AIエージェント導入企業が整備すべき運用ルール｜デジタル庁「源内基準」と法的リスク

1　「生成AI利用規程」だけではAIエージェントを管理しきれない

従来の生成AI利用では、従業員がプロンプトを入力し、AIが文章や画像を出力し、人が内容を確認して利用する形が中心でした。この場合、主な論点は、入力してよい情報、ハルシネーション、著作権、個人情報、出力確認などです。

これに対しAIエージェントは、複数の工程を自ら組み合わせ、ファイルを読み書きし、外部サイトやAPIを参照し、場合によってはメール送信、社内データ更新、コード実行その他の外部行為まで行います。誤答が「誤った文章」にとどまらず、「誤った操作」へ直結し得る点が大きな違いです。

2　デジタル庁「源内基準」とは何か

デジタル庁は2026年10月20日、政府職員向け生成AI利用環境「ガバメントAI 源内」にAIエージェント利用環境を導入するとともに、「ガバメントAI 源内 ガバナンス・セキュリティ・セーフティに関する基準」（源内基準）を公表しました。公表ページでは、約18万人の政府職員を対象に「エージェントチャット」を順次導入し、より高度なAIエージェントを構築・実行できる「源内工房」を2026年12月頃までに導入する方針が示されています。

源内基準は、AIセーフティ・インスティテュート（AISI）の協力を得て策定され、「利用者」「管理者」「開発者」という立場ごとに責務・遵守事項を整理しています。デジタル庁は、地方公共団体や民間事業者がAIエージェント利用環境を導入する際にも、安全性と効果的な活用を両立するモデルケースとして参考にできるとしています。

3　企業がまず作るべきは「AIエージェント権限表」

AIエージェントの管理で最初に行うべきことは、長い社内規程を作ることではありません。どのAIエージェントが、何の情報にアクセスし、何を実行できるのかを一覧化することが先です。特に「読む」「作る」「更新する」「送信する」「削除する」「決済・発注する」を同じ権限として扱わないことが重要です。

弊所の実務上の視点では、AIエージェントの導入申請書に「利用目的」「アクセス対象」「許可ツール」「実行可能操作」「人の承認ポイント」「停止方法」「ログ」「責任者」を一枚で記載する運用が有効です。AI台帳とIT資産台帳を別々に作るのではなく、権限・データ・委託先を同じユースケース単位でつなげます。

4　人による確認は「最後に見る」だけでは足りない

AIエージェントでは、ヒューマン・イン・ザ・ループを「最終成果物を人が読むこと」だけで設計すると不十分です。実行された後では取り消しにくい操作があるため、重要な処理の直前に人の承認を入れる必要があります。

4-1　承認ポイントは「外部影響が発生する直前」に置く

• 顧客・取引先へのメールやメッセージ送信
• 契約条件、価格、支払条件等の外部提示
• CRM・基幹システム・会計データ等の重要情報更新
• ファイル削除、権限変更、公開設定変更
• 発注、決済、返金、クーポン発行その他の金銭的操作
• 本番環境へのコード反映、設定変更その他のシステム操作

承認者は、単に「AIが作った内容を読む人」ではなく、その操作を行う業務権限を本来有する人である必要があります。金額や件数等に上限を設定し、上限を超える場合だけ上位承認へ回す方法も考えられます。

4-2　承認を形骸化させない

毎回大量の操作を承認させると、利用者が内容を確認せずに「承認」を押す運用になりやすくなります。低リスク操作は自動実行、高リスク操作のみ明確な理由・対象・変更内容を表示して承認させるなど、リスクベースで設計します。

5　プロンプトインジェクションは「利用者の注意」だけでは防げない

AIエージェントは、Webページ、メール、文書、チャット、データベース等から取得した情報を次の行動の判断材料にすることがあります。外部情報に悪意ある指示が埋め込まれていると、AIが本来の利用者の指示よりもそれを優先し、意図しない操作を行う可能性があります。これがプロンプトインジェクションの典型的なリスクです。

