AIの利用記録は誰が見てよい？｜閲覧権限を決める4つの軸

「AIの利用記録は全部取っていますと情報システムから報告がありました。では誰が見られるのですかと聞いたら、その場では答えが出ませんでした」「部下が何を聞いたのか見たいと相談されて、断る理由も許す理由も手元にありませんでした」——記録を取り始めて半年ほど経った会社では、この2つが同じ時期に出てきます。取ることは決まったのに、読むことが決まっていない状態です。個人情報保護委員会は、従業者を対象とするモニタリングを実施する際の留意点として、実施に関する責任者とその権限を定めることを挙げています。読む側の決めごとは、取ると決めた日に一緒に置いておくものです。この記事では、閲覧を求める4つの立場と、許可を出すかどうかを決める4つの軸を並べ、申請が来るたびに答えを出せる形にします。

記録を取ると決めた日に、読む人までは決まっていない

利用記録が読めないまま溜まるのは、担当者が怠けているからではありません。取ると決める会議と、読む条件を決める会議が別だったからです。取る決定は導入の話として進み、読む条件は事件が起きてから考えることになります。事件が起きてから考えると、その場の力関係で決まります。

結果として現れるのは、両極のどちらかです。情報システムが判断を避けて「規程にないので出せません」と止めるか、逆に頼まれた人にだけ黙って見せるか。前者は調査が止まり、後者は記録が残らないまま開かれます。どちらも、後から何が起きたのかを確かめられない点では同じです。

先に範囲を決めておきます。この記事で扱うのは、残った記録を誰が読めるかの一点です。人事の評価に使ってよいかという用途の議論はこの記事では扱いません。何をどう残すかという設計も、別の記事の領分です。ここでは、すでに記録がある前提で、読む側の決めごとだけを組み立てます。

利用記録には、思っているより多くが残っている

読む条件を決める前に、何が残っているのかを確かめます。社内で使うAIの記録に残るのは、おおむね4種類です。入力した問いの文章、AIが返した内容、日付と時刻と使った端末、そして参照した社内資料の名前です。4つ目は、社内の資料を読ませる形で使っている場合にだけ残ります。

このうち、扱いが重くなるのは問いの文章です。問いには業務の事情がそのまま入ります。取引先の社名、社内の人の名前、まだ公になっていない案件の呼び名、金額の桁。問いの記録は、業務の記録であると同時に、書いた人がそのとき何に困っていたかの記録でもあります。だから、読む側にとっては最も価値があり、書いた側にとっては最も見られたくない部分になります。

もう一つ見落とされるのが、参照した社内資料の名前です。名前だけでも、その人がどの案件に関わっているかは読み取れます。資料の中身を見せていなくても、名前の並びから業務の全体像が分かってしまうことがあります。ここまで確かめると、全部見せるという選択が成り立たないことが分かります。

逆に、残らないものも先に確かめておきます。添付した資料そのものの中身は、名前だけが残って実体は残らないことがあります。端末の側で書いた下書き、画面に貼り付けただけで送らなかった文章、別の道具に切り替えて続けた作業も残りません。読む側がこの前提を知らないまま記録を開くと、記録に無いことを「やっていない証拠」として扱ってしまいます。記録は何が行われたかの一部であって全部ではない、という但し書きを、閲覧の許可を出す文書に1行だけ入れておきます。この1行があるかどうかで、記録の読まれ方が変わります。

同じ記録でも、粒度で3つの層に分かれる

そこで、記録を3つの層に割ります。第1層は使った事実で、誰がいつ何回使ったかだけです。第2層は問いの中身で、入力した文章とAIが返した内容が入ります。第3層は参照した社内資料の名前です。この3つは、見せてよい相手も、見せる手続きの重さも別々です。

層に割ると、判断が速くなります。実際に持ち込まれる相談の多くは、第1層だけで答えが出ます。使われているのかどうか、使いすぎている部署はないか、契約している人数と実際に使っている人数が合っているか。これらは問いの中身を1件も読まずに答えられる問いです。層を分けていない会社は、この程度の相談にも第2層を開けることになります。

割り方の基準も書いておきます。その情報だけを見て、書いた人が何をしていたかまで読み取れるかどうかで線を引きます。読み取れないなら第1層、読み取れるなら第2層以降です。この基準にすると、回数や時間帯は第1層、問いの文章は第2層、資料の名前は読み取れてしまうので第3層、と自然に並びます。

