AIセキュリティ診断・ルール策定
AIの安全確認と、
ルールづくりを
AIを使う会社にも、提供する会社にも。生成AIを配ったが、何を入力してよいかが決まっていない。AIを組み込んだサービスを提供したいが、安全の確かめ方が分からない。どちらの場合も、今の状態を確かめるアセスメントから、生成AIガイドライン、現場のルール、社内規程・利用規約への組み込みまでを、4つの柱で進めます。
③現場ルールの設計でお渡しする、社員向けの早見表の見本です。会社名・内容は架空です。
Problems
こんな状況では
ありませんか
AIを使う側にも、AIを組み込んで提供する側にも、「決まりがない」「安全を確かめる材料がない」という困りごとがあります。
Beyond templates
公的なひな形は「何を決めるか」を示します。
自社のことは、自社で埋める必要があります
総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」（2026年3月31日）をはじめ、公的なガイドラインやひな形が公開されています。どれも下敷きになりますが、当社の整理では、写しただけでは次の4つが空いたままになります。
| 空いたままになるもの | 自社で決めること |
|---|---|
| 自社の情報の区分 | 顧客の情報、社外秘の資料、公開してよい情報のうち、どれを入力してよいか。会社ごとに違います |
| 業務ごとのリスクの高さ | 社外に出す文章と、社内のメモの下書きでは、求める正確さが違います。業務・部門ごとに、どこまで使ってよいか |
| 既存の規程とのつながり | 就業規則や情報セキュリティ規程とガイドラインが別々にあると、違反したときの扱いが決まりません。どの規程に何を入れるか |
| 守らせる仕組み | 申請と承認、迷ったときの相談先、事故のときの流れ。これがないと、決めたことが現場で使われません |
Four pillars
支援は4つの柱です
AIを使う会社にも、AIを組み込んで提供する会社にも、同じ4つの柱で進めます。何を確かめ、何を決めるかが変わります。サービス名の「AIセキュリティ診断」は、①のアセスメントのことです。
① アセスメント
今、誰が何をAIに入れているかが分からない
今の使い方とリスクを確かめる
- 使う会社：利用の実態（会社で契約した版・個人の無料版）、契約しているプランと規約、管理設定、情報の重さ、既存の規程
- 使う会社：業務ごとのリスクの高さの判定
- 提供する会社：AI特有の6つの観点での診断と、想定した使い方と実際の使われ方のずれ
- お渡しするもの：診断報告書、経営者向けの1枚サマリー
② 生成AIガイドラインの作成
会社としての方針が決まっていない
全社の方針を決める
- 使う会社：目的と範囲、使ってよいツール、禁止する用途、入力と出力の原則、権利、人の判断と説明責任、体制、改定の仕方
- 提供する会社：開発・提供の方針（AIのリスク管理、プライバシーとセキュリティを設計の段階から組み込む方針）
- お渡しするもの：ガイドライン本体
③ 現場ルールの設計
方針はあるが、現場で迷う
業務・部門ごとのルールにする
- 使う会社：業務・部門ごとの使ってよい範囲、入力してよい情報の区分表、申請と承認、出力の確認の手順、社外に出す前の承認、事故のときの手順、社員向けの早見表
- 提供する会社：構成とデータの処理の文書化、入力データの扱い、更新するときの確認、事故のときの手順
- お渡しするもの：区分表、申請の流れ、早見表、手順書
④ 規約への組み込み
ガイドラインと規程・規約がつながっていない
社内規程と利用規約に組み込む
- 使う会社：就業規則（違反したときの扱い）、情報セキュリティ規程、個人情報の取扱規程、文書管理規程、委託契約・秘密保持契約
- 提供する会社：利用規約・プライバシーポリシーのAIに関わる条項、AIを使っている旨の表示、AIの提供元の規約との対応表
- お渡しするもの：入れる論点の整理表と、改定案のたたき台（就業規則は論点の整理まで。法的な判断と最終の文面は、弁護士に確かめる前提）
管理画面の設定、共有権限の整理、研修は4つの柱には入れていません。決めたルールを設定に反映し、社員に伝えるところまで続ける場合は、AI活用支援とあわせてご案内します。
Assessment
アセスメントで見るもの
AIツールを使う会社：利用の実態と、管理の状態
| 見るもの | 確かめること |
|---|---|
| 利用の実態 | どの部署が、どのAIツールを、何のために使っているか。個人の判断で使っている無料版はないか |
| 契約プランと管理設定 | 入力した内容を学習に使う設定になっていないか、データの保存と共有の範囲、アカウントと権限の管理（各ツールの設定は、公式の文書で確かめてから判断します） |
| 情報の重さ | 扱っている情報のうち、顧客の情報・社外秘の資料など、入力を制限すべきものはどれか |
