AIのアカウントを部署で使い回す危うさ｜1人用の契約の線

「部署で1つだけ対話型AIの有料プランを契約して、ログイン情報をチャットで回して使っている」「1人分の料金で5人が使えるなら、会社にとっても得だと思っていた」。情報システム部門が社内の利用状況を調べると、こうした使い方が部署単位で見つかることがあります。始めた人に悪気はなく、むしろ予算を抑えて業務を速くしようとした結果であることがほとんどです。ただ、この使い回しで問われているのは、料金の節約の是非ではありません。本当は、AIに入れた情報と会話の記録の持ち主が、会社ではなく1人の個人になっている状態です。この記事では、1人用の契約を部署で使い回すと何が起きるか、なぜ起きるか、見つけたときに止める手順と、法人の契約へ寄せるまでの線を整理します。

部署の使い回しは、どんな形で起きているか

使い回しには、いくつかの典型的な形があります。いちばん多いのは、部署の誰か1人が自分の名前とメールアドレスで個人向けの有料プランに申し込み、料金を経費で精算し、ログイン情報を部署の仲間に教える形です。名義は1人、払っているのは会社、使っているのは数人という、ねじれた状態になります。

ほかにも、部署の共用のメールアドレスで登録し、パスワードを部署のチャットに貼っている形や、1台の共用のパソコンでログインしたままにして、誰でも使えるようにしている形があります。後者は、ログイン情報を渡していないので共有していない、と受け止められがちですが、アカウントを他人に使わせている点では同じです。

こうした使い方は、会社のアカウントの名簿には載りません。会社が契約していない道具なので、情報システム部門の管理の外にあります。見つかるきっかけは、経費の明細に同じサービスの支払いが並んでいた、退職者の引き継ぎで「パスワードを知っているのは辞めた人だけ」と分かった、といった事後のものが多いのが実情です。

許可されていないAIの利用が広がる全体の構図は、シャドーAIを扱った別の記事で整理しています。この記事で扱うのは、その中でも「個人向けの1人用の契約を、部署で使い回している」という1つの形に絞った話です。家族や友人との共有の話ではなく、会社の業務で起きたときに、管理する側が何を決めるかを扱います。

規約はどう書いているか：個人向けの契約は共有を禁じている

まず、提供する側が個人向けの契約をどう位置づけているかを確かめます。アンソロピックの個人向けの利用規約（2025年10月8日発効）は、ログイン情報や認証情報を他人と共有してはならない、アカウントを他人に使わせてはならないと定めています。あわせて、アカウントで起きたすべての行為に利用者が責任を負うとも書いています。

オープンエーアイの利用規約についても、公式ページの抜粋として、認証情報を共有したり、アカウントを他人に使わせたりしてはならず、アカウントで起きたすべての行為に責任を負う、という趣旨の条項が確認できました。規約は改定されるので、自社で使っているサービスの現行の規約を、法務の担当者が原文で確かめることが前提です。

ここで押さえたいのは、「すべての行為に責任を負う」の主語が、アカウントの名義人だという点です。部署の5人が使っていても、規約の上では名義人1人が全員の入力と出力の責任を負う形になります。名義人が会社ではなく個人である以上、会社はその責任の外にいるように見えて、実際には業務の情報が個人の責任の下に置かれている、というねじれが生じます。

規約に違反したときにどう扱われるかは、各社の規約とその運用によります。この記事では、確かめられていない扱いは書きません。大事なのは、違反したら何が起きるかを心配することよりも、そもそも規約の外の使い方に、業務の情報を載せているという事実に気づくことです。

課題1：会話の履歴が、全員に見える

使い回しで最初に起きるのは、会話の履歴が混ざることです。1つのアカウントには、1つの履歴の一覧しかありません。Aさんが顧客への提案の下書きを相談した会話も、Bさんが人事の相談を整理した会話も、同じ一覧に並びます。ログインできる人は、全員の会話をさかのぼって読める状態です。

部署の中なら見られても構わない、と考える人もいるでしょう。しかし、部署の中でも見てはいけない情報はあります。評価面談の準備、個人の健康に関わる相談、異動の打診の文面などです。1人用の契約には、会話ごとに見られる人を分ける仕組みがありません。入れた本人が消さない限り、次にログインした人の目に入ります。

逆に、誰かが大事な会話を消してしまうこともあります。一覧が雑然としてきたので整理した、という善意の削除で、ほかの人が後で参照するつもりだった会話が消えます。1人用の契約には、消した人を記録する仕組みも、消したものを部署で取り戻す仕組みもありません。

