Media > AI活用ユースケース > 情報システム > 使っているSaaSの仕様変更と提供終了の告知を毎週巡回して、影響を洗い出す

使っているSaaSの仕様変更と提供終了の告知を毎週巡回して、影響を洗い出す

実装ステータス:構成例 技術的に実現可能な構成として設計したもの。自社未検証

利用中のSaaSのリリースノートと管理者向け告知を毎週巡回し、変更の種類を仕分けたうえで、自社の利用状況に照らして影響のあるものだけを、期限とともに一覧にします。担当者の作業は、各サービスの告知を読んで回ることから、絞り込まれた一覧を確かめて手を打つことに変わります。

サマリー
利用ツール
ChatGPT/Claude/Gemini/Make/n8n/Power Automate
対象業界
IT・SaaS/保険/士業/製造/金融
対象部門
情報システム/総務
対象業務
内容確認・チェック/情報検索
主な課題
人手が足りない/情報が見つからない/期限・対応漏れが起きる
AIで行う処理
エージェント
主な効果
対応スピード向上/工数削減/機会損失防止
導入難易度
★★★☆☆
実装レベル
半自動化
費用感
API連携(中)
人間の確認
必須
現在工数
24h/月
AI導入後
7.2h/月
想定削減
70%
年間削減
202h
モデル条件による試算値です。実在企業の実績ではありません。

01導入前 / 導入後の業務フロー

導入前(Before)
  1. SaaS管理担当が、週1回、主要なサービスのリリースノートを見に行く
  2. 管理者向けのメールが届いていないかを、共有メールボックスで確認する
  3. 各サービスの管理画面にログインし、お知らせを見る
  4. 新しい告知があれば、内容を読む
  5. 自社が使っている機能に関係するかを判断する
  6. 関係する場合、いつから変わるのか、何をすべきかを読み取る
  7. SaaS管理台帳に記録し、対応が必要なものは利用部門へ連絡する
  8. 対応の期限を手帳やタスク管理ツールに控える
導入後(After)
  1. 自動毎週、SaaS管理台帳に登録された各サービスの告知の場所を巡回する
  2. 自動前回の巡回以降に追加された告知を特定する
  3. 自動告知の本文を取得する
  4. 自動変更の種類を仕分ける(機能追加/仕様変更/提供終了/価格改定/障害・メンテナンス)
  5. 自動自社の利用状況(契約プラン、使っている機能、連携しているシステム)に照らして影響を判定する
  6. 自動影響がある場合、いつから変わるか、何をする必要があるかを抜き出す
  7. 自動影響がないと判定したものは、一覧から外す(記録は残す)
  8. SaaS管理担当が、影響ありと出たものを確認し、対応の要否を決める
  9. 対応が必要なものは、利用部門と調整する
  10. 自動期限のあるものをタスクとして登録し、期限が近づいたら通知する
各工程の詳しい説明を読む
  1. SaaS管理担当が、週1回、主要なサービスのリリースノートを見に行く
  2. 管理者向けのメールが届いていないかを、共有メールボックスで確認する
  3. 各サービスの管理画面にログインし、お知らせを見る
  4. 新しい告知があれば、内容を読む
  5. 自社が使っている機能に関係するかを判断する
  6. 関係する場合、いつから変わるのか、何をすべきかを読み取る
  7. SaaS管理台帳に記録し、対応が必要なものは利用部門へ連絡する
  8. 対応の期限を手帳やタスク管理ツールに控える

問題は6つあります。

(a)45サービスを毎週見て回れない。 実際には主要な10サービスしか見ていません。残り35サービスは、何か起きてから気づきます。

(b)告知の置き場所がサービスごとに違う。 リリースノートのページ、管理画面のお知らせ、メール、開発者向けブログ、SNS。どこを見ればよいかを覚えていないと探せません。

