AIを社内に導入する前に情シスがやるべき5つの準備
AI導入は「入れるだけ」では失敗する
生成AIツールの導入を検討する企業が増えていますが、「ツールを契約して全社展開すれば自然に使われる」と考えるのは危険です。ルールなく導入すると、機密情報のAIへの入力、不適切な出力の業務利用、利用率の低迷といった問題が発生します。
情シス担当者がAI導入前に整備すべき5つの準備を解説します。
準備1：AI利用ポリシーの策定
最優先は社内ルールの明文化です。AIに入力してよいデータの範囲（顧客情報・個人情報・財務情報のAI入力は禁止等）、AI出力の取り扱い（事実確認なしに社外に出さない等）、利用を許可するAIツールの一覧（シャドーAIの防止）、著作権・知的財産に関する注意事項を定めます。
完璧なポリシーを作ろうとすると時間がかかりすぎるため、まず最低限のルールを1ページにまとめて全社周知し、運用しながら改善していくアプローチが現実的です。
すでに使われている前提で考えてください。 会社が導入を検討している時点で、個人アカウントでのAI利用（シャドーAI）はほぼ確実に始まっています。禁止から入ると、使っている社員が申告できなくなり、実態が見えなくなります。
- 「使ってよいツールの一覧」を先に示す — 選択肢がないと、現場は勝手に探します
- 無料版と法人版の違いを説明する — 個人の無料アカウントでは、入力内容がサービス改善に利用される設定になっている場合があります。同じサービス名でも、契約形態によって扱いが変わる点が最も誤解されています
- 申請すれば追加できる経路を用意する
契約時に確認する3点
AIサービスの契約では、次を確認してください。セキュリティ要件を満たすかは、機能ではなく契約条件で決まります。
- 入力データがモデルの学習に使われるか — 法人向けプランでは学習利用しない旨が明示されていることが一般的です
- データの保存場所と保存期間 — 国内保存が要件になっている場合は特に確認が必要です
- 管理者が利用状況を確認できるか — ログが取得できないと、問題が起きたときに調査できません
準備2：データ分類の整理
AIに入力するデータの「何がOKで何がNGか」を判断するには、自社のデータ分類基準が必要です。公開情報（Webサイトに掲載済みの情報）はAI利用OK、社内限定情報（社内向けの業務データ）は条件付きOK（M365 Copilot等、テナント内処理のツールに限定）、機密情報（顧客情報、財務情報、契約情報）はAI利用NGという3段階が基本です。
Microsoft 365の秘密度ラベルやGoogle Workspaceのデータ分類機能を活用すれば、技術的にもデータの分類管理を仕組み化できます。
準備3：アクセス権限の見直し
Copilotのようなテナント内AIは、ユーザーがアクセス権限を持つデータのみを参照します。つまり、アクセス権限が適切でなければ、Copilotが「見せてはいけないデータ」をユーザーに表示してしまう可能性があります。
AI導入前にSharePoint・OneDrive・Teams等のアクセス権限を棚卸しし、過剰な権限（全社共有フォルダに機密ファイルが放置されている等）を是正してください。
これが5つの準備で最も重要かつ、最も工数がかかります。 テナント内AIは、それまで「探せなかったから見つからなかった」だけのファイルを、自然な日本語の質問で引き当てます。
たとえば、全社共有フォルダの奥に置かれた給与情報や人事評価のファイルは、これまで実質的に誰にも見られていませんでした。Copilotを導入した瞬間、「今年の昇給額は」といった質問に対して、アクセス権があるという理由で正しく返答されます。
現実的な進め方
- 全社員がアクセスできるサイト・フォルダの中身を確認する（ここが最大のリスク）
- 人事・経理・役員関連のサイトの権限を最優先で見直す
- 秘密度ラベルを使い、機密ファイルをAIの参照対象から除外する設定を検討する
- まず一部の部門に限定して展開し、想定外の参照が起きないかを確認する
権限整理を飛ばして全社展開するのは避けてください。 情報漏えいの経路が、外部からの攻撃ではなく社内からの参照になります。権限設計の進め方はM365の権限管理を参照してください。
準備4：社内教育計画
AIツールの使い方研修だけでなく、「AIとの適切な付き合い方」の教育が必要です。効果的なプロンプト（指示文）の書き方、AI出力のファクトチェックの重要性、AIに任せるべき業務と人間が判断すべき業務の切り分けを研修に含めてください。
全社一斉研修よりも、部門ごとの業務に即した活用事例を示す方が定着率は高くなります。
準備5：効果測定の仕組み
AI導入の投資対効果を測定するKPIを事前に設定します。利用率（全ユーザー中、実際にAIを使っているユーザーの割合）、業務時間の変化（導入前後での特定業務の所要時間比較）、ユーザー満足度（定期的なアンケート）が基本的な指標です。
M365管理センターのCopilot利用レポートで、利用頻度やアクティブユーザー数を定量的に把握できます。
業務時間の削減を金額で示すのは難しく、無理に数値化すると信頼を失います。 「1日30分の削減 × 人数 × 時給」といった試算は、実際にその時間が別の成果に使われたかを証明できません。
現実的な報告は、利用率と具体的な活用事例の組み合わせです。
- 「営業部の◯名中◯名が週1回以上利用、提案書の初稿作成に使っている」
- 「議事録の作成が会議後30分から10分になった（担当者の実測）」
契約更新の判断材料として最も効くのは、利用率です。 契約したライセンスの半分が使われていないなら、追加投資ではなく定着の施策が先だと分かります。
導入後に起きること
- 最初の2週間だけ使われて、その後止まる — 「何に使えるか分からない」が原因です。部門ごとの具体的な使い方を示すことで改善します
- 出力をそのまま社外に出してしまう — 事実確認のルールが周知されていないケース。社外提出物には必ず人の確認を挟むとポリシーに明記してください
- 一部の人だけが使いこなす — 詳しい人が部門内で教える形が最も定着します。全社研修より効果があります
まとめ
- すでにシャドーAIが使われている前提で考える。禁止から入ると実態が見えなくなる
- 無料版と法人版で入力データの扱いが違う。同じサービス名でも契約形態で変わる
- 契約時は学習利用の有無・保存場所と期間・管理者がログを見られるかを確認する
- 5つの準備で最重要はアクセス権限の整理。テナント内AIは「探せなかっただけ」のファイルを引き当てる
- 全社共有フォルダと人事・経理・役員関連のサイトを最優先で見直す
- 権限整理を飛ばした全社展開は、社内からの参照が漏えい経路になる
- 効果測定は時間削減の金額換算を無理にしない。利用率と具体事例で示す
- 契約更新の判断に最も効くのは利用率。使われていないなら定着施策が先
- 定着は全社研修より、部門ごとの具体的な使い方の共有が効く
AI導入の成否は、ツールの性能よりも「導入前の準備」で8割決まります。ポリシー、データ分類、アクセス権限、教育、効果測定の5つを整備した上で導入に臨んでください。
情シス365では、AI導入に伴うセキュリティポリシー策定やアクセス権限の整備を含む、包括的なIT環境の支援を行っています。