大企業のAI利用ガイドライン策定率は56.8%—AIセキュリティ対応の現在地
生成AIを業務に使うことが当たり前になる一方で、「他社はどこまでルールを整えているのか」を知る手がかりは多くありません。データインサイトでは、従業員500名以上の企業・団体に勤務する社会人400名に、自社のAIセキュリティ・ガバナンスの実態を聞きました。
調査の要点は次の4つです。
- 生成AIの利用ガイドラインが策定されている企業は56.8%。ただし「策定されているが内容はよく理解していない」層を含む数字です
- 機密情報の投入について何らかの設計がある企業は55.2%、一律禁止は10.8%にとどまります
- 実施しているセキュリティ対策は1社あたり平均2.59個。10項目中2個台という水準です
- 整備の度合いは上場区分で最も大きく割れます。東証プライム上場3.33点に対し、非上場（独立系）は1.70点
1. 大企業のAI利用ガイドライン策定率は56.8%
「あなたの会社の生成AI利用ガイドライン・社内規程について、最も近いものを」と聞いた結果です。
回答 | 割合 |
|---|---|
策定されており、内容も理解している | 34.3% |
策定されているが、内容はよく理解していない | 22.5% |
策定されていると思うが、自分は見たことがない | 12.5% |
策定されていない | 12.5% |
わからない | 18.3% |
策定率の主数値は、実際に存在を確認できている上2つを合わせた56.8%です。「見たことがない」層まで含めると69.3%になりますが、これは「策定されていると思う」という認識の集計なので、実態としては56.8%を採るのが妥当だと考えます。
裏を返せば、大企業でも3割強は「策定されていない」か「わからない」という状態です。生成AIの業務利用が始まってから3年近くが経つことを思えば、整備は思ったほど進んでいません。
2. ガイドラインには何が書かれているのか
ガイドラインがあると答えた227名に、その中身を聞きました。
定められている内容 | 割合 |
|---|---|
個人情報の入力禁止 | 67.4% |
利用できるツールの指定 | 64.3% |
自社の機密情報・未公開情報の入力禁止 | 62.1% |
入力してよい情報・してはいけない情報の区分 | 58.1% |
顧客情報・取引先情報の入力禁止 | 58.1% |
生成物を社外に出す際のチェック手順 | 40.1% |
出力物の著作権・権利関係の取り扱い | 39.6% |
AI利用の申請・承認手続き | 30.8% |
利用ログの記録・監査 | 24.2% |
違反した場合の罰則 | 22.5% |
上位を占めるのは「入れてはいけないもの」を列挙した禁止条項です。個人情報・機密情報・顧客情報の3点セットが6割前後で並びます。
対して、出したあとの扱いは手薄です。社外に出す際のチェック手順は40.1%、著作権の取り扱いは39.6%。生成AIの出力をそのまま資料や制作物に使う場面が増えていることを考えると、ここは次の論点になりそうです。
さらに下がるのが運用の仕組みです。申請・承認手続き30.8%、ログの記録・監査24.2%、罰則22.5%。ガイドラインは書かれているが、それが守られているかを確かめる仕組みまでは用意されていない、という構図が見えます。
3. 機密情報はどこまで入れてよいのか
「一律禁止か、区分して許すか」は、AIガバナンスの設計思想が最も出るところです。
ルール | 割合 |
|---|---|
情報の重要度区分ごとに定められている | 35.0% |
会社が契約した環境（法人契約・閉域環境など）であれば入力してよい | 16.5% |
匿名化・マスキングをすれば入力してよい | 3.8% |
どのような情報も入力は一切禁止されている | 10.8% |
明確なルールはない | 16.0% |
わからない | 18.0% |
3群にまとめると、設計されている 55.3% / 一律禁止 10.8% / 未整備・不明 34.0% となります。
注目したいのは、一律禁止が10.8%しかないことです。「大企業は機密情報の入力を全面的に禁じている」というイメージがありますが、実態は違います。過半数は何らかの形で「ここまでは入れてよい」という線を引いています。
