有価証券報告書のAIガバナンス調査2026｜AIのルール整備に触れた上場企業は17社→35社、「AIリスク」は3社→12社

時価総額上位100社の有価証券報告書で、AIガバナンス・AI倫理・AIリスク・AI利用ガイドラインなど「AIのルール整備」に関わる語を使った企業は、1年で17社から35社へ倍増しました。「AIリスク」を明記した企業は3社から12社、AI法規制に触れた企業は6社から11社に増えています。

本調査は、Digital Sales編集部による一次調査です。国内時価総額上位100社の直近2期分の有価証券報告書(計200冊)から経営戦略に関する記述を抽出し、AIガバナンスに関わるキーワード9種類の出現回数と言及企業数を集計しました。対象文書は前回の「有価証券報告書のAI言及調査2026」と同一で、AIを語った企業が「AIをどう統制するか」まで書くようになったかを数えています。

AIのルール整備に触れた企業はどれだけ増えたか

「AIガバナンス」「AI倫理・責任あるAI」「AIリスク」「AI利用ガイドライン・規程」「AI法規制」「AI統括組織・委員会」「ハルシネーション・誤情報」「プロンプトインジェクション・AIの悪用」「AI教育・リテラシー」の9種類のうち、いずれかを最新期に使った企業は35社です。前期の17社から18社増え、前期に使っていて最新期に消えた企業はありません。

新たに使い始めた18社は、三菱UFJフィナンシャル・グループ、アドバンテスト、みずほフィナンシャルグループ、三菱重工業、ゆうちょ銀行、信越化学工業、三菱電機、武田薬品工業、MS&ADインシュアランスグループホールディングス、日本郵政、キヤノン、ルネサスエレクトロニクス、味の素、セブン&アイ・ホールディングス、アステラス製薬、ENEOSホールディングス、関西電力、大和証券グループ本社です。銀行3社(三菱UFJフィナンシャル・グループ、みずほフィナンシャルグループ、ゆうちょ銀行)と製薬2社(武田薬品工業、アステラス製薬)、電機・機械のメーカー(キヤノン、三菱電機、三菱重工業、ルネサスエレクトロニクス、アドバンテスト)が目立ちます。

業種別の言及社数は、電気機器は20社中6社→10社、情報・通信業は7社中5社→5社、銀行業は6社中0社→3社、医薬品は6社中1社→3社、保険業は4社中2社→3社、機械は7社中1社→2社、卸売業は6社中0社→0社でした。前期は電気機器と情報・通信業に偏っていた言及が、最新期は銀行・医薬品・保険に広がっています。金融は「事業等のリスク」の章が厚く、AIを新しいリスク項目として立てる書き方が増えた、というのが編集部の解釈です。

「AIリスク」として何が書かれているか

「AIリスク」「AI活用に伴うリスク」と明記した企業は3社から12社に増えました。最新期に書いたのは日立製作所、みずほフィナンシャルグループ、NTT、ゆうちょ銀行、三菱電機、日本郵政、富士通、キヤノン、第一三共、セブン&アイ・ホールディングス、アステラス製薬、大和証券グループ本社です。内容を読むと、リスクの中身は次の5種類に集約されます。

たとえばゆうちょ銀行は「更に、AI活用を推進することにより、ハルシネーション等のAI利用に伴うリスクが発生する可能性があります。」と、ハルシネーションを名指しで書いています。みずほフィナンシャルグループは「しかしながら、急速な技術進化や環境変化に対してこうした取り組みが十分に機能せず、AIが設計通りの挙動をしない、誤った情報を提供してしまうこと等によって、お客さまからの当社グループに対する信頼の毀損や、法令違反による行政処分」と、誤情報を信用の毀損と行政処分に結びつけています。

最も具体的なのは武田薬品工業で、「かかるリスクには、AIの能力の過大評価、AIを活用した意思決定に関する責任所在の不明確さ、AIエージェントとユーザー認証情報またはアクセス権限との不整合、機密情報の意図しない漏えい・誤用、ならびにAIを利用した攻撃、プロンプトインジェクション、敵対的操作等の新たなサイバー脅威が含まれます。」と、AIエージェント特有のリスク(認証情報やアクセス権限との不整合、プロンプトインジェクション)にまで踏み込んでいます。プロンプトインジェクションやAIの悪用に触れた企業は前期0社から最新期6社(三菱UFJフィナンシャル・グループ、ソフトバンクグループ、NTT、武田薬品工業、MS&ADインシュアランスグループホールディングス、大和証券グループ本社)に増え、AIが「使うときのリスク」だけでなく「攻撃される側のリスク」として書かれ始めたのが最新期の変化です。

