構造で守らせる データ・法務・セキュリティ・開発チームとつくる AI時代のデータガバナンスとデータ基盤のリアル

こちらは、2026/10/27開催の「AI時代のデータガバナンス 誰を巻き込みどうつくる？freee・LegalOn Technologiesに学ぶ
 ルール・権限・組織づくり」登壇資料です。

Transcript

1. 構造で守らせる データ・法務・セキュリティ・開発チームとつくる AI時代のデータガバナンスとデータ基盤のリアル 株式会社LegalOn Technologies Head of Data 若菜 勇気 2026/10/27 AI時代のデータガバナンス 誰を巻き込みどうつくる？ 1
2. 自己紹介 データ分析・データ基盤・データガバナンス・セキュリティ体制を統括しています 株式会社 LegalOn Technologies Head of Data ・設立間もない頃から、データ分析・ AI活用を支えるデータ基盤を構築・運用 ・組織全体のデータガバナンスを統括 ・GRC・セキュリティ体制の整備も推進 データ基盤構築・セキュリティ支援をしている会社 代表 ・企業向けのデータ基盤整備・ガバナンスを支援 ・リスクアセスメント、 SOC/IR/GRCなどセキュリティ体制の構築を支援 若菜 勇気 株式会社LegalOn Technologies Head of Data 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 2
3. 会社紹介 - 「すべてのプロフェッショナルに、驚きと感動を。」 各領域に特化した AI「Professional AI」で、企業の専門業務を支えています 設立・本社 2017年設立／東京・渋谷 法務業務すべてをカバーする グローバル リーガルAI ワンストップのガバナンスを 実現するAIガバナンス基盤 広告・販促物の景表法 リスクをAIが自動レビュー AIのデータ利用を事前に 評価し、証跡を残す オンライン法務学習 支援サービス AIネイティブの 企業研修プラットフォーム 人事の仕事を 一緒に進めるAI 商談を捉え、 次の一手をAIが実行 代表者 代表取締役 角田 望 拠点 日本・米国・ドイツ ※「WorkOn」「DealOn」「LearningOn」はグループ会社のOn Technologiesが提供 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 3
4. 皆さんの会社にデータガバナンス委員会はありますか？ AIのガードレールが効くかどうかは、 3と4が回っているかで決まる 1 2 3 4 委員会のような場 分類表 ラベル付け 刈り取り 全社で情報資産・データの 扱いを決める場 どれが機密で、どれが個人 情報か 分類に沿って、実際のデー タに目印を付ける ラベルをもとに、権限の誤り や放置されたデータを直す 1と2は「ある」会社も多いはず。でも、 3と4まで回っていないと、 AIのガードレールは効かない 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 4
5. 今日お話ししたいこと AIのガバナンスは、全社で情報資産を管理する土台の上で 01 02 03 基本に 立ち返る 全社で決める場を作り、 浸透させる データ基盤で 実装する 全社でまとめ、 情報資産の管理から データガバナンスを決める場 （DWG） 研修・周知で行動を変える 決めたルールを仕組みに落とし AIには構造で守らせる 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 5
6. 01 基本に立ち返る 6
7. AIの統制は、積み重ねた土台の上に乗る 事業部ごとに個別対応せず、全社でまとめる。セキュリティの基本から順に落とし込む 考え方：積み重ねた土台の上に、 AIの統制が乗る 土台 積み重ね その上で 情報資産を正しく管理する ポリシー・ガイドライン AIエージェントを統制する セキュリティの基本に立ち返る ガードレールの基礎になる いきなりはできない 進め方： 5つのステップで落とし込む ① 決める ② 付ける ③ 直す ④ 浸透させる ⑤ AIに守らせる 全社の場で 扱いを決める 分類表に沿って ラベルを付ける ラベルをもとに 誤りを直す 研修・説明会・ 全社定例 ラベルを読んで 権限・確認・検知 全社の土台（前半でお話しします） 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 後半でお話しします LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 7
