C認証（AI Governance Core Certification）とは？企業が取得するメリットと仕組みをわかりやすく解説

会社でChatGPTやCopilotを使う人が増えています。

すると、「誰が何のAIを使っているのか」「機密情報を入力していないか」といった問題も出てきます。

さらに困るのが、AIが間違えたときです。

そのとき、会社の中で誰が判断し、誰が責任を持つのでしょうか。

こうしたAIの管理体制を第三者が確認する制度として、2026年8月に一般申請が始まったのが、日本ディープラーニング協会（JDLA）の「C認証」です。

正式名称は「AI Governance Core Certification」。AIガバナンスに関する第三者認証制度です。

ただし、ここで素朴な疑問が出てきます。

C認証は、法律で義務付けられているわけではありません。

しかも、取得には費用も手間もかかります。

それでも、なぜ企業はわざわざC認証を取得するのでしょうか。

この記事では、C認証の仕組み、審査の考え方、費用を整理します。

さらに、先行して認証を取得した9法人がなぜ取得したのか、米国など海外に似た仕組みがあるのかまで見ていきます。

記事の最後には、C認証を取得する予定がなくても使える「AIガバナンス自主点検テンプレート」も用意しました。

「自社では何から整理すればよいのか」を実際に確認したい場合に使えます。

情報は2026年9月8日時点で確認したものです。

C認証とは何か

C認証は、一般社団法人日本ディープラーニング協会（JDLA）が運営する第三者認証制度です。

2026年8月4日に、一般申請の受付が始まりました。

認証のテーマはAIガバナンスです。

「ガバナンス」と聞くと難しそうですが、考え方はそれほど複雑ではありません。

AIガバナンスとは、会社がAIを安全かつ適切に使うために、ルールや責任者を決め、リスクを把握して管理する仕組みのことです。

例えば、会社でChatGPTを使う場合を考えてみましょう。

「機密情報を入力しない」というルールを作るだけではなく、誰が利用を認めるのか、問題が起きたら誰へ相談するのかまで決めておく。

これもAIガバナンスの一部です。

第三者認証とは？

第三者認証とは、会社が自分で「うちはきちんとしています」と宣言するだけの仕組みではありません。

外部の組織が、一定の基準に照らして管理体制を確認します。

ただし、C認証で確認されるのはChatGPTそのものではありません。

認証対象は、会社としてAIを管理・運用する仕組みです。

つまり、AIを開発している会社だけの制度ではありません。

ChatGPTや生成AIを仕事で利用している一般企業や自治体も対象になります。

C認証は法律で取らなければならないのか

ここは重要です。

C認証は、法律で取得を義務付けられた認証ではありません。

2026年9月8日時点で、C認証を取らないことで罰則を受ける制度も確認できません。

C認証は政府の免許ではなく、JDLA独自の認証制度です。

日本には「人工知能関連技術の研究開発及び活用の推進に関する法律」、いわゆるAI法があります。

しかし、この法律が企業にC認証の取得を義務付けているわけではありません。

だからといって、「AIなら何をしてもよい」という意味でもありません。

個人情報、著作権、営業秘密、契約、情報セキュリティなど、既存の法律やルールはAIを使う場合にも関係します。

C認証では何を審査するのか

JDLAが示しているC認証の中心は、次の4項目です。

中でも分かりにくいのが、リスクアセスメントでしょう。

簡単にいえば、「問題が起きる前に、何が起きそうか考えておくこと」です。

さらに、「もし起きたら、どれくらい困るのか」まで考えます。

例えば会社が社員に、次のように通知したとします。

「機密情報をChatGPTに入力してはいけません」

これは大切な対策です。

しかし、会社全体を管理するなら、それだけでは足りません。

そもそも会社では、何のAIが使われているのでしょうか。

そのAIを誰が管理するのか。顧客情報を扱う用途は危険ではないのか。

そして、問題が起きたときは誰に報告するのか。

C認証では、こうしたAI管理の基本的な仕組みを確認していきます。

なお、個人情報対策、著作権確認、社員教育、ログ保存などが、それぞれ独立したC認証の必須審査項目として公開されているわけではありません。

これらは、4つのコア項目を会社で実際に運用するときの具体策として考える方が正確です。

この4項目を自社に当てはめて確認したい場合は、記事後半の無料テンプレートを使って実際に書き出すこともできます。

書類を出すだけ？取得までの流れ

C認証は、申請フォームを送れば自動的に認証される制度ではありません。