(c)管理者向けメールが個人の受信箱に埋もれている。 契約時の担当者が異動しても、送信先は変わっていません。「誰も読んでいないメール」が存在します。

(d)告知の大半が自社に関係ない。 使っていない機能、契約していないプラン、別の地域向けの案内。読んでから「関係なかった」と分かるまでが無駄です。

(e)影響範囲が判断できない。 「◯◯機能の仕様を変更します」と書かれていても、その機能を社内の誰が使っているかが分かりません。利用状況を把握していないと、影響の大きさが読めません。

(f)期限の管理ができていない。 「2027年3月31日をもって提供を終了します」という告知を読んでも、記録する場所が決まっていません。半年後に忘れています。

  1. 【自動】 毎週、SaaS管理台帳に登録された各サービスの告知の場所を巡回する
  2. 【自動】 前回の巡回以降に追加された告知を特定する
  3. 【自動】 告知の本文を取得する
  4. 【自動】 変更の種類を仕分ける(機能追加/仕様変更/提供終了/価格改定/障害・メンテナンス)
  5. 【自動】 自社の利用状況(契約プラン、使っている機能、連携しているシステム)に照らして影響を判定する
  6. 【自動】 影響がある場合、いつから変わるか、何をする必要があるかを抜き出す
  7. 【自動】 影響がないと判定したものは、一覧から外す(記録は残す)
  8. 【人】 SaaS管理担当が、影響ありと出たものを確認し、対応の要否を決める
  9. 【人】 対応が必要なものは、利用部門と調整する
  10. 【自動】 期限のあるものをタスクとして登録し、期限が近づいたら通知する

自動化されるのは「巡回する」「差分を見つける」「読む」「仕分ける」「影響を判定する」の5つです。残るのは、対応するかどうかの判断と、実際の対応です。

「影響なし」と判定したものも記録に残します。 後から「この告知を見落としていた」と分かったとき、見落としたのか、影響なしと判断したのかを区別できるようにするためです。

02今回想定するシステム構成

構成図
SaaS管理台帳(サービス名 / 告知の場所 / 契約プラン / 使っている機能 / 連携先)
   │
   ▼【トリガー】毎週月曜 6:00
Power Automate
   │
   ├──▶ サービスごとに OpenAI API を呼び出す
   │       │
   │       ├──▶ web search ツール ── 告知ページを探して読む
   │       │      (対象のドメインを指定し、検索回数を制限)
   │       │
   │       └──▶ 変更の種類の仕分けと、自社への影響の判定
   │              (JSON Schema で出力を固定)
   │
   ├──▶ メールで届く告知の取り込み(共有メールボックス)
   │
   ├──▶ 管理画面のAPIがあるサービスは、そこから取得
   │       └─ 例:Microsoft 365 は Graph のサービス通信 API
   │
   ├──▶ 前回の巡回結果と突合し、新規の告知だけを残す
   │
   └──▶ 変更一覧(Microsoft Lists)を作成
   │
   ▼
情報システム部が確認 ──【人】対応の要否を判断
   │
   ├──▶ 対応が必要 → 利用部門と調整 → タスク登録
   └──▶ 対応不要 → 記録のみ
   │
   ▼
期限が近づいたら通知
役割想定する製品代替候補
生成AIOpenAI APIClaude API、Gemini API
連携Power AutomateMake、n8n
保管SharePointBox、Google Drive
変更一覧Microsoft ListsGoogle スプレッドシート、kintone

SaaS管理の製品を導入しているなら、まずその機能を確認してください。 契約とライセンスの管理に加えて、変更告知の集約を持つ製品があります。自前で組む価値があるのは、「自社の利用状況に照らして影響を判定する」部分です。ここは自社の台帳がないと成立しないため、既製品でも手作業になっていることがあります。