8. 全社をまとめる場がないと、なぜ難しいか 1つの部署だけでは、情報資産を守りながら AIを使うことはできない 理由1 理由2 理由3 部署をまたいで流れる AIは本人の権限で動く 誰が決めるかが要る 開発→データ基盤→事業部門→AI 境目でルールが抜ける AIだけ別ルールは強制できない 人とAIは同じルールに従う 決める人がいないと、ガードレールの 中身が決まらない 全社で決める会議体と情報資産の分類があって、初めてガードレールが書ける 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 8
9. 02 全社で決める場を作り、浸透させる 9
10. 全社でデータの扱いを決める場： DWG DWG＝データワーキンググループ。関係者を広く集めず、決められる役職を必須にした セキュリティ委員会 DWG（セキュリティ委員会の分科会） 必須の5役 データマネジメント 責任者（チェアマン） 法務 セキュリティ 責任者 内部監査 開発統括者 任意で招集 開発部門の責任者 ／ プロダクト担当 ／ 実装担当 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 10
11. 土台になる分類表：当社の情報資産ガイドライン 当社の例：全社の情報資産を、機密性・完全性・可用性から 5段階に分けている IA1 IA2 IA3 IA4・IA5 Public Private Protected Restricted 公開してよい情報 社内向けの情報 ・制限なし ・外部には出さない ・社内では広く共有できる 個人情報・契約で縛られ る情報 漏えいで事業に深刻な 影響 ・限られたグループで使う ・持ち出しを制限 ・特定の権限者だけ ・最も強い対策 Skillを使って分類できる 分類したIAレベルを、そのままデータのラベルに使う 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 11
12. 分類表を、読む人別のルールにする 情報資産ガイドラインを土台に、誰が読むかで文書を分ける 文書 読む人 情報資産の取扱いガイドライン 全社員用と開発者用を別々に用意 データ基盤 個人情報保護の方針、セキュリティポリシー、 データ利用ガイドライン データ基盤の利用者 個別の判断 各々のチームのDecision Record その論点に関わる人 全社 全社 → データ基盤 → 個別と現場に近づくほど詳しくなり、必要な所に必要な対策を当てられる 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 12
13. 相談の受け方・答え方・残し方をそろえた DWGへの相談は、この流れで受けて、答えて、記録する 1 受ける 2 答える 3 残す Slackの専用チャンネル 3つの観点で検討する 事例管理 DBに記録 メンションするだけ ベースライン：法令・規約等 月次の定例で報告 対象外も明記する リスクベース：脅威 次の判断の先例にする ビジネス：実務が回るか 相談する側も「何を聞かれるか」が分かる 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 13
14. DWGに全部を持ち込まない 合議の場に来るのは「本当に合議が要るもの」だけにする 型に当てはまれば 現場で承認 AIで自己解決 AIの相談役を 全社に配布 許容する利用の型を 先に決めておく Skill／Gem DWGを待たずに進める 型の外だけ DWGで合議 5役で方針を確定 本当に合議が要るものだけ 相談が減るほど、 DWGは合議と判断に時間を使える 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 14
15. TrustOn：データ利用のガバナンスを一貫して扱う AIのデータ利用を、利用前に評価し、証跡を残すプラットフォームを開発 根拠 利用前に評価する 法令・規格 ベースライン・リスク・ビジネスの3つの観点で、 可否と根拠を返す 評価との差分や未評価の利用を見つける 説明・監査に活かす 評価の品質を保つ 判断の記録がそのまま証跡になる 正解集で変更を検証してから適用 社内規程・ガイドライン 実行を把握し、是正する 顧客との契約条件 からルールを整える AIエージェントからの呼び出しにも対応 AIに下ごしらえを任せ、人は判断に集中する 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 15
