まず確認したいアカウントの利用状況

最初に行うべきことは、社員を責めることではなく、会社で使われている生成AIのアカウントを一覧にすることです。

生成AIの利用が現場ごとに始まると、会社契約のアカウント、社員個人のメールアドレスで作ったアカウント、部署で共有しているアカウントが混在することがあります。サービスごとに契約や管理画面が異なるため、経営者が把握している範囲だけでは全体像が見えない場合があります。

まずは、社員への聞き取りや経費明細、法人カードの利用履歴、ブラウザの利用状況など、会社で確認できる範囲から整理します。パスワードの提出を求めるのではなく、利用サービス、利用目的、登録メールアドレスの種類、管理者の有無を確認するのが基本です。

権限設定で見落としやすい確認項目

権限は「全員が使えるか」だけでなく、「誰が設定を変更できるか」「どの情報を見られるか」まで分けて確認します。

権限とは、アカウントや管理画面で実行できる操作の範囲です。たとえば、生成AIを使う権限と、利用者を追加する管理者権限は同じではありません。全員に管理者権限を付けると、設定変更や利用者追加を制限しにくくなります。

一方で、権限を絞りすぎると業務が止まることもあります。利用者、部署管理者、全体管理者など、役割に応じて必要な操作だけを割り当てる考え方が現実的です。サービスにどの設定項目があるかは契約や仕様によって異なるため、実際の管理画面と提供元の案内を確認してください。

入社・異動・退職に合わせた管理手順

アカウント管理を一度の棚卸しで終わらせず、人事や組織変更の手続きに組み込むと、更新漏れを見つけやすくなります。

アカウントの管理担当者が決まっていても、入社・異動・退職の情報が伝わらなければ対応できません。人事、総務、情報システム、各部門の責任者など、関係する役割を明確にし、変更が起きたときの連絡先と期限を決めます。

運用表には、サービス名だけでなく、確認担当者、確認日、対応状況も記録します。台帳の保管場所と更新責任者を決めておくと、次回の確認が属人的になりにくくなります。

問題が起きたときに確認できる状態をつくる

情報セキュリティ対策では、問題を完全に防ごうとするだけでなく、誰が何を使ったかを確認し、速やかに対応できる状態を準備することが重要です。

たとえば、誤って業務情報を入力した可能性がある場合、利用したサービスやアカウントが分からなければ、影響範囲の確認が進みません。共有アカウントや個人メールアドレスのアカウントが混在していると、利用者の特定にも時間がかかります。

経営者は、現場に「使うな」と伝えるだけでなく、問題が起きた場合の報告先と初動を決めておく必要があります。初動とは、問題を把握した直後に行う対応のことです。サービスの利用停止、該当アカウントの確認、関係者への報告など、社内で誰が判断するかを事前に整理します。

ログとは、サービス上で行われた操作や利用状況の記録です。ログを確認できる機能の有無や保存期間はサービスによって異なるため、導入前後に管理画面や契約内容を確認します。確認できない場合は、その点を踏まえて利用範囲や入力する情報を決めます。