DIGILAB WHITE PAPER / No.04

美容事業者のためのAIガバナンス

誰が任せ、何を確かめ、どう見直すか。

一般社団法人デジラボビューティ
公開日：2026-10-25 ／ 情報基準日：2026-10-07

本書の目的

AIを仕事に取り入れるとき、最初に決めたいのは、誰がどの業務を任せ、何を確認して利用を続けるかです。サービスを契約した担当者、日々使うスタッフ、顧客からの相談を受ける責任者が別々であれば、利用ルールを作るだけでは管理が行き届きません。

本書は、美容サロン、美容関連企業、教育事業者の経営者と導入担当者に向けて、AIの利用目的、責任分担、データ、外部事業者、運用後の見直しを一つの管理手順として整理します。小規模な店舗でも、AIごとの利用台帳と責任者を定め、影響の大きい用途から確認を始められる構成です。

公表資料の紹介に続き、美容業界への適用範囲を検討し、一般社団法人デジラボビューティの提案を示します。第4章以降の管理手順と付録は、美容業務に合わせて編集した提案です。政府が美容業界に一律に義務付けた手順でも、当法人や読者の組織で実施済みの制度でもありません。

情報基準日は2026年10月7日、改訂日は2026年10月13日です。今回の改訂では、CAIOに関する参照を3月公開の正式版へ更新しました。公表資料の説明と当法人の提案を区別し、会議の口頭説明や討論の発言は再構成していません。

本書を読んだ後に作るものは、AI利用台帳、責任分担表、利用条件、変更履歴の4点です。詳しい導入評価は白書No.5、異常時の対応は白書No.6に接続します。No.2の評価概論、No.3の開発と運用責任を、組織の日常管理へ具体化する位置付けです。

1 公表資料をどう位置付けるか

2026年7月14日閣議決定の人工知能基本計画は、AIの利活用、開発、ガバナンス、社会の変革を扱います。AIの信頼性を高めるため、制度、技術、組織管理を組み合わせる方向性を示しています。[G1] この政府の方針から、個々の美容サロンの承認手順や合格点が直接決まるわけではありません。

総務省・経済産業省は、2026年3月31日にAI事業者ガイドライン第1.2版を公表し、本編のほかチェックリストとワークシートを提供しています。[G2] これらを参照する際は、法律、契約、ガイドライン、自社ルールを分けて管理します。個人情報の取扱いなどの法令上の確認を、ガイドラインのチェックだけで済ませることはできません。

表は資料の用途を整理したもので、法的な優先順位を網羅するものではありません。適用法令や契約上の義務がある場合は、その確認を別に行います。

なお、本書作成時にはG2の公式掲載情報と添付資料の構成を確認しましたが、第1.2版本編PDFの直接取得はできませんでした。本書は同版の細かな文言を引用せず、管理の具体策は当法人の提案として記載しています。

2 AISIの動向から美容業界が考えること

AISI事業実証ワーキンググループのビジョンペーパー第2.0版は、2026年10月6日に公表されました。ヘルスケア、ロボティクス、教育、ジオAIの各分野と、データ品質、適合性評価という分野横断の論点を扱っています。[G3] 美容分野の共通認証制度が完成したことを意味する資料ではありません。

美容事業者への示唆は、同じAIでも使う場面によって評価条件が変わることです。社内文書の下書きと、顧客に施術の適否を案内する機能では、誤りを見つける人、訂正できる時点、顧客への影響が異なります。医療や教育の資料にある条件を、そのまま美容の合格基準として流用することも適切ではありません。

AISIの評価観点ガイド第1.20版は、AIエージェントの「観測と制御」を加えています。[G4] 予約や顧客管理システムにつながるAIでは、回答内容だけでなく、実行した操作を確認できることが管理上の論点になります。本書では、この考え方を、利用台帳に「接続先」「操作権限」「承認方法」「停止方法」を記録する提案につなげます。

これらは想定例です。特定サービスの欠陥や、実在の美容事業者の事故を示すものではありません。

3 自社の役割と管理できる範囲を確かめる

市販のAIサービスを使う店舗と、独自のAIサービスを顧客へ提供する企業では、確認できる情報と管理できる範囲が異なります。AIの利用・開発に関する経済産業省の契約チェックリストは、開発者、提供者、利用者を区別し、システムを受け取る形態とサービスを利用する形態も整理しています。[G5]