16. 立ち上げるだけでは機能しない ルールは「書いた」ときではなく、「意識されて行動が変わった」ときに効く 教育・研修 周知 情報資産ガイドライン研修を、動画とクイズで 全体説明会・全社定例で、繰り返し伝える 動画で要点を伝える クイズで迷う場面をその場で判断 1回では浸透しない 機会のたびに繰り返す DWGを立ち上げることと、浸透させることはセット 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 16
17. 社員の行動が変わった 浸透の結果が、相談・事前チェック・台帳の管理という行動に出てきた 変化1 変化2 変化3 DWGへの相談が増えた Skillで事前にチェック 情報資産管理台帳の管理 隠れていた案件が見えるように 相談の前に自分でチェック 各部署が自分で作り、管理する SOC2 Type2・ISMSの取得にも大きく役立った 決定・研修・台帳の記録が、そのまま運用の証拠に 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 17
18. 03 データ基盤で実装する 18
19. データ基盤の構成 - 簡略に 同じ構成を複数のグローバルリージョンに別々に持つ BigQuery データソース プロダクトの DB・ロ グ SaaS（Salesforce など） 生データ層 取り込み データ基盤チームのみ 利用 Prefect / Python ↓ dbtで変換・整形 Looker AIエージェント 公開層 利用者が分析に使う JP・US・EU・SGの4リージョンに同じ構成を別々に持つ 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 19
20. DWGのSkillで、データ基盤自身を点検する DWGが配るSkillで、データ基盤自身も点検する アドバイザー リスクアセスメント 方針を3つの観点で事前に検討 インフラの定義を解析して違反を検出 ・過去の決定・規約・法令を参照 ・個人データはGDPRの観点まで確認 ・本人の不利益でリスクを評価 ・インフラのコードと実環境を確認 ・IAレベルごとの要件違反を検出 ・ルールごとに必須か推奨か 必須（ベースライン） 推奨（リスクベース） 例外なく満たす 脅威を見て優先度を決める 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 20
21. グローバルの法規制：リージョンごとに効く法令が違う 4つのリージョンでデータ基盤を別々に持つ。他リージョンのデータ閲覧やアクセス移転の対応を行う。 公開層 利用者が使う JP US EU SG 個人情報保護法 CCPAなど州法 GDPR PDPA 専用Project 専用Project 専用Project 専用Project 専用Project 専用Project 専用Project 専用Project 生データ層 データ基盤 チームだけ リージョン ×層の8つのProjectは混ぜない 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 21
22. 法規制とガイドラインを、方針と仕組みに落とす 根拠 → 方針 → 仕組み、と1つずつつなげる 根拠 データ基盤の方針 仕組み 安全管理（各国法・社内規程） 部門ごとに閲覧を制限 列にタグを付けて自動でマスク 保存期間の制限 連携元で消えたら消す 毎日取り直し、履歴は期限付き 削除の請求（GDPR・CCPA） 請求があれば消す 連携元の削除に連動して消える 情報資産ガイドライン 個人情報に目印を付ける ポリシータグとIAレベルのラベル 国ごとに提供会社が違う 国ごとのデータを混ぜない リージョンごとにProjectを分ける 国外移転の規制 閲覧だけで移転とみなす 閲覧権限はリージョン・プロダクトごとに申請 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 22
23. AIエージェントは本人の権限で動く 説得やお願いでは守れない。強制できるのは IAM側だけ そのまま 引き継ぐ 利用者 AIエージェント 本人の認証 本人と同じ権限 できないこと エージェントだけ別の認証にはできない 本人ができることは何でもできる 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 データ 人も エージェントも 同じ扉を通る だから IAM側で、本人の常時の権限を弱くする LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 23
