グループ会社へのAI展開は一律か個別か｜規程と契約の分かれ目

「親会社で生成AIの利用の決まりを作ったので、そのままグループ各社にも配りました。展開はこれで終わりのつもりでいたのですが、監査の年になって、子会社の側に該当する文書が1本も無いと指摘されました」「親会社でまとめて契約した席を、子会社の担当者にも配っています。同じグループですし、請求は親会社に来ているので問題は無いと考えていました」。——展開に手をつけた会社では、この2つはたいてい同じ時期に並んで出てきます。どちらも手を抜いた結果ではありません。むしろ、親会社で丁寧に決めた会社ほど起きます。ずれているのは注意の量ではなく、前提のほうです。本当は、親会社の決まりも、親会社が結んだ契約も、別の法人にはそのままでは届きません。グループは会計の上では1つにまとまりますが、契約の当事者としても、個人情報を扱う事業者としても、法人ごとに別々に数えられます。この記事では、グループ会社にAIを広げるときに、一律に配る形と会社ごとに決める形で、契約・データ・費用・規程の何が変わるのかを整理します。

「親会社で決めたから、子会社も同じでいい」が外れる場面

展開の初期に起きることは、だいたい3つの形に収まります。1つめは、親会社が作った方針の文書をグループ各社に配って、それで展開が済んだことにする形です。各社の側には、自社の名前で出した文書が1本もありません。2つめは、親会社が契約した席を子会社の担当者に渡す形。3つめは、子会社が持っている顧客の名簿を、親会社が契約したAIのサービスに読ませる形です。

どれも、親会社の側から見れば自然な進め方です。同じ看板で事業をしていて、決裁の系統もつながっていて、費用も最終的には連結で1つになります。ところが、契約の当事者も、個人情報を扱う事業者も、法人の単位で数えられます。連結の財務諸表で1つに見えることと、契約書に名前が書かれていることは、まったく別の話です。

外れていることに気づくのが遅れるのも共通しています。方針だけを配った場合、利用そのものは動いてしまうので、何も困りません。困るのは監査の年です。席を貸した場合も、サービスは普通に使えるので気づきません。気づくのは、利用者の数が契約と合わないと指摘されたときか、退職した人の利用が止まっていないと分かったときです。どれも、止まらないまま進むので発見が遅いという共通点があります。

ここで必要なのは、展開そのものを止めることではありません。グループ全体で同じ道具を使えることには、教育の手間が減る、問い合わせの窓口を1つにできる、単価が下がるといった実利があります。必要なのは、広げる前に、どこが法人をまたぐのかを4か所だけ確かめておくことです。次の章で、その4か所を先に置きます。

別法人であることは、契約・データ・費用・規程の4か所に効く

1つめは契約です。利用契約には、そのサービスを使ってよい人の範囲が書かれています。ある解説では、契約は「利用者」や「ユーザー」という語で範囲を定めており、正社員だけなのか、契約社員や派遣社員も含むのか、業務委託先や親会社・子会社といったグループ会社も対象なのかが契約ごとに違うと整理されています。読むべきは料金の欄ではなく、この定義の欄です。

2つめはデータです。子会社が持っている個人データを親会社の契約したサービスに入れる、あるいは逆に親会社の名簿を子会社の担当者に読ませる。この2つは、いずれも法人をまたぐ移動になります。個人情報保護法は、本人の同意なく個人データを第三者に渡すことを原則として認めていません。グループ内であることは、それ自体では例外の根拠になりません。例外にするには、委託か共同利用のどちらかの形に整える必要があります。

3つめは費用です。親会社がまとめて契約して支払い、子会社に使わせるという形をとると、子会社は対価を払わずに役務を受け取ったことになります。親子会社間の取引について解説している税理士の記事では、実態と金額と書類の3つがそろっているかが問われると整理されています。役務が本当に提供されたのか、対価は独立した当事者でも納得できる水準か、書類が残っているか、という見られ方です。

4つめは規程です。親会社が出す方針は、親会社の意思表示です。子会社の従業員を直接縛る就業上の決まりではありません。各社が自社の所定の決裁を通して、自社の文書として採用したときに初めて、その会社の中で効きます。そして監査で提出を求められるのは、方針を配ったという記録ではなく、各社の名前で出た文書です。ここが冒頭の指摘の正体です。