立場①本人 — 自分の記録を見たいと言われたとき

最も軽く見られ、しかし最も断りにくいのが本人からの求めです。断りにくい理由は制度の側にあります。2022年4月1日に全面施行された改正個人情報保護法では、6か月以内に消去する短期保存のデータも保有個人データに含まれることになりました。すぐ消すから対象外という整理は、もう成り立ちません。

同じ改正で、開示は電磁的記録を含む本人が指定した方法によることが求められるようになりました。紙に印刷して窓口で見せる形だけを想定していると、求めに応えられません。画面のコピーではなく、一覧として書き出せる形を先に用意しておきます。書き出す手順を持っていない状態で求められると、対応そのものが遅れます。

実務の決め方は単純です。本人には第1層と第2層を原則として開きます。自分が書いた問いと、自分が受け取った答えだからです。第3層だけは、他人が作った資料の名前が混ざるので、混ざった分を落としてから渡します。落とした事実は伝え、落とした理由も1行添えます。理由を伝えずに落とすと、隠されたという受け取られ方になります。

立場②上長 — 部下の問いを見たいと言われたとき

4つの立場のうち、最も判断が割れるのがここです。割れる理由は、求める側が理由を言葉にしていないことが多いからです。「様子を見たい」「使いこなせているか気になる」は、目的ではなく気分です。気分で第2層を開けると、開けた記録は戻せません。

原則として、上長に開くのは第1層までにします。使った回数と時間帯が分かれば、育成の相談に必要な材料はほぼ揃います。第2層を開くのは、特定の案件で出来上がりに問題が起きていて、その案件に限って経緯を確かめる必要があるときだけです。その場合も、本人に伝えたうえで開きます。

断るための言葉を、先に1行だけ用意しておきます。読む理由を案件名で書けないなら、第2層は開かないという一行です。この一行があると、情報システムの担当者が個別に押し切られなくなります。押し切られない仕組みは、担当者の性格ではなく、書いてある一行のほうに置きます。

立場③情報システム — 調べるために見たいとき

情報システムは、技術的にはすべての層を読める立場にいます。だからこそ、読めることと読んでよいことを分けておく必要があります。常時見られる状態と、必要なときだけ見られる状態を、設定の側で別にしておきます。常時の側に第2層を入れておくと、何かあるたびに先に開くのが習慣になります。

入り口を2つに分けると整理できます。1つ目は動かないという相談で、これは第1層だけで足ります。いつから、誰が、どの操作で止まったかが分かれば原因は追えます。2つ目は情報が外に出たかもしれないという相談で、こちらは第2層が要ります。入り口が違えば開ける層も違う、という対応を先に書いておきます。

運用で効くのは、平時の権限を落としておくことです。平時は第1層のみ、調査が始まったら申請して第2層を日数を区切って開く。開いた権限は、調査の終わりではなく、あらかじめ決めた日数で自動的に閉じる形にします。終わったら閉じる運用は、終わりを誰も宣言しないので必ず開けっ放しになります。

立場④監査と法務 — 後から経緯をたどりたいとき

この立場の特徴は、読む時期が遅いことです。事案が起きてから、あるいは年に一度の点検で、過去にさかのぼって読みます。だからこの立場に対しては、層の制限よりも期間と対象者の制限のほうが効きます。全層を開いてよい代わりに、いつからいつまでの誰か、を先に確定させます。

監査の場合、対象者を先に絞れないことがあります。どこに問題があるか分からない状態で見るからです。その場合は、第1層を全員分、第2層を第1層の結果で絞った数人分、という2段階にします。2段階にすれば、最初から全員の問いを読むことにはなりません。

法務が読むのは、事案が起きた後です。この場合は開ける前にもう一つやることがあります。対象期間の記録を、消えないように保全する指示を先に出すことです。保存期間が短く設定されていると、読む許可が下りる前に消えます。許可の手続きを整える前に、消さない手続きを整えます。

外部の会社が監査を担う場合は、もう一段の手続きが要ります。社外の人が第2層を読む形になるので、読む相手を会社名ではなく個人の名前で特定し、読める期間を契約の中で区切ります。社名だけの指定にすると、その会社の誰が読んだのかが後から分かりません。監査が終わった後に、実際に読んだ人の一覧を提出してもらう取り決めまで含めて、契約の段階で決めておきます。この取り決めは、監査が始まってからでは追加できません。