| 既存の規程との関係 | 情報セキュリティの規程や就業規則に、AIの利用を前提にした記載があるか、食い違いがないか |
| 業務ごとのリスクの高さ | 業務の性格、使う範囲、人が出力を確かめてから使うか、の3つの軸で、業務ごとにどこまで使ってよいかを判定する |
AI-specific check
AIを組み込んで提供する会社の診断：
6つの観点
AIは「渡された文章に従って動く」仕組みです。文章そのものが、攻撃の入り口にもなります。画面や通信を見る従来の診断に加えて、AIへの指示文と、返す内容、つながる外部の機能を見ます。
| 従来のWeb診断 | AI特有の診断 | |
|---|---|---|
| 見る対象 | 画面、通信、サーバーの設定 | 左に加えて、AIへの指示文、AIが返す内容、AIがつながる外部の機能 |
| 問題の例 | 不正なログイン、入力値の不備 | AIへの指示が書き換えられる、見せてはいけない情報が回答に混ざる |
| 確かめ方 | 決まった入力で、決まった結果になるか | 言い回しを変えた入力で、同じ結果が保たれるか |
6つの観点
観点ごとに、何が起きうるかと、どう確かめたかを報告書に残します。あわせて、想定した使い方と、実際の使われ方のずれを確かめます。
| 観点 | 起きうること | 診断で確かめること |
|---|---|---|
| 指示の乗っ取り（プロンプトインジェクション） | 利用者や、読み込んだ文書の中の文章で、AIに与えた本来の指示が書き換えられる | 指示を無視させる入力を、言い回しを変えて試し、本来の動きが保たれるか |
| 情報の漏えい | 他の利用者の情報や、社内の資料が、回答に混ざる | 閲覧権限を超えた内容が、回答や出典に出てこないか |
| 不適切な出力 | 誤った内容や、出してはいけない内容を、そのまま利用者に返す | 出力の確認や制限が、どこで効いているか。効かない場合の影響の範囲 |
| 外部機能の権限 | AIが呼び出せる機能（検索、メールの送信、データの更新など）が、必要以上に広い | 接続に使うアカウントの権限と、読み取りと書き込みの分け方 |
| 記録と監視 | 問題が起きても、何が起きたかを追えない | 誰が・いつ・何を送ったかの記録が残るか、異常に気づける仕組みがあるか |
| 偏り（バイアス） | 使うデータ、参照する情報、連携する外部サービスの偏りが、出力に表れる | データ・参照する情報・連携する外部サービスの偏りを検討し、見続ける仕組みがあるか |
診断の対象は、対象を管理している方の書面での同意が取れたシステムに限ります。診断してよい環境・範囲も、始める前に取り決めます。
Guidelines & rules
ガイドライン・現場ルール・規程で決めること
アセスメントで分かったことを、ガイドライン・ルール・規程の言葉に落とします。決める論点を、一覧にして整理します。
AIツールを使う会社：生成AIガイドラインと現場ルール
| 決める論点 | 決めること |
|---|---|
| 入力してよい情報 | 入れてよい情報と、入れてはいけない情報の区分。迷ったときの判断の基準 |
| 出力の確認の責任 | AIの出力を、誰が、どこまで確かめてから使うか。人が判断する業務の指定 |
| 著作権・表示 | AIで作ったものの扱いと、AIを使ったことの表示 |
| 禁止する使い方 | してはいけない用途と、許可するツールの範囲 |
| 申請と承認の流れ | 新しいツールや用途を使い始めるときの、申請と承認の手順。社外に出す前の承認 |
| 体制 | 責任者、委員会、相談の窓口 |
| 事故のときの対応と改定 | 情報を入れてしまったときの報告・対処・結果の報告の流れ、ルールの改定の仕方 |
AIツールを使う会社：社内規程への組み込み
| 規程 | 組み込むこと |
|---|---|
| 就業規則 | 許可していないAIや個人の版を業務に使ったときを含め、ガイドラインに違反したときの扱い（入れる論点の整理まで） |
| 情報セキュリティ規程 | 社外秘の資料や他社の秘密情報を、AIに入力するときの扱い |
| 個人情報の取扱規程 | 個人情報をAIに入力するときの扱い |
| 文書管理規程 | AIで作った文書の扱い |
| 委託契約・秘密保持契約 | 取引先から受け取った秘密情報をAIに入力するときの扱いと、委託先や取引先がAIを使うときに求める条項 |
AIを組み込んで提供する会社：利用規約・プライバシーポリシー
| 決める論点 | 決めること | 規約での入る場所 |
|---|---|---|
| 入力データの扱い | 何を入力してよいか、どこに保存され、誰が見られるか | 利用規約の入力データの条項、プライバシーポリシー |
| 回答の責任の範囲 | AIの回答が誤っていたときの、利用者と提供者の責任の分け方 | 免責の条項 |
| 学習への利用 | 入力されたデータを、AIの改善に使うか、使わないか | データの利用目的の条項 |
