AI利用の届出制とは何か？｜許可制との使い分け

「使う前に申請してくださいと全社に通知したのですが、3か月で上がってきたのが4件だけでした。使っていないわけがないんです」「逆に、届け出るだけでよいことにしたら、一覧が現物とまったく合わなくなりました」——AIの利用ルールを整えた会社が、半年ほどでぶつかる2つの壁です。どちらも制度が厳しすぎたわけでも、緩すぎたわけでもありません。手続きの重さと、業務の切迫さが釣り合っていないだけです。この記事では、届出制とは何か、許可制と何が違うのか、そしてどちらか一方に寄せずに段を分けるやり方を、判断の物差しのところから整理します。

届出制とは何か——何をいつ出させる制度か

AI利用の届出制とは、使い始める前の承認を要件にせず、使っていることを所定の様式で申し出させて一覧に載せる仕組みを指します。出す先は情報システム部門か、AIの所管部署です。出すタイミングは2つで、使い始めたときと、使い方を変えたときです。使い方を変えたときというのは、入れる情報の種類が変わったとき、出力の行き先が変わったときを指します。

許可制、つまり事前承認との違いは手続きの順番です。許可制は、申請して、審査を受けて、承認されてから使い始めます。届出制は、使い始めてから届け出ます。審査で止めるのではなく、載せて見えるようにすることが目的なので、届け出た時点で使ってよいことになります。ここが理解されていないと、届け出たのに返事が来ないという不満が最初の月に必ず出ます。

ただし、届出制は報告して終わりの制度ではありません。届け出を受けた側が、その用途を段に当てはめ、条件を付けて返すところまでが制度です。返さない届出制は、ただの名簿になります。返す内容は3行で足ります。この用途はこの段に当たる、入れてよい情報はここまで、次に届け出るのはこういうとき。この3行が返ってくるかどうかで、2件目以降の届け出が出るかどうかが決まります。

許可制と届出制は、止まる場所が違う

許可制は使う前で止まります。止まるので、危ない使い方はそもそも始まりません。これは大きな利点です。一方で、止まっている間、業務は進みません。審査に5営業日かかるなら、その5営業日は担当者が別の手段を探す時間になります。別の手段が見つかってしまえば、申請は取り下げられます。取り下げられたことは記録に残りますが、別の手段で処理したという事実は、どこにも記録されません。

届出制は使った後で見つかります。業務は止まりません。ただし、見つけたときには情報がすでに外に出ているかもしれません。ここが分かれ目で、外に出た情報は戻せません。契約は解除できます。出した文章は消せますが、相手が読んだ後なら消しても意味がありません。やり直しがきくかどうかが、届出制を当ててよいかどうかの唯一の基準です。

この基準で見ると、判断はかなり単純になります。社内の下書きを作るだけの使い方は、間違っていても後から直せます。顧客の個人情報を入れる使い方は、入れた時点で取り返しがつきません。人の採否に関わる判断に使う場合は、その判断を受けた人の側に影響が残ります。戻せない使い方だけを前で止める、と決めれば、許可制にすべき範囲は自然と狭くなります。

重い手続きは守られない、という前提から始める

制度を設計する前に、数字を1つ見ておきます。株式会社ISOプロが2026年7月22日から23日にかけて、経営者、役員、情報システム部門の従事者1,023人を対象に実施した調査では、「利用状況は把握しているが、一部で無断利用が発生している」が44.5%、「利用状況を十分に把握できておらず、発生している可能性がある」が20.6%でした。合わせて65%ほどが、把握しきれていない利用を抱えています。「把握・管理できており大きな問題はない」と答えたのは25.3%です。

同じ調査で、無断で使う理由として最も多かったのは「業務効率を上げたい」で40.1%でした。悪意で隠しているのではなく、手続きが業務の速さに追いついていないだけだということが、数字の側からも見えます。同じ調査では、最新のAIも想定したガイドラインがあり十分に対応できると答えた割合は23.9%にとどまっており、制度の側が追いついていない状況も重なっています。

海外の調査でも傾向は同じ方向を向いています。ガートナーが2026年に公表した調査では、業務目的で個人の生成AIのアカウントを使っている従業員が5割を超え、承認されていない道具に機密情報を入れたことがあると答えた人が3割を超えました。ただしこの調査は対象が175人と小規模なので、割合の細かい数字より傾向として読むほうが適切です。制度設計の出発点は、望ましい重さではなく、守られる重さがどこまでかという問いになります。

