1. 把握するのは、サービス・用途・入力情報・アカウント

「AIを使っていますか」だけでは、会社として判断する材料が足りません。同じサービスでも、公開資料の要約と顧客の相談内容の整理では確認する条件が違います。メールや会議、業務ソフトに付いているAI機能、ファイルを参照する機能も聞き取りに含めます。

聞く項目 確認する内容
サービス 名前、提供元、プラン、業務ソフト内のAI機能か
用途 どの仕事のどの工程か、出力を誰が確認し、どこで使うか
入力情報 公開資料、社内資料、顧客情報などの種類。添付や連携で渡る情報も含む
アカウント 個人契約か会社契約か、会社が管理する利用者・設定の範囲

有料か無料かだけで入力可否は決めません。入力が学習に使われる条件、保存・削除、管理者ができる操作は、台帳に記した契約・プランに対応する提供元の公式ヘルプや規約で確認します。この記事では、特定サービスのデータ利用や管理機能の条件を断定しません。

調査が示す「把握していない」と、自社の実態を分ける

エフアンドエムの中小企業総合研究所が、エフアンドエムクラブ会員企業を対象に2026年7月1〜31日に行った調査は、有効回答2,503社です。設問4の図13（回答2,503社）は、規程・簡易ルールの有無だけでなく、個人判断に任せている状態と、利用状況を把握していない状態を分けて集計しています。

これは会員企業の回答結果であり、日本の中小企業全体の実態を示すものではありません。また、把握していないという回答から、情報漏えいが起きたとは判断できません。自社については、社員の申告と聞き取りで確かめます。

2. 聞き取りは、仕事の流れから始める

経営者が目的と責任者を決め、「便利な使い方を続けるために、情報の扱いと困りごとを整理したい」と伝えます。利用中、試しただけ、使っていない、分からないを分けて回答できるようにし、申告内容の閲覧者と利用目的も知らせます。

  1. 短い申告を集める：上の項目と、利用頻度、困っていること、今後試したい用途を聞きます。私生活での利用は対象に含めません。
  2. 不明な点を聞き取る：「何を見ながら入力するか」「添付する資料はあるか」「回答を誰が確定するか」と、普段の仕事を順に説明してもらいます。
  3. 種類だけで情報を整理する：顧客名や契約内容そのものではなく、「顧客名を含む問い合わせ」などの分類で記録します。会話履歴、パスワード、APIキーの値は集めません。
  4. 業務責任者と照合する：既存の情報管理ルールや取引先との契約に照らし、不明な用途・条件には確認担当と回答期限を決めます。

IPAのガイドライン第4.0版は、第2部の「点検と改善」でインタビューやチェックリストによる点検を挙げています。ここで示す申告項目と順序は、それをAI利用の把握に結び付けた提案で、IPA所定のAI調査票ではありません。

3. 利用台帳は、サービスと用途を組み合わせて作る

既存の共有表や社内文書にまとめれば始められます。同じサービスでも部署・用途・契約条件が違う場合は行を分け、誰がどの条件で使うかを追えるようにします。台帳の閲覧・編集は業務上必要な人に限定します。

台帳の項目 残す内容
利用の単位 部署、利用者または利用者一覧の参照先、サービス、用途
情報と契約 入力情報の区分、アカウントの種類、プラン、契約・管理担当
確認した条件 公式資料のURL、確認日、設定、入力できる情報の範囲
実行する範囲 作業する環境、参照・変更できる資料、許可する操作。下書きと送信・登録・公開を分ける
承認の対象 人が確認する成果物の版、承認者、承認後に内容が変わったときの再確認条件
判断と担当 利用可・条件付き・確認待ち・利用不可、承認者、確認待ちの担当と期限
継続の管理 出力の確認者、相談先、最終見直し日、次の見直し予定

空欄を「問題なし」と扱わず、分からない条件は確認待ちにします。確認待ちの用途には実際の機密情報を入力せず、公開情報や架空の内容でできる作業に範囲を絞ります。確認の結果、利用不可となった用途には代替手順も伝えます。

IPAの「資産管理」「取引先／外部情報サービスの管理」は、利用するソフトウェアや外部サービスの把握と、機密性に応じた情報の扱いを示しています。この台帳はその観点を整理した例であり、ガイドライン全体への適合を確認するものではありません。

自社の実践：作業を任せる範囲と、採用を承認する対象を分けた

公開済みの自社開発の事例には、2026年9月に承認済みの依頼を扱う自動化を導入し、AIに任せる作業と人が判断する操作を分けた記録があります。ここで参照するのは、hirostaの社内の開発基盤で採用した進め方です。社員への聞き取りや、この記事の利用台帳を運用した結果ではありません。

実践では、作業ごとに専用の作業場所を用意し、認証情報と作業場所を分離しました。人は依頼の目的・対応範囲・完了条件を決め、変更案と確認結果を読んで採用を承認します。承認した版と取り込む版が一致することを条件にし、後から追加された変更を自動では取り込まない決まりも採用しました。本番データに関わる変更など、自動で取り込まない操作を設け、外部送信や本番データの扱いは人が判断します。