一律に配る形と、会社ごとに決める形。分かれ目を先に置く

どちらが正しいという話ではありません。同じグループでも、事業の性質が違えば答えは変わります。先に分かれ目を置いておくと、各社との話し合いが感情の問題になりません。判断の軸は5つです。

見る軸	一律に配るほうが合う	会社ごとに決めるほうが合う
扱う情報の機微さ	各社とも一般的な業務の情報が中心で、区分の基準が同じにできる	医療・金融・人材など、法令で追加の扱いが要る情報を持つ会社が混ざる
会社の規模と人数	十数人から数十人で、独自に決めても運用する人がいない	数百人規模で、自社の業務の型が固まっている
情報システムの担当	各社に担当がおらず、親会社が実務を代行している	各社に担当がいて、利用の開始と停止を自分で回せる
海外の拠点	国内の法人だけで構成されている	海外の関係会社が含まれ、法域が分かれる
監査の受け方	親会社がまとめて受け、各社は同じ手順で答えている	各社が別々に監査を受け、求められる文書の形も違う
止める力の所在	親会社が各社の利用者の登録を直接止められる	各社の側でしか登録の開始と停止ができない

6つめに置いた止める力の所在が、実務ではいちばん効きます。一律に配る形が成り立つのは、退職や契約終了の日に、親会社の側で利用者の登録を止められる場合だけです。止める操作が各社の担当者を経由しないと動かないのであれば、配る側だけを一律にしても、止める側が個別になります。開始だけ一律で停止が個別という形は、いちばん漏れが出ます。

軸が割れたときは、中間の形を選びます。よくあるのは、道具と最低限の禁止事項だけをグループで一律にして、入れてよい情報の区分と承認の経路は各社が決める、という分け方です。一律にするものを道具に寄せ、個別にするものを情報の区分に寄せると、各社の抵抗が減ります。道具は共通化の利益が大きく、情報の区分は事業ごとの事情が濃いからです。

逆に、決めきらないまま両方を走らせる形は避けます。親会社の方針と各社の運用が違う状態で半年が過ぎると、どちらが正なのかを誰も答えられなくなります。どちらにするかを先に文書で決め、決めた日を記録に残す。決め方そのものを残しておくと、翌年の監査でも同じ説明ができます。

契約書のどの語を見るか。利用者の定義から読む

契約の確認は、料金表からではなく定義の条から始めます。見るのは4つの語です。契約の当事者を指す語、利用してよい人を指す語、グループ会社を指す語、そして利用者の数え方を決めている語。この4つが、展開できる範囲をほぼ決めています。

利用してよい人を指す語は、契約によって中身がかなり違います。先の解説では、正社員のみなのか、契約社員や派遣社員も含むのか、業務委託先や親会社・子会社といったグループ会社も対象なのかを確認するよう挙げられています。ここに親会社や子会社が明示されていなければ、グループ会社は契約上は社外の第三者と同じ位置です。書いていないものは、書いていないというだけで、黙認されているわけではありません。

グループ会社を指す語も、契約ごとに範囲が違います。議決権の過半数を持つ会社だけを指すのか、持分法の対象まで含むのか、同一の最終親会社を持つ会社を横に並べて含むのか。自社が思っているグループの範囲と、契約書に書かれた範囲は一致しないことがあります。子会社は入っているが、兄弟会社や共同出資の会社は入っていない、という切れ方が実際によくあります。

数え方の語も要ります。利用者の単位で課金するのか、同時に使っている人数なのか、法人の単位なのか。クラウド型のサービスは利用者の単位で課金されることが多く、そのぶん登録の共有を禁じる条項が置かれているのが通例です。数え方が分かれば、子会社の人を足したときに何が増えるのかも同時に分かります。ここまでを1枚に写してから、サービスの窓口に確認します。

再許諾と席の貸し借り。親会社のアカウントを渡すと何が崩れるか

いちばん多い進め方が、いちばん危ない形です。親会社が契約した席のうち数人分を、子会社の担当者に渡す。手続きは要らず、費用も増えず、その日から使えます。ところが、この1つの操作で4つのことが同時に崩れます。

