Claude Codeを一部の部署から全社に展開しようとするタイミングで、必ずと言っていいほど情報システム部門・法務部門から確認が入ります。「セキュリティは大丈夫か」という問いに答えられないまま展開すると、承認が下りずに止まってしまいます。
この記事では、全社展開の前に整理しておきたいチェック項目を「権限」「ログ・監査」「利用ルール」「データの扱い」「体制」の5つに分けてまとめ、情報システム部門との合意形成の進め方、既存の社内規程との対応づけ、承認後の運用までを整理します。
- 全社展開が止まる原因は技術ではなく「合意形成の順番」。チェックリストを埋めてから情報システム部門に持ち込む
- 確認項目は5分野。権限・ログ監査・利用ルール・データの扱い・体制
- 「何が整っていないか」ではなく「何が整っているか」から会話を始める
- 承認は一度で終わらない。四半期ごとの見直しを運用に組み込む
なぜ全社展開で止まるのか
先行導入の部署では、担当者が自分の判断で使い方を決め、問題が起きても自分で対処できます。全社展開になると、「誰が・何を・どこまで入力してよいか」を会社として決める必要があり、この決定には情報システム・法務・各部門長の合意が要ります。合意を取る材料がそろっていないと、「よく分からないから保留」という判断になります。止まっているのは技術的な問題ではなく、判断材料の不足です。
権限まわり
- 誰が、どの業務データにアクセスできる状態か整理されているか
- 部署・役職ごとにアクセス範囲を分ける設計になっているか
- 退職・異動時にアクセス権限を失効させる運用が決まっているか
- AIツールのアカウント発行・停止の申請と承認の手順が、既存のシステムと同じフローに乗っているか
- 管理者権限を持つ人が複数いて、1人の不在で運用が止まらないか
ログ・監査まわり
- いつ、誰が、どのような指示を出したか追跡できる状態か
- 監査ログの保管期間・保管場所が社内規程と整合しているか
- インシデント発生時にログを確認できる担当者・手順が決まっているか
- ログの閲覧権限が限定されているか（誰でも他人の利用履歴を見られる状態は避ける）
- 年1回以上、ログをサンプル確認する監査の手順があるか
利用ルールまわり
- 顧客の個人情報・機密情報を入力してよい範囲が明文化されているか
- 生成された成果物を最終的に人が確認する工程が組み込まれているか
- 利用ガイドラインの周知・研修が全対象者に行き届いているか
- 「してはいけない使い方」の具体例（顧客リストの丸ごと入力、契約書の全文入力など）が示されているか
- ルール違反が起きたときの報告先と対応の手順が決まっているか
データの扱い
ツールの利用規約と自社のデータ分類を突き合わせ、次の点を確認します。
| 確認項目 | 見るもの | 整理の仕方 |
|---|---|---|
| 入力データの学習利用 | ツールの利用規約・データポリシー | 学習に使われない契約・設定になっているかを確認し、根拠の条文を記録する |
| データの保存場所と期間 | ツールの仕様 | 国内か海外か、削除の条件。自社の規程（越境移転・保存期間）との整合 |
| データの分類 | 自社の情報資産管理規程 | 公開・社内・機密・個人情報の4区分で、どの区分まで入力可とするかを決める |
| 出力の権利 | 利用規約 | 生成物の著作権・利用範囲。社外に出す成果物への使用可否 |
| 委託先の管理 | 個人情報保護規程 | AIツールの利用が「委託」に当たるか。当たる場合の契約・監督 |
個人情報を扱う場合は、個人情報保護法の委託・第三者提供の整理が必要になることがあります。判断に迷う項目は、法務または外部の専門家に確認してください。
入力してよい情報・いけない情報の判断表
利用ルールで最も質問が多いのが「これは入力していいのか」です。判断表を作って全員に配ると、迷いが減ります。次は一例で、自社のデータ分類と契約内容に合わせて調整してください。
| 情報の種類 | 入力 | 条件・補足 |
|---|---|---|
| 公開情報（自社サイト・プレスリリース） | 可 | — |
| 社内の一般文書（議事録・マニュアル・社内規程） | 可 | 機密指定のないもの |