管理者向けのAPIがあるサービスは、そちらを優先してください。 Microsoft 365 では、メッセージセンターがサービス全体の今後の変更、機能の更新、必要なアクションを追跡する仕組みとして用意されています。告知にはタグ(廃止、機能更新、メジャー更新、管理への影響、ユーザーへの影響、データプライバシーなど)が付き、organizationへの関連性が高・中・低で推奨として示されます。 対応期限の列もあり、期限のある変更はそこに日付が入ります。Microsoft Graph のサービス通信 API を使えば、これをプログラムから取得できます。

APIのないサービスは、Web検索と取得で補います。 OpenAI API の web search ツールは Responses API の tools に含めて有効にし、応答にはインライン引用とURLの注釈が含まれます。 sources を要求すれば、モデルが参照したURLの完全な一覧が返ります。

03どうやって実装するのか

Step1

処理の起点を決める

毎週月曜の決まった時刻を起点にします。週の初めに一覧が届き、その週のうちに対応を決められる形にします。

日次にしないでください。 告知の頻度に対して過剰です。毎日通知が届くと読まれなくなります。週1回で、見落としが致命的になるほど急な変更はまれです。

ただし例外があります。障害・緊急メンテナンスの告知は、週1回では遅すぎます。 これは別の経路(サービスのステータスページの監視)で扱ってください。この構成の対象は、計画された変更です。

もう1つの起点として、利用部門から「使えなくなった」という連絡が来たときに、そのサービスの告知を臨時に巡回する形が考えられます。原因が仕様変更かどうかを、すぐ確かめられます。

Step2

入力データを集める

データ中身取得元
SaaS管理台帳サービス名、契約プラン、契約者数、告知の場所(URL)、管理者、利用部門情報システム部の台帳
使っている機能そのサービスで実際に使っている機能の一覧利用部門への聞き取り、管理画面の設定
連携しているシステムAPIで連携している先、連携の方式、使っているAPIの版情報システム部の構成図
告知(Web)リリースノート、開発者向けブログ、変更履歴各サービスのサイト
告知(メール)管理者向けの通知共有メールボックス
告知(API)管理者向けのメッセージサービスのAPI
前回の巡回結果前回までに取得した告知の一覧変更一覧
Step3

データの取得方法を決める

SaaS管理台帳が、この構成の土台です。 台帳がなければ何も始まりません。次の項目を必ず持ってください。

項目なぜ必要か
告知の場所(URL)巡回の対象。ここが空のサービスは巡回できない
契約プラン「Enterpriseプランのみの変更」を除外するため
使っている機能影響の判定に必須。ここが空だと全部が「影響あり」になる
連携しているシステムAPIの版の停止が致命的になるのはここ
利用部門と管理者影響が出たとき、誰に連絡するか

「使っている機能」の把握が、もっとも手間のかかる準備です。 45サービスすべてについて詳細に書く必要はありません。主要な5〜10機能を書くだけで、除外の精度が大きく上がります。

告知の取得は3通りに分かれます。

方式対象扱い
APIMicrosoft 365 など、管理者向けAPIがあるサービスもっとも確実。優先して使う
メール管理者向け通知を送ってくるサービス共有メールボックスへ転送を集約する
Webリリースノートをサイトに置くだけのサービス検索と取得で巡回する

Web での取得には限界があります。 ログインが必要なページ、JavaScriptで描画されるページは取得できません。取得できないサービスは台帳に印を付け、担当者が手で見る対象として残してください。 全部を自動化しようとしないことが、この構成では重要です。

Step4

AIへ渡す前に整形する

  1. 巡回対象の絞り込み … 契約が終了したサービス、試用中で本番利用していないサービスを除きます
  2. 告知の場所の確認 … URLが変わっていないかを月1回確かめます。リリースノートのURLは移動します
  3. 既読の判定 … 前回の巡回で取得した告知のURLと見出しを保持し、新規のものだけを残します
  4. 告知の言語 … 英語のみで出るサービスがあります。翻訳してから判定するか、原文のまま判定させるかを決めます
  5. 重複の統合 … 同じ変更が、リリースノートとメールの両方で告知されることがあります。サービス名+変更の日付+見出しで突合します
Step5

