「使ってよい範囲」を決める仕組みがないと、現場は隠れて使うか、止まるかのどちらかになります。禁止事項の一覧ではなく、台帳・ルール・入口・設定・持ち主・運用の6つを、社内でそのまま回せる形で作ります。
ガイドラインは配ったが、誰も読んでいない。読んでも判断できない。
社内に何本のAIがあるか答えられない。SaaSに付いてきたAI機能や、個人契約の分も含めて。
現場が勝手にエージェントや自動化を作り始め、横展開の可否と保守の責任が決まらない。
Copilotを入れたいが、共有フォルダの権限が怖くて止まっている。
取引先や親会社から、AI利用に関する質問票が来た。
経営が「AIで何かやれ」と「情報漏えいは許さない」を同時に言っていて、現場が板挟みになっている。
社内で動いているAIを、SaaSに組み込まれたもの、部門が自作したもの、個人が契約しているものまで含めて一覧にします。何があるか分からないものは管理できません。最初に作るのは規程ではなく、この一覧です。
扱うデータを区分し、区分ごとに「どのツールに入れてよいか」を一枚の表にします。禁止事項を並べた30ページの規程ではなく、迷ったときに見る一枚を作ります。部門別の具体例と入力前チェックリストまで揃えて、研修で定着させます。
現場がエージェントや自動化を作ることは止めません。個人で使う分は自由にし、他部署に配るときと書き込みを伴うときだけ確認が入る段階を切ります。段階ごとに、届け出・作ってよい範囲・確認・共有・作った人がいなくなったときの引き取り・廃止の6つを決めます。
Copilotやエージェントを本番に出す前に、どのデータに触れるか、誰のIDで動くか、どこに接続するか、止め方はあるかを設計に落とします。「やるな」と指示に書いても守られません。権限と設定で守らせます。
「このエージェントは顧客に出してよいか」を誰が決めるのかを決めます。責任者、審議の場、日々さばく担当を置き、四半期の棚卸しと年1回の見直しを回る形にします。立ち上げ後は、事務局として運用を代行することもできます。
口頭の助言ではなく、社内でそのまま使える形でお渡しします。
AI資産台帳（責任者・入力データ区分・リスク段階・次回見直し日つき）
データ区分表と、区分ごとの利用可否対応表
AI利用ルール（社内配布用）と入力前チェックリスト
市民開発・エージェント管理の分類表と届け出様式
導入前審査の報告書と権限・接続先の設計書
体制図、委員会の運営様式、取引先審査の想定問答
実際にご依頼いただくことが多い形です。この単位で切り出してのご依頼も承ります。
SaaS組込・部門自作・個人利用まで含めて一覧にし、リスク段階を付けます。
一枚で判断できる区分表を作り、部門別ワークショップで具体例を差し替えて正式版にします。
段階と6項目を決め、一部門で試行してから全社に広げます。
1システムごとに、データ・ID・接続先・止め方を設計に落とします。
委員会の事務局、台帳の更新、ガイドライン改定への追従を月額で担います。
実態としては、禁止しているほうが危険なことが多いです。禁止すると個人のアカウントで使われ、社内から見えなくなります。国内企業の7割はシャドーAIを管理できておらず、ガイドラインを配った企業でも半数近くが隠れて使っています。見える範囲で使ってもらい、記録が残る形にするほうが管理できます。
AIを製品やサービスとして提供する側であれば、2027年に向けて検討する価値があります。社内で使う側であれば、認証ではなく「準拠」で十分です。規格の管理策は、自社の仕組みの穴を見るチェックリストとして使えます。
罰則も、企業への直接の義務もありません。企業を動かしているのは法律ではなく、事故、取引先からの要求、取締役の説明責任です。個人情報保護法の改正（2026年7月成立）が、実務上の最初の締切になります。
止めません。止めると隠れて作られます。個人で使う分は自由にし、他部署に配るとき、書き込みを伴うときだけ確認を入れます。作った人が異動したときに誰が引き取るかを先に決めておくことのほうが大事です。
ここでは、社内でAIを使う・作るときの決め方と回し方を扱います。取引先や監査に証跡として出す段階、SCS評価制度の取得、脆弱性診断や訓練はセキュリティのページで扱います。両方を同じ担当者が見ます。
1〜2営業日以内にご返信します。検討の初期段階でのご相談も歓迎です。お急ぎの場合は info@nautilus-capital.jp まで。