新規取得では、まずJDLAが認定した「認定コンサルティング企業」の支援を受ける必要があります。

1. JDLAに問い合わせ、制度資料を確認する
2. 認定コンサルティング企業の支援を受ける
3. AIの利用状況や社内体制を整理する
4. 必要な規程、リスク評価、運用方法などを整備する
5. JDLAへ申請する
6. JDLAの認証委員会が審査する
7. 基準を満たせばC認証が付与される

ここで重要なのは、コンサルティング会社が合否を決めるわけではないことです。

学校に例えるなら、認定コンサルティング企業は試験対策を手伝う側です。

一方、実際に審査するのはJDLAです。

JDLAは、認定コンサルティング企業と認証を判断する側を分けています。

最終的な認証可否は、JDLAの認証委員会が判断します。

本当に書類だけで審査するのか

では、社内規程を作って提出すれば、それだけで認証されるのでしょうか。

少なくとも、先行認証の事例を見る限り、そう単純ではありません。

JDLAの公開ページでは、申請内容が基準を満たしているかを認証委員会が審査するとされています。

さらに、先行認証を取得した富士ソフトは、審査方法について具体的に公表しています。

同社によると、確認されたのは申請書類や社内規程だけではありません。

運用状況に関する資料の確認やヒアリングも含めて評価されたとしています。

つまり、「AI利用規程というPDFを1枚作って提出すれば終わり」という制度ではないと考えた方がよいでしょう。

一方で、ISO認証のような現地監査がC認証で常に必須なのかなど、審査方法の細部は公開情報だけでは分からない部分もあります。

C認証にはいくらかかるのか

C認証は有料です。

ただし、ここには少し注意が必要です。

JDLAの一般公開ページでは、認証・更新費用について「企業規模に応じて異なる」とされています。

具体的な金額表は一般公開されておらず、詳細は資料請求で確認する方式です。

さらに、新規申請では認定コンサルティング企業の支援が必須です。

そのため、JDLAに支払う認証関連費用とは別に、コンサルティング費用も発生します。

例えば、認定コンサルティング企業のキカガクは、2026年9月に次の料金目安を公開しています。

ただし、これはキカガクへの支援費用です。

JDLAへ支払う審査料は別です。

また、会社の準備状況や依頼する支援内容によっても費用は変わります。

つまり、「50万円払えばC認証を取れる」という意味ではありません。

企業側には、もう一つ見えにくいコストがあります。

それが社内の作業時間です。

AIの利用状況を各部署から集める。社内規程を作る。リスク評価を行う。

こうした作業にも、当然ながら担当者の時間が必要になります。

取得期間はどれくらいか

JDLAは、申請前の準備に1～2か月程度かかると案内しています。

その後、JDLAによる審査・認証に最短1か月程度かかります。

また、キカガクは自社サービスの標準的な目安として、申請まで約8週間としています。

その後のJDLA審査まで含めると、取得まで約3か月からが一つの目安です。

したがって、「最短約2か月」という表現だけを見て、どの会社でも2か月で取得できると考えない方がよいでしょう。

法律上の義務ではないのに、なぜ企業は取得するのか

ここが、C認証を考える上で一番興味深いところです。

C認証には法律上の取得義務がありません。

しかも2026年9月8日時点では、取得すれば税金が安くなるといった全国共通の制度も確認できませんでした。

一般的な補助金が増える。公共入札で自動的に加点される。

そうした分かりやすい公的優遇も、今回確認した資料では見つかっていません。

それでも企業が取得するのはなぜでしょうか。

理由は、大きく4つに整理できます。

1．取引先に「AIを管理できる会社」と示す

生成AIを業務で使う企業は増えています。

その結果、顧客側もAIの使われ方を気にするようになります。

例えば、こんな質問です。

「自社の情報を生成AIに入力していませんか？」

「社員のAI利用をどう管理していますか？」

企業が自分で「大丈夫です」と答えるだけでは、相手は判断しにくいかもしれません。

そこで第三者認証が意味を持ちます。

C認証があれば、AIガバナンス体制について外部の確認を受けたことを示せます。

JDLAは、C認証ロゴをWebサイトだけでなく、会社案内、IR資料、営業資料などにも表示できるとしています。

つまり、C認証には取引先への信用材料としての役割があります。

2．認証取得をきっかけに社内を整理する

実際の会社では、ChatGPTだけがAIではありません。

Claude、Gemini、Microsoft 365 Copilot、Adobe製品、Canva、各種SaaSなど、さまざまなサービスにAIが組み込まれています。

