AIの規程が守られているか測る項目一覧｜自己点検の回し方

「規程は作ったのですが、守られているかを確かめる手立てがありません」「監査で指摘されるまで現場で何が起きているか分からないのが不安です」——生成AIの利用規程を整え終えた企業から届く声です。どちらも規程の出来ではなく、配ったあとを見る仕組みがないという話にあたります。規程は、配った時点で守られるようになるものではありません。本当は、守られているかどうかは測らないかぎり分からず、測らない期間の長さだけ現場の運用と離れていくものです。この記事では、跡が残るものだけで点検の項目を立てる方法から、点検表の作り方、頻度と担当の決め方、見つかった逸脱の扱いまでを、回す順番どおりに整理します。

規程を配った時点では、守られているかは分からない

規程を作り、説明会を開き、全員に周知した。ここで一区切りついたと感じるのは自然です。ただし、配ることと守られることは別の出来事です。外部の調査では、生成AIの利用者のうち少なくとも約5人に1人が、勤務先が許可していない道具を業務で使っている状態にあるという結果が出ています。この調査は2026年1月13日を対象期間として、29歳から69歳の会社員と公務員300名の有効回答をもとに集計されたものです。

同じ調査では、生成AIに入力したデータとして個人情報を含むもの（氏名・住所・連絡先など）を挙げた回答が6.8%ありました。一方で、規程が「ない」と答えた人ほど、許可されていない道具を使っている割合が高いという傾向も報告されています。つまり規程には効果があります。効果があるからこそ、「規程がある」で止まらず「規程のとおりに動いているか」まで見に行く必要が出てきます。

規程と現場の運用は、放っておくと時間とともに離れます。使える道具が増え、業務のやり方が変わり、人が入れ替わる。そのたびに少しずつずれが生まれます。ずれ自体は避けられません。問題になるのは、ずれた分を誰も測っていないために、いまどれだけ離れているのかが分からなくなることです。国が示している事業者向けの指針でも、AIの取り扱いは一度決めて終わりではなく、状況に応じて継続的に見直す取り組みとして位置付けられています。見直すには、まず現状を測る必要があります。

測らないまま置くと、どんな形で現れるか

測らない期間が続くと、ずれは3つの形で表に出ます。1つ目は、規程に名前のない道具が業務の標準になることです。便利な道具が部署の中で口伝えに広がり、気づくと定例の作業手順に組み込まれています。2つ目は、入れてはいけないと決めた情報が日常的に入ることです。3つ目は、規程を読んだことがない人の割合が増えることで、これは中途入社と異動が多い組織ほど早く進みます。

どれも共通して、事故が起きるまで表に出ません。そして事故が起きてから遡ると、同じことが数か月前から続いていたと分かります。この「遡ると分かる」という性質が厄介です。跡は残っていたのに、誰も見ていなかっただけだからです。点検の仕組みは、事故のあとで遡る作業を、事故の前に定期的にやっておく行為だと考えると分かりやすくなります。

測る目的は、事故を防ぐことより一段手前にあります。規程と現場の距離を数字にしておくことです。距離が数字になっていれば、規程の条文を直すのか、承認済みの道具を足すのか、教育の回数を増やすのかを選べます。距離が分からないままだと、どの打ち手も「やったほうがよさそう」で止まり、結局いちばん手をつけやすい教育だけが繰り返されます。

• 点検は現場を疑う行為ではなく、規程の側が現実に追いつけているかを確かめる行為として説明する
• 最初の1回で悪い数字が出ることを前提に始める。良い数字しか出ない点検は、設計が甘い可能性が高い

点検の項目は「決めごと」ではなく「跡が残るもの」で立てる

点検表を作ろうとすると、規程の条文をそのまま問いに直してしまいがちです。「機密情報を入力していませんか」「許可された道具だけを使っていますか」。この形の問いは、ほぼ全員が「はい」と答えます。答えた人が嘘をついているわけではありません。自分の使い方が条文のどこに当たるのかを、答える側が判定できないため、心当たりがなければ「はい」になるだけです。

そこで、項目は跡が残るものから立てます。ここでいう跡とは、人の記憶や申告に頼らず、あとから別の人が同じものを見られる記録のことです。申請の記録、通信の記録、権限の一覧、成果物のファイル、退職と異動の手続きの記録。いずれも既に社内のどこかに残っているもので、点検のために新しく作る必要がありません。跡から立てた項目は、答えが合っているかどうかを記録の側から確かめられます。