一方で、34.0%は線が引かれていないか、引かれていることを社員が知らない状態です。この層では、社員は「たぶんダメだろう」と推測しながら使うことになります。ルールがないことは、禁止よりも危険な状態かもしれません。
4. 実際に行われているセキュリティ対策トップ10
対策 | 実施率 |
|---|---|
利用ログを記録・監視している | 29.0% |
社外から接続できない専用環境（閉域環境）で利用している | 28.2% |
個人アカウント・無料版の業務利用を禁止している | 25.0% |
全社員向けの研修・eラーニングを実施している | 23.5% |
法人契約により入力データが学習に使われない設定にしている | 22.0% |
ツール導入時にセキュリティ審査を実施している | 16.0% |
専任の担当部署・委員会を設置している | 12.8% |
入力内容の制限・フィルタリングを設定している | 12.0% |
DLPなど情報漏洩防止ツールで制御している | 11.5% |
ISMSなどの外部認証・第三者監査を受けている | 5.5% |
（特に何も実施していない） | 7.0% |
（わからない） | 28.5% |
最も多いログ記録・監視でも29.0%。1人あたりの平均選択個数は2.21個で、10項目のうち2個程度しか実施されていない計算になります。
見逃せないのが「わからない」の28.5%です。自社が何をしているか把握していない人が3割近くいます。この数字自体が、社内でのセキュリティ対応の見えにくさを表しています。
5. 整備度は企業規模でどれだけ違うか
対策10項目の実施個数を「整備度スコア（0〜10点）」として集計しました。「わからない」と答えた114名は算出から除外し、286名を分母としています。
全体平均は2.59点、中央値は2点です。
従業員数別に見ると、次のようになります。
従業員数 | 整備度スコア | n |
|---|---|---|
10,000名以上 | 2.85点 | 79 |
5,000〜9,999名 | 2.88点 | 34 |
1,000〜4,999名 | 2.74点 | 103 |
500〜999名 | 1.96点 | 70 |
1,000名を境に段差があるのが分かります。1,000名以上の3区分は2.7〜2.9点でほぼ横並びですが、500〜999名の中堅帯だけが1.96点と一段低い。「規模が大きいほど整備される」というより、1,000名という閾値を超えたところで一度整うという形に見えます。
6. 上場企業と非上場企業の差
規模よりも差が大きかったのが上場区分でした。
上場区分 | 整備度スコア | n |
|---|---|---|
東証プライム市場に上場 | 3.33点 | 125 |
東証スタンダード・グロース等に上場 | 3.17点 | 18（参考値） |
上場企業の子会社・グループ会社 | 2.41点 | 32 |
非上場（独立系の民間企業） | 1.70点 | 60 |
官公庁・自治体・学校法人など | 1.86点 | 35 |
プライム上場3.33点に対し、非上場（独立系）は1.70点。倍近い開きがあります。従業員数では最大でも0.9点差だったことを考えると、規模よりも上場しているかどうかのほうが整備度をよく説明します。
ガイドラインの認知でも同じ傾向が出ています。「策定されており、内容も理解している」と答えた割合は、プライム上場47.2%に対し、非上場（独立系）21.7%、官公庁・自治体等14.8%。官公庁・自治体等では「策定されていると思うが見たことがない」が27.8%と最も高く、組織としては整備しているが現場に届いていない可能性があります。
なお、これは相関であって因果ではありません。上場企業は情報開示義務や内部統制の要請が強く、AI以前からセキュリティ体制を持っていた可能性が高い。AIガバナンスだけを切り出して整備したというより、既存の統制の上にAIの話が乗ったと読むのが自然でしょう。
7. 誰がAIのルールを決めているのか
決定主体 | 割合 |
|---|---|
情報システム部門 | 27.8% |
情報セキュリティ専門部署・CISO | 16.0% |
DX推進・AI推進の専門部署 | 14.0% |
法務・コンプライアンス部門 | 5.8% |
経営層・経営会議 | 5.2% |
各事業部・各部署が個別に判断 | 2.2% |
決まっていない・担当が不在 | 7.2% |