会話の履歴が混ざると、答えの質にも影響が出ることがあります。前の会話の内容を踏まえて答える機能がある場合、別の人の相談の文脈が、自分の質問の答えに入り込む可能性があるからです。答えが誰の文脈で作られたのか、使う人に分からない状態は、業務の道具としては扱いにくいものです。

課題2：覚え書きと、つないだ外部サービスが混ざる

最近の対話型AIには、利用者の好みや仕事の前提を覚えておく覚え書きの機能や、メール、予定表、ファイルの保管場所などの外部サービスとつなぐ機能が入っていることが多くなりました。1人用の契約では、覚え書きも外部サービスとの接続も、アカウントに1つずつしかありません。

覚え書きが混ざると、Aさんが「自分は営業部で、顧客は製造業が中心」と覚えさせた前提が、Bさんの質問にも使われます。Bさんが別の前提を覚えさせれば、今度はAさんの答えが変わります。覚え書きの一覧を開けば、部署の全員が入れた前提と、その中に紛れた個人的な情報が並んで見えることになります。

外部サービスとの接続は、さらに重い問題です。名義人が自分のメールや予定表をつないでいれば、ほかの人がそのアカウントでAIに質問するだけで、名義人のメールや予定を材料にした答えが返ってくる可能性があります。名義人は、自分の受信箱を部署の全員に開いているのと近い状態になります。

接続を切れば済む、と思うかもしれません。しかし、誰がいつ何をつないだかは、使っている全員が把握しているわけではありません。1人がつないだ接続を、ほかの人は知らないまま使い続けます。覚え書きの扱いの一般的な考え方は、メモリと会話履歴の違いを扱った別の記事にありますが、使い回しの場合は、その前提になる「誰の覚え書きか」がそもそも決まりません。

課題3：多要素認証を、実質的に掛けられない

業務で使う道具には、パスワードに加えて2段目の確認を求める多要素認証を掛けるのが基本です。ところが、使い回しのアカウントに2段目を掛けると、確認の通知を受け取るのは名義人の端末1台になります。名義人がいない日は、部署の全員がログインできなくなるわけです。

その結果、2段目を掛けない、あるいは掛けても名義人の端末を部署の机に置きっぱなしにする、といった運用が生まれます。どちらも、2段目の確認の意味がありません。パスワードは部署のチャットに貼られ、退職者や異動者も知っている状態が続きます。

パスワードを変えれば済むように見えても、変えたパスワードをまた部署のチャットで回すことになります。共有されたパスワードは、回した回数だけ、漏れる経路が増えます。部署のチャットに外部の協力者が入っていれば、社外の人にもログイン情報が届いていることになります。

生成AIの道具に多要素認証をどう掛けるか、どの方式を選ぶかは、多要素認証の掛け方を扱った別の記事で整理しています。そこでも、共有のアカウントは2段目を掛ける前に畳む対象として扱われています。この記事の結論も同じで、使い回しのアカウントは、守り方を工夫するより先に、1人1アカウントへ戻す対象です。

課題4：誰が何を入れたか、後から追えない

もう1つの大きな課題は、記録が人単位にならないことです。使い回しのアカウントで、顧客の個人情報が入力されていたことが後で分かったとします。入力したのが誰なのか、アカウントの記録からは分かりません。全員が同じ名前でログインしているので、記録の上では全部が名義人の操作です。

これは、情報が漏れたかもしれない場面で特に困ります。何が入力されたのか、誰がどの情報を扱ったのか、どの会話を消せばよいのかを確かめるには、使った全員に聞き取るしかありません。聞き取りで思い出せる範囲には限りがあり、正確な記録の代わりにはなりません。

法人向けの契約であれば、利用者ごとのアカウントを会社が発行し、会社の側で利用の状況を確かめられるのが一般的です。アンソロピックの個人向けの規約も、業務用のメールアドレスで作ったアカウントが組織の契約に紐づけられ、組織の管理者が監視や管理をできる場合がある、と書いています。会社が見られる記録を持つには、会社の名義の契約が要るということです。

記録が追えないことは、社員を守れないことでもあります。誰かが誤って機密の情報を入れたとき、人単位の記録があれば、その人に絞って対処できます。記録が無ければ、部署の全員が疑われます。使い回しは、使っている社員自身にとっても不利な状態です。

原因1：1人用の契約が、部署の経費で買えてしまう

使い回しが起きる1つ目の原因は、個人向けの有料プランが、部署の経費で精算できる金額に収まっていることです。月額の料金は、多くの会社で部署の判断で使える経費の範囲に入ります。情報システム部門の審査を通らずに、部署の中で導入が完結してしまうのです。