AIに処理させる

処理内容
告知の探索台帳に登録された場所から、新しい告知を探す
本文の取得告知ページの内容を読む
変更の種類の仕分け機能追加/仕様変更/提供終了/価格改定/障害・メンテナンス/その他
対象の特定どのプラン、どの機能、どの地域が対象か
影響の判定自社の契約プランと使っている機能に照らして、影響があるか
期限の抽出いつから変わるか、いつまでに対応が必要か
必要な対応の抽出告知に書かれている「管理者が行うべきこと」
連携への影響APIの版の停止など、連携しているシステムへの影響

影響の「大きさ」までは判定させません。 「業務が止まる」かどうかは、その機能を実際にどう使っているかで決まります。告知の文面からは分かりません。 出せるのは「自社が使っている機能に関係する変更である」までです。

対応の可否や代替サービスの提案もさせません。 「別のサービスへの移行を推奨します」といった記述を書かせないでください。

Step6

指示内容を固定する

あなたは情報システム部のSaaS管理を支援する調査担当です。
下のサービスについて、指定した場所から新しい告知を探し、
自社への影響を判定してください。

【調査の範囲】
- 下の「告知の場所」に含まれるページのみを対象にしてください。
- 検索は最大 {max_searches} 回までにしてください。
- 下の「前回までに取得済みの告知」に含まれるものは除外してください。

【厳守事項】
- 取得したページに書かれている内容だけを根拠にしてください。
  そのサービスについての知識で補わないでください。
  **特に、日付・プラン名・機能名を記憶から書かないでください。**
- 各告知には、必ず出典のURLと、告知の掲載日(分かる場合)を付けてください。
  出典のない告知を載せないでください。
- 変更の種類を、下の区分からのみ選んでください。判断できない場合は "その他" とし、
  理由を書いてください。
- 影響の判定は、下の「自社の契約プラン」と「使っている機能」に照らして行ってください。
  - 使っていない機能の変更は impact を "none" にしてください。
  - 契約していないプランのみの変更も "none" にしてください。
  - 判断に必要な情報が告知から読み取れない場合は "unknown" にしてください。
    **迷ったときに "none" にしないでください。見落としにつながります。**
- 期限(変更日、対応期限)は、告知に明記されている場合だけ書いてください。
  「近日中」「今後」といった表現を日付に変換しないでください。
- 必要な対応は、告知に「管理者が行う」と書かれていることだけを写してください。
  自分で対応案を考えないでください。
- 代替サービスの提案、移行の推奨を書かないでください。判断は情報システム部が行います。
- 影響の大きさ(業務が止まる、軽微 など)を評価しないでください。

【サービス】
{service_context}

【告知の場所】
{notice_urls}

【自社の契約プラン】
{plan}

【使っている機能】
{used_features}

【連携しているシステムと使っているAPIの版】
{integrations}

【前回までに取得済みの告知(URLと見出し)】
{known_notices}

「迷ったときに none にしない」の1行が、この構成でもっとも重要です。 見落としを防ぐことがこの業務の目的なので、判断に迷うものは人へ回すほうが正しい設計です。 none を多く出すほど確認は楽になりますが、その分だけ見落としの危険が増えます。

「日付・プラン名・機能名を記憶から書かない」も必須です。 サービスの仕様は変わります。モデルが学習した時点の情報で「Enterpriseプランでは既定で有効です」と書かれると、それが事実かどうか確かめようがありません。 取得したページに書かれていることだけを使わせます。

Step7

出力形式を固定する

{
  "service_name": "",
  "crawled_at": "",
  "notices": [
    {
      "title": "",
      "url": "",
      "published_on": "",
      "change_type": "機能追加 | 仕様変更 | 提供終了 | 価格改定 | 障害・メンテナンス | その他",
      "target_plans": [],
      "target_features": [],
      "target_regions": [],
      "effective_date": "",
      "action_deadline": "",
      "admin_action_required": "",
      "impact": "affected | none | unknown",
      "impact_reason": "",
      "integration_impact": "",
      "excerpt": ""
    }
  ],
  "crawl_status": "ok | partial | failed",
  "crawl_note": "",
  "searches_used": 0
}