そのため、会社が知らないところで社員がAIを仕事に使うこともあります。

こうした状況は「シャドーAI」や「野良AI」と呼ばれることがあります。

先行認証企業のステッチでも、複数のAIサービスが社内で利用されるようになっていました。

同社は取得支援を担当したElithのインタビューで、「何を使ってよく、何がだめなのか」を整理する必要を感じていたと説明しています。

つまり、C認証を取る過程そのものにも意味があるわけです。

会社で何のAIが使われているのか、一度きちんと調べるきっかけになる。

これは認証マークとは別の、実務的なメリットです。

実際にAIを棚卸ししてみたい場合は、記事末尾の無料テンプレートから始められます。

3．AIを販売する企業にとって営業上の信用になる

AIを販売する会社では、C認証の価値がさらに分かりやすくなります。

顧客にAIサービスを売る以上、「AIを作れます」だけでは不十分だからです。

「AIのリスクも管理できます」と説明できた方が、企業顧客は安心しやすくなります。

富士ソフトは、C認証によってAIガバナンスへの取り組みを明確にしています。

そして、顧客が安心してAIを導入・活用できる支援体制につなげる考えを示しています。

ABEJAもC認証を取得しています。

さらに同社は、AIマネジメントシステムの国際規格であるISO/IEC 42001も取得しています。

国内外の基準から、自社のAIガバナンスを客観的に示そうとしているわけです。

4．C認証取得支援そのものを事業にする

先行認証9法人を調べると、さらに興味深い事実があります。

9法人のうち6法人が、制度開始時点で「認定コンサルティング企業」にも登録されています。

該当するのは、ABEJA、Elith、Algomatic、キカガク、EY新日本有限責任監査法人、Rossoです。

この6法人は、自社でC認証を取得するだけではありません。

これからC認証を取りたい企業を支援する側でもあります。

つまり、C認証が広がれば、AIガバナンスの構築や認証取得を支援する市場も広がります。

しかも、これは隠された仕組みではありません。

JDLA自身も認定コンサルティング企業の募集ページで、「AIガバナンス支援を、新たな事業の柱に。」と案内しています。

だからといって、「認証を売るためだけの制度」と考えるのも適切ではありません。

認証取得を支援するコンサルティング企業と、合否を判断するJDLAは分離されています。

ただし、制度を評価する上で、この構造は知っておいた方がよいでしょう。

先行認証企業の多くは、認証を利用する側であると同時に、認証取得支援を販売する側でもあるからです。

先行9法人を見ると制度の狙いが見えてくる

JDLAが発表した最初の先行認証取得法人は、次の9法人です。

この顔ぶれを見ると、C認証が目指している方向が少し見えてきます。

単に「社内ルールをちゃんと作りましょう」という制度ではなさそうです。

将来的には、企業同士の取引で次のような会話が成立する状態を目指していると考えられます。

「御社はAIをどう管理していますか？」

「当社はC認証を取得しています」

つまり、AIガバナンスについて毎回ゼロから説明するのではありません。

「C認証」という共通の指標で、一定の管理体制を示せるようにするわけです。

JDLAも、C認証をAIガバナンス体制の信頼性を示す「国内共通の標準指標」として普及させる方針を示しています。

アメリカなど海外にも似た仕組みはあるのか

では、こうしたAI管理の仕組みは日本だけなのでしょうか。

答えは、いいえです。

海外でも「企業はAIをどう管理すべきか」という仕組みが次々と作られています。

ただし、C認証とまったく同じ制度が世界標準になっているわけではありません。

海外では、ガイドライン、国際規格、AIテストなど、複数の方法が並行して発展しています。

米国：NIST AI RMF

米国では、国立標準技術研究所（NIST）が「AI Risk Management Framework」を公開しています。

一般に「NIST AI RMF」と呼ばれるものです。

NISTは、米国政府の標準や技術に関する機関です。

AI RMFは、AIのリスクを組織としてどう管理するかを示した枠組みです。

中心となる機能は4つあります。

• Govern：組織として管理する
