業務で生成AIを使う前に確認したいデータとアクセス権限

まず、AIに渡す可能性のある情報を、業務の入口から出力の利用先まで洗い出します。「入力欄に何を書くか」だけでなく、添付ファイル、検索対象の社内文書、会話履歴、生成結果を保存する場所も確認対象です。

• 個人に関する情報：顧客や従業員を識別できる情報、問い合わせ内容、担当履歴など。
• 社内・契約上の情報：営業秘密、見積・契約情報、未公開の計画、業務上のノウハウなど。
• 第三者から預かった情報：取引先や顧客から受領し、利用目的や共有範囲に制約がある情報。

すべての情報を一律に禁止するのではなく、利用目的に対して必要な範囲か、外部サービスへ渡す根拠と条件を確認できるかを整理します。動作を確かめる段階では、実データが不可欠かも検討してください。形式や手順の確認なら、架空データや識別情報を除いたサンプルで足りる場合があります。実データを使う必要がある場合は、利用目的、取扱権限、保護方法を別途確認します。

データフローは、現在の業務システムからAIサービス、生成結果を確認する担当者、最終的に記録する場所までを一本の流れとして描くと、確認漏れを見つけやすくなります。次の図は一般的な整理例です。実際の経路や保存の有無は、利用するサービスと設定ごとに確認してください。

「使える人」をサービスのアカウント保有者だけで考えると、入力した情報や出力が共有される範囲を見誤ることがあります。入力する人、検索できる人、出力を閲覧・編集する人、業務上の回答を承認する人を分け、目的に必要な権限だけを割り当てます。

社内文書を検索対象にする場合は、元の文書の閲覧権限が検索結果や回答にも反映されるかを確認します。権限のない人に、検索結果の抜粋や要約を通じて情報が見えない設計が必要です。部署異動や退職、担当変更があったときに、アカウント・共有範囲・保存データを誰が見直すかもあらかじめ決めます。

日本の個人情報を扱う業務では、情報の種類だけで結論を出さず、利用目的、本人への説明、委託関係、提供先やサービスの条件などを業務ごとに確認します。適用される法令、契約、社内規程は業務の状況によって異なるため、このページは法的助言や適合保証を行うものではありません。

個人情報保護や契約管理を担う担当者、必要に応じて法務・情報システム部門などに、対象データ、処理の流れ、利用する機能と設定、外部事業者との関係を共有して確認します。委託先や再委託先、データの処理・保管場所など、社内で確認できない点はサービス提供者の公開情報や契約資料を参照し、判断できない点を未確認のまま記録します。

試行の前に、少なくとも次の項目を関係者で合意し、利用者が見つけられる場所に置きます。ルールは抽象的な「注意する」ではなく、何を入力できるか、誰が何を確認するかまで具体化するのが実務的です。

1. 01対象業務・利用目的：何の作業を支援し、何には使わないかを記す。
2. 02利用データと入力禁止情報：試行データ、個人情報、機密情報などの扱いを明確にする。
3. 03利用サービスの確認条件：保存、処理、再利用、委託先など確認した事項と未確認事項を残す。
4. 04権限と出力確認：利用者、閲覧範囲、確認者、業務で採用する判断者を定める。
5. 05記録・報告・見直し：確認記録の方法、誤りや漏えい懸念の報告先、条件変更時の再確認手順を用意する。

試行中に出力の誤り、意図しない情報の表示、権限の不整合などに気づいた場合の連絡先と、利用を一時停止して確認する手順も定めましょう。利用サービスの条件や設定が変わったときは、以前の確認記録をそのまま前提にせず、影響する項目を見直します。