大企業のAIガバナンスは何で構成されているか

AIガバナンスの取り組みを具体的に書いた企業の記述を分解すると、次の5つの部品に分かれます。

統括組織に言及した企業は5社(日立製作所、ソフトバンク、パナソニックホールディングス、京セラ、セブン&アイ・ホールディングス)です。日立製作所は「かかるリスクへの対応として、当グループは、AIに関する倫理原則及び倫理方針を策定し、当方針のもと設置されたAI統括委員会において、当グループにおけるAIに関するリスクを統制することにより、AIガバナンスに取り組んでいます。」と、原則→委員会→統制という流れを1文で書いています。パナソニックホールディングスは「当連結会計年度においては、顧客課題の解決と内部オペレーションへのAI利活用の加速をグループ横断でリードするポジションとして、グループCAIO(Chief AI Officer)を2026年4月1日付にて新設しました。」と、経営直下の責任者を置いたことを開示しました。

審査・評価の仕組みは、キヤノンが最も細かく書いており、「各国・地域の法規制に加え、倫理的観点も含めたAIリスクを網羅するため、独自のAIリスク評価シートを整備し、公平性、透明性、適正利用、安全性・堅牢性、プライバシー・セキュリティ等の評価項目を設定しております。」と、評価項目まで挙げています。富士通は「具体的には、e-Learning等による定期的な教育、全AIビジネスに関するAI倫理審査を実施しています。」、NTTは「具体的には、過去のAIインシデント事例や政府ガイドライン等に基づきチェックリストを整備し、リスクを分類した上で、各事業会社におけるAIリスクマネジメント責任者がプロジェクトマネージャーと連携し、各AIプロジェクトのリスク評価および対策を検討・実施するAIマネジメントシステムを確立しています。」と、案件単位で点検する仕組みを持っていることが読み取れます。

教育に触れた企業は4社(日立製作所、信越化学工業、SOMPOホールディングス、ENEOSホールディングス)で、前期は0社でした。SOMPOホールディングスは「AIリテラシー習熟を目的とした社内研修を必須化し、AI活用を行う社員の知識の向上およびルールの定着を図っております。」と、研修を任意ではなく必須にしたことを書いています。相談窓口まで書いたのはセブン&アイ・ホールディングスで、「情報漏洩や著作権侵害等の新たなリスクを未然に防ぐために生成AIの利用ガイドラインを作成 また生成AI事務局・生成AIリスク相談窓口を設置し対応体制を構築」という記述です。

AI法規制に触れた企業はどこか

AI法規制に言及した企業は6社から11社に増えました。最新期に書いたのは三菱UFJフィナンシャル・グループ、ソフトバンクグループ、リクルートホールディングス、ソニーグループ、三菱重工業、パナソニックホールディングス、富士通、キヤノン、ダイキン工業、第一三共、アステラス製薬です。

背景には2つの法律があります。EUのAI規制法(EU AI Act)は2024年8月1日に発効し、禁止されるAI利用行為に関する規定が2025年2月2日から、汎用目的AIモデルに関する規定が2025年8月2日から適用され、残りの多くの規定は2026年8月2日から適用されます(国立国会図書館カレントアウェアネスの解説)。日本では「人工知能関連技術の研究開発及び活用の推進に関する法律」(AI推進法)が2025年5月28日に成立、6月4日に公布されました(内閣府のページ)。罰則規定はなく、研究開発と活用の推進を基本とする法律です。

第一三共は「特にEUにおける「EU AI規制法」等の新たな規制への対応が不十分な場合、制裁金や事業活動の制限等が課される可能性があります。」と、制裁金と事業制限を具体的なリスクとして書いています。三菱UFJフィナンシャル・グループは「加えて、国又は地域で異なるAI関連法規制の整備・変更等のような規制環境の不確実性への対応が十分に行えない可能性があります。」と、国・地域で異なる規制環境そのものを不確実性として挙げました。富士通は「AI規制法点検」をAIリスクマネジメントに組み込んだと書いており、法規制は「守るべきもの」から「点検項目」に変わりつつあることが読み取れます。

中小企業はこの結果をどう使うか

有価証券報告書に書かれた大企業のAIガバナンスは、投資家向けの記述です。ただし5つの部品の構造は会社の規模を問いません。中小企業がAI利用ルールを作るときの手順に置き換えると、次の4ステップになります。