• Map：AIとリスクの状況を把握する
• Measure：リスクを測定・評価する
• Manage：リスクを管理する

C認証の「AIの把握、組織、リスク評価、対応」と似ている部分があります。

しかし、決定的な違いがあります。

NIST AI RMFは認証制度ではありません。

企業が任意で利用するフレームワークであり、NISTが会社を審査して認証マークを与える制度ではありません。

なお、NISTは2026年時点でAI RMF 1.0の改訂作業も進めています。

国際規格：ISO/IEC 42001

C認証に制度の仕組みとして近いのは、「ISO/IEC 42001」です。

ISOは、世界共通で使われる規格を作っている国際標準化機構です。

ISO/IEC 42001は、AIマネジメントシステムについて定めた国際規格です。

簡単にいえば、「会社がAIをどう管理し、改善していくか」の仕組みを定めています。

AIを開発する企業だけが対象ではありません。

AIを提供する会社や、仕事でAIを利用する組織も対象になります。

ただし、C認証とISO/IEC 42001は同じ制度ではありません。

ISO/IEC 42001の方が、会社のマネジメントシステム全体を含む、より包括的な規格です。

また、「C認証はISO/IEC 42001の簡易版」と公式に位置付けられているわけでもありません。

似たテーマを扱っていますが、成り立ち、審査体系、国際性、対象範囲が異なります。

シンガポール：AI Verify

シンガポールでは、政府機関IMDAが「AI Verify」を開発しています。

こちらはC認証とは少し方向が違います。

会社全体の管理体制を認証するというより、AIについて複数の観点から確認する仕組みです。

例えば、公平性、説明可能性、安全性、セキュリティ、堅牢性などを確認します。

AI Verifyは2022年に国際パイロットを開始しました。

IMDAによると、50社を超える企業が参加しています。

英国：AI Management Essentials

英国政府も、AIを管理するための仕組みを作っています。

「AI Management Essentials」、略してAIMEです。

AIMEは、企業がAI管理の状況を確認するための自己評価ツールです。

2026年9月時点では、C認証のような正式な第三者認証ではありません。

しかし、英国政府の公開資料には興味深い記述があります。

将来的に、AI製品やサービスに関する公共部門の調達制度へ組み込む可能性を検討するとしています。

これはC認証の将来を考える上でも参考になります。

最初は任意の制度でも、公共調達や企業間取引で確認されるようになれば状況は変わります。

企業にとって「取得する経済的な理由」が生まれるからです。

普通の会社も今すぐC認証を取るべきか

ここまで読むと、「うちも急いでC認証を取った方がいいのでは」と思うかもしれません。

しかし、ここは二つに分けて考える必要があります。

AIガバナンスを整えること。

C認証を取得すること。

この二つは同じではありません。

特に小規模な一般企業では、認証取得を急ぐ必要はないかもしれません。

その前に、まず次の4つの質問に答えられる状態を作ることが大切です。

• 会社で何のAIを使っているのか
• 誰が責任を持つのか
• どんな危険があるのか
• 危険に対して何をするのか

この4つを整理するだけでも、AI管理はかなり前進します。

しかも、これはそのままC認証の中心となる考え方です。

「では、自社ではどうなっているのか」を確認したい場合は、無料テンプレートで4つの視点から整理できます。

今後、本当に注目すべきポイント

C認証が普及するかを見るとき、取得企業数だけを追うのは十分ではありません。

「100社になった」「500社になった」という数字は、確かに分かりやすいものです。

しかし、企業にとってもっと重要な数字があります。

C認証を持つことで、実際に経済的なメリットが生まれたか。

例えば、今後は次のような事例に注目したいところです。

• 大企業の取引先審査でC認証が評価される
• RFPでAIガバナンス認証の有無を聞かれる
• 公共調達でC認証が要件や加点項目になる
• 補助制度などと認証が連動する
• 取得企業が「認証が受注につながった」と公表する