確認の際には、変更箇所だけでなく、保存と読み込みのように対になる処理も洗い出す必要がありました。既存の動作を断定する前に確かめ、指摘がなくなるまで修正とレビューを繰り返したことが、同じ事例に記録されています。この経験から台帳へ活かせるのは、サービスの利用許可だけでなく、操作の範囲と、人が確認する成果物を残すことです。

以下は、その実践を社員のAI利用へ当てはめるための提案です。自社で実施した台帳の記録ではありません。

実践から得た確認点 利用台帳へ残す内容の提案
作業場所と認証情報を分ける どの環境で、どの資料を参照・変更できるか。認証情報の値は記録しない
作成と採用の承認を分ける 下書き作成までか、送信・登録・公開までか。操作ごとの承認者
承認した版だけを対象にする 確認した下書きや集計候補の版。内容が変わった場合に誰が再確認するか
判断が必要なら止める 資料の矛盾、担当不明、許可した範囲外の操作など、止める条件と相談先

例えばメール下書きの利用を許可しても、送信まで承認したことにはしません。送信前の下書きを人が確認し、その後に宛先や本文が変わったら、変更後の内容を再確認する運用が考えられます。依頼文にも操作の境界を示す書き方は、AIに仕事を任せる依頼の手順で説明しています。

この材料で確認できるのは、自社開発で採用した決まりと確認の工夫です。社員の申告漏れが減ったか、情報漏えいを防げたか、台帳で承認漏れを減らせるかは確認していません。自社開発の決まりをそのまま全社員へ適用せず、実際に使うサービスと業務に合わせて、実行範囲・承認対象・止める条件を決めてください。

想定シナリオ：営業と総務の利用を分けて整理する

以下は読者の会社での進め方を示す未実施の想定シナリオです。hirostaがお客様の会社で行った実績ではありません。

営業は公開済みの商品説明からメールの下書きを作り、総務は社内資料の要約を試したい会社を想定します。営業については、個人契約か会社契約か、公開情報以外を添付していないか、送信前に誰が確認するかを聞き取ります。総務は、資料の機密区分と契約・設定が未確認なら「確認待ち」にします。

責任者は用途ごとに台帳へ記録し、総務には公開資料で試す代替案を伝えます。提供元の条件と社内の入力可否を確認してから、使える資料の範囲を決める流れです。台帳を作っただけで、利用を一括承認しません。

4. 使ってよい情報・いけない情報を具体例で決める

ルールは「機密情報に注意」だけで終わらせず、会社で承認したサービスと用途に対して、入力できる情報を示します。次は決め方の例で、各社の承認済みルールを置き換えるものではありません。

  • 利用可の候補：公開済みの商品説明、共有可能な公開資料、実在の人物・取引に結び付かない架空の内容。権利や利用条件も確認します。
  • 承認まで保留する情報：社内資料、顧客・社員に関する情報、取引先から受け取った資料。必要性、契約、入力項目の削減、サービスの条件を担当者が確認します。
  • 入力しない情報：パスワードやAPIキー、会社が禁止する秘密情報、共有権限がない資料。氏名を消しただけで入力可にはしません。

「使えるサービス」だけでなく、対象プラン、用途、添付・連携の範囲、出力の確認者も一緒に周知します。個人契約から会社契約へ移す場合も、過去の会話や資料を一括移行せず、必要性と提供元の手順を確認してください。

情報ごとの入力判断、保存・削除の詳細は顧客情報をAIへ入力する前の確認手順へ進んでください。導入全体の目的や確認負担の見直しはAI導入で起きやすい失敗で扱います。

5. 相談窓口と、見直すタイミングを決める

少人数の会社でも、質問を受ける担当と、不在時の代行者を決めます。技術条件は管理担当、情報の区分は業務責任者、判断が割れる点は経営者へつなぐなど、回答する人を明確にします。

相談にはサービス名、用途、情報の種類、確認したい点を添えてもらいます。機密資料そのものを相談メールへ付ける必要はありません。誤入力や漏えいが疑われるときは通常の相談とは分け、該当する利用を止め、社内の事故対応窓口へ速やかに連絡する手順も周知します。

見直しの頻度は利用状況に合わせて決め、次回日と担当を台帳に残します。始めたばかりなら月次で変更点を聞くなどが一案です。これは運用の提案で、IPAがAI利用に月次点検を指定しているという意味ではありません。

定期確認を待たず、新しいサービス・用途・入力情報、プランや規約・設定の変更、異動・退職、誤入力の発生時にも更新します。見直しでは「条件が変わったか」「回答待ちは解消したか」「社員が相談先を知っているか」を確かめ、判断結果とルールの版を残します。

6. 聞き取りと台帳で分かることには限界がある

申告漏れや、本人も意識していないAI機能の利用は残り得ます。台帳に載っていることと、入力が適切であることも別です。聞き取りで情報の種類を確かめ、承認した条件と実際の使い方を見直す必要があります。

この手順だけで情報漏えいを防げる、法令に適合するとは言えません。個人情報、著作権、守秘義務などの判断が必要な点は、所管官庁の資料や専門家に確認してください。特定のサービスの仕様、個別企業での実行結果、時間・費用の削減効果は、この記事では確認していません。

最初の一歩は、社員に上の項目を聞き、確認待ちの用途と相談先を整理することです。AI導入前の全体準備はAI導入の準備、自作ツールや連携の管理まで必要な場合は業務ツールの保守と引き継ぎをご覧ください。