全部を許可制にした会社で、実際に起きること

いちばん多い設計は、全社一律で事前申請を求める形です。安全に見えますし、決裁も通りやすい。ところが3か月後の症状は決まっています。まず、申請が上がってきません。500人の会社で3か月に4件、といった水準です。使っていないのではなく、申請せずに使っています。申請の件数が少ないことを、利用が少ないことの証拠として読んではいけません。

次に、上がってきた申請が滞ります。審査する側は兼務であることがほとんどで、情報システム、法務、人事の3か所を回ると2週間かかります。業務の締切は2日後です。この差が埋まらない限り、待っている間に別の手段で処理されます。審査の質を上げるほど日数は延び、日数が延びるほど申請は減る、という関係になっています。

3つ目の症状は見落とされがちです。一度通した申請が更新されません。半年後には、申請書に書かれた用途と実際の使い方が別物になっています。入れる情報の種類が増え、出力の行き先が広がっているのに、手続きは通ったままです。許可制は通す仕組みは持っていても、通した後を見る仕組みを持たないことが多い。ここが、許可制だけでは足りない理由です。

全部を届出制にした会社で、実際に起きること

反対に、全部を届け出でよいことにした会社にも決まった症状が出ます。1つ目は、一覧が現物と合わなくなることです。使い始めたときの届け出は出ますが、やめたときの届け出は出ません。1年経つと、一覧の半分が使われていない道具で埋まります。合っていない一覧は、無い状態より危険です。見たつもりになるからです。

2つ目は、取り返しのつかない使い方が後から見つかることです。顧客の個人情報を入れていた、他社から受け取った資料を入れていた、といった形です。届け出自体は出ていたのに、中身を誰も読んでいなかった、という経緯であることが多く、届け出た本人からすれば手続きは踏んでいます。責任の所在があいまいになり、制度への信頼が一度に落ちます。

3つ目は件数です。月に5件なら読めますが、月に80件になると受け取るだけになります。届出制は件数に弱く、受け取る側の処理能力を超えた瞬間に、載せているだけの一覧に変わります。しかも変わったことが誰にも分かりません。件数の上限を決めずに始めると、必ずこの形に行き着きます。

段を分ける物差しは4つある

どちらか一方に寄せない、というのが結論になります。用途ごとに段を分けます。分けるための物差しは4つで、順に重くなります。1つ目は、入れる情報の区分です。公開されている情報だけを入れるのか、社内の情報を入れるのか、個人を特定できる情報や顧客の情報を入れるのか。ここだけで3段に割れます。

2つ目は、出力が外に出るかどうかです。本人の下書きで終わるのか、社内に配るのか、社外の相手に届くのか。3つ目は、お金が動くかどうかです。契約、課金、支払いが発生する場合は、使い始めた個人の判断で決められる範囲を超えます。2つ目と3つ目は、本人の意識では重さが分かりにくいので、物差しとして明示しておく必要があります。

4つ目が最も重く、人の判断を置き換えるかどうかです。採否、評価、与信のように、結果として人が不利益を受けうる判断をAIの出力で決める場合は、他の3つがどうであれ最上段に置きます。4つのうち1つでも重い側に当たれば、自由に使ってよい段からは外す、という組み方にすると、判断する人が代わっても結論が動きません。

実務仕様：段ごとの手続き一覧

4つの物差しを4段に落とすと、次の表になります。自社に当てはめるときは、段の数は変えずに、2列目の中身だけを自社の業務の言葉に書き換えてください。段の数を増やすと、どの段に当たるかを判断する時間が増え、その時間のぶんだけ届け出も申請も減ります。4段でも多いと感じるなら、3段に減らすほうが守られます。

段	当てはまる使い方	手続き	続けるために要るもの
自由に使ってよい段	公開されている情報だけを入れる。出力は本人の下書きで終わる。お金は動かない	手続きなし。使ってよい道具の一覧から選んで使う	使ってよい道具の一覧を、月に1度だけ見直して更新する
届け出だけで使える段	社内の情報を入れる。出力は社内に配るところまで。お金は動かない	使い始めてから5営業日以内に、様式に沿って届け出る。返事は3行で返す	届け出の一覧と実際の利用の突き合わせを、四半期に1度行う
事前に許可が要る段	個人を特定できる情報や顧客の情報を入れる。出力が社外に出る。契約や支払いが発生する	使う前に申請し、承認を受ける。承認には必ず期限を付ける	期限が切れる前に知らせる仕組みと、更新のときに用途を確かめ直す工程
経営の判断を仰ぐ段	採否、評価、与信など、人が不利益を受けうる判断をAIの出力で決める	既定の申請の枠では扱わず、個別に経営の判断を仰ぐ	認めた場合に、判断の根拠と人が確認した記録を1件ずつ残す仕組み

