社内の生成AI利用状況を棚卸しする方法｜調査項目・判断・記録の残し方

社内で生成AIを使う場面が広がっています。ただ、利用のルールを作っても、実際に誰が、どのサービスを、どんな情報を入れて使っているかは、ルールを作っただけでは見えてきません。

この記事は、社内の生成AI利用状況を、利用者からの申告をもとに棚卸しし、回答を回収・判断・記録として残す調査の設計に絞ります。ルール文書に何を書くかという項目の話ではなく、確認する側（情報システム部門・コンプライアンス部門・総務部門など）が、利用状況の調査をどう回すかを扱います。ここで集められるのは利用者からの申告であり、実際の利用を技術的に監視するものではありません。この違いは記事の後半で改めて触れます。

ルールを作ることと、実態を把握することは別の作業です。ルールは「これから守ってほしい基準」を定める文書で、棚卸しは「今この会社で生成AIが実際にどう使われているか」を回答として集める作業です。ルール文書の作り方と決める項目は生成AIの社内利用ルールの作り方にまとめているため、この記事では実態の調査に絞ります。

社内のAI利用に関する確認は、次の3つが混ざりがちです。まず分けておくと、回答者も判断も設計しやすくなります。

• ルールの受領確認：ルールを読んだかを対象者に確かめる
• 利用状況の棚卸し：今どのサービスをどう使っているかを回答してもらう
• 新規・例外利用の申請：これから使いたい人が事前に申請する

回答者もタイミングも判断方法も違うため、同じシートに混ぜると回答も判断も重くなります。この記事が扱うのは、真ん中の「利用状況の棚卸し」です。

棚卸しの前に、誰に配り、何を1件の回答とするかを決めます。ここで運用の重さが変わります。

回答者は、ルールの適用対象者を基本にします。正社員だけでなく、派遣社員や業務委託者も含めて考えると見落としを防げます。初回は利用者を把握できていないことが多いため、適用対象者へ広く配ります。変更時は既存の利用者・部門から、定期は前回の利用者を中心に新規利用の有無もあわせて尋ねます（時期の分け方は後述します）。

対象に含めるAIは、単体の生成AIサービスだけではありません。会議ツール、IDE、文章作成ソフトなどに組み込まれたAI機能も対象に含めると明記しておくと、見落としを防げます。

1回答の単位は、1サービスを基本にします。1人が複数の生成AIサービスを使っている場合は、サービスごとに利用目的、入力する情報、出力物の使用先を分けて回答できるようにします。同じサービスでも、社内資料の要約と顧客へ提出する文章の作成では判断が異なるため、必要に応じて用途単位でも分けます。

初回調査では、「利用していない」という回答欄も設けます。こうすると、まだ回答が返っていない状態と、使っていないという回答を区別できます。

共有アカウントや部門契約は、個人ではなく部門の単位で回答してもらうと、誰の利用か分からない状態を避けられます。

棚卸しで集めるのは、ルールに決める項目ではなく、利用の実態を表す情報です。ここで、利用者・部門が回答できる事実と、管理側が確認する事項を分けておきます。たとえば契約プランだけでは入力データの扱いまで判断できず、利用者自身がプランを把握していないこともあるためです。

利用者・部門に申告してもらう情報

申告してもらう情報	用途
サービス名・AI機能名	利用の実態を把握する
アカウントの種類（会社・個人）	会社が把握していない利用を見つける
利用目的・業務	何に使っているかを把握する
入力している情報の種類	情報管理上の判断材料にする
出力物の使用先	社内利用か社外提出かを区別する
利用頻度	利用の広がりを把握する
承認の有無	未申請の利用を見つける
前回からの変更点	差分だけを確認できるようにする
判断に迷っていること	相談・差し戻しの対象を特定する

管理側で確認する情報

管理側で確認する情報	用途
正式なサービス提供者・契約プラン	申告と実際の契約を突き合わせる
入力内容が学習やサービス改善に利用される条件	データの扱いを確認する
保存期間や削除条件	情報が残る範囲を確認する
管理者機能・ログの有無	管理できる範囲を把握する
契約責任者・管理責任者	問い合わせ先を明確にする

回答を集めた後は、一つずつ判断していきます。判断の区分をあらかじめ決めておくと、担当者による差が出にくくなります。

• 申告内容確認済み：申告の内容が基準を満たしている
• 追加確認が必要：情報が足りず、確認してから判断する
• 条件付きで継続可：設定変更などを前提に認める
• 是正・承認手続きが必要：申請や設定の是正を経てから続ける
• 利用停止：基準を満たさず、いったん止める
• 責任者の判断へ：現場で決められず、上位へ上げる