1. 方針を1枚にする: 使ってよい生成AIツール(サービス名とプラン)、入力してはいけない情報(個人情報・取引先情報・未公開の経営情報・パスワード)、成果物の扱いを書く。目安はA4で1〜2枚。大企業の「AI倫理原則」に相当する
2. 判断する人を1名決める: 「このデータを入れてよいか」を聞ける相手を決める。委員会は不要で、情報システムか管理部門の担当者1名でよい。大企業の「AI統括委員会」「CAIO」に相当する
3. 社外に出す前の確認を必須にする: AIが作った文書・コード・画像を顧客や取引先に出す前に、人が事実確認と権利確認を行う(ヒューマン・イン・ザ・ループ)。大企業の「AI倫理審査」「AIリスク評価シート」に相当する
4. 30分の説明会と相談先を置く: 全員に方針を説明し、迷ったときの相談先(2の担当者)を明記する。大企業の「AIリテラシー研修の必須化」「生成AIリスク相談窓口」に相当する

この4ステップは、生成AI利用ガイドライン作成ツールの入力項目(適用範囲・許可ツール・機密情報の入力ルール・成果物のレビュー)と同じ順番です。自社の準備状況を先に点数で見たい場合はAI導入準備度診断、個別の業務をAIに任せてよいかの判断はAI業務仕分け診断ツールが使えます。

よくある失敗

• 禁止事項だけのルールにする: 「入力禁止」だけを並べると、現場は使わなくなるか、隠れて使うようになる。大企業の記述も「安全に活用するため」の枠組みとして書かれている。使ってよいツールと使い方を先に書く
• ツール名を書かない: 「生成AI」と総称で書くと、無料版と法人プランの区別がつかない。学習に使われない設定・プランかどうかで許可範囲が変わる。社内データを参照させるRAGの仕組みを入れる場合は、参照してよいデータの範囲も方針に書く
• 確認の手順がない: ハルシネーションは12社が名指しで書くリスク。成果物を社外に出す前の人の確認を手順に入れない限り、方針だけでは防げない
• 有価証券報告書に書いていない=やっていない、と読む: 開示は各社の判断であり、書いていない企業がルールを持っていないわけではない。取引先のAI利用状況は開示文書ではなく直接確認する
• 一度作って見直さない: 法規制は2026年8月のEU AI規制法の本格適用など動き続ける。半年から1年の見直しサイクルを方針に書いておく

数字を誤読しないための4つの注意

1. 言及回数は「取り組みの深さ」ではない。有価証券報告書の記述量や章の書き方は会社ごとに違います。本記事は言及社数と前期からの変化で語り、回数の多寡を優劣として読まないでください。
2. 言及ゼロ=AIガバナンスがない、ではない。有価証券報告書は投資家向けの法定開示書類で、記載するかどうかは各社の開示判断です。社内規程を持っていても書かない企業がほとんどです。
3. 文脈で数えた語がある。「ハルシネーション・誤情報」は、AIの言及の前後60字にある場合だけ数えました(広報上の誤情報や風評の記述を除くため)。「AIリスク」は「AIの活用に伴うリスク」のような言い換えも含めています。
4. 決算期が3月以外の企業が混ざっている。ファーストリテイリング(8月期)、レーザーテック(6月期)、ニデック(提出延期)は、調査時点で提出済みの直近2期分を使用しています。前回のAI調査とまったく同じ文書を対象にしているため、2つの調査は相互に参照できます。

調査概要

• 調査主体: Digital Sales編集部による自社調査
• 調査対象: 国内上場企業の時価総額上位100社(2026年9月1日終値時点、Yahoo!ファイナンス時価総額ランキングに基づく)
• 対象文書: 各社が金融庁の開示システムEDINETに提出した直近2期分の有価証券報告書のうち「経営方針、経営環境及び対処すべき課題等」「事業等のリスク」「サステナビリティに関する考え方及び取組」の記述(計200文書)
• 調査時期: 2026年9月
• 前回調査との関係: 対象企業・対象文書・章は「有価証券報告書のAI言及調査2026」「顧客・営業語彙調査2026」と同一です。引用文は開示文書の記述を全角半角の正規化のみ行って転記しています
• 調査方法: 開示データから対象の章を抽出し、AIガバナンスに関わるキーワード9種類の出現回数と言及企業数を集計。全角半角・大文字小文字の表記ゆれは正規化し、「責任あるAI」「Responsible AI」のような同義の言い換えは1語にまとめています。「ハルシネーション・誤情報」のみAIの言及の前後60字にある場合に限定して数えました

AIのルール整備に触れた35社の一覧(語数順)

最新期に9種類のいずれかの語を使った35社です。語数は9種類のうち何種類を使ったか。「(新規)」は前期に一度も使っていなかった企業です。3種類以上を使った企業は15社でした。

引用・転載について

本調査の数値・グラフは、出典として「Digital Sales編集部調べ」と明記し、本記事へのリンクを設置いただければ自由にご利用いただけます。メディア・社内資料・提案資料のいずれも事前連絡は不要です。