| やってはいけない使い方 | 診断で見つかった、悪用されうる使い方の禁止 | 禁止事項の条項 |
| AIを使っている旨の表示 | 利用者に、どこでAIを使っているかを伝えるか、どう伝えるか | 利用規約、サービスの画面 |
| 提供元の規約との整合 | 使っているAIモデルの提供元の規約と、自社の規約に食い違いがないか | 対応表（規約本文とは別に作成） |
各AIモデル提供元の規約は、公式の文書で確かめてから対応表に載せます。法的な判断と最終の文面は、弁護士に確かめる前提で進めます。
Deliverables
お渡しするもの
①アセスメントの結果は、診断報告書とあわせて、経営者向けの1枚サマリーにまとめます。確かめた範囲、見つかったことの件数と重さ、先に直すことを1枚で見られるようにします。左は見本で、会社名・数字は架空です。
Pricing & process
費用と進め方
費用
費用はお見積りです。対象の業務・ツール・システムの大きさと、作る文書の範囲によって変わるため、まずは30分の相談でうかがいます。
4つの柱
範囲を決めた固定額。対象の業務とツールの数、提供する会社は対象の構成と使っているAIモデルの数、作る文書の種類で変わります。
運用支援（月額）
利用状況の確認、規程とルールの改定、相談の窓口、四半期ごとの見直し会。是正した箇所の再診断も含みます。
利用しているAIモデルやクラウドの利用料は、当社の費用とは別に、各社へお支払いいただきます。
進め方
期間は、対象の業務とシステムの大きさで変わります。
範囲を決める
使う会社は、使っている（使いたい）AIツールと部署を確かめます。提供する会社は、対象の構成、使っているAIモデル、診断してよい環境を確かめ、診断の前に、範囲と同意を書面で取り交わします。
アセスメントと報告
使う会社は利用の実態・管理設定・規程と業務ごとのリスクを、提供する会社は6つの観点と、想定した使い方と実際の使われ方のずれを確かめます。報告書をもとに、優先順位と是正案をご説明します。
ガイドラインと現場ルール
アセスメントの結果をもとに、生成AIガイドラインと、区分表・申請の流れ・早見表などの現場ルールを作ります。
規程・規約への組み込みと、見直し
社内規程・利用規約の改定案のたたき台を、弁護士に確かめる論点とあわせてお渡しします。ツールや法令が変わったときの見直しは、月額の運用支援で続けられます。
FAQ
よくあるご質問
公的なガイドラインやひな形があるのに、頼む意味はありますか？
公的なガイドラインやひな形が示すのは「何を決めるか」です。自社の情報の区分、業務ごとのリスクの高さ、既存の規程とのつながり、守らせる仕組みは、写しただけでは空いたままになります。当社は公的なガイドラインを下敷きにして、この部分を御社の業務と規程に合わせて埋めます。
4つの柱の一部だけでも依頼できますか？
一部だけでも承ります。アセスメントから順に進めると、分かったことをガイドライン・現場のルール・規程にそのまま反映できます。
すでに情報セキュリティの規程があります。それでも使えますか？
使えます。アセスメントで今の規程を確かめ、AIの利用について足す条項と、どの規程のどこに入れるかを示します。規程を作り直すのではなく、今ある規程に組み込みます。
AIツールがまだ決まっていなくても、相談できますか？
できます。Microsoft 365 Copilot・ChatGPT・Claude・Gemini のどれを使うか決める前の段階でも、先に決めておくべきルールの整理から始められます。ツールの選び方のご相談にも対応します。
管理画面の設定や、社員向けの研修も頼めますか？
4つの柱には入れていませんが、AI活用支援のページの支援とあわせて承ります。決めたルールを各ツールの設定に反映し、社員に伝えるところまで続けられます。
他社が作ったAIサービスも診断できますか？
診断の対象は、対象を管理している方の書面での同意が取れたシステムに限ります。御社が作ったものでも、他社が作ったものでも同じです。診断してよい環境（本番か検証用か）と範囲は、始める前に取り決めます。
診断で「問題なし」と保証してもらえますか？
保証はできません。診断した範囲と時点で見つかったことを、報告書にまとめます。AIのモデルや設定が変わると結果も変わるため、継続して見直す運用もご用意しています。
規程や規約は、御社で作った内容がそのまま使えますか？
お渡しするのは、規程・規約に入れる論点の整理表と、改定案のたたき台です。就業規則は、入れる論点の整理までをお渡しします。法的な判断と最終の文面は、弁護士に確かめる前提で進めます。顧問の弁護士や社会保険労務士がいらっしゃる場合は、その確認に回せる形でお渡しします。
まずは30分の無料相談から
今のAIの使い方、または提供したい（提供している）サービスの概要をうかがい、4つの柱のどこから始めるかを一緒に決めます。ツールがまだ決まっていなくても、概要だけでも構いません。費用感だけのご相談も歓迎です。