たとえば、個人アカウントで顧客情報を入力していた場合は、追加情報を確認するだけでなく、利用の停止や情報管理部門への報告が必要かを判断します。入力内容がサービス提供者による学習やサービス改善に利用されるか、利用者も管理側も確認できていない場合は、条件を確認してから判断します。戻した理由を残しておくと、次回の確認が短くなります。

生成AIの利用は変化が速いため、確認を一度で終わりにはできません。ただ「毎回確認する」とだけ決めると、負担ばかり増えます。次の3つに分けると現実的です。

• 初回の棚卸し：今の利用実態を一度、全体として把握する
• 変更時の申告：承認済みサービスの用途・設定・入力する情報が変わったときに申告する
• 定期の確認：年1回や半年に1回など、前回からの差分を中心に確認する

新しいサービスを使い始める場合は、変更時の申告ではなく、新規利用の申請にあたります。両者を混ぜないよう、状況ごとに分けておきます。

• 承認済みサービスの用途・設定・入力情報が変わった：変更時の申告
• 新しいサービスを使い始めたい：新規利用の申請
• 棚卸しで未申請の利用が見つかった：利用を止める、または申請手続きへ移す

回答者が増えるほど、誰に送ったか、誰から返っていないか、どの回答がどの段階か（回答前・回答中・差し戻し中・確認済み）が追いにくくなります。回答、差し戻し、確認結果が別々の場所に分かれると、経緯を後からたどれなくなります。棚卸しを定期的に回すなら、依頼から確認までを同じ場所で扱える形にしておくと、未回答の放置や履歴の散逸を防げます。

ここは棚卸しの限界として、あらかじめ共有しておくべき点です。

棚卸しで把握できるのは、利用者や部門から申告された利用状況です。これに対する社内の判断と、依頼・回答・差し戻しの履歴が残ります。実際に個人アカウントを使っていないか、機密情報を入力していないか、すべての出力を確認しているかまでを、チェックシートだけで確認することはできません。

そのため、申告の結果は、管理画面、契約情報、アカウント一覧、アクセスログなど別の情報と組み合わせて見ます。チェックシートは、申告を集めて判断と経緯を残すための土台であり、それ自体が利用実態を保証するものではありません。

調査項目を設計する際は、AI事業者ガイドライン、個人情報保護委員会の注意喚起、文化庁の資料などを参考にできます。これらの資料は、自社の調査票や回答項目をそのまま定めたものではありません。AI事業者ガイドラインは、AIの開発・提供・利用に必要な取り組みの基本的な考え方を示す資料です。一方、個人情報や著作権の扱いには既存の法令が関係するため、必要に応じて法務・情報管理部門と確認します。各資料の位置づけと社内ルールへの反映方法は、前掲の記事にまとめています。

Q1. 委託先の生成AI利用も、同じ調査で確認してよいですか？

社内と委託先では、確認できる範囲と手段が異なります。委託先には、入力情報・利用サービス・再委託先での利用状況を確認します。具体的な確認項目は委託先のAI利用を確認するチェックリストにまとめています。

Q2. Excelやメールで棚卸しをすると、何が難しくなりますか？

回答、差し戻し、確認結果が別々の場所に分かれ、誰の確認がどの段階かを追いにくくなります。この点はチェックシートをデジタル化するときの注意点で扱っています。

Q3. 全員に配るべきですか、使う人だけでよいですか？

網羅性を優先するならルールの適用対象者へ広く、負担を抑えるなら利用者に絞る形になります。利用者に絞る場合は、対象をどう把握するかを別途決めておきます。共有アカウントや部門契約は、部門の単位で回答してもらうと実態を捉えやすくなります。

Q4. チェックシートで、実際の遵守まで確認できますか？

チェックシートで確認できるのは、申告と社内判断、その経緯です。実際の利用状況の技術的な確認は、管理画面やアクセスログなど別の情報と組み合わせて行います。

• AI事業者ガイドライン検討会（第1.2版）｜経済産業省
• 生成AIサービスの利用に関する注意喚起等について｜個人情報保護委員会
• AIと著作権について｜文化庁

マモリスは、繰り返し発生するチェックシート業務を、作成・依頼・回収・確認・差し戻し・証跡保管まで通して扱えるツールです。社内の生成AI利用の棚卸しのように、同じ調査を定期的に回す業務では、毎週・毎月・毎年から選べる繰り返し依頼、前回回答を参考にしたプリセット、期限前のリマインド送信（10日前・3日前・当日）と一括での催促、回答状況の一覧による未回答の把握、差し戻しと確認履歴のPDF保管が利用できます。申告を集めて判断と経緯を残す土台として使う前提で、ほかの管理情報と組み合わせて運用します。