• 「機密情報を入力していませんか」——心当たりがなければ全員が「はい」になる
• 「規程を理解していますか」——理解の程度を答える側が判定できない
• 「適切に管理していますか」——適切の中身が人によって違う
• 「問題は起きていませんか」——起きたことに気づいていない場合が拾えない

跡が残らない決めごとは、いまは点検項目にしません。代わりに、跡が残る形に変えることを先に手当てします。たとえば「成果物は人が確認する」という決めごとには跡がありませんが、社外に出す資料の管理表に確認した人の名前と日付の列を足せば、翌月から跡が残り始めます。点検の項目を増やす前に、跡の出口を作る。この順番を逆にすると、点検のたびに「分かりません」が並びます。

跡から立てる5つの入り口

跡が残るものを整理すると、実務で使える入り口は5つに収まります。申請のない道具、入れてはいけない情報、権限、成果物に残る確認者、退職と異動のあとに残った口です。この5つは規程の条文の数とは一致しませんが、条文の網羅より、記録から確実に取れることを優先するほうが点検は続きます。

• 申請していない道具が使われていないか（通信の記録・経費の記録・匿名の調査）
• 入れてはいけないと決めた情報を入れた跡がないか（検知の記録・申告の記録）
• 権限がいまの業務と合っているか（権限の一覧と異動の記録の突き合わせ）
• 成果物に確認した人の名前が残っているか（管理表・ファイルの属性）
• 退職と異動のあとに残った口はないか（契約の一覧と人事の手続きの突き合わせ）

5つとも、情報システム部門か総務部門が既に持っている記録から取れます。新しい仕組みを買う前に、手元の記録だけで始められるということです。最初の1回は、5つすべてを完璧に埋めようとせず、記録がすぐ出てくる2つから始めます。点検は、精度より継続のほうが先に効きます。

入り口	見に行く記録	分かること	この入り口の限界
申請のない道具	通信の記録・経費の精算	承認していない道具の使用	私物の端末と回線は映らない
入れてはいけない情報	検知の記録・自己申告	禁止した情報の型ごとの件数	型を決めていないものは拾えない
権限	権限の一覧・異動の辞令	業務と合わなくなった権限	使っていない権限は見分けにくい
確認した人の名前	成果物の管理表	確認を経ずに出た成果物の数	名前の欄がない資料は数えられない
残った口	契約の一覧・退職の手続き	消し忘れたアカウント	部署が個別に契約した分が漏れる

入り口1　申請していない道具が使われていないか

承認していない道具の使用は、3つの方法を重ねると輪郭が見えます。1つ目は通信の記録から、主要な生成AIの宛先への通信を抜き出すことです。誰が、いつ、どれくらいの量を送っているかを部署ごとに集計できます。既に取得している記録を集計するだけなので、費用はほとんどかからず、その日のうちに始められます。

2つ目は匿名の調査です。通信の記録には、私物の端末や社外の回線を通った分が映りません。匿名で「業務で生成AIを使っているか」「何に使っているか」を聞くと、記録に出ない分まで拾えます。ここで大事なのは責める設計にしないことです。回答が個人の評価につながると受け取られた時点で、数字は実態から離れます。3つ目は、既に使っている業務システムに後から追加されたAI機能と、外部の道具への連携設定の洗い出しです。新しく契約した覚えがなくても、機能として増えていることがあります。

数え方は件数ではなく、承認していない宛先への通信が出ている部署の数で持つと、そのまま対処の単位になります。件数は業務の繁閑で動きますが、部署の数は打ち手の対象そのものです。月に一度この数を出し、前月からの増減を見ます。増えている部署には、規程を再送するより先に、なぜその道具が要るのかを聞きに行くほうが早く片づきます。

入り口2　入れてはいけない情報を入れた跡がないか

入力された文章をすべて読むことはできませんし、読むべきでもありません。点検で読むのは、入れてはいけないと決めた情報の型に引っかかった記録だけです。そのためには、禁止の一覧が型として書かれている必要があります。「機密情報」「重要な情報」といった抽象的な言葉で終わっていると、機械にも人にも引っかけようがありません。