デジタル庁は源内基準の策定にAISIの協力を得ており、AISIも2026年7月の「AIセーフティに関する評価観点ガイド（第1.20版）」で、AIエージェントを踏まえ「観測と制御」を追加し、自律的な挙動や外部環境との相互作用を評価対象として明確化しています。

5-1　企業で組み合わせたい多層防御

• エージェントが接続できるAPI・MCP・SaaS・Webサービスを許可制にする
• 外部から取得した文書・Web情報を「命令」ではなく「参考データ」として扱う設計にする
• 外部送信・更新・削除・決済等の高影響ツールは、別権限又は人承認を必要とする
• 認証情報、APIキー、個人データ、営業秘密がツール呼出しに含まれる場合の検知・ブロックを設ける
• モデル・プロンプト・ツール・データソースの変更後に再評価する
• 攻撃を前提としたテスト、レッドチーミング、異常操作の監視を高リスク用途で実施する

「プロンプトインジェクションを完全に防止できる」ことを前提にするのではなく、攻撃や誤判断が起きても、重要情報の持出しや重大操作まで到達しにくい権限設計にすることが実務上重要です。

6　個人情報・営業秘密は「入力禁止」だけでは管理できない

6-1　個人情報はエージェントが自動で集める範囲まで確認する

AIエージェントでは、利用者が直接プロンプトへ入力していない個人情報でも、接続したメール、CRM、ファイルストレージ、データベース等から自動取得される可能性があります。したがって、「プロンプトに個人情報を入力しない」というルールだけでは不十分です。

個人情報保護法上は、利用目的、安全管理措置、委託先の監督、第三者提供・外国にある第三者への提供等が問題となり得ます。AIベンダーや外部ツールの提供者がどのデータにアクセスできるか、学習・改善に利用するか、再委託先や保存場所はどこかまで確認します。

6-2　営業秘密はエージェントの「外部接続」で管理が崩れないようにする

秘密情報をAIエージェントが利用する場合、アクセス権限、保存場所、外部送信、ログ、委託先の守秘義務を一体で設計します。不正競争防止法上の営業秘密として保護を受けるためには秘密管理性等が問題になるため、AI利用だけ例外的に管理を緩めることは避けるべきです。

認証情報や秘密鍵は、通常の機密文書よりもさらに厳格に扱い、モデルのコンテキストへ直接渡さず、秘密管理基盤から必要時に限定取得するなどの設計も検討します。

7　「利用者・管理者・開発者」に責任を分ける

源内基準の実務上の価値の一つは、AI利用者だけへ責任を負わせず、利用者・管理者・開発者の三つの立場で責務を整理している点です。民間企業でも、この三層構造に置き換えると責任分界を作りやすくなります。

一人の「AI責任者」にすべてを集約する必要はありません。むしろ、誰が利用許可を出し、誰が技術設定を変え、誰が法務上の例外を承認し、誰が重大事故を経営へ報告するのかを分けておく方が実効的です。

8　AIエージェントの委託契約・SaaS契約で確認したい条項

AIエージェントを外部ベンダーから導入する場合、「AIの出力には誤りがあり得る」「ベンダーは結果を保証しない」という免責条項だけを確認しても十分ではありません。企業側がエージェントを管理するために必要な情報・機能・協力を契約上確保できるかが重要です。

経済産業省の「AIの利用・開発に関する契約チェックリスト」や、デジタル庁の2026年6月「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン（第2.0版）」にある調達・契約チェックの考え方も、民間のAIエージェント調達に応用できます。

9　社内規程は「AI利用規程」と「AIエージェント運用標準」を分ける

既に生成AI利用規程がある企業では、全面的に作り直す必要はありません。全社共通ルールは既存規程に残し、AIエージェント特有の事項を別紙・運用標準として追加する方法が管理しやすいです。