• 契約の範囲を超える。利用してよい人の定義に子会社が入っていなければ、契約違反になりうる。事前の承諾なく第三者に使わせない趣旨の条項が置かれていることが多い
• 提供の記録が残らない。子会社の担当者が自社の顧客データを入力すると、法人をまたいだ個人データの移動が、誰にも記録されないまま起きる
• 費用の説明がつかない。子会社の従業員が使った分を親会社が負担している状態になり、対価のやり取りが帳簿に現れない
• ログの持ち主が分からなくなる。利用の記録は親会社の契約の下に残るが、その操作をした人は子会社の従業員。事故の調査で、誰の情報を誰が扱ったのかを組み立て直せない

共有のアカウントを1つ作って複数人で使う形も、同じ理由で避けます。誰が入れたのかが分からない記録は、事故が起きたときに範囲を絞れません。範囲が絞れないと、調査は全件を洗う形になります。人数が少ないうちは共有でも回りますが、回っている期間に入力された内容は、後から誰のものとも言えなくなります。

止め方も同時に決めます。子会社の担当者が異動した日、契約が終了した日に、その人の利用を誰が止めるのか。開始の手続きを作った日に、停止の手続きも同じ文書に書く。開始だけを決めて運用を始めると、停止の担当が決まらないまま名簿だけが増えていきます。半年後に棚卸しをすると、たいてい在籍していない人の登録が残っています。

では、どうするか。契約の形を選び直します。次の章の3つの置き方のどれかに寄せれば、席の貸し借りは要らなくなります。貸すのをやめるのではなく、貸さなくて済む形にするという順番です。運用の注意で塞ごうとすると、忙しい月に必ず戻ります。

契約の置き方は3つ。一括・個別・窓口を1つにして各社が当事者

契約の置き方は、実務では3つに絞れます。どれを選ぶかで、後の費用の精算も監査の答え方も変わるので、先にここを決めます。

1. 親会社が1本の契約で全社分を持つ。契約の当事者は親会社だけ。子会社の利用が契約上認められているかを、事前に書面で確かめる必要がある
2. 各社がそれぞれ契約する。当事者は各社。単価は上がりやすいが、費用も責任も記録も法人ごとにそろう
3. 親会社が窓口になり、契約の当事者は各社にする。申込と請求の取りまとめだけを親会社が引き受け、契約書には各社の名前が入る

1つめを選ぶときに確かめるのは、利用してよい人の範囲にグループ会社が含まれているかの1点です。含まれていなければ、覚書で範囲を広げてもらうか、別の置き方に変えます。範囲を広げる交渉では、対象になる会社の一覧を先に出すと早く進みます。後から会社が増える可能性があることも、最初の交渉で伝えておくと、増えるたびに交渉し直す手間が減ります。

親会社が束ねて子会社に配る形は、契約の上では再販に近い形になります。クラウド型のサービスの販売の形を整理した解説では、提供元と利用者のあいだに直接の契約関係がある形と、無い形に大別されています。直接の関係が無い形をとるなら、提供元との契約に、再許諾や再販が認められているかが前提条件になります。ここが認められていないまま配ると、1つめの置き方の最初の確認に戻ります。

3つめは手間が中くらいで、監査の答え方がいちばん楽な形です。契約書に各社の名前が入っているので、その会社の文書として提出できます。費用も各社の帳簿に載ります。

• 各社の名前で契約書が残るので、監査で自社の文書として出せる
• 利用者の登録の開始と停止を、各社の担当が自分で回せる形にしやすい
• 1社だけ別のサービスに切り替えるといった、後からの分岐に耐える

取りまとめの手間は親会社に残りますが、その手間は毎年減っていきます。

データの線。グループ内でも「別法人への提供」になる

契約の次に確かめるのがデータです。個人情報保護法は、あらかじめ本人の同意を得ないで個人データを第三者に提供することを原則として禁じています。この規定は、2022年4月に全面施行された改正で条文の番号が振り直され、現在は第27条に置かれています。そしてグループ会社は、この条文でいう第三者に当たります。同じ最終親会社を持っていても、同じ建物にいても、法人が違えば第三者です。

例外は、同じ条の第5項に3つ並んでいます。委託にともなう提供、事業の承継にともなう提供、そして共同利用です。このいずれかに当たる場合、提供先は第三者に当たらないものとして扱われます。グループでAIを展開するときに使うのは、実際には委託か共同利用のどちらかです。どちらの形で整えるかを、展開の前に決めておくのが要点になります。