型で書くとは、個人の氏名と連絡先、取引先の未公開の情報、認証に使う文字列、未公開の製品やサービスの情報、といった粒度まで下ろすことです。ここまで下りると、検知の仕掛けを当てられるようになり、現場の人も自分の入力がどれに当たるかを判定できます。規程の条文を直すのが重い場合は、規程の下に運用の手引きを1枚置いて、そこに型の一覧を持たせる形でもかまいません。

点検の結果が0件で返ってきたときは、喜ぶ前に検知が動いているかを確かめます。外部の調査で個人情報の入力が6.8%という回答が出ている以上、0件は実態ではなく計測の不在を示していることが多いからです。確かめ方は単純で、あえて検知に引っかかる形の文字列を業務に関係ない場で1件入れてみて、記録に上がるかどうかを見ます。上がらなければ、直すのは現場ではなく仕掛けの側です。

入り口3　権限がいまの業務と合っているか

権限の点検は、権限の一覧を人事の異動の記録と突き合わせる作業です。見るのは3つに絞ります。異動したあとも前の部署の資料が見える人、一度きりの案件のために渡した権限がそのまま残っている人、管理者の権限を持っている人の数です。いずれも本人は困っていないため、本人からは申告が上がりません。だから記録の側から拾います。

3つ目の管理者権限は、数そのものを指標にします。管理者が何人いるかは、増えることはあっても自然に減ることがないためです。担当が代わるたびに追加され、前任者の分が残る。半年ごとに数を並べて、前回より増えていたら理由を1件ずつ確かめます。理由を説明できない管理者権限は、そこが最初に狙われる口になります。

頻度は四半期に一度で足りますが、異動の辞令が出た月は必ず入れます。大きな異動のあとは、権限の一覧と組織図が最もずれる時期だからです。なお、権限の点検で見つかるのは「合っていない権限」までで、その権限が業務上いま必要かどうかは部署の側にしか判断できません。ここは記録を見る側と業務を知る側の分担になります。

入り口4　成果物に確認した人の名前が残っているか

AIが作った文章や図を、人が確認しないまま社外に出していないか。これを測るには、成果物の側に跡が要ります。跡として残すのは、誰が確認したかという名前と、確認した日付の2つだけで十分です。内容の良し悪しまで記録させようとすると、途端に埋まらなくなります。

名前を残す場所は、あらかじめ1か所に決めておきます。社外に出す資料の管理表に列を足すのがいちばん軽く、すでに管理表がある組織ならその月から始められます。管理表がない場合は、ファイルの置き場所のフォルダ名か、提出時の申請の記録に持たせます。場所を決めないまま「名前を残してください」と伝えると、人によって残す場所が変わり、点検のときに探せません。

この項目は責任の追及のために置くものではありません。確認を経ずに外へ出た成果物が、月に何件あるかを数えるためのものです。数えられるようになると、確認が追いついていない部署が見えます。多くの場合、その部署は手を抜いているのではなく、確認できる人が1人に偏っています。点検の結果を人の増員や確認の分担の話につなげられると、点検が現場にとっても意味のある行事になります。

入り口5　退職と異動のあとに残った口はないか

退職者のアカウントが残る問題は、AIの道具では特に起きやすくなります。理由は契約の入り口が分散しているからです。業務システムは情報システム部門が一括で契約しますが、AIの道具は部署が個別に、しかも少額で契約していることが多く、人事の退職手続きの一覧に載っていません。載っていない口は、手続きを完璧にこなしても閉じません。

実務の運用例としては、退職の当日または翌営業日中にアカウントの削除とアクセス権の剥奪を行い、四半期ごとに契約しているサービスの棚卸しをする形が挙げられています。この2段構えは、AIの道具にもそのまま当てはまります。日々の手続きで閉じられる口は当日に閉じ、手続きに載っていない口は棚卸しで拾う。棚卸しの材料は、経費の精算に出てくる月額の支払いが最も確実です。

もう一つ、適用の範囲を確かめます。規程の対象を正社員だけにしていると、点検の対象も正社員だけになります。契約社員、派遣、業務委託の相手まで含めて規程を書いているか。含めているなら、その人たちのアカウントが契約の終了とともに閉じているか。範囲を広く書いたまま点検を狭く回すと、書いてある分だけ実態から離れます。