わからない | 21.8% |
情報システム部門が27.8%で最多。情報セキュリティ専門部署と合わせると43.8%が、いわゆる守りの部署です。DX推進・AI推進の専門部署は14.0%で、攻めの部署が主導しているケースは多くありません。
ここでも「わからない」が21.8%と高い。「決まっていない・担当が不在」の7.2%と合わせると、約3割は誰が決めているのか見えていない状態です。
会社としてのルール類型を見ると、「全社的に公式導入され、利用が推奨されている」が39.0%と最多でした。「利用は原則禁止」は4.3%にとどまります。禁止で止めている企業はほとんどなく、導入は進んでいる。問題は、導入と並走するはずの整備のほうが追いついていないことです。
8. まとめ：自社の位置を測るチェックリスト
調査結果を、自社を測る目安として並べ直します。
- ガイドラインがある → 上位56.8%
- 機密情報の扱いが区分されている → 上位55.2%
- セキュリティ対策を3個以上実施している → 上位約38%（中央値は2個）
- セキュリティ対策を5個以上実施している → 上位約17%
- 利用ログを記録・監視している → 上位29.0%
- 専任の担当部署・委員会がある → 上位12.8%
平均が2.59点という水準は、多くの大企業がまだ「入れてはいけないものを決めた」段階にあることを示しています。次の段階は、出したあとのチェックと、決めたことが守られているかを確かめる仕組みです。ガイドラインがある企業のうち、罰則を定めているのが22.5%、ログの記録・監査を定めているのが24.2%という数字は、そこがこれからの論点であることを示しています。
調査概要
- 調査名：企業のAIセキュリティ・ガバナンス実態調査（2026年9月）
- 調査主体：株式会社データインサイト
- 調査方法：インターネット調査（ユニーリサーチ）
- 調査対象：従業員500名以上の企業・団体に勤務する社会人（経営者・役員／会社員／公務員）
- 有効回答数：400名（スクリーニング回答1,042名、通過率38.4%）
- 調査実施日：2026年9月26日
- 割付：なし（自然回収・ウェイトバックなし）
回答者の属性
- 従業員数：10,000名以上 28.7% / 5,000〜9,999名 11.3% / 1,000〜4,999名 34.5% / 500〜999名 25.5%
- 上場区分：東証プライム 40.3% / スタンダード・グロース等 6.5% / 上場企業の子会社 10.3% / 外資系日本法人 2.0% / 非上場（独立系）20.8% / 官公庁等 13.5% / わからない 6.8%
- 役職：経営者・役員 1.8% / 事業部長・本部長 6.0% / 部門長・マネージャー 22.0% / リーダー・主任 24.0% / 一般社員 36.0% / 契約・派遣 10.3%
- 部署：営業 20.0% / 製造・生産管理 14.2% / 人事・総務・法務 10.0% / 研究開発 8.5% / カスタマーサポート 7.0% / 情報システム・DX推進 6.5% / 経営企画 5.8% / 経理・財務 3.8% / マーケティング・広報 3.3% / その他 21.0%
- 業種：製造業 30.5% / 卸売・小売 11.8% / 医療・福祉 9.5% / 情報通信・IT 9.0% / 金融・保険 8.5% / 建設・不動産 8.5% / 官公庁・自治体 7.2% / その他サービス 7.0% / 運輸・物流 3.5% / 教育・研究機関 2.5% / 電力・ガス 1.3% / その他 0.8%
- オフィススイート：Microsoft 365 62.3% / Google Workspace 8.3% / 両方併用 12.0% / 自社独自環境 2.0% / わからない 15.3%
- 年齢：平均48.6歳 性別：男性 289名 / 女性 111名
各セルはn≧30を断定の目安とし、これを下回るものは参考値として表記しています。
構成比は小数第2位を四捨五入しているため、内訳の合計が100%にならない場合があります。
本文中の企業・会社に関する割合は、回答者が自身の勤務先について答えた結果を集計したもの（回答者ベース）です。同じ企業に勤める回答者が複数含まれる場合があります。
出典：データインサイト調べ