経費の精算の仕組みは、何を買ったかの確認はしても、その道具の規約が業務での共有を認めているかまでは見ません。精算の担当者は、同じサービスの支払いが毎月続いていることには気づいても、それが1人で使われているのか、部署で回されているのかは分かりません。

さらに、1人分の料金で数人が使えれば、部署の管理職には節約に見えます。人数分の契約を申請するより、1つの契約を回すほうが早くて安い、という判断です。この判断には、規約の外の使い方になっている、という視点が抜けていることがほとんどです。

対策の方向は、経費の精算の段階で、AIの道具の支払いを見分けられるようにすることです。精算の区分にAIの道具の項目を作り、申請のときに「使う人数」と「業務の情報を入れるか」を書いてもらうだけでも、使い回しに早く気づけます。

原因2：名義・支払い・使う人が、ばらばらになる

2つ目の原因は、契約の名義人、料金を払う人、実際に使う人が、別々になっていることです。名義は部署の1人、支払いは会社の経費、使うのは部署の数人。それぞれが「管理しているのは別の誰か」だと思っているので、誰も全体を見ていません。

このねじれは、人が動いたときに表に出ます。名義人が異動すると、ログイン情報は部署に残り、名義人は自分の名前の契約が使われ続けていることを気にしなくなります。名義人が退職すると、アカウントは本人の個人の持ち物のまま社外に出ていき、中に残った会話の記録も一緒に出ていきます。

支払いの側でも問題が起きます。名義人の個人のクレジットカードで払い、経費で精算していた場合、名義人が退職すると支払いが止まり、ある日突然使えなくなります。部署はその日に、業務で頼っていた道具と、中に貯めた会話の記録を同時に失います。

原因を2つ並べると、どちらも使う人の悪意や怠慢ではなく、仕組みの隙間から起きていることが分かります。個人を責めても、同じ隙間から次の使い回しが生まれるだけです。対策は、見つけた1件を止めることと、隙間を埋めることの両方で考えます。

対策1：見つけたら、まず止める

使い回しを見つけたら、まず止めます。ただし、いきなり契約を解約すると、中に残った会話の記録や、業務で使っていた指示文が失われ、何が入力されていたかを確かめる手段もなくなります。止めるときは、記録を確かめてから、ログインできる人を名義人1人に戻す順番で進めます。

止め方でよく見かける失敗も挙げておきます。どれも、急いで片づけようとして、確かめる前に手を動かしたことから起きます。

• 見つけた日に契約を解約し、何が入力されていたかを確かめる手段を自分で消してしまう
• パスワードだけ変えて、新しいパスワードをまた部署のチャットで回す
• 名義人を責めて終わりにし、部署の業務をどう回すかを決めない
• つないだ外部サービスを外さないまま、ログインできる人だけを減らす

止める作業は、情報システム部門だけで進めず、部署の管理職を必ず入れます。部署の業務で何が止まるかは、管理職でないと分かりません。止めた日から移行までの間に、業務をどう回すかを管理職と一緒に決めておきます。

2つ目の手順で、個人情報や社外秘の情報が入っていたと分かった場合は、この記事の手順から離れて、情報漏えいの対応の手順に移ります。報告の要否や期限の判断は、法務や個人情報の担当が持ちます。使い回しの処理より、漏えいの確認を先にするのが順番です。

対策2：移行まで禁じることを決める

止めてから法人の契約に移るまでには、手続きの時間がかかります。その間、部署の仕事を完全に止めるわけにはいきません。そこで、移行までの間に禁じることを具体的に決めます。禁じることを具体的に書くほど、許されていることがはっきりするので、現場は動きやすくなります。

• 名義人以外が、そのアカウントにログインすること
• 顧客の個人情報、社外秘の資料、人事に関わる情報を入力すること
• メール、予定表、ファイルの保管場所などの外部サービスを新たにつなぐこと
• 覚え書きの機能に、業務の前提や顧客の情報を覚えさせること
• 別の個人向けの契約を新たに申し込み、同じように部署で回すこと

最後の項目は忘れられがちです。1つの使い回しを止めると、別の人の名前で新しい契約が作られ、同じことが繰り返されることがあります。禁じることの一覧に入れておけば、止めた理由が「このアカウントがだめ」ではなく「この使い方がだめ」だと伝わります。

禁じるだけでは、現場は困ります。移行までの間に使ってよい道具を、あわせて案内します。会社がすでに契約している法人向けのAIがあればそれを、無ければ、公開されている情報だけを扱う用途に限って名義人1人が使う、といった線を示します。代わりの道具を示さない禁止は、見えない場所での使い回しを生むからです。