AIを配る場面で何が変わるのかも、はっきりさせておきます。生成AIのサービスに文章を入力する行為そのものが、いつでも第三者への提供になるわけではありません。問題になるのは、誰の契約したサービスに、誰の持っている個人データが入るかという組み合わせのほうです。子会社の従業員が、親会社の契約したサービスに、子会社の顧客データを入れる。この形は、契約の名義と扱う主体がずれているので、整理が要ります。

整理の順番は、データの側から見ます。まず、どの会社がその個人データを取得して、どの利用目的を本人に伝えているかを確かめる。次に、その目的の範囲にAIによる分析や要約が入るかを確かめる。最後に、法人をまたぐ移動があるかを確かめる。移動が無ければ、委託にも共同利用にも整える必要はありません。移動が起きていないのに枠組みだけ先に作ると、公表する内容が実態と合わなくなります。

共同利用として整えるとき、AIを配る場面で増える確認

共同利用は、グループでの展開と相性がよい形です。委託と違って、受け取った側が自分の目的でも使えるからです。ただし、本人に伝える内容が決まっています。2026年9月時点で個人情報保護委員会が公表しているガイドライン（通則編）では、あらかじめ本人に通知するか、本人が容易に知り得る状態に置く事項として5つが挙げられています。

• 共同利用をする旨
• 共同して利用される個人データの項目
• 共同して利用する者の範囲
• 利用する者の利用目的
• 個人データの管理について責任を有する者の氏名または名称、住所、法人の場合は代表者の氏名

AIを展開する場面で引っかかるのは、3つめと4つめです。3つめの範囲について、個人情報保護委員会の質疑応答集では、必ずしも事業者の名称を個別に全て列挙する必要はないが、本人がどの事業者まで利用されるかを判断できるようにしなければならないと示されています。グループは会社の出入りがあるので、列挙にするか、判断できる書き方にするかを先に決めておくと、会社が増えるたびの更新が軽くなります。

4つめの利用目的は、AIを入れる時点で見直しが要ることがあります。もともとの目的が、たとえば商品の発送と問い合わせへの対応だけを書いているなら、そこに分析や要約が含まれるかは読み方が分かれます。目的の欄に、AIを使った処理が読み取れるかを一度声に出して読む。読み取れないなら、目的の変更の手続きから入ります。順番を逆にすると、公表だけが先に走ります。

• 共同利用は、あらかじめ通知するか本人が容易に知り得る状態に置くことが求められます。運用を始めてから公表すると、あらかじめという要件を満たしません。展開の日程を引くときは、公表の日を運用の開始日より前に置いてください
• 5つめの管理について責任を有する者は、共同利用する全社の管理を担う者を指します。持ち株会社が名義だけを持ち、実務を各社が回している形では、実態と合っているかを確認しておくほうが安全です

委託として整えるとき、AIを配る場面で増える確認

委託として整える場合は、伝える内容ではなく監督が中心になります。委託にともなう提供は本人の同意なく行えますが、委託した側には監督の義務が残ります。ガイドラインでは、適切な委託先の選定、委託契約の締結、委託先における取扱状況の把握という3つが求められる措置として整理されています。

グループでAIを配る場面では、この監督が二重になります。子会社に処理を委託し、その子会社が外部の生成AIのサービスを使うと、委託先がさらに外部のサービスを使う形になります。ここで確かめるのは3つです。その利用が契約で認められているか、入力した内容が学習に使われない設定になっているか、記録がどれだけの期間どこに残るか。3つめは事故のときの調査の可否を決めるので、開始前に確かめます。

委託の形が向いているのは、受け取った側が自分の目的で使わない場合です。たとえば、親会社が持つ問い合わせの記録を子会社に要約させて、その結果を親会社が使う。子会社は自社の営業には使わない。この形なら委託で整理できます。逆に、子会社が受け取ったデータを自社の判断にも使うなら、委託では説明がつきません。使う側の目的で選ぶ、と覚えておくと迷いません。

委託と共同利用のどちらにするかで迷ったときは、将来の使われ方で決めます。今は親会社のためだけに処理していても、1年後に各社が自社の分析に使い始めることが見えているなら、最初から共同利用で整えるほうが手戻りが少ない。形を途中で変えると、本人への伝え方をやり直すことになります。展開の計画は3年先まで引いて、そのうえで形を選びます。

