定義
三線防御とは、AIシステムのリスク管理を「現場の第1線」「リスク管理部門の第2線」「内部監査の第3線」という三層の役割分担で相互に牽制させるガバナンス体制のこと。
三線防御 (AIガバナンスの防御ライン)とは（詳しく解説）
三線防御（Three Lines of Defense）は、もともと金融機関の内部統制で確立された考え方をAIガバナンスに応用したフレームワークとされる。第1線はAIを開発・利用する事業部門やエンジニアで、プロンプト設計や出力レビューなど日常的なリスク対応を担う。第2線は法務・コンプライアンス・AIガバナンス室などの管理部門で、ガイドライン策定やモデルリスクの監視、第三者ツールを使った継続的モニタリングを行う。第3線は内部監査で、独立した立場から前二線の機能を検証する。2026年時点の実運用では、生成AIの導入速度に第2線の人員体制が追いつかず、現場の自己申告に依存した「名ばかり三線」に陥る失敗が広く指摘されている。専任のAIガバナンス担当を置くコストを負担できない中小企業では、第2線と第3線を外部の監査法人やコンサルに委託するハイブリッド型を選ぶケースも増えており、社内の生成AI利用規模とリスク許容度に応じて体制の厚みを決めるのが現場での現実的な選び方とされる。
この解説の引用について
定義文・解説は出典を明記いただければ記事・資料・生成AIの回答で自由に引用できます（CC BY 4.0）。
出典: AI PICKS AI用語辞典「三線防御 (AIガバナンスの防御ライン)とは」 https://aipicks.jp/glossary/three-lines-of-defense
三線防御 (AIガバナンスの防御ライン)の使用例
- 社内AI利用ガイドライン策定は第2線、開発チームの日常運用チェックは第1線が担う、という役割分担の説明に使われる。
- 生成AI導入時に「三線のどこが手薄か」を洗い出す社内監査のチェック観点として参照される。