点検表は、部門が自分で答えられる問いにする

点検表を部門に配る場合、そこに入れてよいのは部門の中で答えが出る問いだけです。通信の記録や権限の一覧は部門からは見えないので、これらを部門の点検表に入れると、空欄か「不明」が並びます。記録から取れる項目は情報システム側で埋め、部門には業務の実態を聞く。役割を分けると、両方の回収率が上がります。

答えが「はい」だけにならないようにする直し方は3つあります。数を答えさせる、直近の1件を挙げさせる、記録の置き場所を書かせる、です。いずれも、答えるためには一度現物を見に行く必要が生まれます。見に行った時点で、点検の半分は達成されています。

• 「AIで作った資料のうち、先月社外に出した件数はいくつですか」——数で答える
• 「直近で人が確認して修正を入れた成果物を1件挙げてください」——現物を見に行く
• 「確認した人の名前はどこに残していますか」——場所を書かせる
• 「承認していない道具を使っている人に心当たりがあれば、道具の名前だけ書いてください」——人ではなく道具を聞く

分量も先に決めます。年に一度の点検でも、部門に配る表は紙1枚から2枚に収めます。四半期の簡易な点検は3項目・30分で終わる形にしておくと、期末と重なっても止まりません。回収できなかった点検表は、点検をやっていないのと同じです。項目の多さは、精度ではなく未回収を生みます。

頻度と担当は、2つの形を組み合わせて決める

点検の担当の置き方には2つの形があります。部門の長に自分で測らせる形と、情報システムがまとめて測る形です。前者は業務との合致を判断できる代わりに、通信や権限の記録が見られません。後者は記録を取れる代わりに、その使い方が業務上妥当かどうかを判断できません。どちらか一方だけで回すと、必ず片側が空白になります。

現実的なのは、記録から取れる項目を情報システムが月次で集計し、業務の実態を問う項目を部門が四半期で答え、年に一度その両方を並べて全体を見る形です。担当は情報システムの担当者か総務の担当者が務める例が多く、専任を置く必要はありません。重要なのは、誰が集計し、誰に報告するかを最初に紙で決めておくことです。決めていないと、最初の1回で終わります。

報告の相手は経営層にします。国の指針でも、経営層がAIの便益とリスクを具体的に理解し、その理解を適時に更新することが求められています。点検の結果は、その更新のための材料にあたります。報告の形は、結果を紙1枚から2枚にまとめ、改善が必要な項目には「誰が・いつまでに・何をするか」を明記する。この3点が書かれていない報告は、読まれても何も動きません。

自己点検を回す5工程

ここまでの内容を、実際に回す順番に並べ直します。初回は全項目をそろえようとせず、記録がすぐ出てくる入り口から始めます。2回目以降は、前回との差分を見るだけで済むようになります。

5工程のうち、最も飛ばされやすいのが最後の消し込みです。点検は結果を出したところで達成感が出るため、直す約束の追跡が翌期に持ち越されません。次回の点検を、前回の約束の確認から始めると決めておくと、この抜けは構造的に防げます。

見つかった逸脱を、罰から扱わない

点検で逸脱が見つかったとき、最初に処分の話から入ると、次の回から跡が消えます。申告が上がらなくなり、承認していない道具の利用が私物の端末に移り、記録から見えなくなるためです。罰を先に置くと、直る前に見えなくなるというのが、点検を続けている組織がほぼ共通して通る道です。

扱い方は重大度で分けます。情報が外に出た可能性があるものなど緊急性の高いものは当日中に対処し、中程度のものは1週間以内に対処の段取りを決め、軽いものは次の規程の見直しでまとめて扱う。この3段階を先に決めて公開しておくと、報告する側も「どれくらいの話になるか」が読めるので、報告が上がりやすくなります。

もう一つ大事なのは、逸脱の多くは規程の側の不備だと考えて読むことです。規程に書いていない業務が増えている、承認までの日数が長くて待てない、代わりに使える承認済みの道具がない。この3つは、現場の意識では解けません。逸脱の件数は、処分の候補ではなく規程の改定候補の一覧として読むと、点検が改善につながります。規程の見直しは、少なくとも半年に一度は予定として置いておきます。

AIに点検の合否を判定させない

点検の作業にAIを使うこと自体は有効です。任せてよいのは、集計と突き合わせまでです。部署名や道具名の表記のばらつきをそろえる、部門ごとに件数を集計する、前回の結果と並べて差分を出す、点検表の自由記述を似た内容ごとにまとめる。いずれも手でやると数日かかり、機械に任せても危険が小さい作業です。