費用の置き方。どの法人が契約し、どう精算するか

費用は、社内のどの部門に割り振るかという話ではなく、どの法人が契約して、法人のあいだでどう精算するかという話になります。親会社が一括で契約して支払う形をとると、子会社は対価を払わずに役務を受け取ることになります。ここに説明が要ります。

親子会社間の取引を解説している税理士の記事では、実態と金額と書類の3つがそろっているかが問われると整理されています。本当に役務が提供されたのか、対価は独立した当事者でも納得できる水準か、期末までに債務が確定しているか。そして、対価が時価に対して過大あるいは過少であれば、その差額が寄附金や受贈益として扱われる可能性がある、とも書かれています。完全支配関係にある国内の法人どうしでも、価格を自由に動かしてよいわけではないという指摘も同じ記事にあります。

精算の物差しは、あらかじめ決めて継続して使います。同じ記事では、共通のシステムの利用料について、利用者数、登録の数、処理の件数、売上、人員といった軸をあらかじめ決めて継続適用することが肝心だと述べられています。AIのサービスは利用者の単位で課金されることが多いので、利用者数をそのまま物差しにするのがいちばん説明しやすい形です。実際の請求と物差しが一致するので、説明に加工が要りません。

そろえる資料も決まっています。契約書と議事録、配賦の表と相場の資料、請求の明細、利用のログ。展開を始める月に、この4つをどこに置くかを決めておくと、決算や監査の時期に探し回らずに済みます。ログは各社ごとに切り出せる形で取れるかを、契約の前に確かめるのが要点です。全社分が1本のファイルでしか出ないサービスだと、精算のたびに手作業が発生します。

• 税務の当てはめは、資本関係や取引の内容によって変わります。ここに書いたのは、説明が求められる場面と、そのときにそろえる資料の種類までです。自社の関係でどう扱われるかは、必ず税務の担当や顧問に確かめてください
• 各社がそれぞれ契約する形を選ぶと、この論点はほぼ消えます。単価が上がる分と、説明と精算にかかる手間の分を並べて比べると、会社数が少ないうちは個別契約のほうが総額で安いこともあります

規程の効かせ方。方針を配るだけでは監査で持たない

展開でいちばん抜けるのが、この工程です。親会社が出す方針は、親会社としての意思表示です。子会社の従業員に対して、そのままでは働きかける力を持ちません。各社が自社の所定の決裁を通し、自社の名前で出した文書として採用したときに、初めてその会社の中で効きます。

だから展開の設計では、配る工程ではなく、各社が採る工程を先に組みます。各社がいつまでに、どの決裁を通して、どの形で採用するのか。採用したことを何で確認するのか。ここを決めずに方針だけを送ると、各社の担当者は受け取って読み、そのまま保存します。悪気はありません。何をすればよいかが書かれていないだけです。

採り方には幅を持たせます。全文をそのまま自社の文書として採用する会社もあれば、自社に既にある情報の取り扱いの決まりの中に、参照する形で組み込む会社もあります。どちらでも構いません。確かめるのは1点だけで、その会社の名前で出た文書として、監査のときに提出できるかです。提出できる形になっていれば、内部の作り方は各社に任せられます。

見直しの周期も、配る側が決めておきます。AIのサービスは仕様の変更が速く、公的な指針も更新されます。親会社が方針を改めたときに、各社の文書がどれだけ遅れて追いつくかは、周期を決めておかないと会社ごとにばらけます。年に1回、各社の文書の版と親会社の方針の版を突き合わせる日を決める。改定のたびに全社へ号令をかけるより、この1日を固定するほうが続きます。

海外の関係会社を入れると増える確認

海外の関係会社が含まれると、確認は一段増えます。国内どうしなら共同利用や委託の枠組みで整理できる移動が、外国にある第三者への提供という別の規定に当たるからです。個人情報保護委員会の質疑応答集では、外国にある第三者に取扱いを委託する場合でも、委託だから同意が不要になるわけではなく、別途の段取りが要るという趣旨が示されています。