まず、自社が「何を作るか」「誰に提供するか」「何を設定できるか」を書き出します。自社のマニュアルを読み込ませる場合は、そのマニュアルの正しさを自社で管理できます。一方、基盤モデルの学習データのすべてを、通常のサービス利用者が点検できるとは限りません。確認できない事項は、提供者への照会、契約情報、利用制限で補います。

事業者の区分は、名称ではなく実際の役割で判断する必要があります。本表は分類を法的に確定するものではありません。開発や提供を兼ねる可能性がある場合は、契約先と役割を整理したうえで、適切な専門家に確認します。

本書の提案は、確認不能な事項を「問題なし」に置き換えないことです。業務上不可欠な条件が未確認なら、入力する情報を絞る、顧客への自動送信を外す、利用開始を保留するなど、実行可能な条件に変更します。

4 AI利用台帳を作る

以下はデジラボの提案です。台帳は製品名の一覧ではなく、業務でAIをどう使うかの一覧にします。同じ製品でも、社内の文章作成と顧客対応は別の利用として記録します。逆に、予約受付の一つの業務で複数サービスがつながる場合は、その関係が分かるようにします。

台帳作成の担当者は、契約一覧だけでなく、現場の利用実態も確認します。個人アカウントでの利用や、既存ソフトへ追加されたAI機能が見落とされるためです。申告したスタッフを責める運用にすると実態を把握しにくくなります。まず利用目的とデータを確認し、継続条件を決めます。

最初からすべての技術情報を埋める必要はありません。ただし、責任者、顧客情報を入れるか、外部へ操作できるか、止め方の4点が不明なまま顧客業務へ広げることは避けます。空欄には「未確認」と書き、確認先と期限を付けます。

廃止したAIも、関連する判断記録の参照先を残して「終了」に変更します。契約解除、アカウント削除、接続解除、保管データの処理を、それぞれ確認してから終了とします。

5 影響に応じて利用条件を変える

以下の区分は当法人の運用提案であり、法律やAISIの公式リスク分類ではありません。利用を検討する際は、影響の大きさ、対象者の範囲、取り消しやすさ、誤りの発見しやすさ、扱う情報を組み合わせます。数字を掛け合わせた合計だけで判断すると、低頻度でも重大な影響を持つ事象を見落とすことがあります。

たとえば予約案の作成だけなら、確定操作はスタッフが行えます。AIへ予約変更権限を追加する場合は、本人確認、重複処理の防止、誤変更の復旧を別に評価します。「以前から使っているAIだから」という理由で、新しい権限を自動的に承認しません。

画像や身体情報を扱う用途は、文字の回答精度だけでは評価できません。撮影条件、対象者の偏り、誤った推定が顧客の判断へ与える影響を確認します。医療に関わる判断や身体へ作用する機器の制御などは、本書の一般的な管理案だけで適否を決める範囲を超えます。

リスクを下げるための確認作業が大きく、得られる効果が小さい場合は、人の作業や通常の予約システムを維持する選択も合理的です。利用件数の拡大を管理の成功指標にしないことが重要です。

6 責任者と確認者を決める

AISIが2026年3月17日に公開したChief AI Officerガイドは、AI活用を横断的に管理する役割を扱っています。ガイドブックVersion 1.00の表紙日付は3月1日で、法的拘束力を持つ文書ではないとされています。[G6] 小規模な美容事業者では、必要な役割を既存の責任者へ割り当てる方法を本書では提案します。

以下は当法人の責任分担案です。最終判断、現場確認、技術設定、顧客対応の担当を明示します。同じ人が複数の役割を担う場合にも、どの立場で何を判断したかを記録します。責任者が不在の時間帯は、代行者か利用を限定する条件を決めます。

確認者には、AIの出力を拒否し、修正し、利用を止める権限と時間が必要です。画面上の承認ボタンだけを設けても、根拠資料を見られず、処理量が多すぎれば、確認の実効性はありません。

美容の専門知識とAIの設定に関する知識は別の能力です。施術や商品説明の内容は業務担当者が確認し、接続や権限は設定担当者が確認するなど、確認する理由に合わせて役割を分けます。