合否の判定を任せない理由は3つあります。1つ目は、合否が社内の事情に依存するためです。例外の承認が出ている、移行期間中である、といった事情は記録の表面に出ません。2つ目は、判定の根拠が残らないと、指摘された部門が反論できないためです。3つ目は、判定が外れたときに誰も責任を持てないためです。点検は現場に直しを求める行為なので、根拠を示せない指摘は、そもそも通りません。

線の引き方は具体に落とせます。AIに出させるのは「この部門はこの項目で前回と違う答えを出しています」「この項目は記録と回答が食い違っています」までで、「この部門は不合格です」は人が書きます。あわせて、根拠になった記録の場所を必ず併記させること、人が必ず目を通す項目をあらかじめ決めておくこと。この2つを先に決めておけば、AIを使っても点検の質は落ちません。

人が読む範囲の決め方は、件数ではなく性質で切ります。入れてはいけない情報に関わる記録、権限に関わる記録、外部に出た成果物に関わる記録の3つは、件数が0件でも人が目を通す。残りは差分が出たものだけを読む。0件のときこそ人が見るという決めにしておくと、計測が止まっていることに気づけます。

よくある質問

規程がまだ粗いのですが、点検を始めてよいですか

始めてかまいません。むしろ粗いうちに始めたほうが、規程を直す材料が早く集まります。粗い規程で点検すると「この項目は判定できない」という結果が大量に出ますが、それ自体が規程のどこが曖昧かを示しています。最初は跡が確実に取れる項目、たとえば権限の一覧と契約の一覧の突き合わせだけでも、始めた意味は出ます。

通信の記録を見ることは、従業員の監視にあたりませんか

見る目的と範囲を先に社内へ公開してから始めれば、監視とは別の位置づけになります。実務では3つを先に決めます。集計は部署単位で行い個人単位では出さないこと、個人単位で取り出す場合の条件と承認者、記録を保持する期間です。この3つを規程か手引きに書いてから開始します。書かずに始めると、点検そのものへの協力が得られなくなり、結局続きません。

点検表への回答が形だけになってしまいます

問いの形を変えるのが最も効きます。数を答えさせる、直近の1件を挙げさせる、記録の置き場所を書かせる。この3つのどれかにすると、現物を見ずには答えられなくなります。あわせて、回答は記録の側と突き合わせる予定だと先に伝えておきます。突き合わせがあると分かっている問いには、形だけの答えが返ってきにくくなります。

情報システムの担当がいない規模でも回せますか

回せます。項目を5つに絞り、四半期に30分だけ取る形にします。担当は総務の担当者で足ります。通信の記録が取れない場合は、経費の精算に出てくる月額の支払いと、匿名の調査の2つで代替します。この2つだけでも、承認していない道具の使用と、規程を読んでいない人の割合は把握できます。小さい組織ほど、項目を減らして頻度を保つほうが結果が出ます。

監査の準備と同じものを使い回せますか

記録は使い回せますが、点検表は分けたほうが実務が回ります。自己点検の目的は改善で、報告先は自社の経営層です。求められる粒度も、指摘された側の受け取り方も変わります。使い回すのは申請の記録、権限の一覧、契約の一覧といった跡のほうで、これらは日頃から取り出しやすい形にしておくと、どちらの場面でも手戻りが減ります。

まとめ

AIの規程は、配った時点では守られているかどうか分かりません。守られているかを知るには、跡が残るものを見に行くしかありません。申請のない道具、入れてはいけない情報、権限、成果物に残る確認者の名前、退職と異動のあとに残った口。この5つの入り口は、いずれも社内に既にある記録から取れます。点検表は部門が自分で答えられる問いに絞り、数か直近の1件か記録の置き場所を書かせる形にします。記録から取れる項目は情報システムが月次で、業務の実態は部門が四半期で、全体は年に一度。見つかった逸脱は罰からではなく重大度で分けて扱い、件数は規程の改定候補として読みます。AIには集計と突き合わせまでを任せ、合否の判定と根拠の提示、そして人が必ず読む範囲の決めは人が持つ。この形にしておけば、監査を待たずに規程と現場の距離を測り続けられます。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。