24. ルールをラベルにする 情報資産ガイドラインから分類体系を作り、機械が読めるラベルとしてデータに付ける 情報資産ガイドライン タクソノミ（分類体系） ポリシータグ・ラベル IA1〜IA5のレベル 3階層：レベル／種類／サービス BigQueryのデータに付ける 付け方 データセット単位 カラム単位 何を見分けるか IAレベルのラベル IA4以上か（公開層に置かない） ポリシータグで列ごとに制御 個人情報の列かどうか ルールとデータが同じ言葉でつながる → 権限・確認・監査をラベルで動かす 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 24
25. 守り方は 4段：防止・確認・検知・対応 防止の本体はIAM。確認と検知で補い、残るリスクは別途対策する ① 防止 ② 確認 ③ 検知 ④ 対応 常時権限の廃止 一時昇格 実行前チェック 人が承認 クエリにラベル 棚卸し 残るリスクを 洗い出して対策 土台：情報資産ラベル 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 25
26. ① 防止：本人の権限を弱くする ふだんは人もエージェントも、個人情報に届かない 常時権限の廃止＋一時昇格 API Keyと個人情報閲覧の「排他」 ・常時の権限をやめる ・API Keyと個人情報閲覧を両立させない ・例外は申請制の一時昇格 ・発行時に確認 ・昇格中は全件監査 ・毎日点検 結果 ふだんはマスク済みのデータしか見えない 結果 API経由では個人情報を取れなくなる 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 26
27. ② 確認 ③ 検知：エージェントの実行前チェック クエリを投げる直前に割り込み、ラベルを見て人に確認させる 1 2 3 4 5 実行直前に 割り込む dry-runで 参照先を調べる ラベルで 判定 該当すれば 人が承認 ラベルを付けて 実行・監査 hookで強制 実行せず一瞬 機密・個人情報か 承認まで止める 後から追える Claude Code・Codexで同じ仕組みを使う これは「確認」。防止の本体は①の権限 同じ判定を両方から呼ぶ 迷ったら一度止める 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 27
28. 運用して分かった落とし穴と、別途モニタリングが必要な点 ラベルは設定どおりとは限らない。仕組みで防ぎきれない部分は、別途モニタリングする 落とし穴 1 設定と本番がずれていた 別途モニタリングが必要な 2つ 例：YAMLで定義していても、Viewにはポリシータグが付かない → 判定は、本番の実際の状態を見る 1. 権限を一時的に上げている間は、エー ジェントも同じ権限を持つ 2. ブラウザを操作するエージェントは、画面 に出た個人情報を読める 対象と理由を記録しておく 落とし穴 2 チェックを通らない経路があった エージェントがチェックを呼ばずに、直接クエリを実行できた → 最終的には MCP／Gatewayへの集約で 改善する → 実行の直前に必ず割り込む → 機密度の高いデータは、専用の安全な環境で扱う 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 28
29. まとめ・これから 全社の土台をつくり、浸透させ、 AIには構造で守らせる 01 全社で決める場をつくる これから 02 浸透させて、人の行動を変える エージェントのデータアクセスを、 MCP／Gatewayに集約していく 今日お話しした統制は、そのまま土台として残る 03 法規制とルールを仕組みにし、 AIには構造で守らせる 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 29
30. もう少し詳しく データ基盤の実装の詳細は、 11/18の登壇でお話しします 次の登壇 2026/11/18（水） Google Cloud Data & AI Summit '26 Fall 今日お伝えしきれなかった、データ基盤の詳細をもう少し踏み込んでお話しします タイトル：「AI エージェントを活用したセルフサーブのデータ基盤の運用」 イベントページ https://cloudonair.withgoogle.com/events/data-ai-summit-26f?talk=t2-session4 本資料は貴社の便宜のためのみに提供されるものであり、複写、引用または第三者の閲覧に共される際は株式会社 LegalOn Technologiesの了承を得てください。また、当該資料の利用により直接または間接に生じた損害や損失等について、株式会社 LegalOn Technologiesは一切の責任を負いません。 ©LegalOn Technologies, Inc. all rights reserved. 30