4つの立場と3つの層を、1枚に並べる

ここまでを1枚にします。この表は権限の設定画面に写すためのものではなく、申請が来たときに開いて指を置くためのものです。4列目の「添える条件」が空欄のまま運用に入ると、開く側と開かせる側で解釈が分かれます。

閲覧を求める立場	原則として開く層	申請すれば開く層	添える条件
本人	第1層と第2層	第3層（他人の資料名を落とした形）	落とした事実と理由を伝える
上長	第1層のみ	第2層（案件を特定した場合のみ）	本人に伝えてから開く
情報システム	第1層のみ	第2層と第3層（調査の申請時）	日数を区切り、自動で閉じる
監査	なし（都度申請）	全層（期間と対象者を先に確定）	第1層で絞ってから第2層へ
法務	なし（都度申請）	全層（事案の範囲に限る）	開ける前に記録の保全を指示

この表は立場の格付けではありません。上の行ほど信用されている、下の行ほど厳しい、という読み方をすると運用が歪みます。行ごとに違うのは信用の度合いではなく、読む理由の性質です。本人は自分のことだから開き、監査は期間を区切れるから開きます。

表にない立場が来たときの決め方も添えます。外部の監査を担う会社、取引先、警察や行政からの照会。いずれも表に足さず、そのつど法務が判断する扱いにします。表に足してしまうと、次から手続きなしで開く前例になります。外部が絡む求めは、件数が少ないうちは個別に扱うほうが安全です。

軸1・目的 — 何のために見るのかを、申請の前に書かせる

ここからが、申請ごとに答えを出すための4つの軸です。1つ目は目的です。目的を書く欄を申請の先頭に置くだけで、申請の一定数は出される前に消えます。書こうとして書けないものは、読む必要がなかったということです。

書き方を規定しておきます。「◯◯という事象について、◯◯を確かめるため」という形にし、事象の名前か案件の名前を必ず入れさせます。確認のため、把握のため、念のため、といった言葉だけの目的は差し戻します。固有の名前が1つも入らない目的は、目的ではなく都合です。

目的が変わったときの扱いも決めておきます。調べているうちに別のことが気になるのは自然ですが、最初に書いた目的の外に出たら、その時点でいったん閉じて申請し直します。続きで見てしまうと、どこまでが許可された閲覧だったのかが後から分かりません。申請し直す手間を軽くしておくと、この規律は守られます。

見分けにくいのが、正しそうに見えて範囲が閉じていない目的です。「情報の持ち出しがないかを確かめるため」は事象の名前が入っているように見えますが、いつの、誰の、どの持ち出しなのかが決まっていません。この形の申請は、通した後に範囲がいくらでも広がります。受け取る側は、その目的で調べ終わったと言える状態を1文で書けるかを確かめます。書けないなら、まだ目的になっていません。終わりの状態を書かせる一手間が、範囲の際限ない拡張を止めます。

軸2・範囲 — 誰の、いつの、どの層かを3つとも書く

2つ目は範囲です。範囲は3つの要素でできています。対象者、対象期間、対象の層です。3つのうち1つでも空欄のまま許可を出すと、空欄の部分は最も広く解釈されます。空欄は最大値と同じ意味になる、と考えておきます。

対象者を部署の単位で書かせないことが要点です。営業部全員、という指定は書きやすいので放っておくと必ずそう書かれます。実際に必要なのは数人であることがほとんどです。名前で書けない場合は、名前で書けない理由を書かせます。理由を書いた申請だけが、部署の単位を使えます。

層を先に決めると、範囲の議論が短くなります。第1層なら対象者を広く取ってよく、第2層なら期間を短く取る、という交換の関係が成り立つからです。広さと深さの両方を同時に求める申請が来たら、どちらを優先するかを申請者に選ばせます。両方を通すのは、法務が事案として扱うときだけにします。

軸3・期間 — 見てよい期間と、残す期間は別に決める

3つ目は期間です。ここで混ざりやすいのが2種類の期間で、閲覧の許可が生きている期間と、記録そのものを保存する期間は別物です。混ぜて議論すると、保存期間を延ばす話と権限を広げる話が同じ議題になって、どちらも決まりません。