対策3：残った記録を、会社の側に引き取る

移行の前に、個人の契約の中に残ったもののうち、業務に必要なものを会社の側に引き取ります。代表的なのは、よく使っていた指示文、業務の手順を覚えさせた設定、あとで参照する会話の中身です。引き取るものと、消すものを、名義人がいるうちに分けるのが基本です。

引き取るものは、会社の共有の保管場所に、誰がいつ引き取ったかを添えて置きます。会話の中身をそのまま移すと、他の人の相談や個人的な情報が混ざっていることがあるので、業務に必要な部分だけを抜き出します。抜き出す作業は、名義人と部署の管理職が一緒に行います。

引き取ったあとは、個人の契約の中の会話の履歴と覚え書きを消します。消さずに解約だけすると、記録がどう扱われるかは提供する側の定めによります。名義人が個人として契約を続けたいと言う場合もありますが、業務の記録を消してから、個人の使い方に戻してもらうことを条件にします。

退職のときに片づけるAIの項目の全体は、退職時の片づけを扱った別の記事に一覧があります。使い回しの移行は、名義人がまだ在籍しているうちにできる片づけです。名義人が退職してからでは、ログインできる人がいなくなり、引き取りも削除もできなくなります。

対策4：法人の契約へ寄せる

最後に、部署の利用を法人の契約へ寄せます。法人の契約は、契約の相手が会社になる点が個人向けと根本的に違います。アンソロピックの法人向けの利用規約（2025年6月17日発効）は、顧客を「あなたが代表する組織」と定め、顧客の内容でモデルを学習しないと書いています。個人向けとは別の規約が適用される、とも明記されています。

法人の契約に寄せると、利用者ごとのアカウントを会社が発行し、退職や異動のときに会社の側で止められるようになります。記録も人単位になり、誰が何を入力したかを会社が確かめられる形に近づきます。名義・支払い・使う人の3つが、会社という1つの主体にそろうのが、寄せることの意味です。

法人向けのプランの比べ方、たとえば料金の型、最低契約人数、学習への利用、記録の保存期間、管理者ができることの違いは、法人向けプランの比べ方を扱った別の記事で整理しています。複数のAIの道具のアカウントを、会社の認証の入口に束ねる方法も、別の記事にあります。ここでは、比べる前に部署の使い方を洗い出しておくことだけを押さえます。

洗い出すのは、使う人数、使う頻度、入力する情報の種類、つないでいた外部サービスの4つです。使い回しをしていた部署は、実際の使い方がはっきりしているので、法人の契約の席数や必要な機能を見積もる材料が揃っています。使い回しの発見は、部署の実需を測る機会にもなります。

個人の契約と法人の契約を、1枚で比べる

ここまでの内容を、個人の契約を部署で使い回す場合と、法人の契約で1人1アカウントにする場合で並べます。法人の契約の欄は、一般的な方向を示したもので、実際に使える機能はサービスとプランによって違います。契約の前に、各社の公式の説明で確かめてください。

観点	個人の契約を部署で使い回す	法人の契約で1人1アカウント
規約	個人向けの規約は、共有と他人に使わせることを禁じている	契約の相手は会社。会社の利用者が使う前提
会話の履歴	全員が全員の会話を読める	本人の会話だけが本人に見える
覚え書き・外部サービス	1つのアカウントに混ざる。名義人のメールなどが材料になり得る	人ごとに分かれ、会社が使い方を決められる
多要素認証	名義人の端末に寄り、実質的に掛けられない	人ごとに掛けられる
記録	全部が名義人の操作に見え、誰が入れたか追えない	人単位で残り、会社が確かめられる
退職・異動	アカウントと記録が個人と一緒に出ていく	会社の側で止められる

表で見ると、使い回しの問題は、どれも「アカウントの持ち主が個人である」ことから来ていると分かります。料金の差は、この6行の差を買うための費用だと考えると、法人の契約の見積もりを社内で説明しやすくなります。

表は、部署の管理職への説明にもそのまま使えます。使い回しを止める理由を「規則だから」ではなく、会話の履歴や記録の行の具体的な違いで示せば、管理職も部署の社員に説明しやすくなります。

隙間を埋める：次の使い回しを生まない仕組み

1件を止めて法人の契約へ寄せても、隙間が残れば別の部署で同じことが起きます。隙間を埋める手段は、原因の節で見た2つに対応させます。1つは経費の精算の段階で気づくこと、もう1つは名義と支払いと使う人を会社にそろえることです。

経費の精算では、AIの道具の支払いを見分ける区分を作り、使う人数と入力する情報の種類を申請のときに書いてもらいます。使う人数が2人以上なら、情報システム部門に回す、と決めておけば、使い回しは精算の段階で止まります。

