AIツールの社内審査ガイド2026｜情シスが導入前に確認すべき項目と契約の勘所

審査が追いつかない、という悩み

生成AIの利用が広がると、情報システム部門に申請が集中します。議事録の要約、資料の下書き、コードの補助。部署ごとに違うツールを使いたいと言ってきます。

ここで担当者は板挟みになります。すべてを厳しく審査すれば、現場は待ちきれずに個人契約で使い始めます。逆にすべてを通せば、顧客情報が知らないサービスに渡ります。

必要なのは、審査の緩急をつける仕組みです。この記事では、AIツールの導入審査で本当に確認すべき項目と、契約時の勘所を整理します。

すべてを同じ強度で審査してはいけません

審査が破綻する原因は、明快です。社内の全ツールを一律の重さで見ているからです。

公開情報の要約にしか使わないツールと、顧客の個人情報を投入するツールを、同じチェックシートで審査する必要はありません。前者を軽く通すことで、後者に時間を割けます。

そこで最初にやるべきは、審査項目を増やすことではなく、リスクの区分を決めることです。

入れるデータで三段階に分ける

判断の軸は「そのツールに何を入力するか」です。ツールの機能ではありません。

低リスクは、社外に出しても問題ない情報だけを入れる使い方です。公開済みの記事や一般的な調べもの、公開仕様に基づく文章の下書きなどが当てはまります。ここは申請と簡易確認で通す設計にします。

中リスクは、社外秘の情報を入れる使い方です。社内資料、未公開の企画、議事録などが該当します。データの扱いと保存先を確認したうえで承認します。

高リスクは、個人情報や顧客の機密、あるいはツールが社内システムに接続して操作を実行する使い方です。ここだけは時間をかけて審査します。

この三段階を先に決めておけば、申請が来たときに「どの深さで見るか」を最初の数分で判断できます。審査の速度は、ここでほぼ決まります。

確認すべき項目は多くありません

チェックシートは長くするほど形骸化します。実際に事故につながる論点は、それほど多くありません。

1. 入力したデータがモデルの学習に使われるか

最も重要な確認事項です。多くの事業者は、法人向けプランで「入力内容を学習に使わない」と定めていますが、無料プランや個人向けプランでは扱いが異なる場合があります。

確認すべきは、宣伝文句ではなく利用規約とプライバシーポリシーの記載です。そして「自社が契約するプラン」で、その条件が適用されるかを必ず突き合わせてください。同じサービスでもプランによって条件が変わるのは、珍しいことではありません。

2. データがどこに保存され、いつ消えるか

入力した内容がどこのサーバーに保存されるのか、保持期間は何日か、削除を要求できるのかを確認します。保存先の国は、業種によっては契約や規制上の制約に直結します。

あわせて、事業者側の担当者が入力内容を閲覧できる条件も見ておきます。不正利用の監視目的で一定期間保持する設計は一般的ですが、その範囲を把握しないまま機密情報を投入するのは危険です。

3. 誰が使えて、何をしたか追えるか

管理者が利用者を追加・削除できること。退職者のアカウントを確実に止められること。誰がいつ使ったかのログが取れること。この三点は、組織で使う以上は外せません。

個人アカウントの寄せ集めで運用すると、退職時にデータごと持ち出される経路が残ります。管理機能の有無は、機能の豪華さより優先して見るべき項目です。

4. 社内システムに接続する場合の権限範囲

AIツールが社内のファイル共有やチャットに接続する構成では、確認の重点が変わります。そのツールが読める範囲と、実行できる操作の範囲を明確にしてください。

とくに、書き込みや送信を伴う操作を任せる場合は、人間の承認を挟む設計になっているかを確認します。読み取りだけの接続と、操作を実行する接続では、事故が起きたときの被害がまったく違います。

5. 出力物の権利関係

生成された文章や画像、コードを商用利用できるか。利用規約で出力物の扱いがどう定められているかを確認します。制作物を納品する業務で使うなら、ここを曖昧にしたまま進めることはできません。

契約で見落としやすい論点

技術的な確認を終えても、契約段階で問題が残ることがあります。

解約したらデータはどうなるか

契約終了後にデータを取り出せるのか、その期限はいつまでか。取り出せない設計だと、蓄積したナレッジごと事業者に縛られます。移行のしやすさは、導入時にこそ確認する価値があります。

規約が変更されたときの通知

AI分野のサービスは、仕様も規約も変わります。データの取り扱いに関する条件が変更されたとき、通知される仕組みがあるかを見ておきます。通知がない場合は、こちらから定期的に見直す運用が必要です。

再委託先と障害時の責任

そのサービスが裏側で別の事業者のモデルを使っている場合、データはその先にも渡ります。誰が最終的にデータを扱うのかを把握してください。あわせて、障害や情報漏えいが起きたときの連絡経路と責任範囲を確認します。

審査を速く回すための実務

仕組みが整っても、運用が重ければ現場は迂回します。次の工夫で負荷を下げてください。

審査済みリストを公開する

承認したツールを一覧にして、用途とリスク区分を添えて全社に公開します。「これは審査済み」と分かれば、同じ用途の申請は減ります。禁止事項を並べるより、使えるものを示すほうが行動は変わります。

期限を切って再確認する

一度承認したら永久に安全、ということはありません。半年か一年で棚卸しをして、規約の変更と実際の利用状況を見直します。使われていないツールは契約を止め、費用と管理対象を減らします。

差し戻す理由を具体的に伝える

「セキュリティ上の懸念」とだけ返すと、申請者は次の一手を打てません。どの項目が満たされていないか、法人プランへの変更で解決するのかを示します。審査は関門ではなく、安全に使えるところまで導く工程です。

よくある質問

個人が無料で使う分には申請不要でしょうか

入力するデータで判断してください。業務情報を入れる時点で、無料か有料かは関係ありません。むしろ無料プランのほうが学習利用や保持の条件が緩いことが多く、注意が必要です。

審査に何日かければ適切ですか

低リスクなら即日、高リスクは数週間かかっても仕方がありません。重要なのは日数そのものより、申請者に「今どの段階か」が見えていることです。見えない待ち時間が、無断利用を生みます。

すでに現場で無断利用されている場合はどうしますか

まず処罰ではなく把握を優先してください。咎める姿勢を見せると利用が地下に潜り、実態がつかめなくなります。申告を受け付け、危険なものから順に法人契約へ移行させるほうが、結果的に安全です。

まとめ

AIツールの審査で担当者を消耗させているのは、項目の多さではなく、緩急のなさです。入れるデータでリスクを三段階に分け、低リスクは軽く通し、高リスクに時間を割いてください。

確認すべき核は限られています。学習に使われるか、どこに保存されいつ消えるか、誰が使えて追跡できるか、接続する権限の範囲、出力物の権利。契約では解約時のデータと、規約変更の通知、再委託先を見ます。

そして審査済みリストを公開し、期限を切って見直す。禁止の告知より、安全に使える道を示すことが、無断利用をいちばん減らします。