会社が把握していないAI利用。責めずに実態を集める聞き取りの進め方

サービス名の一覧だけでなく、使っている仕事と困りごとを聞く。

最初の質問は「何を使ったか」だけにしない

生成AIの入力に業務の機密情報が含まれ得ることは、カナダのサイバーセキュリティ機関も注意点として挙げています。そこでSONAEは、未把握の利用を見つける際、サービス名とともに用途、入力する情報の種類、利用するアカウント、管理する人を聞く方法を提案します。回答のために実際の顧客資料やチャット履歴を提出させる必要はありません。情報の種類を説明する架空の例を用意します。

現場が使いたくなる理由も記録する

翻訳、議事録、表の整理など、業務上の困りごとを聞きます。承認されていないサービスを使う理由が、既存ツールではできない作業なのか、承認先が分からないからなのかで、次の対応が変わります。最初から利用を責める場にすると、実態を集めにくくなります。すぐに利用継続を認めるという意味ではなく、判断に必要な情報を集めるための聞き取りです。

承認済み・未確認・利用を止める対象を分ける

一覧には確認の状態と判断する担当を付けます。未回答を承認済みとして扱わず、契約や情報管理の条件が分からないものは未確認とします。入力済みの情報に懸念があるときは、一般的な聞き取りから社内の事故連絡へ切り替えます。ここで法的な報告義務や漏えいの有無を自己判断せず、情報管理の責任者へ事実を引き継ぎます。

相談への返事を、具体的な用途で返す

架空の例で「公開済みカタログの要約」は検討できても、「顧客の面談記録」は契約条件の確認が必要、という場合があります。一つのサービスを全面的に安全とする返事をせず、承認した用途と入力範囲を伝えます。見送る用途には代替手段と再相談先を付け、現場が次に何をすればよいか分かる形にします。

聞き取りを一度きりにしない

新しいサービス、機能の追加、外部連携によって使い方は変わります。部署の窓口と見直し日を決め、承認後も変更を相談できるようにします。集めた一覧の閲覧者も限定してください。完了の目安は、各利用に判断の状態と担当が付き、未確認の用途について期限と次の確認方法を決めたことです。回答件数だけを成果にしない運用を提案します。

部署の回答を集めた後の、返答の例

架空の営業部からは、個人のアカウントで公開資料を要約している、経理からは請求内容を整理したいが入力範囲が分からない、という回答がありました。この二件を単に「AI利用2件」と報告するだけでは判断が進みません。営業の用途は入力と契約を確認する作業に、経理の用途は扱う情報と社内承認の確認に分けます。回答者には受付番号と確認する担当、返答予定日を伝え、返答が遅れる場合も状態を知らせます。集計資料では個々の社員名を必要以上に広げず、経営向けには用途、未確認の条件、代替案をまとめます。回答した社員を評価する一覧ではなく、会社が管理できる利用方法へ移すための資料として扱いましょう。

相談前の確認表

• 用途と困りごとを聞く質問を用意した
• 秘密の原本や履歴を集めない
• 未確認に担当と期限を付けた
• 承認する用途と変更時の相談先を伝えた

参考資料（確認日：2026年10月23日）：Canadian Centre for Cyber Security：Generative artificial intelligence ↗

一般的な説明とSONAEの運用提案です。製品の公式条件と自社の管理責任者の判断を確認してください。