7 データと外部事業者を管理する

個人情報保護委員会は、生成AIへ情報を入力する際、利用目的や提供者による学習利用などを確認するよう注意喚起しています。[G7] 「有料プラン」「法人向け」「国内サービス」といった名称だけで、入力できる情報を決めないことが大切です。

当法人は、データを入力前、利用中、終了時に分けて確認することを提案します。入力前には、その情報が業務上必要かを確かめます。利用中には、保存先、閲覧者、検索に使う資料の版を把握します。終了時には、利用停止とデータ削除を別々に確認します。

顧客の施術履歴や相談内容を、必要性を確認せず評価用データへ転用しません。氏名を消しても、写真や自由記述から個人を特定できる場合があります。初期評価には架空の顧客情報を使い、実データが必要な場合は利用目的、取扱いの根拠、アクセス制限を個別に確認します。

また、問い合わせ窓口の存在と、緊急時に必要な情報が得られることは別です。契約前又は試行期間中に、実際に問い合わせを行い、誰が何を返すかを確かめる方法が有効です。秘密情報を一般公開の不具合報告欄へ投稿しない運用も決めます。

8 更新と例外を放置しない

AIの管理は、導入時の書類で終わりません。モデル、検索資料、料金表、接続先、利用規約、スタッフの担当が変われば、以前の評価の前提が変わることがあります。更新を知らずに同じ承認を使い続けないため、変更を受け付ける窓口と台帳を用意します。

当法人の提案では、変更を「表示や軽微な修正」「回答に影響する変更」「権限や対象者を変える変更」に分けます。分類名だけで自動判定せず、顧客への影響を確認して、No.5の再評価につなげます。

例外的に利用を認める場合は、対象、理由、補う対策、承認者、有効期限を記録します。期限のない例外は、実質的な通常運用になりやすいためです。ただし、本書の例外手続で、法令や契約の禁止事項を解除できるものではありません。

緊急停止時には、事前に決めた担当者が被害拡大を防ぐ操作を行い、責任者へ報告します。停止の承認を待つ仕組みが危険を長引かせないよう、通常の変更承認と緊急対応を分けます。再開はNo.6の条件に沿って別に判断します。

9 小規模な組織で運用を始める

管理に使える時間が限られる場合、最初に全社共通の大きな規程を完成させようとするより、顧客への影響がある一つの業務で管理を試す方法を提案します。対象業務を限定すれば、確認にかかる時間や提供者との連絡の難しさを把握できます。

第1段階では、現在の利用を台帳に集めます。第2段階では、優先する用途について、利用条件と責任者を決めます。第3段階では、架空データによる試行で誤回答、停止、引継ぎを確かめます。第4段階では、実際の運用負担を踏まえて利用範囲を判断します。期間は事業者が定め、未確認の重要条件が残る場合は日程に合わせて開始しません。

確認負担が効果を上回る場合は、用途の縮小や従来手段への復帰を選べます。反対に、限定した範囲で効果と管理方法が確認できれば、その証拠を使って次の用途を検討できます。

責任者は、許可した用途、未解決事項、停止中の用途を定期的に確認します。定期確認だけでなく、仕様変更や顧客への影響が分かった時点でも見直します。ここで決めた利用条件をNo.5の評価要件に渡し、No.6で得た事故やヒヤリハットの情報を台帳へ戻します。

10 デジラボが提案する共通の管理項目

当法人が美容業界向けに提案するのは、製品の優劣を一律に決める仕組みではなく、各事業者が自分の利用条件を説明できる状態です。少なくとも、目的、データ、責任者、権限、評価結果、停止方法、変更履歴を一つの業務単位で結び付けます。

共通様式を使う利点は、店舗間や提供者との対話で確認漏れを減らせることです。一方、同じ様式を埋めたことだけを安全性の証明にすると、実際のリスクが隠れます。記入内容を裏付ける資料や操作結果を確認し、用途による違いを残す必要があります。

業界で事例を共有する場合は、顧客情報や契約上の秘密を除き、「どの条件で何が起き、どの対策を試し、何が残ったか」を中心にします。実際の被害が確認された事案と、試験で見つけた問題、仮想の検討例を分けます。事例の件数を、美容業界全体の事故率として扱わないことも必要です。

