生成AIの利用監視、ログで何を記録し月1回どう見るか

生成AIの利用監視とは、会社が社員に配った生成AIについて、誰が・いつ・どの機能を・どれだけ使ったかを記録し、決めた担当者が決めた頻度で確かめる運用のことになります。社員10〜200名の会社であれば、専用の監視ツールを入れる前に、配ったAIに標準で付いている管理画面の利用状況を月1回見るところから始めれば充分でしょう。会話の中身まで読むのは、目的・責任者・ルールを社員へ先に示したうえで、情報漏えいの疑いなど理由があるときに限るのが無理のない線引きです。見る範囲を先に決めて伝えれば、監視は社員を疑う仕組みではなく、会社としてAIの使い方を説明できる仕組みとして受け止めてもらいやすくなります。

なぜ生成AIの利用監視が必要か、ガイドラインだけでは足りない理由

利用ルールを配っても、守られているかどうかは文書を眺めているだけでは分かりません。たとえば顧問先や取引先から、うちの資料をAIに貼っていませんかと聞かれたとき、記録がなければ根拠を持って答えるのは難しいでしょう。ガイドラインに加えて利用の記録が要る場面は、次の4つです。

ルールが守られているかを確かめる手段になる

入力してはいけない情報や使ってよい業務を決めても、実際の使われ方を見る手段がなければ、ルールが形だけになっていても気付けません。月1回、利用者と利用量の集計を見るだけでも、ルールを決めた後の使われ方を確かめる手がかりになります。

誤入力や情報漏えいが疑われたとき、経緯をたどれる

社員が取引先の給与データを貼ったかもしれないと分かった場面で、誰が・いつ使ったかが分からなければ、相手に対象は何月何日の何件ですと言い切れず、原因の確認や再発防止策も後手に回りがちです。ログが残っていれば、該当する利用者と期間を絞り込んでから確認を進められます。ただし、配ったAIの管理画面に残るのはそのAIの中での利用だけで、社員が個人で登録したAIの利用は映りません（シャドーAIの節で取り上げます）。

取引先や社内の監査から使い方を尋ねられたときに説明できる

取引先や顧問先から、こちらの情報をAIに入れていますかと聞かれる場面や、社内の監査で説明を求められる場面もあります。管理画面のログと毎月の確認記録があれば、配ったAI・配った人・確認の頻度を1枚で示せます。

使われていない状態にも気付ける

利用監視で分かるのは、使いすぎや不適切な使い方だけではありません。たとえば30人に配って毎月使っているのが5人なら、払っている費用の多くが使われないままです。利用ゼロの人が分かれば、使い方の研修や配る範囲の見直しに回せます。

生成AIの利用ログで記録する項目は、誰が・いつ・何に・どれだけの4つ

利用ログで最初に押さえる項目は、利用者・日時・使った機能やモデル・利用量の4つになります。入力してはいけない情報の決め方や学習に使わせない設定など、生成AIのセキュリティ対策の全体像は、生成AIセキュリティチェックリスト30項目で扱っています。ここでは、そのうち領域5のログと有事対応を、AIを配った後の運用に絞って掘り下げます。

記録すべきログ項目の具体化

月次の確認で見る項目は、次の4つで足りることがほとんどです。

• 利用者（どの社員のアカウントか。部署が分かるとなお見やすい）
• 日時（いつ使ったか。月単位の集計で足りる）
• 機能・モデル（チャット、ファイルの読み込み、画像の生成など、何を使ったか）
• 利用量（メッセージ数やアクティブ日数など、どれだけ使ったか）

次の節で見るとおり、主要な3つのサービスの法人向けプラン（ChatGPTはEnterpriseの場合）では、この4項目の一部または大半を標準の管理画面や監査の仕組みで確かめられるようになっています。一方で、入力した文章そのもの（プロンプト）と回答の本文は、月次の確認では開かなくてよい項目として分けておきましょう。

会話の中身は、別の扱いにする

プロンプトと回答の本文には、取引先の名前や個人情報がそのまま入っている可能性があり、特に慎重に扱うべきログになります。本文を保存する仕組みを使う場合も、普段は開かず、情報漏えいの疑いや社外からの問い合わせといった理由があるときにだけ、責任者の承認を得て確認する運用が安心でしょう。日々の傾向は4項目の集計で分かるため、中身を読まなくても、使っていない部署や急に使い方が変わった人には気付くことが出来ます。

