企業のAI活用成熟度を5段階で診断｜証拠・評価式・改善順序

企業のAI活用成熟度は、AIの利用者数ではなく、会社がAIを選び、評価し、止め、費用対効果を説明できるかを診断します。 本稿の5段階は社内改善用の編集部モデルです。六つの領域を証拠で採点し、最も弱い領域を次の90日計画へ変換します。

この5段階はAI運用能力を測る社内尺度

成熟度診断の目的は、他社より上に見せることではありません。AI案件を増やしても、利用目的、投入データ、品質基準、停止権限、総費用が追えなければ、事故や重複投資も増えます。診断では「何件導入したか」ではなく、経営と現場が同じ証拠を使って継続・是正・停止を決められる状態を測ります。

独立行政法人情報処理推進機構（IPA）の「DX推進指標 自己診断結果 分析レポート（2025年版）」は、DX推進指標の35項目をレベル0から5までの6段階で扱います。掲載ページは2025年7月31日公開、集計方法の修正を反映して2026年6月10日に更新されています^[1]。本稿はその公式指標を5段階へ変換したものではなく、AI案件の運営に絞って編集部が設計した別の尺度です。

段階名も点数も、認証、法令適合、製品安全性を保証しません。取締役会向けの状況整理、部門間の課題比較、次の四半期に投資する統制の選定へ使います。社外公表や取引条件に用いる場合は、評価対象、証拠日、評価者、除外範囲、利害関係を併記し、自己採点を第三者保証のように表示しないでください。

高い段階を宣言するより、どの証拠が足りず、誰がいつ補うかを合意できる診断の方が経営に役立ちます。

診断対象と証拠の期間を先に固定する

「当社のAI成熟度」という一行では母集団が曖昧です。国内法人だけか海外子会社も含むか、生成AIだけか予測・画像認識も含むか、従業員の任意利用を含むかを決めます。初回は、会社が費用を負担するAI、業務データを処理するAI、顧客や従業員への結果に使うAIを対象にすると実態を捉えやすくなります。

対象案件の一覧が存在しない場合、診断前に二週間の棚卸しを行います。経費、シングルサインオン、クラウド利用、APIキー、調達契約、部門アンケートを照合し、名称が異なる同一サービスをまとめます。未申告利用をゼロと仮定せず、「確認できた47件、所有者不明6件」のように不確実性を母数へ残します。

買収直後や大規模な組織再編中は、一つの全社段階へまとめると誤解が生じます。その場合は法人・事業単位で先に評価し、共通基盤と個別運用を分けます。証拠期間に本番案件が一件もない組織は、運用や事故対応を高段階と判定せず、「未観測」として検証計画を作ります。

成熟度を五つの到達状態で判定する

各段階は活動量ではなく、再現できる状態で定義します。研修を一度実施した、規程を発行した、担当役員を置いたという単独の事実では到達としません。前段階の条件を維持したうえで、複数案件の証拠がそろった最上位を採用します。

段階2の会社が本番AIを一件動かしていることはあり得ます。しかし、変更後の再評価や事故停止が属人的なら、件数を理由に段階3へ上げません。逆に小規模企業でも、全案件の責任、データ、評価、費用を追え、変更と停止を再現できれば標準運用へ到達できます。社員数や売上規模を段階条件にしない考え方です。

段階5は「全業務をAI化した状態」ではありません。人だけで処理する業務や廃止したAIがあっても、理由と結果を説明できれば成熟しています。AIを使わない選択を失敗扱いにすると、便益の乏しい案件が残り、利用件数だけが増えるためです。

六領域を別々に評価して弱点を残す

NIST「Artificial Intelligence Risk Management Framework 1.0（NIST AI 100-1）」は、2023年1月26日に公開されました。GOVERN、MAP、MEASURE、MANAGEの四機能でAIリスク管理を整理しています^[2]。本稿ではこの考え方を参照しつつ、企業の投資と運用を診断できるよう、戦略、人と承認、データと契約、基盤と運用、評価と安全、価値と費用の六領域へ分けます。

Japan AISI「AIセーフティに関する評価観点ガイド（第1.10版）」は2025年3月28日公表で、AIシステムの開発者・提供者が評価を行う際の基本的な考え方と評価項目例を示しています^[3]。評価・安全領域では、精度一項目にまとめず、偽誤情報、有害情報、プライバシー、公平性、セキュリティなど、用途に関係する観点を選びます。