また、サービスの紹介や協賛と、評価結果や認証の判断は分けます。取引関係が評価へ与える影響を管理しなければ、利用者が判断の根拠を理解できなくなるためです。これは本書の運用提案であり、新しい認証制度の開始や、特定製品の認定を告知するものではありません。

当面の到達点は、次の質問へ記録をもって答えられることです。

・このAIを使う業務と、使わない業務は何か。

・誰のどの情報を、どこへ渡しているか。

・誰が何を確認し、何を根拠に開始を決めたか。

・利用条件が変わったとき、誰が評価し直すか。

・問題が起きたとき、誰が止め、どう顧客対応へつなぐか。

先に整備するもの

経営又は事業責任者が対象業務を一つ選び、付録の台帳を業務担当者と記入します。未確認の項目には担当と確認日を設定します。そのうえで、No.5の評価記録票を用いて試行し、開始判断の理由を残すことを提案します。

付録A AI利用台帳の記入様式

以下はデジラボ提案の様式です。1業務につき1件を作り、未確認は未確認と記入します。説明を短くするために、重要な利用条件を省かないでください。

記入例は「店舗FAQ／承認済みの料金表だけを参照／顧客情報を入力しない／予約変更権限なし／回答をスタッフが確認」のように、利用範囲が分かる形にします。台帳へパスワード、APIキー、顧客の実データは記載しません。

付録B 管理の確認票

各項目を「確認済み／未確認／該当なし」で記録し、根拠と担当者を添えます。「該当なし」にも理由を残します。合計点による認証や法令適合の判定には使いません。

判断の記録

対象業務 ＿＿＿＿＿＿＿＿　判断日 ＿＿＿＿＿＿＿＿

判断者 ＿＿＿＿＿＿＿＿　次回確認日 ＿＿＿＿＿＿＿＿

利用条件 ＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿

未解決事項と対応担当 ＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿

再評価が必要になる変更 ＿＿＿＿＿＿＿＿＿＿＿＿＿＿

出典と資料の扱い

初稿の資料確認日は2026年10月7日です。G6は10月13日に正式公開版の本文を再確認して差し替えました。本文中の角括弧はこの一覧に対応します。公表主体の説明と本書の提案を区別してください。

[G1] 内閣府『人工知能基本計画』2026年7月14日閣議決定。第1章、第3章第3節を参照。政府方針の位置付けに使用。

https://www8.cao.go.jp/cstp/ai/ai_plan/ai_plan.html

[G2] 総務省・経済産業省『AI事業者ガイドライン 第1.2版』2026年3月31日。公式掲載ページで版、日付、資料構成を確認。本編PDFは直接取得できず、詳細条項の引用には使用していません。

https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html

[G3] AISI『AISI事業実証ワーキンググループ・ビジョンペーパー 第2.0版』2026年10月6日。第0章、第2章、各SWGの構成を参照。分野別の評価の方向性に使用。

https://aisi.go.jp/output/output_information/261006/

[G4] AISI『AIセーフティに関する評価観点ガイド 第1.20版』2026年7月7日。第3.11節、第4章、第5章を参照。

https://aisi.go.jp/assets/pdf/ai_safety_eval_v1.20_ja.pdf

[G5] 経済産業省『AIの利用・開発に関する契約チェックリスト』第2章の事業者区分と利用形態を参照。公開検索で確認できた本文部分に限定して使用。

https://www.meti.go.jp/press/2024/02/20250218003/20250218003-a.pdf

[G6] AISI『Chief AI Officerガイドブック』Version 1.00。2026年3月17日公開、表紙日付3月1日。第1〜3章の目的、位置付け、役割と責任を参照。2月5日公表の案から正式公開版へ更新。

https://aisi.go.jp/output/output_framework/260317/

[G7] 個人情報保護委員会『生成AIサービスの利用に関する注意喚起等について』2023年6月2日。入力情報と学習利用等の注意事項を参照。

https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/

会議写真は初稿の論点整理に使用しました。本稿の対外的な事実説明は上記の公表資料に基づきます。写真の転載、口頭発言の推定、会議出席を公的承認とみなす記載は行っていません。

「AIガバナンスの基準」に該当する特定の追加文書は確定できていないため、本書では上記資料を明示して扱いました。新たな文書の正式名称が確認された場合は、適用範囲と既存記述への影響を確認して改訂します。

お問い合わせ・訂正のご連絡 →