JSON Schema を指定して出力を固定します。OpenAI API の Structured Outputs は text: { format: { type: "json_schema", "strict": true, "schema": … } } の形で指定し、strict: true にすると、供給したJSONスキーマに必ず沿った応答が返ります。 必須項目の欠落や、スキーマにない項目の混入が起きなくなります。

crawl_status を必ず持たせてください。 ログインが必要で取得できなかった、ページの構造が変わって読めなかった、といったことが起きます。取得できなかったことを「告知がなかった」と誤読すると、見落としになります。

excerpt には、判定の根拠になった原文を入れます。 「Enterpriseプランのみが対象」と判定したなら、その記述を抜き出します。担当者が確認するとき、ページを開かずに済みます。

Step8

システムへ連携する

変更一覧を Microsoft Lists に作ります。1告知1行です。

中身
サービス名 / 告知の見出し / URLキー
掲載日 / 取得日いつの告知か
変更の種類6区分
対象プラン / 対象機能告知に書かれている範囲
変更日 / 対応期限期限のあるものに色を付ける
影響affected / none / unknown
判定の根拠impact_reasonexcerpt
連携への影響APIの版の停止など
情報システム部の判断人が入れる(対応要/不要/様子見)
担当 / 対応期限 / 対応日追跡用
利用部門への連絡人が入れる

impactnone のものも、この一覧に残します。 ただし既定では非表示にし、必要なときだけ見られるようにします。「見落としたのか、判断したのか」を後から区別するためです。

期限のあるものは、タスクとして登録します。 「2027年3月31日に提供終了」という告知は、記録しただけでは忘れます。期限の3か月前、1か月前、2週間前に通知が届く形にしてください。

利用部門への連絡は、人が行います。 「◯◯の機能が変わります」という通知を自動で全社へ流すと、関係のない人まで読むことになります。誰に伝えるべきかは、利用状況を知っている情報システム部が決めます。

Step9

人が確認する

affectedunknown は全件、none は抜き取りで確認します。

none を全件確認すると、この構成の効果が消えます。ただしまったく見ないのも危険です。月に1回、none の中から20件を無作為に選んで、判定が妥当かを確かめてください。 誤って none にされているものが見つかれば、プロンプトか台帳の「使っている機能」を直します。

確認を速くするための設計が効きます。

  • change_type が「提供終了」のものを最上部に固定する
  • integration_impact に記述があるものを次に出す(連携の停止は影響が大きい
  • action_deadline の近い順に並べる
  • impactunknown のものを別に集める
  • crawl_statuspartial または failed のサービスを別に集める(取得できていない = 見えていない
  • excerpt を一覧上に表示する(ページを開かずに判断できる

5つ目が見落としの温床です。 取得に失敗したサービスが毎週同じなら、そのサービスは実質的に巡回できていません。台帳に「手動確認」の印を付けて、担当者が月1回見る対象にしてください。

Step10

例外に対処する

起きること対応
ログインが必要で取得できないcrawl_status を failed にする。自動ログインは実装しない。 手動確認の対象にする
ページがJavaScriptで描画されている取得できない。同上
告知のURLが変わった月1回、URLの有効性を確認する。404が続くサービスを検出する
同じ変更がメールとWebの両方で出るサービス名+変更日+見出しで突合し、1件にまとめる
告知が英語のみ原文のまま判定するか、翻訳してから渡す。判定の根拠の引用は原文で残す
「使っている機能」が台帳にないすべて unknown になる。台帳の整備が先
none が9割を超える正常。ただし月1回、抜き取りで妥当性を確認する
unknown が多い告知の書き方が曖昧か、台帳の情報が足りない。どちらかを特定する
提供終了の告知を見落としたcrawl_status の履歴を見て、そのサービスが巡回できていたかを確認する
検索回数の上限に達した上限の設定を見直す。サービスごとに必要な回数は違う
障害の告知が週次では遅いこの構成の対象外。ステータスページの監視で別に扱う
告知が大量に出るサービスがあるそのサービスだけ巡回の頻度を下げるか、重要な変更の種類に絞る
Step11

