生成AI利用ルールの例外申請フロー2026｜申請書の5項目と期限切れの棚卸し

生成AIの社内ルールを作ると、必ず「この案件だけは例外にしてほしい」という相談が来ます。禁止したはずのデータを入れたい、未承認のツールを使いたい、といった内容です。この記事では、その相談を口頭のやり取りで終わらせず、記録の残る例外申請として処理するための手順を整理します。申請書に入れる5項目、承認の判断基準、そして期限切れを放置しないための棚卸しまでを扱います。

例外の窓口がないルールは、守られなくなる

例外申請の仕組みがない会社では、二つのことが起きます。

一つは、現場が黙って使い始めることです。相談する先がなく、断られるとわかっている場合、人は聞かずに実行します。結果として、会社が把握していない利用が増えます。この構造はシャドーAIの管理で扱った問題と同じです。

もう一つは、責任者が口頭で許可を出すことです。会議の場で「今回はいいでしょう」と決まり、記録が残りません。半年後に誰が何を認めたのかを追えず、監査で説明できなくなります。

例外申請は、ルールを緩めるための仕組みではありません。ルールから外れる利用を、会社が見える場所に集めるための仕組みです。

申請書に入れる5項目

申請書は1枚に収めます。項目が多いと申請されなくなり、元の状態に戻るためです。

1. やりたいことと、扱うデータ

まず、何にどう使うかを具体的に書かせます。「業務効率化のため」では判断できません。対象となるデータの種類を、社内の区分に沿って明記させます。区分の作り方はデータ分類と入力ルールで整理した形をそのまま使えます。

2. 本則のどこに反するか

申請者に、社内ルールのどの条項から外れるのかを書かせます。ここが空欄のまま出てくる申請は、そもそも例外ではない場合があります。読み違いによる不要な申請を、この欄で減らせます。

3. 期限

最も重要な項目です。例外は必ず期限付きにします。上限は3か月から6か月が目安で、延長したい場合は再申請とします。期限のない例外は、時間が経つと事実上の本則になり、誰も見直さなくなります。

4. 追加で行う安全策

例外を認める代わりに、何を追加で行うかを書かせます。出力を必ず二人で確認する、対象データを匿名化する、利用を特定の担当者に限定する、といった内容です。ここが具体的であるほど、承認しやすくなります。

5. 申請者と承認者

申請者本人に加えて、その上長と、最終承認者を明記します。承認者は、内容によって変えます。判断の分担は次の節で決めます。

承認者を内容で分ける

すべてを情報システム部門に集めると、処理が滞ります。内容に応じて三段階に分けます。

一段目は、部門長の判断で済むものです。社外に出ないデータで、未承認ツールも使わない場合が該当します。

二段目は、情報システム部門の確認が必要なものです。未承認のツールを使う、外部サービスに社内データを送る場合です。ツール自体の審査はベンダーのセキュリティ審査の手順に沿って行います。

三段目は、法務や経営判断が必要なものです。顧客データや個人情報を扱う場合、あるいは秘密保持契約に関わる場合が該当します。契約面の論点は顧客との守秘義務に整理しています。

どの段階でも、却下する場合は理由を書いて返します。理由のない却下が続くと、次から申請が来なくなります。

期限切れを放置しない

例外申請の仕組みが崩れる原因は、ほぼ期限切れの放置です。承認までは丁寧に運用されても、その後を見る人がいません。

対策は単純で、承認済み例外の一覧を1つの表で持ちます。項目は、申請者、内容、承認日、期限、承認者の5列です。月に一度、期限が近いものを申請者に通知します。

期限が来たら、既定は終了です。延長を希望する場合だけ再申請させます。この向きにしておかないと、確認漏れがそのまま延長になります。アカウントやライセンスを伴う例外は、アカウント・ライセンスの棚卸しと同じ表で管理すると二重管理を避けられます。

申請の中身がルール改訂の材料になる

同じ理由の申請が3件を超えたら、それは例外ではありません。本則に書くべき運用です。四半期ごとに申請の一覧を見て、繰り返し出ている用途を洗い出します。

逆に、一度も申請が来ない禁止事項は、実態に合っていない可能性があります。誰も必要としていないのか、諦めて黙って使っているのかを、現場に確認します。この見直しはルールの定期見直しサイクルの中に組み込むと、単独の作業になりません。

導入の進め方

最初に、過去に口頭で認めた例外を書き出します。多くの場合、ここで数件が見つかります。それを申請書の形式に落とし、期限を設定するところから始めます。

次に、申請の様式を1枚で用意します。表計算ソフトの1行でも構いません。運用が回ることを確認してから、必要に応じてワークフローの仕組みに載せます。

最後に、例外が事故につながった場合の対応手順とつなげます。誰が認めた例外だったかを追えることが、初動の速さに直結します。手順の設計は生成AIのインシデント対応を参照してください。

各ツールの料金やデータの取り扱いは変更されるため、導入前に提供元の公式情報でご確認ください。