この規定は、委託でも共同利用でも同じように働きます。つまり、国内向けに整えた枠組みを、そのまま海外の関係会社に伸ばすことはできません。本人の同意を得るか、相手の国の制度や相手方の体制を確かめて必要な情報を本人に提供するか。どちらの経路をとるかで、準備する資料も日程も変わるので、展開の計画の段階で分けておきます。

相手の国の制度そのものにも目を配ります。生成AIの社内利用のルールについて解説した法律事務所の記事では、2025年2月に個人情報保護委員会が海外発の生成AIサービスについて情報提供を行ったことに触れ、その国のデータの国内保存を求める規制の適用があるか、個人情報の越境の移転に関する規制がどうなっているかも考慮する必要があると述べられています。サービスの機能の比較だけでは決められない、ということです。

実務では、データの置き場所を先に固定するのが早道です。処理が行われる地域を選べるサービスなら、地域を指定したうえで展開する。選べないなら、海外の関係会社は入力してよい情報の区分を国内より狭くする。言語の壁も見落とせません。方針を翻訳して配っただけでは、現地の法令との整合は誰も確かめていない状態になります。現地の法務か外部の助言を、展開の前に1回は挟みます。

AIに任せてよい工程と、人が決める工程を作業名で分ける

この展開の作業は、資料を読む量が多い仕事です。各社の契約書、各社の公表している利用目的、各社の規程の目次。だからこそ、AIに任せられる部分は少なくありません。ただし、最終的には人が確認するという一文は運用に落ちないので、作業の名前で分けます。

作業	AIに渡すか	理由と条件
契約書から利用者の定義の条を抜き出す	渡せる	文字の抽出。どの契約書の第何条から取ったかを必ず添えさせる
各社の利用目的の記載を横に並べる	渡せる	並べ替えの作業。原文をそのまま引かせ、要約させない
各社の状況を一覧表の形に整える	渡せる	形式の整理。空欄は空欄のまま残させ、推測で埋めさせない
公表文や覚書の文案の下書きを作る	渡せる	言い回しの下書き。文言の確定は法務の作業として分ける
グループ会社に当たるかどうかの判定	渡さない	契約書の定義と資本関係の当てはめ。外すと契約違反に直結する
共同利用と委託のどちらで整えるか	渡さない	将来の使われ方の見通しを含む判断。事業側の意思が要る
ある会社を展開の対象に入れてよいか	渡さない	可否の決め。責任を負う人が決める必要がある
例外を認めるかどうかの承認	渡さない	個別の事情の重みづけ。前例として残るため人が持つ

上の4行を渡すときの条件は1つです。どの文書のどこを見てそう言ったのかを、必ず添えさせること。契約書の条番号、公表文の該当する段落、規程の章。出どころが無い出力は、確かめる時間のほうが長くなるので結局は使われません。出どころに答えられない出力は採らない、という扱いにしておきます。

もう1つ、空欄を空欄のまま残させる指示が要ります。各社の状況を一覧にすると、資料が手に入らなかった会社の欄が必ず空きます。ここを埋めようとすると、他社の記載から類推した内容が入ります。一覧としては見栄えがよくなり、判断の材料としては最も危ない形です。空欄は、その会社にまだ聞けていないという事実を示す情報です。

人が見る範囲も先に決めます。全部見るという決め方は、忙しい週には何も見ないのと同じ結果になります。実務的な線は、可否の決めに直接つながる欄だけを毎回人が読み、事実の転記の欄は出どころの記載があるかだけを確かめるという置き方です。会社数が増えても、人が読む量はほとんど増えません。

展開の前に確かめる項目一覧と、進める順番

ここまでを1枚にまとめます。最初の1社に広げる前に、この一覧が埋まっているかを確かめてください。埋まらない欄があるなら、その欄が展開の日程を決めます。

• 利用契約の利用者の定義に、グループ会社が含まれているか。含まれていないなら、覚書か別の契約の置き方に変えるか
• 契約書の中でグループ会社を指す語が、自社が想定している範囲と一致しているか。兄弟会社と共同出資の会社の扱い
• 利用者の数え方と、登録の共有を禁じる条項の有無
• 法人をまたぐ個人データの移動が起きるか。起きるなら委託と共同利用のどちらで整えるか
• 共同利用にするなら、公表する5つの事項の文案と、公表の日をいつに置くか
• 費用を誰が契約し、どの物差しで精算するか。ログを各社ごとに切り出せるか
• 各社がいつまでに、どの決裁を通して、自社の文書として採用するか
• 利用者の登録の開始と停止を、どの法人の誰が行うか。契約終了の日の段取り
• 海外の関係会社が含まれるか。含まれるなら、経路と現地の確認を誰が担うか