表の中で最も設計が難しいのは2段目です。届け出だけで使える範囲を広く取るほど制度は守られますが、広く取りすぎると見つけるのが後になります。目安としては、その用途で事故が起きたときに、社内で半日以内に収束できるかどうかで線を引きます。半日で収束できないものは3段目に上げます。

4段目を表に置いておく意味は、前もって止めることではなく、上がってきたときに既定の手続きで処理しないと決めておくことにあります。既定の申請の枠で流すと、他の申請と同じ日数、同じ担当で処理されてしまいます。なお、申請そのものを認めない場合の基準と、その伝え方は別の記事で扱う領分です。ここで決めるのは、どの段でどう受けるかまでです。

届出制の要：一覧が現物と合っているかを確かめる

届出制は、一覧が現物と合っていることを前提に成り立っています。合っていない一覧を見ながら判断すると、判断そのものが間違います。だから制度を作るときは、届け出させる仕組みと同じ重さで、一覧を合わせ続ける仕組みを置きます。ここを置かずに始めた届出制は、例外なく1年で形だけになります。

合わせる手立ては3つです。1つ目は、やめるときの届け出も様式に入れること。使い始めの届け出だけを作ると、やめた道具は永久に残ります。2つ目は、四半期に1度、届け出た本人に「まだ使っているか」を1行で返させること。返さなければ使っていないものとして一覧から落とす、と決めておきます。3つ目は、支払いの記録と突き合わせることです。

実務でいちばん効くのは3つ目です。お金が動いている道具は、必ず経理のどこかに痕跡が残ります。経費精算、法人カードの明細、請求書のいずれかに出てきます。月に1度、経理の明細からAIらしき名目を拾う担当を1人置くだけで、届いていない利用のうち有料のものはほぼ拾えます。一覧に無くて明細にあるものが、いま制度の外にある利用です。

届出制の要：申告されていない使い方を見つける仕組み

届出制は自己申告なので、申告されない分を別の経路で見つける必要があります。経路は3つあり、担当する部署が違います。1つ目は通信の記録です。会社の回線から、どの生成AIのサービスに接続しているかを見ます。2つ目は経費と請求の記録で、これは経理の担当範囲です。3つ目は成果物の側で、提出された資料にAIの出力が混ざっていないかを上長が見ます。

3つの経路のうち、どれか1つだけでは足りません。通信の記録は会社の回線を通らない利用を捕まえられませんし、経費の記録は無料の範囲で使われているものを捕まえられません。成果物の側は、社内で閉じた使い方を捕まえられません。3つを並べて置くことで、どれか1つには引っかかる状態を作ります。それでも漏れる分は残りますが、漏れる範囲が分かっていること自体に意味があります。

設計上いちばん大事なのは、見つけたときに罰しないことです。罰する運用にすると、次からは会社の回線を使わなくなります。個人の端末と個人の契約に移った時点で、3つのどの経路でも見えなくなります。情報処理推進機構が公表している組織向けの脅威の一覧でも、2026年版でAIの利用をめぐるリスクが初めて取り上げられ、上位に入りました。見えない利用が増えることこそが脅威なので、見える状態を保つほうを優先します。

許可制の要：待ち時間の目安と、急ぐときの経路

許可制が壊れる最大の原因は待ち時間です。何日で返ってくるかが書かれていない申請は、出す側から見ると、出さないのとあまり変わりません。返ってくる時期が読めないと、締切のある仕事から順に別の手段に流れます。審査の基準を精密にするより、返す日を約束するほうが、申請の件数には効きます。

目安の書き方は「5営業日以内に一次回答」で十分です。一次回答は可否でなくてかまいません。追加で何を確認したいか、どの部署に回すか、いつまでに結論を出すか、のいずれかが返れば、出した側は次の行動を決められます。可否まで含めて完璧に答えようとするから遅くなり、遅くなるから出されなくなる、という順番になっています。

