IPAが中小企業向けに配布している情報セキュリティ関連規程のサンプルは、クラウドサービスを含む社外の情報システムの一覧を作って管理し、新しいサービスは許可を得てから入れるよう定めています^[1]。社員が業務で使う生成AIのサービスも、会社の情報を入れて使う以上、この一覧に載せる対象と読めます。

どのAIサービスを契約し、どの部署が使い、どんな条件で使っているかは、購買の記録と情報システム部門の管理画面と各部署の手元に分かれていることがあります。一覧がないと、同じAIサービスを部署ごとに別々に契約していても気づけず、入力したデータを学習に使うかどうかの条件を誰も確かめないまま、顧客の情報が入ることがあります。全社員に聞いて回らずにAIの管理を始めるには、どの表から作ればよいのでしょうか。

IPAの規程サンプルは、利用中のサービスの一覧をどう書いているか

IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、付録5として情報セキュリティ関連規程のサンプルを配布しています^[2]。このサンプルの「外部情報システムの管理」の条は、システム管理者が、クラウドサービス提供者を含む社外の組織が管理、提供し、自社の情報資産が接続または利用している情報システムについて、一覧を作って管理すると定めています。一覧に含める内容として、次の4つを挙げています^[1]。

• 資産の基本情報（管理番号、資産種別、名称、取得日、資産状態など）
• 利用、管理の情報（利用、管理する部署、責任者名など）
• 保守契約の情報（契約期間、事業者名、契約番号、連絡先など）
• ライセンスの情報（購入日など）

同じサンプルは、新しいクラウドサービスを入れるときは、システム管理者が事業者の情報セキュリティ対策を評価して選び、システム管理者の許可を得てから入れると定めています^[1]。一覧に行を足す入口を、導入の許可の手続きに置いている形です。

この一覧の1行は、AIを何に使うかという使い道ではなく、システムやサービスの単位です。

AIのサービスだけを並べた一覧に、公的に決まった名前はありません。AISI（日本のAIセーフティ・インスティテュート）事務局のマニュアル案も、AIインベントリの要素の1つにベンダーを入れていますが、サービスの一覧を別の台帳としては書いていません^[3]。この記事では、IPAの外部情報システム一覧のうち、AIのサービスを並べたものを「AIサービス一覧」と呼びます。

AIのサービスでは、一覧に足す列がある

IPAの4つの項目は、契約と責任者を押さえる列です。AIのサービスでは、これに加えて、入力したデータがどう扱われるかを確かめる列が要ります。同じサービスでも、法人契約か個人の無料プランかで、入力したデータを学習に使うかどうかの条件が変わることがあり、その条件は利用規約の改定で変わるからです。医療機関の生成AI利用の記事でも、規約は変わるので一度の確認で終わらせないと書きました。

当社は、AIサービス一覧に次の列を足すことを勧めています。

ここからは、生成AIサービスA、採用支援サービスB、翻訳サービスCの3つを契約している会社を例に使います。足した列を埋めると、AIサービス一覧はたとえば次のようになります。表の内容は当社が作った例です。

最後の列は、情報資産のリスク分類の点数とつなぐための列です。IPAの資産管理台帳のサンプルでは、製品設計図の機密性は3です^[4]。この会社で製品設計図を英訳したくなっても、入力を品質改善に使う場合があり上限が機密性1の翻訳サービスCには入れられず、上限が機密性3の生成AIサービスAを使う、という判断を一覧を見るだけでできます。

誰が使っているかは、別の表にする

サービスを誰が使えるかは、一覧とは別の表で持ちます。IPAの規程サンプルも、アクセス制御の条で、アクセス権の発行、変更、削除を申請と許可の制度にし、申請書か台帳を作って保管すると定めています^[1]。この記事ではこれを「利用権の台帳」と呼びます。

表を分ける理由は、行の数と書き換える人が違うことです。

• AIサービス一覧は、1行がサービス1つです。行の数は社員の数ではなく契約しているサービスの数で決まり、契約の更新や規約の改定のたびに、情報システム部門や購買の担当者が書き換えます。
• 利用権の台帳は、1行がアカウント1つです。行の数は利用者の数だけ増え、入社、異動、退職のたびに行が変わります。

この2つを1枚にまとめると、人の出入りのたびにサービスの行まで書き換えることになります。分けておけば、利用権の台帳は、サービスの管理画面やシングルサインオン（SSO）の記録から書き出して作れます。AIインベントリの記事で、AIインベントリには個人名を書かず、利用者は部署と人数で書くと勧めたのは、人ごとの情報をこの利用権の台帳に任せるためです。

3つの表をどう結ぶか

AIの管理に使う表は、AIサービス一覧、利用権の台帳、AIインベントリの3つになります。AIサービス一覧を中心に置き、ほかの2つの表からサービスのIDで指す形にすると、同じことを2か所に書かずに済みます。この結び方は当社の見方です。例の会社の3つのサービスで描くと、次の図のようになります。

図の翻訳サービスCのように、契約はあるのに利用者も使い道もない行は、3つの表を結ぶと見つかります。使っていない契約を解約する判断の材料になります。逆に、利用権の台帳にあるのにAIサービス一覧にないサービスがあれば、許可を経ずに入ったサービスの可能性があります。

全社員に聞かずに、どこから始めるか

3つの表を一度にそろえる必要はありません。以下は作る順番の一例で、当社の見方です。

1. 購買の記録、経費精算、契約書から、会社が契約しているAIサービスを拾い、AIサービス一覧を作る。人に聞かずに作れる部分です。
2. AIサービス一覧の各行について、契約の形、学習への利用、データの保存、規約の版を確かめて、足した列を埋める。
3. 利用権の台帳は、サービスの管理画面やSSOの記録から書き出す。手で入力しない。
4. 外れたときの損失が大きい部門から順に、AIサービス一覧を部門長に渡し、そのサービスを何の業務に使っているかを書いてもらう。これがAIインベントリの最初の行になります。聞く相手は社員全員ではなく、部門長の人数で済みます。
5. 新しいAIサービスは、IPAの規程サンプルのように許可を得てから入れる決まりにし、許可のたびにAIサービス一覧に1行足す。

この順番で拾えるのは、会社が契約しているサービスだけです。社員が個人のアカウントで使っている無料プランは、購買の記録にも管理画面にも出てきません。シャドーAIの記事で書いた利用実態の確認と、外れたときの損失が大きい部門への聞き取りで補う必要があります。

AIサービス一覧は、規程サンプルや政府のガイドラインに沿って作っても、それだけで法令や契約に適合していることの確認にはなりません。一覧が示すのは、どのサービスをどの条件で使っているかと、その条件を誰がいつ確かめたかです。では、利用規約が改定されたことを、AIサービス一覧の担当者は誰から知らされるのでしょうか。

参考・一次ソース

■お問い合わせ

購買や契約の記録から利用中のAIサービスを洗い出してAIサービス一覧を作りたいときや、利用権の台帳とAIインベントリをサービスのIDで結ぶ形に整えたいときは、アハクラフトにご相談ください。

お問い合わせ