進める順番も決まっています。順番を間違えると、後の工程で前の決めごとをやり直すことになります。

最初の1社をどこにするかも、選び方があります。規模が大きい会社より、情報システムの担当がいて、扱う情報が最も一般的な会社を選びます。ここで詰まった箇所が、そのまま他社でも詰まる箇所だからです。最も難しい会社から始めると、そこで止まって展開そのものが止まります。

よくある進め方の失敗と、半年で見る数字

失敗の形は、だいたい5つに絞れます。どれも道具の選び方ではなく、順番と範囲の問題です。

• 親会社のアカウントを子会社の人に貸す。契約・提供の記録・費用の説明・ログの持ち主が同時に崩れる
• 方針だけを配って、各社の文書を作らせない。利用は動くので気づかず、監査の年に指摘される
• 全社一律を先に決めてから各社に説明する。扱う情報の性質が違う会社が必ず反対し、説明のやり直しになる
• 開始の手続きだけを作り、停止の手続きを決めない。半年で在籍していない人の登録が残る
• 海外の関係会社を、国内と同じ枠組みのまま含める。外国にある第三者への提供という別の規定に当たる

直し方は、それぞれ1行です。貸すのをやめるのではなく、貸さなくて済む契約の置き方に変える。配る工程ではなく採る工程を設計する。分かれ目の表を先に各社と共有してから一律にするかを決める。開始の手続きを書いた文書に停止の手続きも書く。海外は経路を分けて、現地の確認を誰が担うかを決める。どれも、道具を触る前に決める類のことです。

効いているかどうかは、半年で4つの数字を見ます。1つめは、自社の文書として採用が済んだ会社の数。2つめは、契約に定義された利用者の範囲から外れている登録の数。3つめは、利用者の登録の停止が、退職や契約終了の日から何日で反映されているか。4つめは、各社から上がってきた例外の申請の件数です。

読み方も先に決めておきます。4つめの例外の申請がゼロなら、うまくいっているのではなく、各社が申請の経路を知らないか、申請せずに使っているかのどちらかを疑います。数が多いのは悪いことではありません。見たいのは、申請が上がってくるかどうかと、上がってから何日で答えが返っているかの2つです。答えが返るまでの日数が2週間を超えると、次から申請は来なくなります。

まとめ

グループ会社へのAI展開でつまずくのは、別法人であることが4か所に効いてくるからです。契約では、利用してよい人の定義にグループ会社が含まれているかで展開できる範囲が決まります。データでは、グループ内であっても法人をまたぐ移動は第三者への提供に当たり、委託か共同利用のどちらかに整える必要があります。費用では、どの法人が契約して、どの物差しで精算するのかに説明が要ります。規程では、親会社の方針は意思表示にすぎず、各社が自社の文書として採用したときに初めて効きます。一律にするか会社ごとにするかは好みでは決まりません。扱う情報の機微さ、規模、情報システムの担当の有無、海外拠点の有無、監査の受け方、そして利用者の登録を止める力がどの法人にあるか。この6つで分かれます。中間の形をとるなら、道具は一律、情報の区分は個別という分け方が最も抵抗が少ない形です。

最後に、いちばん避けたい進め方をもう一度だけ置いておきます。親会社のアカウントを子会社の人に貸すこと。その日から使えて費用も増えないので合理的に見えますが、契約の範囲、提供の記録、費用の説明、ログの持ち主が同時に崩れます。塞ぎ方は運用の注意ではなく、貸さなくて済む契約の置き方に変えることです。AIに任せられるのは、契約書から条項を抜き出し、各社の状況を一覧に整えるところまで。どの会社を対象に入れるか、どちらの枠組みで整えるか、例外を認めるかは人が持ちます。進めるときは、情報システムの担当がいて扱う情報が最も一般的な1社から通しで動かし、止める操作まで試してから次に進んでください。順番を守れば、会社数が増えても手間はほとんど増えません。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。