六領域の重みは目的によって変えられます。ただし顧客へ自動出力する用途で、評価・安全の比重を費用より低くするなら理由が必要です。後述の架空例では、評価・安全25％、残る五領域15％とし、合計100％にします。重みは結果を見てから変更せず、診断開始時に承認します。

総合段階は最低領域で決める

段階1から5は順序尺度であり、1と2の差が4と5の差と同じとは限りません。小数点付き平均を精密な測定値のように扱うと、評価・安全が1でも、他領域の高得点で隠れます。そのため正式な総合段階は、六領域のうち最も低い段階とします。組織が全領域で満たした到達状態だけを名乗る方式です。

領域段階 = その領域で前段階を含む必須証拠が全てそろった最上位
総合段階 = min（戦略, 人, データ, 基盤, 評価安全, 価値費用）
参考加重値 = Σ（領域段階 × 事前承認した重み）÷ 100
改善優先指数 = （目標段階 - 現在段階）× 影響度 × 重み ÷ 必要人日

参考加重値は、同じ会社の前回結果との変化や改善候補の並べ替えにだけ用います。企業間ランキング、認証表示、投資家向けの精密比較には向きません。目標段階3に対して、戦略3、人2、データ3、基盤2、評価2、価値3なら、参考値が2を超えても総合は段階2です。

さらに必須停止条件を置きます。高影響案件に最終責任者がいない、機密データの送信先を特定できない、重大事故時に止められない、といういずれかがあれば総合段階を2以下に制限します。この上限は平均点で解除しません。問題の案件を停止するか、責任・データフロー・停止手順を証拠で補ってから再判定します。

改善優先指数は工数配分の仮置きであり、数値が高い施策を自動採用する式ではありません。法令、契約、重大な人権影響に関する是正は指数に関係なく先に行います。必要人日は担当者の空き時間ではなく、会議、設計、試験、教育、移行を含む実行見積もりにします。

台帳・ログ・評価結果から証拠を採る

自己評価票への「できている」という回答だけでは、運用の再現性を確かめられません。方針などの設計証拠、承認・変更・事故などの実施証拠、評価・費用・便益などの結果証拠を組み合わせます。文書が存在しても、対象案件で使われた記録がなければ一段下として扱うか、未観測とします。

ISO/IEC 42001:2023はAIマネジメントシステムの確立、実施、維持、継続的改善に関する要求事項を示す国際規格で、ISO公式ページでは2023年12月発行の第1版とされています^[4]。本稿の診断は認証審査ではありませんが、方針だけで終わらず実施と改善の証拠まで見る考え方を取り入れています。

証拠ごとに作成者、承認者、対象期間、保管場所、案件IDを記録します。会議で口頭確認した事項は、議事録に発言だけでなく採否と期限を残します。個人情報やセキュリティ資料を診断チームへ無制限に複製せず、必要な属性だけを閲覧できる権限と保持期限も設けます。

購入したばかりで90日の実績がないサービスは、設計証拠と試験結果を評価し、運用部分は「未観測」とします。未観測を不合格と同じ色で扱うと、必要な運用試験が分かりにくくなります。診断表では到達、未到達、未観測、対象外の四状態を文字で区別します。

評価者間の判定差を校正する

業務部門は便益を重く見て、IT部門は基盤の標準化を重く見るため、同じ証拠でも段階がずれます。診断開始前に架空案件を一件採点し、段階2と3の境界を話し合います。評価者へ答えをそろえるのではなく、どの証拠なら段階が変わるかを確認する作業です。

本番診断は、領域担当が一次判定し、内部監査または対象部門から独立した担当が抽出案件の20％を二次判定します。二者の差が一段を超える項目が一つでもある、または完全一致が80％未満なら、表現と証拠条件を修正して該当領域を再採点します。20％と80％は編集部の運用例で、公式基準ではありません。

経営スポンサーは自ら担当する戦略領域の採点を単独で確定しません。評価対象を運営するAI推進室も、自部門の成果に利害があります。証拠の真正性は情報システムや内部監査が確認し、最終段階は業務、IT、安全、財務の複数者で承認します。