記録を残す

この記録は、対応の遅れが起きたときに経緯を追う材料になります。

  • 巡回した日時と、サービスごとの crawl_status
  • 取得した告知の全件(none のものも含む)
  • 影響の判定と、その根拠の引用
  • 情報システム部の判断と、実施した対応
  • 期限のあるものの、期限と対応日
  • 台帳の「使っている機能」の更新履歴

crawl_status の履歴が重要です。 「このサービスは3か月間、一度も取得できていなかった」と分かれば、見落としの原因が特定できます。判定の誤りより、そもそも見ていなかったことのほうが多いはずです。

none と判定した告知を残すことも省かないでください。 後から問題が起きたとき、「告知は取得していたが影響なしと判断した」のか「そもそも取得できていなかった」のかで、直すべき場所が変わります。

04実装レベルの3段階

最小構成:チャット画面でサービスごとに告知を探させ、結果を手で記録する / 探索と読み取り
半自動化:週次で全サービスを巡回し、仕分けと影響判定、変更一覧の作成まで / 巡回から判定まで
本格構成:上記+API経由の取得+メールの取り込み+期限のタスク化と通知+`crawl_status` の監視 / 期限管理まで

半自動化の時点で、8分が3.5分程度になります。 巡回と読み取りが消えるためです。本格構成では2.4分になりますが、減るのは記録と期限の管理です。 本格構成の「API経由の取得」は、精度の面で意味があります。 Microsoft 365 のメッセージセンターのように、管理者向けの告知をAPIで取れるサービスでは、Webを検索するより確実で、タグや対応期限といった構造化された情報がそのまま得られます。 主要なサービスから順に、APIがあるかを確認してください。 crawl_status の監視」も本格構成で入れてください。 取得できていないサービスが放置されると、この構成があること自体が油断につながります。「見ているつもりで見ていない」がもっとも危険な状態です。

05工数削減シミュレーション

前提値(モデル条件)
対象人数
2 名
月間件数
180 件
1件あたり現在時間
8 分
1件あたり導入後時間
2.4 分
現在  180件 × 8分 ÷ 60 = 24 時間/月
導入後 180件 × 2.4分 ÷ 60 = 7.2 時間/月
月間削減時間
16.8h
削減率
70%
年間削減時間
202h
年間金額換算(時間単価3,500円)
71万円
モデル条件による試算であり、実際の効果は業務内容・運用方法によって異なります。

自社条件で導入効果を整理したい方へ

このユースケースを自社に当てはめた場合の前提値と削減見込みを、業務ヒアリングをもとに整理します。

AI活用について相談する

06向いている企業・向いていない企業

向いている
  1. 業務で使うSaaSが30サービス以上あり、情報システム部が数名でそれを見ている企業。サービスの仕様変更や提供終了に気づくのが、利用部門からの「使えなくなった」という連絡になっている場合。管理者向けの告知メールが担当者個人の受信箱に埋もれている場合。
向いていない
  1. 使っているSaaSが数サービスで、担当者が告知メールを読めている場合。SaaS管理の製品を導入済みで、変更告知の集約と影響分析が運用に乗っている場合。基幹システムがすべてオンプレミスで、外部サービスの変更の影響を受けない場合。