そのうえで、急ぐときの経路を1本だけ作ります。条件は3つです。期間を限ること（たとえば最長14日）、範囲を限ること（入れてよい情報の区分を1段下げる）、そして期限が来たら自動的に切れることです。この経路が無いと、急ぎの案件はそのまま無申告の利用になります。1本だけ用意して、使われた件数を毎月数えておくと、制度のどこが重すぎるかが数字で見えてきます。

届け出させる項目は、少なくする

届出書の項目が多いと、出されません。経験的には7項目を超えたあたりから、出す側が「後でまとめて書こう」と考え始め、その後が来なくなります。項目を減らすと情報は粗くなりますが、粗い情報が全件集まるほうが、精密な情報が2割しか集まらないよりも制度としては役に立ちます。項目は次の6つで足ります。

• 使っている道具の名前と、契約の形。会社の契約か、個人で登録した無料の範囲かを分けて書く
• 何の業務に使っているか。部署名ではなく、業務の名前で1行だけ書く
• 入れている情報の区分。公開情報だけ、社内情報、顧客や個人を特定できる情報、の3択から選ぶ
• 出力の行き先。自分の下書きだけ、社内に配る、社外に出す、の3択から選ぶ
• 使い始めた日と、やめたときに知らせる相手の名前
• 困りごとを書く自由欄。1行でよい。次の制度改定の材料は、ここにしか集まらない

最後の自由欄は、削られやすいのに最も効きます。集計できないので価値が無いように見えますが、制度のどこが重すぎるかを知る材料は、この欄以外から出てきません。半年分をまとめて読むと、同じ困りごとが3回以上出てくる箇所が2つか3つ見つかります。そこが次に直す場所です。

逆に、入れないほうがよい項目もあります。使用頻度、削減できた時間、費用対効果の3つです。どれも書く側が正確には書けないため、書けないことが理由で提出が止まります。効果を測る仕事と、利用を把握する仕事は別に置いてください。同じ紙に載せた瞬間に、把握のほうが道連れになります。

申告されていない使い方が見つかったときの扱い

見つけたときに最初にやることは、止めることでも咎めることでもありません。一覧に載せることです。載せて初めて、その用途を段に当てはめられます。順番を間違えて先に止めると、止められた側は次から申告しなくなり、同じ使い方が見えない場所に移ります。制度の目的は減らすことではなく、見える状態にすることだという前提を、運用する側が崩さないことが要ります。

次に、なぜ申告しなかったかを1つだけ聞きます。答えは大きく3つに分かれます。制度を知らなかった、手続きの出し方が分からなかった、急いでいて後回しにした。3つとも、本人の問題というより制度の側の問題です。知らなかったが多ければ周知の問題、出し方が分からなかったが多ければ様式の問題、急いでいたが多ければ待ち時間の問題として、それぞれ別の直し方になります。

そのうえで段に当てはめ、条件を付けて返します。ここまでが1件の処理です。なお、申請そのものを認めない場合にどういう基準で判断し、それをどう伝えるかは別の記事で扱う領分です。この記事で決めているのは、見つかった使い方を制度の中に入れ直すまでの手順だけで、その先の可否の判断には踏み込んでいません。

人が見きれる件数を先に数えて、制度の重さを決める

制度の重さは、理想ではなく処理能力で決まります。計算は簡単です。届け出や申請を1件読んで段に当てはめ、条件を付けて返すのに何分かかるか。担当者が月に何時間をこの仕事に割けるか。この2つを割り算します。1件20分、担当が月10時間なら、月30件が上限です。これを超えた分は、読まれずに一覧に載るだけになります。

次に、想定される件数を出します。従業員500人で、1人が年に1件届け出るとすれば年500件、月に42件です。上限の30件を超えています。ここで取れる手は3つで、担当を増やす、事前の許可が要る段を狭めて届け出でよい段を広げる、届け出の項目を減らして1件あたりの時間を短くする、のいずれかです。この3つのどれも取らないまま始めると、制度は必ず届きません。

総務省と経済産業省がまとめたAI事業者ガイドラインでも、2025年3月28日の第1.1版、2026年3月31日の第1.2版を通じて、リスクの大きさを把握してから対策を決める考え方と、一度決めて終わりにせず継続的に見直す考え方が示されています。件数を数えるのは制度を作る前で、数え直すのは半年ごと。人が増えれば件数も増えるので、線の位置は動かす前提で置いておきます。

