生成AIツールのSSO・ID連携ガイド2026｜退職者のアクセスを確実に止める五つの手順

生成AIツールは、放っておくと「個人契約の集合体」になります

生成AIツールの導入は、他の業務システムとは入り方が違います。多くの場合、情報システム部門が選定する前に、現場の担当者が自分のメールアドレスで登録して使い始めています。無料枠があり、その場で試せるからです。

この入り方自体は悪いことではありません。問題は、そのまま業務に定着してしまう点にあります。誰がどのツールにアカウントを持っているのかを、会社側が把握できない状態が生まれます。棚卸しをしようとしても、そもそも一覧が存在しません。

これを人の運用だけで直そうとすると、必ず限界が来ます。ツールが増え、担当者が異動し、申請フォームの記入漏れが積み上がるからです。ID連携（SSO・SCIM）は、この管理を仕組みの側に移すための手段です。本記事では、何をどの順番で決めればよいかを整理します。

手順1：連携する対象を絞り込む

最初にやるべきは技術検証ではなく、対象の絞り込みです。社内で使われている生成AIツールをすべて一度に連携しようとすると、設定作業だけで数か月かかり、途中で止まります。

優先順位の基準は、ツールの人気ではなく「そのツールに何が入っているか」です。顧客情報や未公開の資料を投入しているツール、社内文書を読み込ませているツールから着手してください。逆に、公開情報の下調べにしか使っていないツールは、後回しでかまいません。

利用人数が少ないツールほど、後で残ります

見落としやすいのが、少人数だけが使っているツールです。全社利用のツールは目立つため、退職時のチェックリストにも載ります。しかし2〜3人しか使っていないツールは、担当者が辞めた瞬間に誰も存在を知らないアカウントになります。人数が少ないことは、優先度を下げる理由にはなりません。

手順2：ログインの統合と、アカウント管理の自動化を分けて考える

ID連携という言葉は、実際には二つの別々の仕組みを指しています。ここを混同すると、期待した効果が得られません。

一つはログインの統合です。社員は会社のIDでそのままツールにログインでき、パスワードを個別に覚える必要がなくなります。もう一つはアカウント管理の自動化で、入社時にアカウントを作り、退職時に止める処理を、人事側の情報に連動させる仕組みです。

ログインを統合しても、アカウントは自動では消えません

ここが最も誤解されやすい点です。ログインを会社のIDに寄せただけの状態では、社員が退職して会社のIDを止めても、ツール側のアカウント自体は残り続けます。多くの場合、ログイン経路が塞がるだけで、そのアカウントに紐づいた会話履歴やアップロード済みのファイルはツール上に残ります。

「退職者のアクセスを確実に止める」ことが目的なら、ログイン統合だけでは足りません。アカウントの停止まで自動化するか、それができない場合は手作業で止める運用を明文化してセットにする必要があります。

手順3：契約プランでできることを、設計前に確認する

ID連携は、多くのSaaSで上位プランの機能として提供されています。個人向けや小規模チーム向けのプランでは利用できないことが珍しくありません。

そのため、連携方式を設計する前に現在の契約プランで何が使えるのかを確認してください。設計を固めてから「そのプランでは対応していない」と判明すると、契約の切り替え交渉から出直しになります。確認すべきなのは、ログイン統合の可否、アカウント管理自動化の可否、管理者向けの利用状況を確認する機能の範囲、の三点です。

なお、対応状況や必要なプランは提供元の判断で変更されます。社内資料に書き写した情報が古いまま参照され続けることも多いため、判断のもとになる情報は、必ずその時点の公式ドキュメントで確認するようにしてください。

手順4：退職当日の動きを、実際に試してから展開する

設定が完了したら、本番展開の前に一度だけ試験をしてください。内容は単純です。テスト用のアカウントを一つ作り、会社側でそのIDを停止し、対象ツールにアクセスできなくなるかを実際に確認します。

この確認を省くと、退職者が出た日に初めて不備が見つかります。よくあるのは、ログイン統合を設定したにもかかわらず、以前作られた個別のパスワードでのログインが有効なまま残っているケースです。新しい入口を作っても、古い入口を閉じなければ意味がありません。

確認結果は記録に残す

試験の結果は、日付と確認者を添えて記録してください。監査や取引先のセキュリティ調査で問われたとき、「設定しました」ではなく「この日に停止を確認しました」と答えられるかどうかで、説明の重みが変わります。

手順5：連携できないツールの扱いを決める

すべてのツールが連携に対応しているわけではありません。対応していないツールをどう扱うかを決めないまま放置すると、そこだけが管理の空白地帯になります。

取りうる選択肢は三つです。連携できる同種のツールに乗り換える、共用の管理者アカウント配下で契約を会社に一本化する、あるいは業務利用を認めない。どれを選ぶにせよ、決めた内容を利用ルールに書き、対象者に伝えるところまでを一つの作業としてください。

現実的には、乗り換えの判断はすぐには下せません。その場合でも、「連携できないツールの一覧」と「暫定的に誰が手作業で停止するか」を明記した表を一枚だけ用意しておけば、担当者が交代しても引き継げます。

まとめ：まず「止まるかどうか」を確認してください

ID連携の目的は、ログインを便利にすることではありません。会社が渡した権限を、会社の判断で確実に回収できる状態を作ることです。

ですから、着手の順番も明快です。情報の入っているツールから対象を絞り、ログイン統合とアカウント停止を切り分けて設計し、契約プランでできることを確認し、テスト用アカウントで実際に止まるかを試す。連携できないツールは、扱いを決めて表に残す。この五つを終えれば、少なくとも「誰が使っているか分からない」状態からは抜け出せます。

完璧な構成を最初から目指す必要はありません。まずは最も重要な一つのツールで、退職者のアクセスが確実に止まることを確認してみてください。そこで見つかった不備が、次に手を入れるべき箇所を教えてくれます。