前回より段階が下がっても、直ちに失敗とは限りません。棚卸し範囲を広げて未管理案件を発見した、新しい事故を正しく記録した、評価基準を具体化した場合は、可視性が上がった結果です。比較表には段階差だけでなく、母集団と基準変更を併記します。

架空企業47案件の診断を計算する

以下は、国内4部門でAI案件47件を確認した架空のBtoBサービス会社の例です。47件のうち本番12件、検証21件、休止9件、廃止予定5件で、顧客へ結果を示す案件は5件でした。実在企業の測定結果ではなく、式と意思決定のつながりを示す想定です。

参考加重値は、3×15％＋2×15％＋3×15％＋2×15％＋2×25％＋3×15％＝2.45です。しかし総合段階は最低領域に合わせて2とします。小数2.45を四捨五入して段階2としたのではなく、人、基盤、評価の必須証拠が段階3へ届いていないためです。

目標を半年後の段階3とすると、三つの不足領域が候補になります。影響度を1から3、必要工数を人日で置く架空の優先指数は、人・承認が（3－2）×3×15÷10＝4.5、評価・安全が（3－2）×3×25÷20＝3.75、基盤・運用が（3－2）×2×15÷15＝2.0です。そこで代理承認者の整備を最初に行い、並行して回帰評価を設計します。

ただし、復旧できない障害がすでに発生しているなら、指数2.0でも基盤を先に直します。計算は議論の入口であり、事故や契約期限を上書きしません。診断会議では、指数、重大性、期限、依存関係の四点を一行で並べ、例外的な優先変更には理由を残します。

差分を90日の改善順序へ変える

診断書を配布して終えると、次回も同じ不足が残ります。改善項目は「規程を強化する」のような抽象語ではなく、成果物、責任者、期限、完了証拠へ変えます。段階を一度に二つ上げる計画ではなく、最弱領域が次段階へ到達する最小の運用単位を選びます。

一つの改善が複数領域に効く場合も、責任を混ぜません。固定評価セットは評価責任者が期待結果を管理し、基盤担当が自動実行し、業務責任者が本番反映を承認します。共有ツールを導入しただけで、人・評価・運用の三領域が同時に上がるわけではありません。

90日で段階が上がらなくても、証拠が作られ、未管理件数が減り、事故対応時間が改善すれば進捗です。逆に研修参加者が1,000人へ増えても、本番12件の停止責任が空欄なら成熟条件は変わりません。活動KPIと到達判定を別の列に置きます。

全社平均で部門差と高影響用途を隠さない

営業が段階4、管理部門が段階1でも、平均2.5という表示ではどこへ投資すべきか分かりません。会社全体、部門、案件影響度の三層で結果を出します。共通基盤は全社領域、承認と便益は部門領域、評価とデータは案件別の最小値を確認します。

採用、与信、医療、安全、従業員評価など、誤りが人の機会や権利へ大きく影響する用途は、全社が段階4でも個別に厳しく見ます。人による最終確認があるだけでは十分とは限りません。確認者が判断を覆せる情報、時間、権限を持つか、異議申立てと救済が動くかを証拠にします。

新設部門が段階1でも、直ちに全社を段階1へ落とすかはスコープ次第です。まだAIを扱わず、導入前の受付統制に従っているなら「対象案件なし」と区別できます。一方、未申告の顧客向けAIを動かしているなら、全社統制の重大な欠陥として戦略・人・データの判定へ反映します。

点数を上げるだけの運用を防ぐ

成熟度目標を役員報酬や部門評価へ直結させると、休止案件を台帳から消す、事故を軽微扱いにする、証拠がある案件だけを抽出するといった行動を誘発します。評価者は前回の母集団、廃止・追加件数、未申告発見数を突合し、数値改善と範囲縮小を分けます。

この診断が向かないのは、単一の小規模検証について二週間後の採否だけを決めたい場合です。その用途には、目的、代表ケース、情報区分、費用上限、停止条件を確認する案件チェックリストの方が速く、全社成熟度を採る必要はありません。また、法的適合性や会計統制の保証は、担当専門家による別の評価が必要です。

段階を上げるために全案件へ同じ重い審査を課すのも避けます。公開情報の社内文章補助と、顧客の契約可否を自動提案する仕組みでは影響が違います。共通する最低統制を定めたうえで、高影響案件だけ評価ケース、独立確認、異議対応を厚くします。