閲覧の許可は日数で切ります。調査が終わるまで、という書き方をすると終わりが宣言されません。7日、14日といった日数を先に置き、足りなければ延長を申請させます。延長の申請が来ること自体が、調査が長引いているという合図になります。合図が上がらない仕組みだと、長引いていることに誰も気づきません。

保存期間は、業務上の必要と、本人からの求めへの備えの両方から決めます。短くすれば安全というわけではありません。事案が起きたときにさかのぼれず、本人が自分の記録を確かめたいと言ったときにも応えられなくなります。層ごとに変えるのも一つの形で、第1層は長く、第2層は短く、という置き方は現実的です。

2つの期間が逆転する事故も起きます。閲覧の許可を30日で出したのに、対象の記録の保存期間が14日しかない、という形です。許可は生きているのに読むものが消えている状態で、たいてい調査の途中で気づきます。防ぎ方は難しくありません。許可を出す手順の中に、対象期間の記録がまだ残っているかを確かめる工程を1つ挟みます。残っていない場合は、許可を出すのではなく保存期間の見直しから始めます。

軸4・記録 — 閲覧したこと自体を記録に残す

4つ目の軸が、この記事でいちばん効きます。覗き見を止めるのは権限の設定ではなく、読んだことが残るという事実そのものです。権限を持っている人が、権限の範囲で、目的の外を読む。これは設定では止まりません。止まるのは、読んだ記録が後から誰かに読まれると分かっているときだけです。

閲覧の記録に残す項目は、読んだ人、読んだ日時、対象者、開いた層、申請の目的、承認した人の6つです。承認した人を入れるのが要点で、これがあると許可を出す側にも記録が残ります。許可を出した側が記録に残らない仕組みは、頼まれれば通す運用に流れます。

この閲覧の記録を誰が読むのか、という問いも出てきます。無限にさかのぼる話に見えますが、扱いは単純です。閲覧の記録は第1層として扱い、読めるのは監査と情報システムの責任者だけにします。中身に業務の事情が入らないので、第1層として扱って差し支えありません。ここで線を引けば、話は1周で止まります。

• 閲覧の記録は、利用記録とは別の場所に置く。同じ場所に置くと、利用記録を消したときに一緒に消える
• 閲覧の記録だけは保存期間を長めに取る。量が小さく、後から必要になる場面が多い
• 四半期に一度、申請の件数と閲覧の記録の件数を突き合わせる。申請のない閲覧が1件でもあれば、その場で理由を確かめる

4つの軸を当てると、同じ申請でも答えが変わる

軸が4つあることの意味は、同じ求めでも答えが分かれるところに出ます。たとえば「上長が部下の記録を見たい」という同じ求めでも、目的が「先月の提案書で事実誤認があったので、その1件の経緯を確かめたい」なら、案件名が入っているので第2層を期間7日で開きます。

同じ立場の同じ求めでも、目的が「最近やる気がなさそうなので確かめたい」なら、第1層すら開きません。立場で決めると前者も後者も同じ答えになり、軸で決めると分かれます。立場は入り口の絞り込みにすぎず、通すかどうかは4つの軸が決めます。

断った申請の扱いも決めておきます。断ったこと自体と、断った理由を、通した申請と同じ場所に残します。断った記録が残っていないと、後から「あのとき止めた判断は正しかったのか」を検証できません。止めた判断の記録がない組織は、次に同じ求めが来たときに、また一から議論します。

本人に知らせておく場面と、知らせ方

閲覧の仕組みは、作っただけでは足りません。個人情報保護委員会は、従業者を対象とするモニタリングを実施する際の留意点として、次の4つを挙げています。目的をあらかじめ特定して社内規程等に定め従業者に明示すること、実施に関する責任者とその権限を定めること、実施に関するルールをあらかじめ策定して運用者に徹底すること、そしてルールに従って適正に行われているかを確認することです。

同じ資料では、モニタリングに関して個人情報の取扱いに係る重要事項等を定めるときは、あらかじめ労働組合等に通知し、必要に応じて協議を行うことが望ましいとされています。知らせるのは運用を始める前で、個別の閲覧のたびにではありません。この順番を逆にすると、最初の1件が通知なしの閲覧になります。

知らせる中身は、権限の一覧そのものではありません。どういう場合に誰が読むことがあるのか、読むときにどんな手続きを踏むのか、読まれたことを本人が後から確かめられるのかの3つです。裁判例でも、日経クイック情報事件（東京地方裁判所 平成14年2月26日判決）で、調査の必要性を欠く場合や、調査の態様が社会的に許容し得る限度を超えている場合には違法となることがあると示されています。必要性と態様の両方が問われる以上、手続きを先に公開しておくことが守りになります。

