AIガバナンスが「成熟している」企業はたった9% — 残りの91%は何が足りないのか
AIを使っている企業と、AIを統治している企業は、全く別物だ。 McKinseyの2024年調査では、AIガバナンスが「成熟している」と答えた企業はわずか9%。一方、78%の企業が何らかの業務でAIを活用している。この69ポイントの差が、AIの導入率と成果の乖離を説明している。
目次全 7 章
この記事でわかること
企業の91%がAIガバナンス成熟に失敗する理由は、コンプライアンスを構造と混同しているからです
- AIガバナンス成熟に達した企業はわずか9%
- 残り91%はコンプライアンスをガバナンスと混同
- 欠けているのはAIが安全に使える意味の基盤
- 構造なきAIは、賢さではなくノイズを拡大する
コンプライアンスはAIに「してはいけないこと」を伝えます。ガバナンスはAIに「何を、なぜ、どの文脈で」行うべきかを伝えます。9%の企業が越えた壁は、ルールではなく、AIが判断の根拠にできる意味の構造を整えたことです。
9%と78%の間にある「空白」
まず数字の対比を整理する。
McKinseyの2025年State of AI調査によれば、78%の企業が少なくとも一つの業務機能でAIを活用している（2023年の55%から大幅に上昇）。AI導入は「検討段階」から「実行段階」に移った、と誰もが感じている。
しかし、同調査が続けて明らかにする数字がある。EBITの5%以上をAIから生み出している企業はわずか17%。80%以上の企業がAIを使いながら、企業利益への有意な影響を報告できていない。
そしてMcKinseyが定義する「AIガバナンスが成熟している企業」はたった9%だ。
NTT DATAの2024年調査は別の角度から同じ現実を示す。生成AIのデプロイメントのうち、目標ROIを達成できているのはわずか15〜30%——裏を返せば、70〜85%が期待した成果を得られていない。
なぜこれほど多くの企業が「AIを使っているのに成果が出ない」状態に陥るのか。答えはシンプルだ。AIの導入とAIの統治は、全く別のプロジェクトだからだ。
「AIガバナンスの成熟」とは何か
「ガバナンス」という言葉は、しばしば「ポリシー文書の整備」「倫理委員会の設置」「利用規約の作成」として理解される。しかしMcKinseyが調査で定義する成熟したAIガバナンスは、もっと具体的だ。
成熟したAIガバナンスを持つ企業の特徴：
- AIが何をできて、何をできないかがコードレベルで定義されている
- AIの自律性が判断の重大度に応じて段階的に設計されている
- AIが間違えたとき、誰が、どのプロセスで修正するかが明確
- AI利用の監査証跡が自動的に記録されている
- ガバナンスのルールがAIと人間の両方に適用されている
これは「AIを正しく使う心がけ」ではなく、「AIが誤った行動を取れない構造」だ。
現実はどうか。AIをめぐる意思決定権限を持つ企業横断の委員会を持つ企業は、わずか18%（業界調査、2024年）。残り82%では、AIのガバナンスを誰がどのように管理するのかが曖昧なまま運用されている。
91%の企業に共通する5つの欠如
欠如1：ルールが「if文」として実装されている
多くの企業のAIガバナンスは、こうなっている。
「$10,000以上の取引はAIが自動承認しない」
「顧客個人情報を含む回答はAIが生成しない」
「競合他社への言及は避ける」
これらは正しいルールだ。しかし多くの場合、このルールは「プロンプトへの追記」か「チェックリスト」として存在し、コードやシステムに組み込まれていない。AIはルールを無視する意図を持たないが、ルールが構造として存在しなければ、ルールを破ることができてしまう。
ガバナンスは「心がけ」ではなく「構造」でなければならない。
欠如2：AIの自律性が「全か無か」になっている
「AIにやらせる」か「AIにやらせない」かの二択で設計されているシステムが多い。これは過剰規制（AIを使いこなせない）か過剰委任（リスクが制御できない）のどちらかに転ぶ。