| 取引先名を含む業務データ | 条件付き可 | 取引先との契約に守秘条項がある場合は匿名化してから |
| 顧客の個人情報（氏名・住所・連絡先） | 原則不可 | 委託の整理と契約が済んでいる場合のみ、必要最小限で |
| 機密情報（未公開の財務・技術情報） | 原則不可 | 責任者の承認がある場合のみ |
| 他社の著作物（購入した資料・書籍の全文） | 不可 | 引用の範囲を超える入力は避ける |
「条件付き可」の運用は、条件を満たしたかを誰が確認するかまで決めておきます。判断に迷ったら入力しない、を原則にします。
インシデントが起きたときの初動
- 止める: 該当のアカウントの利用を一時停止し、関係する出力物の社外送付を止める
- 記録する: 日時・利用者・入力した情報・出力物・送付先を、ログと本人の申告から記録する
- 報告する: 責任者と情報システム・法務へ。個人情報が含まれる場合は、個人情報保護法にもとづく報告・通知の要否を法務が判断する
- 影響を確認する: 情報が外部に出たか、出た場合の範囲
- 再発防止をルールに反映する: 周知不足かルールの不備かを切り分け、判断表・研修を更新する
初動の手順を1枚にして、全利用者が見られる場所に置いておきます。「誰に言えばいいか分からない」で報告が遅れることが、最も被害を大きくします。
体制
- AI利用の責任者（役員クラス）と、実務の窓口（情報システムまたはDX担当）が決まっているか
- 各部門に「使い方を相談できる人」が1人いるか
- ルールの見直しを四半期ごとに行う会議体があるか
- インシデント（情報漏えいの疑い・誤った成果物の社外送付など）の報告経路が決まっているか
部門別の懸念と、答え方の型
各部門が全社展開に対して持つ懸念は、部門ごとに決まっています。先に答えを用意しておくと、会議が「保留」で終わりません。
| 部門 | 典型的な懸念 | 答え方 |
|---|---|---|
| 情報システム | 情報漏えい、アカウント管理、既存システムとの整合 | 利用規約のデータ取り扱い条項と、アカウント発行・停止の手順書を示す |
| 法務・コンプライアンス | 個人情報・機密情報の入力、生成物の権利、規程との整合 | 入力禁止情報の一覧と、既存規程への追加案を示す |
| 経営層 | 費用対効果、リスクと責任の所在 | ROIの見込み（先行導入の実績）と、責任者・報告経路を示す |
| 各部門長 | 現場の負担増、業務の変化への抵抗 | 最初の1業務に限定した段階展開と、相談役の配置を示す |
| 監査 | ログの保管、監査の手順 | ログの保管期間・場所と、年1回のサンプル監査の手順を示す |
承認までのスケジュール例
| 週 | やること | 成果物 |
|---|---|---|
| 1週目 | 自部門でチェックリストを埋める。未確認項目を洗い出す | チェックリスト（未確認付き） |
| 2週目 | 先行導入の実績を1枚にまとめる。ツールの利用規約からデータ取り扱い条項を抜き出す | 実績1枚、規約の抜粋 |
| 3週目 | 情報システム・法務に「確認してほしい項目」を指定して事前相談 | 確認依頼メール、回答 |
| 4週目 | 指摘への対応。既存規程への追加案を作る | 規程の追加案 |
| 5〜6週目 | 承認会議。承認条件を書面で受け取る | 承認条件 |
| 7週目以降 | 段階展開（2〜3部署・3か月）を開始 | 展開計画 |
2か月前後が目安です。「相談してから資料を作る」と倍以上かかるため、資料をそろえてから相談する順番が重要です。
合意形成の進め方
これらを情報システム部門に丸投げすると、「よく分からないから保留」という判断になりがちです。私たちがおすすめしているのは、先に上記のチェックリストを埋めた状態で相談を持ちかけることです。
「何が整っていないか」ではなく「何が整っているか」から会話を始めることで、承認までのスピードが大きく変わります。具体的な進め方は次の通りです。
- チェックリストを自部門で埋める: 分からない項目は「未確認」と書く。空欄のままにしない
- 先行導入の実績を添える: 対象業務・期間・効果・起きた問題と対処を1枚に。「業務自動化のROIをどう測るか」の3指標で
- 情報システム・法務に「確認してほしい項目」を指定して相談する: 「全部見てほしい」ではなく「データの扱いの3項目の判断をお願いしたい」と絞る
