会社でAIを使う前に、承認を確かめる

便利さの理由と、管理の外に出る危険を見る

未承認利用は、悪意だけで起こるものではありません。承認済みの道具では必要な作業ができない、締切が迫る、慣れた道具を使いたい、承認の申請先が分からない、といった事情でも起こります。理由が分かっても、使用の許可が生まれるわけではありません。会社は困っている業務を聞き、使える代替手段や申請・相談の道を整え、利用者は未確認のまま独断で業務利用を始めないようにします。

ブラウザ拡張機能は、Webページを見るソフトであるブラウザへ機能を足すものです。拡張機能によっては、許されたページの内容を扱ったり、外部へ通信したりできます。どのページや情報へアクセスするかは、個々の機能と与えた権限によって違います。「手軽な追加機能だから」と確認を省かず、会社の承認に加えて、アクセス範囲や送信先を確認します。全ての拡張機能が全ページを読む、という意味ではありません。

情報漏えいは、情報が許されない相手へ伝わることです。外部サービスへの送信が全て漏えいなのではなく、誰に何を渡してよいかが問題になります。例えば、機密情報、つまり会社が外へ出さないよう管理する情報を、確認していない相手へ送る危険があります。会社が利用を把握できないと、入力の送信先・保存や共有の範囲、どの出力が業務に使われたかも追いにくくなります。会社には調査や対応、信頼への影響が生じ、従業員にも説明や修正の負担が及ぶことがあります。

架空の会社で、承認済みAIにはない表の整理機能が必要になりました。担当者は個人契約の拡張機能を見つけましたが、この業務への承認はまだありません。ここでは業務の表を送らず、必要な機能と扱う情報を窓口へ相談します。会社側も「使わないで」と伝えるだけで終えず、代替手段や承認の条件を検討します。便利さという理由、契約して使える状態、会社が認めた状態を分けて考える例です。

根拠：Tutorial: Discover and manage shadow IT（別タブで開く） ↗ / AI事業者ガイドライン 第1.2版 本編（別タブで開く） ↗ / The hidden risks of shadow AI（別タブで開く） ↗ / What are extensions?（別タブで開く） ↗ / permissions — WebExtensions manifest reference（別タブで開く） ↗ / GUGA 生成AIパスポート試験シラバス 固定原本（別タブで開く） ↗

会社の管理と、利用者の確認を分担する

会社側は、業務の目的や危険を踏まえて道具と利用条件を選定・承認し、相談先や教育を用意します。アクセス管理は、誰がどの情報を見たり、変更・送信したりできるかを管理することです。担当者に必要な範囲へ権限を絞り、異動などの変化にも合わせます。道具を契約する部署、利用条件を決める担当、現場で確認する人の役割も明確にします。これらは安全な利用を支える取組で、全ての誤りや漏えいを防ぐ保証ではありません。

利用者側は、承認されたサービス・アカウントと条件を使い、入力する情報や目的が範囲内か確かめます。出力確認は、AIの結果を使う前に、事実や前提、目的との適合、表現や権利などを点検することです。承認済みという道具の評価だけで、毎回の出力確認を済ませたことにはしません。必要な確認の深さは、用途や人への影響に合わせます。

条件が読めない、やりたい仕事が承認の範囲から外れる、と分かったら、その入力や利用を止めて相談します。何をしたいか、どの情報が必要か、どこが未確認かを伝えると、担当者が条件の確認や代替案の検討をできます。個人契約の道具へ移せば社内の条件を避けられる、とは考えません。承認済みの別作業まで理由なく全て止めるのでなく、未確認の作業と確認できた作業を分けます。

根拠：AI事業者ガイドライン 第1.2版 本編（別タブで開く） ↗ / Tutorial: Discover and manage shadow IT（別タブで開く） ↗ / GUGA 生成AIパスポート試験シラバス 固定原本（別タブで開く） ↗ / The hidden risks of shadow AI（別タブで開く） ↗

必要な記録を守りながら、後からたどれるようにする

利用履歴は、誰がいつどの道具を何のために使ったかなどを残す記録です。トレーサビリティは、情報の出所や入力・操作・出力、採否の判断まで、後からたどれることをいいます。完成した文章だけでは、元資料や使った版、修正・採用した人が分からない場合があります。利用履歴と資料の識別情報、確認結果などを必要な範囲で結び、問題が起きたときの確認や説明に役立てます。

記録自体も情報の取扱いです。入力原文を全員の共有場所へ複製すればよいわけではありません。会社は用途や危険に応じて記録する項目・保存期間・閲覧できる人を決め、利用者は決められた場所へ必要な記録を残します。資料名や管理番号などで元資料へ結べる場合もあります。履歴があることは、入力の許可や出力の正しさの証明そのものではありません。

架空の道具「文案室」は、会社アカウントで公開の施設案内から社内用の説明案を作る用途だけ承認されています。公開案内から案を作る担当者は、使った資料と版、生成案と修正後の採否を、閲覧を制限した利用記録に結びます。一方、顧客の相談記録を入れて社外向け広告を作る案は、情報と目的の条件が未確認なので、入力前に担当窓口へ確認します。同じ道具でも、承認条件に合う利用かは作業ごとに違います。

会社が選定・承認・管理の仕組みを整えることと、利用者が入力条件を守り、出力を確かめて記録することは、どちらも必要です。会社の承認、サービスとの契約、情報の利用条件、今回の出力の確認を別々に見れば、「契約済みだから何でもよい」「承認済みだから確認不要」という飛躍に気づけます。未承認利用の理由も聞き取り、仕事が進む方法と守る条件を一緒に整えます。

根拠：AI事業者ガイドライン 第1.2版 本編（別タブで開く） ↗ / GUGA 生成AIパスポート試験シラバス 固定原本（別タブで開く） ↗ / Tutorial: Discover and manage shadow IT（別タブで開く） ↗ / The hidden risks of shadow AI（別タブで開く） ↗