ここで出てきたRFPとは、「Request for Proposal」の略です。

日本語では「提案依頼書」と呼ばれます。

企業や行政機関がシステムなどを発注するとき、候補企業に「この条件に沿って提案してください」と示す文書です。

2026年6月には、デジタル庁が政府向け生成AIガイドラインを改定しました。

そこでは、高リスク判定シート、調達チェックシート、契約チェックシートなどが用意されています。

つまり、政府の調達でも「AIをどう管理しているか」を確認する動きが具体化しています。

ただし、ここは混同してはいけません。

AIガバナンスを調達時に確認すること。

C認証そのものを優遇すること。

この二つは別の話です。

2026年9月8日時点で、「政府がC認証企業を一律に優遇する制度ができた」と確認できる状況ではありません。

一方、海外でもNIST AI RMF、ISO/IEC 42001、AI Verify、英国AIMEなどが登場しています。

つまり、「うちはAIをちゃんと管理しています」という自己申告だけではなくなりつつあります。

何らかの共通基準を使って、AI管理の状況を説明する流れが生まれているのです。

その意味では、C認証の考え方そのものは日本だけの特殊なものではありません。

ただし、AIガバナンス認証はまだ新しい分野です。

ISMSやプライバシーマークのように、広い業界で当たり前の取引条件になったとはいえません。

だからこそ、今後C認証を見るときに注目したいことがあります。

「認証企業が何社になったか」ではなく、「認証があることで実際の取引が有利になったか」です。

ここが確認できるようになれば、C認証の本当の経済価値も見えてくるでしょう。

まとめ

C認証は、ChatGPTなど個別のAIの性能や安全性を保証する制度ではありません。

会社や自治体がAIをどのように把握し、誰が責任を持ち、どんなリスクを評価し、どう対策しているのか。

そうした組織のAI管理体制をJDLAが第三者として確認する制度です。

一方、法律上の取得義務は確認されていません。

C認証を取らなければ違法になるわけでもありません。

また、2026年9月8日時点では、一般的な補助金、税制優遇、公共入札の加点など、C認証取得企業に共通する公的優遇措置も確認できませんでした。

それでも先行9法人が取得した理由を見ると、制度の狙いが見えてきます。

自社のAI管理を整理する。

顧客への信頼材料にする。

AI関連サービスの営業につなげる。

さらに、先行9法人のうち6法人は、C認証の取得を支援する認定コンサルティング企業でもあります。

C認証の普及そのものを、新しいAIガバナンス支援事業につなげる動きも始まっています。

では、普通の会社もすぐC認証を取るべきでしょうか。

現時点では、必ずしもそうとは限りません。

まず重要なのは、自社で何のAIを使っているのかを把握することです。

そして、誰が責任を持ち、どんなリスクがあり、どう対応するのかを説明できる状態にする。

その上で、C認証が今後、企業間取引や公共調達の中でどこまで「信頼の共通言語」になっていくのかを見ていく必要があります。

無料テンプレート：自社のAI管理を一度チェックしてみる

ここまでC認証について調べてきました。

しかし、実際に会社で取り組もうとすると、制度そのものより難しい問題があります。

「では、自社では何を整理すればよいのか？」

そこで、この記事の調査内容をもとに、1sikaku.bizで「AIガバナンス自主点検テンプレート」を作成しました。

名称は、「C認証申請準備シート（非公式）」です。

C認証を申請する会社だけを対象にしたものではありません。

C認証を取る予定がなくても、自社でAIをどのように使い、誰が管理し、どこにリスクがあるのかを整理するために利用できます。

このテンプレートで確認できること

• 会社で利用しているAIの棚卸し
• 会社公認AIと未承認AIの整理
• AI利用ごとの簡易リスク評価
• AIについて誰が判断するかという責任体制
• 見つかったリスクへの対応状況
• 法務・情報システムなどへ確認すべき事項
• 社内規程や運用記録の有無

最初から全部入力する必要はありません。

まずは「AI一覧」に、会社で使っているAIを書き出すところから始めるだけでも構いません。

ChatGPT、Copilot、Geminiなど分かりやすい生成AIだけでなく、会議要約、画像作成、文書作成などにAI機能を使っているサービスがないか確認してみます。