もう1つは、部署が「人数分の契約は高い」と感じたときに相談できる窓口を作ることです。使い回しは、正規の手続きが遅い、高いと感じたときに生まれます。窓口で、法人の契約の席を部署に割り当てる、試しに少人数で使える枠を用意する、といった選択肢を示せれば、使い回しに頼る理由が減ります。

規則の文面にも、1行を足します。「業務で使うAIの道具は、会社の名義の契約で、1人1アカウントで使う。個人向けの契約のログイン情報を他人と共有しない」。社外の相手に自社のAIを使わせる場合の線引きは、社外に開ける線引きを扱った別の記事の範囲です。この記事の線は、社内の同僚どうしでも、1人用の契約は1人で使う、という一点です。

AIに決めさせない範囲と、人が確かめる範囲

使い回しの処理でも、AIを使える作業はあります。聞き取りの記録を表にまとめる、禁じることの一覧を部署向けの案内文にする、法人の契約の見積もりに使う利用状況を集計する、といった作業です。下書きをAIに作らせ、人が直す形なら、処理の手間を減らせます。

一方で、使い回しを見つけたあとの処分と、移行先の選定は、AIに決めさせないようにします。使っていた社員にどう伝えるか、就業規則に照らして何らかの扱いをするかは、人事と部署の管理職が事情を聞いて決めることです。AIは、その部署で使い回しが始まった経緯を知りません。

移行先の選定も同じです。AIに「どの法人向けプランがよいか」と聞けば、候補と理由が返ってきます。けれども、料金や機能は改定されるので、AIの答えが今の条件と合っているとは限りません。AIに候補を挙げさせるなら、根拠にした公式の説明の場所を必ず書かせること。書かれた場所を人が開いて、現行の条件を確かめてから比べます。

人が確かめる範囲は、この記事で出てきた判断のすべてです。入力された情報に個人情報が含まれていたか、どの記録を引き取りどれを消すか、どの規約に何が書かれているか。それぞれに、確かめる人を名前で決めておきます。AIの役割は、その人たちが判断する材料を早くそろえるところまでです。

よくある質問

Q. 部署の2人だけで使っている場合も、止めるべきですか。

人数が少なくても、会話の履歴が混ざる、多要素認証を掛けにくい、誰が入れたか追えない、という構造は同じです。個人向けの規約が他人に使わせることを禁じている点も変わりません。人数が少ないうちのほうが、聞き取りも引き取りも短く済むので、早めに1人1アカウントに戻すほうが負担は小さくなります。

Q. 名義人が個人のお金で払っているなら、会社は関係ないのではありませんか。

支払いが個人でも、業務の情報を入れている時点で会社の問題です。顧客の情報や社外秘の資料が個人の契約の中に残れば、会社はその扱いを確かめられません。業務に使っていたかどうかを確かめ、使っていたなら、この記事の手順で記録を確かめてから法人の契約へ寄せます。

Q. 共用のメールアドレスで登録した1つのアカウントなら、名義は会社と言えますか。

共用のメールアドレスで登録しても、契約の種類が個人向けであれば、個人向けの規約が適用されると考えるのが安全です。規約が禁じているのはアカウントを他人に使わせることなので、登録に使ったアドレスの種類では解決しません。会社を契約の相手にするには、法人向けの契約を結ぶ必要があります。

Q. 法人の契約に移すまで、どれくらいの期間を見込めばよいですか。

期間は、社内の稟議や契約の手続き、認証の設定の有無によって大きく変わるので、一律には言えません。大事なのは、移行までの期間の長さより、その間に禁じることと代わりに使う道具を決めておくことです。期間が延びそうなら、公開されている情報だけを扱う用途に限るなど、禁じる範囲を部署と見直します。

まとめ

個人向けの1人用の契約を部署で使い回すと、会話の履歴、覚え書き、つないだ外部サービスが全員に見え、多要素認証を実質的に掛けられず、誰が何を入れたかを後から追えません。個人向けの規約は、ログイン情報の共有と、アカウントを他人に使わせることを禁じています。原因は、1人用の契約が部署の経費で買えることと、名義・支払い・使う人がばらばらになる仕組みの隙間にあります。見つけたら、入力された情報を確かめてからログインを名義人1人に戻し、移行まで禁じることと代わりの道具を示し、残った記録を会社の側に引き取ってから、法人の契約へ寄せる。処分と移行先の選定はAIに決めさせず、規約と現行の条件は人が原文で確かめる。この順番で、AIに入れた情報と記録の持ち主を、個人から会社に戻していきます。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。