明日使いたい現場と、今日判断したい情シス

たとえば、営業部からこんなチャットが届いたとします。

このAI、議事録に使っていいですか？ 明日の打ち合わせで試したいです。

便利そうです。議事録づくりに時間がかかるのも分かります。でも、この一文だけで「どうぞ」と返すのは難しい。

お客様の情報を入れるのか。できた議事録を誰が読むのか。気づいたら共有フォルダまで接続されていないか。確認したいことは次々に浮かびます。

かといって、最初の返事が長い質問票では、現場も手が止まってしまいます。

そこで、まずは**「何を入れるか」「答えをどう使うか」「何を操作させるか」**の3つから聞いてみましょう。

1. 「どんな情報を入れますか？」

商談の録音です。お客様の名前と、まだ公表していない案件の話も入ります。

これで、確認する対象が具体的になりました。「議事録AI」という製品の名前だけでは見えなかった、入力する情報が分かります。

最初は、実データを送ってもらう必要はありません。「顧客名を含む商談の録音」のように、情報の種類を教えてもらえば十分です。

そのうえで、実際に使う契約プランについて、データの扱いを確かめます。確認したいのは、学習への利用、保存期間、削除方法、閲覧できる人や組織、外部への送信先です。ベンダーの説明と管理画面の設定を、情報を扱う社内ルールと照らし合わせます。

「学習に使わない」という説明だけで、保存や閲覧の条件まで分かったことにはなりません。 分からない項目は、ベンダーへの確認事項として残しましょう。

2. 「できた答えを、そのあとどう使いますか？」

要点をまとめて、そのままお客様に送れたら楽だなと思っています。

ここで、もう一つの確認点が見えてきます。AIが作った文章が、そのまま社外へ届く使い方です。

議事録なら、金額、納期、決定事項の取り違えがないかを、担当者が録音やメモと照合する手順を決めます。「それらしい文章になった」と「商談の内容を正しく残せた」は、別々に確かめたいことです。

最初の試行では、たとえば下書きの作成までに用途を絞り、送信前に人が確認する条件を考えられます。誰が、何と比べて確認するのかまで決めると、現場も作業を想像しやすくなります。

同じAIサービスでも、社内のアイデア出しと、お客様へ渡す文書の作成では、確認する内容が変わります。申請には、出力の使い道も一緒に書いてもらいましょう。

3. 「AIから、どこまで操作できますか？」

共有フォルダにもつなげられるそうです。関連する資料も探してくれるとか。

便利な機能ですが、ここは一度、設定を一緒に見たいところです。

どのフォルダを読めるのか。利用者が本来見られない文書も読めてしまわないか。読み取りだけなのか、編集や外部送信もできるのか。接続先と、そこで許される操作をセットで確認します。

外部の文書に紛れた指示によってAIの動きが誘導されることもあります。これは「プロンプトインジェクション」と呼ばれる問題です。OWASPの解説でも、外部コンテンツを通じた誘導を扱っています。

また、OWASPの「Excessive Agency」では、AIに与える機能・権限・自律性が過剰な場合のリスクを整理しています。必要な操作に権限を絞り、影響の大きい実行には人の承認を入れる考え方が参考になります。

共有フォルダへの接続が今回の試行に要らないなら、外して始める選択もできます。後から接続を追加するときに、アクセス範囲を改めて確認します。

「今回はここまで」を、短いメモで残す

承認にあたっては、自社の規程や契約条件、扱う情報の区分なども確認します。

その確認ができたら、結論を「このツールは使用可」の一言で終わらせず、許可した使い方を残します。議事録AIの試行なら、たとえば次のように書けます。

今回の試行：議事録の下書き作成。対象は営業部の検証担当者。
入力：検証への利用が認められた社内テスト用の録音のみ。顧客情報は入れない。
出力：担当者が原文と照合。お客様への送信には使わない。
接続：共有フォルダへの接続、自動送信は使わない。
管理：契約プラン・設定・確認した資料の日付と、利用責任者を記録する。
見直し：試行は来週金曜まで。実際の商談で使う場合や、接続・用途を増やす場合は再確認する。問題が起きたら利用を止め、情シスへ連絡する。

空欄から始めるなら、次の6行をコピーして使ってください。

用途・利用者：
入力してよい情報：
出力の使い道・確認する人：
接続先・許可する操作：
契約プラン・確認資料・利用責任者：
期限・再確認の条件・問題時の連絡先：

記録を残しておくと、後から「何を認めたのか」をたどれます。用途が変わったときの見直しにも使えます。

毎回、情シスだけで抱えなくていい

ここまで整理してみると、困りごとが一つの申請に収まらない場合もあります。

「どの部署で何を使っているか分からない」「ガイドラインはあるが、申請への答え方が決まらない」「使い方が増えるたびに、同じ確認を繰り返している」。そんな状態なら、利用の棚卸しや、実際の業務に合うルールづくりから取り組む余地があります。

U-RecのAIセキュリティコンサルティングでは、社内のAIツール利用の棚卸しとリスクの優先順位付けを行う「AIセキュリティ診断」、AI利用ガイドラインの策定・改訂を提供しています。支援内容はサービスページでご覧いただけます。

まずは、いま返事に迷っている申請を一つ選んでみてください。「何を入れるか」「答えをどう使うか」「何を操作させるか」。この3つが分かるだけでも、次に誰へ何を確認するかを具体的にできます。

参考資料

2026年10月23日確認。