再診断の役割と発動条件を決める

経済産業省・総務省「AI事業者ガイドライン（第1.2版）」は2026年3月31日公表で、掲載ページは同年4月1日に更新されています^[5]。同ガイドラインはAIガバナンスを継続的に見直す考え方を示します。本稿の診断も年一回の表彰ではなく、組織・用途・供給者の変化を管理する周期へ組み込みます。

定期診断は半年ごとを例とし、重大事故、買収、新しい高影響用途、主要モデルまたは供給者の変更、AI関連費の四半期20％超増加があれば臨時診断を発動します。20％は架空の社内閾値であり、事業規模や予算変動に合わせて決めます。変更と無関係な六領域まで毎回全件再調査せず、影響範囲と必須上限を優先します。

再診断では、前回課題の完了証拠、追加・廃止案件、事故、費用差、基準変更を最初に確認します。段階5へ到達した組織も免除しません。高段階ほど、共通基盤の障害や誤った標準が多くの案件へ同時波及するため、シナリオ演習と独立確認の重要性が増します。

次に取る行動：診断記録を投資判断へ渡す

完成物は段階を示す一枚の図ではなく、対象一覧、領域別証拠、判定差、必須上限、改善施策を結びつけた記録です。次は前述の架空企業が承認会議へ出す要約例です。実在の制度や監査意見ではありません。

診断基準日: 2026-07-15
対象: 国内4部門、確認済みAI案件47件
総合段階: 2（制御検証）
参考加重値: 2.45
最低領域: 人・承認、基盤・運用、評価・安全
必須上限: 該当なし
90日投資: 代理承認、固定200ケース、変更回帰、復旧演習
予算: 社内65人日、外部評価240万円（いずれも想定）
保留: 海外処理の変更通知を法務が5契約で確認
再判定日: 2026-10-20
承認: 業務、IT、安全、財務の各責任者

投資会議では、段階を一つ上げる費用だけでなく、上げない場合の事故、手戻り、機会損失も示します。段階4の共通基盤へ先行投資しても、本番案件が二件だけなら回収できない場合があります。反対に顧客向け案件が急増しているなら、個別審査を増員するより共通の評価・監視基盤が合理的です。

診断結果から案件を止めることも正当な改善です。所有者不明、便益未測定、契約期限切れの三条件が重なる検証は、新しい証拠がそろうまで休止します。浮いた予算と担当時間を最弱領域へ振り替えた記録があれば、案件数の減少を成熟度の低下と誤認しません。

着手時は、直近90日のAI案件を棚卸しし、六領域から各一人の評価者を指名します。最初の会議で目標段階と重みを決め、結果を見てから採点条件を変えないことが重要です。二週間後に証拠不足の一覧をスポンサーへ返し、90日以内に再現できる改善だけを予算化します。

参考文献・出典

1. 独立行政法人情報処理推進機構（IPA）「DX推進指標 自己診断結果 分析レポート（2025年版）」掲載ページ、2025年7月31日公開、2026年6月10日最終更新（集計方法修正版へ差替え）。https://www.ipa.go.jp/digital/dx-suishin/bunseki-report.html（2026年7月30日閲覧）
2. National Institute of Standards and Technology, “Artificial Intelligence Risk Management Framework (AI RMF 1.0), NIST AI 100-1,” 2023-01-26. https://www.nist.gov/itl/ai-risk-management-framework（2026年7月30日閲覧）
3. AIセーフティ・インスティテュート「AIセーフティに関する評価観点ガイド（第1.10版）」2025年3月28日公表。https://aisi.go.jp/output/output_information/250328_1/（2026年7月30日閲覧）
4. International Organization for Standardization, “ISO/IEC 42001:2023 Information technology — Artificial intelligence — Management system,” Edition 1, 2023-12. https://www.iso.org/standard/42001（2026年7月30日閲覧）
5. 経済産業省・総務省「AI事業者ガイドライン（第1.2版）」2026年3月31日公表、掲載ページ2026年4月1日更新。https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html（2026年7月30日閲覧）

本稿の段階、重み、抽出率、判定閾値、架空企業の件数・費用は、社内診断の設計例です。各組織の法的義務、契約、事業影響に合わせて調整してください。