9-1　全社AI利用規程に残す事項

• 利用可能サービス・アカウント
• 個人情報・機密情報・著作権等の基本ルール
• 出力の確認、禁止用途、事故報告
• AI台帳・事前審査・例外申請の基本枠組み

9-2　AIエージェント運用標準へ追加する事項

• 許可するツール・外部接続・データソース
• 閲覧・作成・更新・送信・削除・決済等の操作区分
• 操作ごとの人承認・金額・件数・対象範囲の上限
• プロンプトインジェクション等の外部入力リスクへの対応
• ログ・監視・停止・ロールバック・バックアップ
• スキル・プラグイン・MCP等の追加・変更承認
• 高権限エージェントを利用できる人の資格・研修・権限棚卸し

10　事故時は「AIの誤答」ではなく「情報・システム事故」として扱う

AIエージェントによる事故は、誤答、誤送信、誤更新、権限逸脱、秘密情報の外部送信、不正なコマンド実行など複数の形で発生します。「AIの問題」としてAI担当者だけで処理せず、情報セキュリティ、個人情報、顧客対応、契約、業務継続の通常のインシデント管理へ接続します。

• エージェントの実行停止・権限遮断・APIキー等の失効
• 入力、出力、ツール呼出し、外部通信、変更履歴、モデル・設定等の証拠保全
• 影響を受けたデータ・顧客・取引・システムの範囲特定
• 個人情報漏えい、顧客通知、当局報告、取引先報告等の要否判断
• 誤更新・誤送信の取消し・訂正・復旧、バックアップからの復元
• 原因分析後の権限・ルール・契約・テスト・研修の見直し

11　導入前チェックリスト

12　60〜90日で始める実装ロードマップ

すべてのAI利用を一度に高度化する必要はありません。まず、外部送信、顧客対応、重要データ更新、金銭処理、コード実行等の高影響ユースケースを優先し、低リスク用途は簡素なルールで利用できるようにする方が、シャドーAIを抑えながら実効的な統制を作りやすくなります。

13　よくある質問

14　弁護士等への相談を検討したい場面

• AIエージェントに顧客・従業員の個人データや営業秘密へのアクセスを許可したい
• メール送信、発注、契約条件提示、決済、返金、システム更新等を自動化したい
• AIベンダーとの契約で、学習利用、再委託、モデル変更、事故時協力、責任制限の交渉が必要
• 海外AIサービスや国外クラウド・サブプロセッサを利用する
• AIエージェントによる誤送信・誤更新・情報漏えい等が発生した
• 既存の生成AI利用規程をAIエージェント対応へ改定したい
• 顧客へAIエージェント機能を提供し、利用規約・責任分担・説明内容を整備したい

15　まとめ

AIエージェント導入法務の中心は、「AIを使ってよいか」ではなく、「AIに何を実行させてよいか」を設計することです。文章生成中心のAIでは入力情報と出力確認が主な統制でしたが、AIエージェントでは、権限、外部接続、実行前承認、ログ、停止・復旧、委託先管理まで一体で考える必要があります。

デジタル庁の源内基準は民間企業に直接適用される新規制ではありません。しかし、利用者・管理者・開発者の役割を分け、AIエージェントの高度な自律性を、組織・技術・運用の三層で管理するという考え方は、企業の社内ルールを作る際にも有用です。

企業では、まず高影響のAIエージェントから「アクセス対象」「許可操作」「人の承認ポイント」「外部接続」「ログ」「停止方法」を一覧化し、既存のAI利用規程、情報管理規程、個人情報保護規程、委託先管理、インシデント対応へ接続することが実務的です。

関連記事

主な一次資料

• デジタル庁「ガバメントAI 源内においてAI エージェント利用環境の提供を開始するとともに、「源内基準」を公表します」（2026年10月20日）
• デジタル庁「ガバメントAI『源内』」
• デジタル庁「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン（第2.0版）」（2026年6月12日）
• 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（2026年3月31日）
• AIセーフティ・インスティテュート（AISI）「AIセーフティに関する評価観点ガイド（第1.20版）」
• e-Gov法令検索「人工知能関連技術の研究開発及び活用の推進に関する法律」（令和7年法律第53号）
• e-Gov法令検索「個人情報の保護に関する法律」