- 承認の条件を書面でもらう: 「この条件を満たせば展開可」を明文化してもらうと、条件を満たす作業に集中できる
- 段階展開を提案する: 全社一斉ではなく、次の2〜3部署で3か月、その結果で全社へ。承認のハードルが下がる
既存の社内規程との対応づけ
新しい規程を一から作るより、既存の規程にAI利用の項目を追加するほうが、承認も運用も早くなります。
| 既存の規程 | 追加する内容 |
|---|---|
| 情報セキュリティ規程 | AIツールへの入力禁止情報、アカウント管理、ログの扱い |
| 個人情報保護規程 | AIツールでの個人情報の取り扱い範囲、委託の整理 |
| 文書管理規程 | AIが生成した文書の位置づけ、人による確認と承認の工程 |
| 就業規則・服務規律 | 業務での私的なAIアカウント利用の禁止など |
| 情報システム利用規程 | 利用申請・承認・停止の手順 |
承認後の運用
承認は一度で終わりません。ツールの機能・利用規約・社内の使い方は変わるため、次の見直しを運用に組み込みます。
- 四半期ごとに、チェックリストの各項目の状態を確認する（担当: DX担当）
- ツールの利用規約の改定を追う（担当: 情報システム）
- インシデントと「ヒヤリ」の記録を集め、ルールに反映する（担当: 各部門の相談役）
- 年1回、ログのサンプル監査と、ルールの周知状況の確認（担当: 法務・監査）
ガバナンス設計支援での進め方
凪AIのガバナンス設計支援では、このチェックリストの整備から情報システム部門・法務部門との合意形成までを一緒に進める形を取っています。私たちが行うのは、チェックリストの項目を自社の規程・体制に合わせて具体化することと、情報システム部門への説明資料の作成の支援で、承認の判断そのものは各社の担当部門が行います。
よくある質問
Q. 小さい会社で情報システム部門がありません。誰が判断すればいいですか
経営者がAI利用の責任者となり、実務の窓口を総務または経営企画の担当者が兼ねる形が一般的です。チェックリストの項目は会社の規模に関係なく同じで、判断に迷う項目（データの扱い・個人情報）は外部の専門家に確認します。
Q. 個人のアカウントで使い始めた社員がいます。どうすればいいですか
まず「業務での私的アカウント利用は禁止」を明文化し、会社のアカウントに移行する期限を決めます。罰則より、会社のアカウントで使える環境を早く整えるほうが、移行が進みます。
Q. 承認後にルール違反が起きたら、展開は止まりますか
止める必要はありませんが、原因（ルールの周知不足か、ルール自体の不備か）を確認し、対応を記録します。インシデントの記録と対応が残っていることが、次の見直しと信頼の材料になります。
Q. チェックリストの全項目がそろわないと展開できませんか
「未確認」の項目があっても、展開の範囲を限定する（対象部署・扱うデータを絞る）ことで、段階展開の承認を得られる場合があります。すべてそろえてから動くより、限定して動きながら整えるほうが早く進みます。
Q. 利用規約が英語で、データの扱いを読み切れません
確認すべき条項は「入力データの学習利用の有無」「データの保存場所と期間」「削除の条件」「再委託先」の4点に絞れば十分です。この4点だけを抜き出して翻訳し、情報システム・法務に判断を求める形にすると、規約全文を読む必要がなくなります。ベンダーの日本語の説明資料やFAQがあれば、そちらを一次資料として添付します。
Q. 生成された文書に誤りがあって取引先に送ってしまった場合の責任は
AIが生成した文書であっても、社外に出した時点で会社の文書としての責任は会社にあります。だからこそ「人が最終確認する工程」をルールに組み込む必要があり、確認者と確認の観点（数字・固有名詞・金額・日付）を決めておきます。誤送付が起きた場合は、インシデントの初動手順に従って対応します。
まとめ
全社展開のボトルネックは、多くの場合「技術」ではなく「合意形成の順番」にあります。権限・ログ監査・利用ルール・データの扱い・体制の5分野を自部門で先に埋め、「整っていること」から会話を始めてください。承認後は四半期ごとの見直しを運用に組み込むことで、展開後の混乱を避けられます。