効果が出た会社ほど、リスク管理ができている

生成AIを業務で使っている社員が、すでにいませんか。何に使っているかは、聞けば教えてくれるでしょう。会社として何をどこまで許すかは、決まっていないかもしれません。

使っているのは、会社ではなく個人

IPAが2026年7月30日に公開したDX動向2026は、国内企業1,799社の回答をまとめた調査です。調査期間は2026年4月17日から6月12日までです（調査概要）。

AIを導入している企業は42.3%、試験利用が15.7%で、合わせて58.0%です。生成AIに限ると、導入しているは2024年度の22.6%から2025年度は44.0%に伸びています（図表3-5）。

組織での使われ方を聞いた設問では、「個人で業務利用している」が63.3%で最も高くなっています。「個人や部署で試験利用している」が44.8%です（図表3-6）。

一方、「部署の業務プロセスに組み込まれている」は11.9%、「全社的なサービスに組み込まれている」は18.6%です。原典は「生成AIの利活用は個人利用・試験利用が中心で、組織的・戦略的な利活用に至っている企業はまだ少ない状況にある」と書いています（図表3-6）。

2024年度の傾向と大きな変化はありません（図表3-6）。入れた会社は増えましたが、使い方は個人のままです。

使われている部署も聞いています。「ITシステム」が71.9%で最も高く、「経営企画」が69.0%、「総務・法務」が68.4%です。一方、「調達」が31.3%、「製造（設計、生産管理を含む）」が35.7%、「流通」が23.9%。バックオフィス系と管理系が先行し、現場業務に近い部署は低い水準です（図表3-7）。

AIエージェントの利用は、いずれの部署でも低水準です。

DXの取り組みの状況別に見た図もあります。全社戦略に基づき全社的にDXへ取り組んでいる企業では、AIを「導入している」が70.8%です。取り組んでいない企業では「関心はあるがまだ特に予定はない」が40.8%で最も高くなっています。業種別では、情報通信業で「導入している」が約7割に達しています（図表3-3）。

用途では、「文書・音声の要約・翻訳・校正」が82.5%、「文書・レポートの作成（社内・社外）」が80.5%、「情報検索・収集・分析・レポーティング」が77.0%です。一方、「生産・物流・サービス提供の計画支援」は6.0%、「自社製品・サービスの高度化」は10.9%です（図表3-9）。

AIのルールを、6社に1社が決めていない

AIに関するポリシーやガイドライン、ルールの整備状況を聞いた設問があります。「社内ガイドラインやルールは全社的なものを定めている」が32.5%、「AIポリシーを定め、社内に周知している」が28.8%です（図表3-17）。

「どちらも定めていない」が16.7%です。社外に公表しているのは3.7%にとどまります（図表3-17）。

この設問の対象は、AIを導入している企業と試験利用している企業、そして利用に向けて検討を進めている企業です（図表3-17）。使っている会社の中で、6社に1社近くがルールを持っていません。

AI独自のリスク管理は、14.2%にとどまる

リスクマネジメントの状況も聞いています。「AIや生成AI独自のリスクマネジメントを実施している」は14.2%です（図表3-18）。

原典は「特に生成AIにおいてはハルシネーションや学習データの情報漏洩等の独自のリスクが挙げられている中でも、リスク対策は道半ばの状況である」としています（図表3-18）。

将来的な課題への対応も聞いていて、「国内外の法規制や各種ガイドラインへの対応」で「対応中・対応済み」が12.9%でした。いずれの項目でも「検討していない」が過半数です（図表3-20）。

AIを引っ張っているのは、IT部門の長が最も多い

AIの導入・利活用のリーダーシップ体制を聞いた設問では、「IT部門の長」が46.0%で最も高くなっています。「経営層」が32.1%、「導入や利活用する現場の長」が27.5%です（図表3-23）。

「CAIO（最高AI責任者）」は2.9%、「CAIO以外の専任者」は9.8%です（図表3-23）。

導入・運用上の課題では、「専門人材が不足している」が50.1%で最も高く、「生成AIの効果やリスクに関する理解が不足している」が45.8%です。「適切な利用を管理するためのルールや基準の作成が難しい」が39.7%で三番目に入っています（図表3-16）。

原典はこの三つを「人材不足・リテラシー不足・ガバナンス整備の遅れ」と整理しています（図表3-16）。

効果が出ている会社との差は、どこに出ているか

リスクマネジメントの状況を、AI導入の効果別に見た図があります。原典は「AIで効果を感じている企業ほど、リスクマネジメントを実施できており、AI導入の効果とAIリスクマネジメントの実施状況は関係性がある」と書いています（図表3-19）。

学習データの整備でも同じ形です。「整備しておりAIに活用している」は7.0%で、「整備しているが十分ではない」が28.4%、「必要性は認識しているができていない」が27.6%。原典は、学習データを整備してAIに利活用している企業のほとんどが、期待と同等かそれ以上の効果を得られていると書いています（図表3-15）。

人材への対応でも差が出ています。AIの影響を踏まえた人材育成・確保への着手状況を効果の高低で分けると、「効率化・自動化が見込まれる既存業務の把握」に着手しているのは効果が高い企業で37.6%、低い企業で23.8%。「内容が変わる業務の把握」は22.4%と10.6%、「人材に必要なスキルの把握」は21.5%と12.0%です（図表4-14）。

先に整えたから効果が出たのか、効果が出たから整えられたのかは、この調査では分かりません。原典が書いているのは、関係があるというところまでです。

DXの推進に対するAIの位置づけを聞いた設問も並んでいます。「DXの推進の一部としてAIを活用している」が45.1%、「DXの推進のためAIを中心に活用している」が9.3%です（図表3-12）。

投資の額も聞いています。売上に対するAI投資額・費用の割合は、1%未満が56.8%で、0.3%未満が49.5%と半分近くを占めます。増減では「大幅に増加している」が18.0%、「やや増加している」が33.3%で、合計51.3%が増やしています。「ほぼ横ばい」も33.6%です（図表3-22）。

「DXとAIは個別に取組んでいる」が26.1%、「AIは特に活用していない」が14.4%です。原典は「AIをDX推進と連動していない企業も4割程度存在している」としています（図表3-12）。

明日からできること

決めるのは、誰が何をどこまで許すかです。

まず、いま社内で誰が何に使っているかを聞きます。個人で業務利用している状態なら、会社として把握していないものがあります。使っている本人に聞けば出てきます。

次に、ルールがあるかを確かめます。全社的なものか、部署ごとか、どちらも無いか。無いなら、何を書くかより先に、誰が書くかを決めます。

最後に、決める人を一人決めます。専任である必要はありません。この調査では、IT部門の長が46.0%、経営層が32.1%です（図表3-23）。決まっていない会社では、誰も決めていないことになります。

官民による投資を期待する分野も聞いていて、「情報セキュリティ対策」が58.4%、「AI関連人材の育成」が53.0%です（図表3-24）。企業が課題に挙げたものと、投資を期待する先は重なっています。

ルールの文面は、決めたことを書き写す作業です。順番が逆になると、何を書けばよいかが出てきません。