成熟したガバナンスは段階的自律性を持つ。
- 定型的な問い合わせ回答 → AI単独で実行
- 中程度の取引 → AIが提案、マネージャーが承認
- 契約変更・返金・クレーム対応 → AIがドラフト、責任者が最終判断
どの判断をどのレベルで管理するか、という設計そのものがガバナンスだ。
欠如3：監査証跡がない
AIが何を判断し、何を根拠にしたかの記録が残っていない。問題が起きたとき「AIがそう言ったから」という説明しかできない。これは法的リスクであり、組織リスクでもある。
2024年に記録されたAI関連インシデントは233件——過去最高で、前年比56%増だ（業界調査、2024年）。事後検証できる証跡がなければ、再発防止も改善もできない。
欠如4：知識が「更新されない」まま運用されている
ガバナンスの品質は、AIが参照する知識の品質に依存する。「$10,000以上は承認が必要」というルールは6ヶ月後も正しいか？特定顧客への例外対応は記録されているか？組織の判断基準が変わったとき、AIはそれを知っているか？
知識の更新・レビュー・廃止のサイクルが設計されていなければ、AIのガバナンスは時間とともに劣化する。
欠如5：AIとガバナンスが「別のシステム」になっている
最も根本的な問題がこれだ。AIの活用と、そのガバナンスが、別々のシステム・別々のチーム・別々のプロセスとして存在している。
ガバナンスチームが「AIの利用ポリシー」を作成する。開発チームがAIシステムを構築する。運用チームがAIを使う。この三者が連携していなければ、ポリシーは形骸化し、システムはポリシーと乖離し、利用者はルールを知らないまま運用する。
成熟したAIガバナンスは、AIの実行基盤とガバナンスが同じシステムの中で動いている。
9%の企業が持っているもの
Gartnerの2025年調査が興味深い事実を示している。AIガバナンスの成熟度が高い企業は、そうでない企業と比較して、AIプロジェクトを3年以上継続している確率が45%高い。成熟したガバナンスは「制約」ではなく、長期的なAI投資の収益を担保する「基盤」だ。
9%の企業が持っているものを一言で言えば：「AIが何をしてよいか」ではなく「AIが何をできるか」をシステムレベルで定義している。
違いを具体的に示す。
| 91%の企業（ガバナンス未成熟） | 9%の企業（ガバナンス成熟） |
|---|---|
| 「AIを使う際は上長の承認を得る」（ポリシー） | AIが実行できる操作は宣言的に定義されている（システム） |
| 「個人情報を含む回答は避ける」（心がけ） | 個人情報を含む操作はシステムレベルで制御されている |
| 問題が起きたら報告する（事後対応） | すべての実行が自動的に記録される（事前設計） |
| AIの利用範囲は「常識の範囲内で」 | AIの利用範囲は明示的に宣言・管理されている |
| AIの判断は使用者が確認する（属人的） | AIの判断は重大度に応じて自動でルーティングされる（構造的） |
91%から9%への道
AIガバナンスの成熟は、一夜にして達成できるものではない。しかし「何から始めるか」は明確だ。
ステップ1：AIの実行範囲を明示的に宣言する 「AIは何をできて、何をできないか」を列挙する。この段階でポリシー文書を作成するのではなく、実行可能な操作のリストを定義する。
ステップ2：判断の重大度を定義する どの判断がAI単独で実行可能で、どの判断が人間のレビューを必要とするかを決める。金額・個人情報・法的拘束力・顧客対応——カテゴリ別の自律性レベルを定義する。
ステップ3：実行の記録を設計する AIが何をしたかの証跡を、自動的に・操作者が記録しなくても残るように設計する。事後検証と改善のためのデータを積み上げる。
ステップ4：知識の更新サイクルを組み込む AIが参照するルールや判断基準に「有効期限」と「レビュー担当者」を設定する。知識が古くなることを前提に、更新の仕組みを作る。
ステップ5：AI実行基盤とガバナンスを統合する ガバナンスを「別のシステム」にしない。AIが実行するたびに、ガバナンスのルールが自動的に適用される基盤を構築する。