07最小構成で試す方法

  1. 利用中のSaaSのうち、業務への影響が大きい5サービスを選ぶ
  2. そのサービスの告知の場所(リリースノートのURL)を調べて書き出す
  3. 各サービスについて、契約プランと「使っている機能」を5〜10個書き出す
  4. 生成AIのチャット画面(Web検索が使えるもの)で、直近1か月の告知を探させる
  5. 出てきた告知のURLを開いて、実在と内容を確かめる
  6. 影響の判定が、担当者の判断と合っているかを見る

見るのは次の3点です。

見る点判断
出典URLがすべて実在するか1件でも存在しないURLがあれば設定を見直す。 ここは必ず確認する
掲載日や機能名が記憶から書かれていないか取得したページに書いてあるかを1件ずつ照合する
none と判定されたものに、本当は関係するものが混ざっていないかここが混ざると、この構成の意味がなくなる

3つ目を重点的に見てください。 「使っている機能」の書き方が粗いと、関係する変更まで none にされます。5サービス分の告知をすべて人が読み、AIの判定と突き合わせる作業を1回やる価値があります。

あわせて、過去の事故を再現してみてください。 「APIの旧版停止に気づかなかった」という事故があるなら、そのときの告知を探させて、affected と判定されるかを確かめます。 検出できれば、その1件だけで導入の理由になります。

告知の場所を調べる作業も、この段階でやっておく価値があります。 45サービス分のURLを集めるのは半日仕事ですが、この一覧は、この構成を作らなくても台帳として役に立ちます。

08実装時につまずきやすいポイント

問題対策
記憶から日付や機能名が書かれる「取得したページの内容だけ」を明記する。出典URLを必須にする
迷ったものが none にされるunknown を用意し、迷ったら unknown にさせる
「使っている機能」が空で全部 unknown になる台帳の整備を先に行う。主要5〜10機能で足りる
取得できないサービスが放置されるcrawl_status を監視し、手動確認の対象として印を付ける
告知のURLが変わって404になる月1回、URLの有効性を確認する
同じ変更が複数の経路で重複するサービス名+変更日+見出しで突合する
提供終了の期限を忘れるタスクとして登録し、3か月前・1か月前・2週間前に通知する
none を一切確認せず見落とす月1回、20件を抜き取りで確認する
障害の告知が週次で遅れる対象外にする。ステータスページの監視で別に扱う
検索回数が読めず費用が膨らむサービスごとに上限を設定する
利用部門へ全社通知してしまう連絡先は人が決める。自動の全社通知を作らない
代替サービスの提案が混ざるプロンプトで禁止する。判断は情報システム部が行う

09セキュリティ・AIガバナンス上の注意点

この構成で扱うデータ: 利用中のSaaSの一覧、契約プラン、使っている機能、システムの連携構成。自社のIT環境の構成が読み取れる情報です。

  1. 外部AIへ渡す範囲を絞る … 影響の判定には、契約プランと使っている機能の名称が必要です。契約者数、契約金額、管理者の氏名、連携の認証方式は不要です。 渡すデータを最小限にしてください
  2. システム構成の機微性 … 「どのサービスをどう連携しているか」は、攻撃の設計に使える情報です。連携の詳細(エンドポイント、認証の方式)を渡さない設計にしてください。 「このサービスとAPI連携している」という事実だけで判定は可能です
  3. 外部AIへの入力可否 … 上記を踏まえたうえで、自社の情報管理規程を確認してください
  4. 学習利用 … 入力を学習に使わないことが契約で保証されるサービスを選びます
  5. 取得先の利用規約 … 各サービスのWebサイトの利用規約に、自動取得を制限する条項がある場合があります。巡回の対象に含める前に確認してください。 管理者向けのAPIが提供されているなら、そちらを使うのが規約上も確実です
  6. 取得の負荷 … 週1回・サービスごとに数回の取得であれば、通常の閲覧と変わらない水準です。頻度を上げすぎないでください
  7. アクセス権限 … 変更一覧には、全社のIT構成と、対応が済んでいない変更が並びます。閲覧を情報システム部と関係者に限定してください
  8. AIの判定を根拠に対応を見送らないことnone はAIの判定であって、保証ではありません。提供終了や連携への影響が疑われるものは、人が原文を確認してください
  9. 自動実行してよい範囲 … 巡回、仕分け、影響の判定、一覧の作成までです。対応の要否の判断、設定の変更、利用部門への連絡は人が行います