権限の設計をAIに決めさせない

申請の判定は、型が決まっているように見えるので、AIに任せたくなる工程です。ここは止めます。AIに判断させない、というより、判断の責任を負えない相手に判断を置かないという整理です。断られた側は必ず理由を聞きに来ますが、AIが出した判定には、聞きに行ける相手がいません。

任せてよい範囲は先に決めます。申請文から目的と対象者と期間を抜き出して欄に入れること、過去の似た申請とその結果を並べること、空欄になっている項目を指摘すること。ここまでは下ごしらえで、判定ではありません。そして、並べた過去の申請には根拠として申請の番号を書かせます。番号がない参照は、人が確かめられません。

• 申請の判定をAIに任せ、通すか通さないかだけを出力させた
• 断られた申請者が理由を聞いたが、判定の根拠が残っておらず誰も説明できなかった
• 納得できない申請者が、承認を経ずに情報システムの担当者へ直接頼む経路を使い始めた
• その経路で開いた閲覧は申請の記録に残らず、四半期の突き合わせでも発見できなかった

人が確認する範囲も、先に書いておきます。目的の欄に固有の名前が入っているかどうかの判定、層と期間の組み合わせを削る判断、そして断るという判断。この3つは人が行い、それ以外はAIに任せてよい、と最初に線を引きます。線を引いてから任せると、任せた範囲が後から広がりません。

閲覧の申請と、閲覧の記録に残す項目一覧

最後に、手元に置く2つの一覧を並べます。1つ目は、閲覧を求める人に書かせる項目です。この7項目が埋まらない申請は受け付けない、と決めておきます。受け付けてから差し戻すより、書式の段階で止めるほうが早く終わります。

• 申請者の氏名と所属、および申請者の立場（本人・上長・情報システム・監査・法務のどれか）
• 目的（固有の事象名か案件名を含む1文で書く）
• 対象者（氏名。部署の単位で書く場合はその理由）
• 対象期間（開始日と終了日）
• 求める層（第1層・第2層・第3層のどれまでか）
• 希望する閲覧の日数（延長が要る場合は改めて申請する旨の確認）
• 本人への通知の要否と、通知しない場合はその理由

2つ目は、閲覧が行われたときに自動で残す項目です。こちらは申請者に書かせるものではなく、仕組みの側で残します。人が書く欄にすると、忙しい日の閲覧から抜け落ちます。

• 読んだ人の氏名と所属
• 読んだ日時（開いた時刻と閉じた時刻の両方）
• 対象者と、実際に開いた層
• ひもづく申請の番号と、申請に書かれた目的
• 承認した人の氏名
• 閲覧の記録そのものの保存期限

2つの一覧を運用に載せる順番も添えておきます。先に閲覧の記録のほうを動かし、申請の書式はその後で入れます。逆にすると、書式だけが先にできて、記録の側が空のまま数か月が過ぎます。記録が残り始めてから書式を入れれば、最初の1件から突き合わせができます。記録の仕組みが先に動いていれば、書式が整う前に開かれた閲覧も、後から拾えます。

この2つが揃うと、四半期の点検が15分で終わります。申請の件数と閲覧の記録の件数を並べ、数が合わない日だけを見ます。合わない日が1日でもあれば、申請を経ない経路がどこかにあるという意味です。数が合っているかどうかは機械が数え、合わない理由を確かめるのは人が行います。

まとめ

利用記録を誰が見てよいかが決まらないのは、権限の設定が難しいからではありませんでした。記録を一つの塊として扱っていたからです。使った事実、問いの中身、参照した社内資料の名前という3つの層に割り、本人・上長・情報システム・監査と法務という立場ごとに配る層を変えれば、多くの申請は第1層だけで答えが出ます。そのうえで、目的・範囲・期間・記録の4つの軸を当てて、申請ごとに通すかどうかを決めます。そして、閲覧したこと自体が残ることが、最後の歯止めになります。まずは、申請の書式に目的の欄を置き、固有の名前が入っていない申請を差し戻すところから始められます。個人情報保護委員会が挙げている4つの留意点に沿って、運用を始める前に従業者へ明示しておくことも、同じ日に手を付けられます。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。