よくある質問（FAQ）
Q. AIガバナンスの整備には、どのくらいのコストと期間がかかりますか？
規模と複雑度によって大きく異なりますが、最初の重要ステップ（AIの実行範囲の明示化と判断ルーティングの定義）は、多くの企業で2〜4週間・数人のチームで着手できます。「完璧なガバナンス」を一度に作ろうとするより、最も重大度の高い業務判断から段階的に整備する方が、実効性も高く、継続的な改善につながります。
Q. 中小企業でもAIガバナンスは必要ですか？
AIを業務判断に使う以上、規模に関わらず基本的なガバナンスは必要です。ただし中小企業の場合は、「AIが自動実行できる操作のリスト」と「必ず人間が確認する判断のリスト」という2枚のリストから始めるだけでも、大半のリスクをカバーできます。複雑なシステムは不要です。
Q. 「AIガバナンス」と「AIの利用ポリシー」は同じですか？
異なります。利用ポリシーは「何をすべきか・すべきでないか」という行動規範です。ガバナンスは「何ができて、何ができないかを構造として定義すること」です。ポリシーは人間が読んで従うものですが、ガバナンスはシステムが自動的に適用するものです。成熟したAIガバナンスを持つ企業は、ポリシーをシステムの設計に落とし込んでいます。
Q. Gartnerが言う「ガバナンスが成熟した企業はプロジェクトが3年続く」の理由は何ですか？
ガバナンスが未成熟な場合、AIプロジェクトは「誰かがミスを犯すか、問題が表面化する」まで動き続け、その後に停止・見直しを余儀なくされます。成熟したガバナンスはリスクを事前に構造として管理するため、問題が起きにくく、起きても修正が容易です。継続性はガバナンスの副産物ではなく、直接の結果です。
Q. AIガバナンスの成熟度を自己評価するにはどうすればいいですか？
以下の5つの質問で判断できます。①AIが実行できる操作と実行できない操作が文書ではなくシステムで定義されているか。②すべてのAI実行の記録が自動的に残るか。③問題が起きたとき、原因をAIの判断ログから追跡できるか。④AIが参照する知識に更新・廃止のサイクルがあるか。⑤ガバナンスのルールが、ポリシー文書ではなくAIの実行基盤に組み込まれているか。5つすべてにYesなら成熟、3つ以下なら優先的に改善が必要です。
まとめ：AIは「使う」だけでは足りない
78%の企業がAIを使っている。しかし成果を出している企業は17%で、ガバナンスが成熟している企業は9%だ。これらの数字は偶然には一致しない。
AIの成果はモデルの賢さで決まらない。AIが正しい知識を参照し、正しい範囲で動作し、重要な判断で人間が関与する——この設計が整っているかどうかで決まる。
70〜85%の生成AIデプロイメントが目標ROIを達成できていない理由は、AIが弱いからではない。AIの周囲にある構造が整っていないからだ。
御社のAIには、「憲法」がありますか？
参考ソース：
- McKinsey「The State of AI in Early 2024 / McKinsey Global AI Survey」(2024-25)
- NTT DATA「Between 70-85% of GenAI deployment efforts are failing to meet their desired ROI」(2024)
- Gartner「Gartner Survey Finds 45% of Organizations With High AI Maturity Keep AI Projects Operational for at Least Three Years」(2025)
- 業界調査「AI-related incidents rose to 233 in 2024, a 56% increase over 2023」(2024)
- Ajith Vallath Prabhakar「The Architecture Gap: Why Enterprise AI Governance Fails」(2025)