実際に書き出すと、「利用者は分かるが責任者が決まっていない」「会社公認かどうか分からない」といった状態も見えてきます。

利用規約やデータの扱いを、まだ確認していなかったことに気付く場合もあるでしょう。

何を書けばよいか分からない人向けに「記載例」も用意

「利用目的」「リスク」「対応策」と言われても、最初は何を書けばよいのか迷います。

そのため、テンプレートには「記載例（まずここを見る）」というシートも用意しています。

例えば、次のようなケースを掲載しています。

• 会社公認の生成AIを営業資料やメールの下書きに使うケース
• Microsoft 365 Copilotを社内文書や会議要約に使うケース
• 社員が会社未承認の無料AI議事録サービスを使っていたケース
• 人事部が生成AIを採用業務の補助に使うケース

特に、会社が把握していなかったAI、いわゆる「シャドーAI」が見つかった場合の流れも例にしています。

問題を発見したら、いきなり「禁止」で終わらせるのではありません。

AI一覧へ登録 → リスクを確認 → 必要なら法務・情シスへ相談 → 対応を記録する

という流れで整理できるようにしています。

テンプレートを見る・自分用にコピーする

Googleスプレッドシート版を公開しています。

まず内容だけ確認したい場合は、「テンプレートの内容を見る」を選んでください。

実際に使う場合は、「自分のGoogle Driveにコピーして使う」から、自分専用のコピーを作成できます。

コピーしたシートは、自社の状況に合わせて自由に編集できます。

公開している原本は閲覧用です。

原本を直接編集するのではなく、自分のGoogle Driveへコピーして利用してください。

最初は「AI一覧」だけでも十分

すべてのシートを最初から完成させる必要はありません。

まず確認してほしいのは、次の4つです。

1. 会社では何のAIを使っているのか
2. 誰が管理しているのか
3. どんな問題が起こる可能性があるのか
4. 問題に対して何をしているのか

分からない項目が見つかっても、それ自体が失敗というわけではありません。

「分からないことが分かった」ことが、AIガバナンス整備の出発点になります。

利用上の注意

このテンプレートは、JDLA公式の申請書・審査票・記入例ではありません。

JDLAが公開しているC認証の4つの中核的な考え方などを参考に、一般企業がAIガバナンスの状況を自主点検しやすいよう、1sikaku.bizで独自に作成した非公式テンプレートです。

テンプレート内のリスク評価方法、記載例、確認項目なども、JDLA公式の採点方法や正式な申請書項目ではありません。

このシートをすべて埋めても、C認証の取得を保証するものではありません。

実際にC認証を申請する場合は、JDLAの最新情報と認定コンサルティング企業の案内を確認してください。

また、Googleスプレッドシートへ顧客の氏名、メールアドレス、住所、電話番号、パスワード、APIキー、営業秘密など、機密情報そのものを入力しないでください。

例えば「顧客情報を扱う可能性：あり」「機密情報を扱う可能性：あり」のように、情報そのものではなく分類として記録してください。

各社のGoogle Workspace、クラウドサービス、情報セキュリティに関する社内ルールにも従って利用してください。

C認証の4つの審査項目に戻る

参考資料

• 一般社団法人日本ディープラーニング協会「C認証｜AIガバナンス第三者認証制度」
• JDLA「AIガバナンス第三者認証制度を創設『C認証』を8月4日から運用開始」
• 富士ソフト「C認証の先行認証取得企業へ」
• ABEJA「AIガバナンス第三者認証制度『C認証』を取得」
• 経営共創基盤「C認証を取得」
• Algomatic「C認証を取得し、認定コンサルティング企業として支援開始」
• キカガク「C認証の取得支援サービスの提供を開始」
• Elith「ステッチ社がC認証取得に取り組んだ理由」
• 経済産業省「AI事業者ガイドライン 第1.2版」
• e-Gov法令検索「人工知能関連技術の研究開発及び活用の推進に関する法律」
• デジタル庁「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン 第2.0版」
• NIST「AI Risk Management Framework」
• ISO「ISO/IEC 42001:2023 AI management systems」
• Singapore IMDA「Artificial Intelligence / AI Verify」
• UK Government「Guidance for using the AI Management Essentials tool」