誤りが起きた場合のリスクは、影響のある変更を none と判定して見落とすこと、取得できていないサービスを「告知がなかった」と誤読することです。どちらも「気づかなかった」という形で表れるため、crawl_statusunknown の監視を省かないでください。

10まず何から始めるか

1週目:SaaS管理台帳に告知の場所を追記する

利用中の45サービスについて、リリースノートまたは変更履歴のURLを調べて台帳に書きます。半日仕事ですが、この一覧は仕組みを作らなくても役に立ちます。 同時に、管理者向けのAPIがあるサービスに印を付けてください。

2週目:「使っている機能」を書き出す

主要な15サービスについて、実際に使っている機能を5〜10個ずつ書きます。利用部門への聞き取りが要ります。 ここが空だと、すべてが unknown になり、絞り込みの効果が出ません。

3週目:5サービスで判定を試す

影響の大きい5サービスについて、直近1か月の告知を探させ、出典の実在と判定の妥当性を確かめます。none と判定されたものを、人がすべて読んで確認してください。 ここでの取りこぼしが、後の見落としになります。

4週目以降: 15サービスで半自動化を作り、1か月運用します。crawl_status を必ず記録してください。 取得できないサービスが何件あるかが、この段階で分かります。

2か月目以降: 全45サービスへ広げます。同時に、管理者向けAPIがあるサービスから順に、API経由の取得へ切り替えてください。 Webの検索より確実です。

3か月目以降: 期限のタスク化と通知を足します。提供終了の告知を、期限の3か月前・1か月前・2週間前に通知する形にしてください。 この構成でもっとも損失を防ぐのは、この部分です。あわせて、none の抜き取り確認を月次の運用に組み込んでください。


11関連ユースケース

12この仕組みを理解するための記事

13技術仕様の確認日・参考情報

技術仕様確認日:2026-09-23/最終更新:2026-09-23
確認した内容情報源確認日
OpenAI API の web search ツールが Responses API の tools に含めて有効にできること。応答にインライン引用とURLの注釈(URL・タイトル・出典の位置)が含まれること。sources を要求すると、モデルが参照したURLの完全な一覧が返ることOpenAI Docs: Web search2026-09-23
OpenAI API の Structured Outputs が text: { format: { type: "json_schema", "strict": true, "schema": … } } の形で指定でき、strict: true のとき供給したJSONスキーマに必ず沿った応答が返ることOpenAI Docs: Structured Outputs2026-09-23
Microsoft 365 のメッセージセンターが、サービス全体の今後の変更・機能の更新・必要なアクションを追跡する仕組みであること。告知にタグ(廃止、機能更新、メジャー更新、管理への影響、ユーザーへの影響、データプライバシーなど)が付き、関連性が高・中・低で示されること。対応期限の列があること。Microsoft Graph のサービス通信 API でプログラムから取得できることMicrosoft Learn: メッセージ センターを使った Microsoft 365 更新プログラムの準備2026-09-23

各SaaSの告知の掲載場所、管理者向けAPIの有無、Webサイトの利用規約における自動取得の可否は、サービスによって異なります。巡回の対象に含める前に、サービスごとに確認してください。 個々の変更が自社の業務にどう影響するかの判断は、利用部門と情報システム部で行ってください。この記事は特定のサービスの仕様を示すものではありません。

実装ステータス:構成例。 公開仕様に基づいて設計した構成であり、当社で実際に構築・検証したものではありません。工数の数値はモデル条件による試算です。

自社の業務に使えるAI活用候補を整理します

このユースケース(UC-0197)についてのご相談はこちらから。

AI活用について相談する
目次