INSIGHT
会社が把握していないAI利用を、現場と一緒に見つける
禁止だけに頼らず、実際の仕事と情報をどう見つけて扱いを決めるか。
社内でAIサービスの契約を調べたところ、会社が用意したもの以外にも複数の利用が見つかった。無料アカウントで議事録を要約する人、個人契約で提案文を整える人、ブラウザーの拡張機能を使う人。管理部門は、まず禁止を通知すべきか迷う。
会社が把握していないAI利用は、悪意から始まるとは限らない。急ぐ仕事を終えたい、正式な相談先が分からない、承認済みの道具では欲しい機能がない、といった事情がある。利用名だけを集めて閉じても、その仕事と情報は別の道具へ移るかもしれない。
未把握の利用を見つける目的は、違反者を数えることではなく、現場が助けを必要とする仕事と、会社が管理すべき情報・契約・権限を結び直すことにある。
最初の聞き取りは、サービス名ではなく仕事から始める
「使っているAIを申告してください」だけでは、本人がAIと認識していない機能や、利用を言い出しにくい事情が残る。最初に、どの仕事で困り、何を楽にするために使ったかを聞く。
続けて、入力した情報、得た出力、出力を誰へ渡したか、人が確認したか、外部送信や社内データ更新まで行ったかをたどる。アカウントは会社契約か個人契約か、共有していないか、支払いと管理者は誰かも確認する。
一件の記録は、次の六欄で足りる。
- 仕事と利用目的
- サービス・機能・接続先
- 入力した情報と添付
- 出力の用途と最終確認者
- アカウント・契約・管理者
- 止まった場合の元の手順と、現在の依存度
聞き取りの冒頭で、申告しただけで利用可否を決めないこと、緊急性の高い情報や操作は先に確認すること、代替が必要なら一緒に探すことを伝える。これにより、利用を隠す理由を減らしながら、会社が判断する材料を集められる。
見つけた利用を、情報と操作の影響で分ける
すべてを同じ緊急度で扱わない。公開情報から社内向け文案を作り、人が確認して使うケースと、顧客情報を個人アカウントへ入力し、結果から自動送信するケースでは、確認する順番が違う。
まず、認証用の鍵、顧客・従業員情報、契約前の情報、未公開資料が入力されていないかを見る。次に、出力が下書きで終わるのか、顧客への回答、採否、支払い、データ更新に使われるのかを確認する。さらに、そのサービスが止まると業務も止まるか、データや設定を会社側で引き継げるかを見る。
優先度が高い場合は、新しい入力や自動実行を一時的に止め、共有済み情報と実行済み操作を確認する。利用者を責める前に、業務を元の手順へ戻すか、承認済みの環境へ移す。影響が限定される場合は、入力できる情報と出力の確認方法を決めたうえで継続候補にできる。
止める必要があるときも、人ではなく、未確認の情報送信・強い操作・個人アカウントへの業務依存を対象にする。
続ける・限定する・移す・止めるを、同じ場で選ぶ
把握した利用は、四つの出口へ分ける。会社の契約とルールで続ける。入力情報や出力用途を限定して続ける。承認済みの別環境へ移す。条件を満たせず代替手順もあるため止める。
個人情報保護委員会の2023年6月2日の生成AIサービスの利用に関する注意喚起 は、個人データを入力する場合の利用目的の範囲や、提供事業者による入力情報の取扱い等を確認する論点を示している。個人情報を一律に入力できないという意味でも、学習利用を止めれば他の確認が不要という意味でもない。
総務省・経済産業省のAI事業者ガイドライン は、2026年3月31日の第1.2版が現行版として掲載され、AI提供者、AI開発者、AI利用者の役割や共通の指針を整理している。これは個別利用の許可証や一律の法的義務ではない。未把握の利用を、利用者だけの問題にせず、提供・開発・利用の関係と会社の管理へ戻す参考になる。
判断には、現場の利点も残す。「この仕事が短くなった」「この形式なら確認しやすい」という価値が分かれば、承認済み環境で同じ使い方を再現するか、別の支援を用意するかを選べる。
相談を受けた管理側にも、返す仕事がある
パナソニック コネクトのConnectAIに関する紹介 は、法務、知的財産、情報セキュリティなどの関係者が社内利用を支え、利用の手引きを整える体制を説明している。これは同社自身による事例紹介であり、その体制だけが成果を生んだという因果を実証するものではない。自社へ同じ人数や組織図を移せばよいとも言えない。
参考にできるのは、相談を情報システム部門だけの受付に閉じず、入力情報、権利、契約、業務利用の判断を必要な担当へ渡す考え方である。小さな会社なら担当者を増やす代わりに、誰へ相談し、誰が最終判断し、何を記録するかを一枚にする。
事例やガイドラインを見つけた利用の危険度へ直接当てはめず、自社の契約、設定、入力、出力、業務フローで判断する。
一回の棚卸しを、申告しやすい入口へ変える
調査日を過ぎれば、新しい機能や個人利用はまた増える。利用一覧を完成品にせず、相談できる運用へつなぐ。
新しいAI機能を試す前に、仕事、入力、出力、アカウントを短く申告できる窓口を用意する。判断目安には、「公開情報だけで下書きを作る」「顧客情報を入力する」「外部へ自動送信する」など具体的な場面を置く。回答期限と、保留中に使える代替も示す。
管理側は、利用可否だけでなく、続けられる条件、承認済みの代替、移行方法を返す。把握した利用には、業務責任者、契約管理者、見直す日を付ける。サービスの条件や業務の使い方が変わったら、同じ記録へ戻る。
棚卸しの成果は「未申告ゼロ」ではない。新しい使い方を隠さず相談でき、会社が続け方か代替を返せる状態で測る。
利用を見つけたら、続けられる条件と返答日を現場へ返す
会社が把握していないAI利用を見つけると、禁止から始めたくなる。けれども、製品名だけを閉じても、現場が必要としている仕事は残る。
最初に相談してくれた人へ、「その使い方は、この条件なら続けられます」「この部分は別の環境へ移しましょう」と返せるか。判断に時間がかかるなら、返答日と当面の手順を伝えられるか。その一件への対応が、次の人が相談するかどうかに関わる。利用一覧と一緒に、管理側から返した答えも残したい。