制度を動かし始める順番

最後に、動かし始める順番をまとめます。順番を間違えると、最初の1か月で信頼が落ち、あとから正しい設計に直しても件数が戻りません。特に重要なのは1段目で、いきなり申請を求める前に、いま何が使われているかを責めない形で1度だけ集めます。全体で2か月ほどの工程です。

6段目を必ず日程に入れてください。制度を作った直後は誰もが見ていますが、3か月経つと作った本人しか気にしなくなります。突き合わせを1回やるかどうかで、その後1年の一覧の精度が決まります。日付を先にカレンダーに入れ、担当者の名前まで書いておくと、この工程は流れません。

段の判定をAIに任せない

届出書が月に数十件も集まってくると、中身を読んで段に割り振る作業を自動化したくなります。実際、下読みには向いています。3択で答えられる項目がそろっていれば、機械的な仕分けで大半は正しく振り分けられますし、書き漏れの指摘も速く返ってきます。ここまでは使ってかまいません。

それでも判定そのものは任せません。理由は3つです。1つ目は、段は書かれた文言ではなく実際の使われ方で決まるためです。2つ目は、書いた本人が区分を誤解していることが珍しくないためで、届出書に「公開情報だけ」と書かれていても、実際には社内の数字が混じっていることがあります。3つ目が最も重く、判定の記録が残ると、人が確認したという事実にすり替わります。

任せてよい範囲を先に決めます。似た届け出をまとめること、書き漏れを指摘すること、過去の判断と食い違う箇所を挙げること。どれも人が判断するための材料を作る作業です。そのうえで、3段目と4段目は全件を人が読み、2段目は月に10件を抜き取る、というように人が見る範囲を先に決めます。あわせて、下読みをさせるときは、届出書のどの記述からその段だと判断したのかという根拠を必ず書かせ、その記述だけを人が読む形にします。根拠が書かれていない判定は、段が合っていても採用しません。

これをやると、制度は半年で形だけになる

最後に、善意で導入されて逆効果になる進め方を5つ挙げます。どれも実際によく見かける形で、しかも導入した時点では正しく見えます。1つでも当てはまるなら、次の四半期に入る前に外してください。

• 全社一律で「AIの利用は事前申請」とだけ通知する：申請は数件しか上がらず、使っている事実のほうが見えなくなる
• 届出書に削減時間や費用対効果を書かせる：正確に書けないため提出が止まり、一覧が実態から離れていく
• 申告されていない利用を見つけて、会議で名指しする：次からは会社の回線も法人の契約も使わなくなり、どの経路でも見えなくなる
• 一覧を作って終わりにする：やめたときの届け出が無いので、1年で半分が使われていない道具で埋まる
• 待ち時間の目安を書かずに申請を求める：返ってくる時期が読めず、締切のある仕事から順に制度の外に出ていく

3つ目は、経営の側の善意で起きます。問題を重く受け止めていることを示そうとして、個別の事例を会議で取り上げる形です。取り上げた瞬間から、申告は上がらなくなります。申告が減るので状況が改善したように見え、翌期にはもっと見えなくなります。申告された件数は、利用の多さではなく申告のしやすさを測っていると覚えておいてください。

4つ目は、制度が動き出した後にいちばん静かに進みます。一覧があること自体が安心材料になり、中身が古いことに誰も気づきません。一覧の価値は、載っている件数ではなく、現物と合っている割合で決まります。四半期に1度の突き合わせを日程に置けない体制なら、届出制の対象を絞るほうが先です。

まとめ

届出制は緩い制度ではなく、止まる場所が後ろにある制度です。許可制は使う前で止め、届出制は使った後で見つけます。どちらを選ぶかではなく、用途ごとにどちらを当てるかを決めるのが設計の中身になります。当てはめる物差しは4つで、入れる情報、外に出るか、お金が動くか、人の判断を置き換えるか。戻せない使い方だけを前で止めれば、事前の許可が要る範囲は全体の1割前後に収まります。届出制で回すなら一覧を現物に合わせ続ける仕組みと、申告されていない利用を見つける3つの経路が要ります。許可制で回すなら、返す日の約束と、急ぐときの経路が1本要ります。そして制度の重さは、人が見きれる件数から逆に決めます。まず今週やることは1つです。いまの担当者が、届け出や申請を1件読んで返すのに何分かかっているかを測ってください。その数字が、この制度で扱える件数の上限になります。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。