自社で残す記録は、確認した結果の1行

管理画面のログとは別に、会社側で残しておきたいのが、毎月の確認の結果そのものです。確認日・確認した人・アクティブな利用者数・気になった点・取った対応の5つを、スプレッドシートに月1行ずつ書き足すだけで構いません。ログは取るだけでは足りず、見たという記録まで残して初めて説明に使えます。この1行が、あとで取引先や社内の監査から使い方を尋ねられたときの答えになります。

ChatGPT・Copilot・Geminiの管理画面で取れるログと保存期間

会社が配ったAIの管理画面で何が見られるかは、サービスとプランによってかなり異なります。以下は、各社の公式ヘルプとドキュメントに書かれている内容を、画面名と保存期間に絞って整理したものです。契約しているプランで同じ画面が使えるかは、管理者の方が実際の管理画面で一度確かめてみてください。

※本節の内容は、2026年9月28日時点でOpenAI・Microsoft・Googleの公式ヘルプ・ドキュメントに記載されていたものです。画面名や保存期間、対象のプランは変わることがあります。

ChatGPT Enterprise と ChatGPT Business

ChatGPT Enterpriseには、ワークスペース全体の利用状況を見るanalytics dashboard（分析ダッシュボード）があり、総メッセージ数やアクティブユーザー数などを確認出来ます。OpenAIの説明では、Enterprise・Edu向けにWorkspace analyticsとCodex analyticsの2種類の分析画面が用意されています。会話の中身を含む記録を取り出す仕組みがCompliance API（監査ログを外部に取り出すための仕組み）で、対象はChatGPT Enterprise・ChatGPT Eduの2つです（2026年10月16日時点。OpenAIのヘルプではCompliance Platformとして案内されています）。

Compliance APIは、会話メッセージやカスタムGPTの活動を含む記録を、eDiscovery（訴訟などに備えた電子データの検索）やDLP（情報漏えいの防止）、SIEM（ログの集中監視）のツールと連携して使う想定で、APIキーの発行と権限の管理はオーナーや管理者が行います。会話メッセージを扱う権限は、原則としてオーナーだけが付与出来るとされています。チャットの保存は、既定ではユーザーが削除するまで残る設定で、Enterpriseのオーナーはワークスペースの保持期間を最短90日で独自に設定することが出来ます。

一方、ChatGPT Businessについては、ワークスペースの管理者向けの機能がEnterpriseより限られる（more limited）と説明されているにとどまります。

Microsoft 365 Copilot

Microsoft 365 Copilotとのやりとりは、Microsoft Purview（Microsoftのデータ管理・監査の仕組み）のAudit（Standard）に、監査記録として自動で残ります。組織で監査が有効になっていれば、追加の設定は要らないと説明されています。監査レコードには、操作の種類、CopilotがアクセスしたファイルやサイトのURL・秘密度ラベル、プロンプトと応答のメッセージID、使ったモデルの情報などが含まれます。

保存期間は、Audit（Standard）の既定で180日となります。上位のAudit（Premium）でも、Copilotを含む項目の既定は180日で、保持ポリシーを設定すれば最長1年、10年保持のアドオンを付ければ最長10年まで延ばせます。

日々の利用量は、Microsoft 365 管理センターのCopilot Chatの使用状況レポートで、アクティブユーザー数・送信されたプロンプト数・ユーザーあたりの平均プロンプト数を、7日・28日・90日・180日の期間で確認出来ます。このレポートは既定でユーザー名が匿名化されて表示され、反映までは48時間以内とされています。Copilotのライセンスを持つ利用者の分は、別のMicrosoft Copilot usage reportで見る形です。

Gemini（Google Workspace）

Google Workspaceでは、管理コンソールの「レポート＞監査と調査＞Gemini for Workspace のログイベント」で、機能利用の種類などGeminiの利用イベントを確認出来ます。この画面を開くには、監査と調査の管理者権限が必要です。利用の量は「生成AI＞Gemini レポート」にまとまっており、組織全体のアクティブユーザー数や利用率、アプリ別・機能別の採用状況に加えて、ユーザーごとの利用レベル（高・中・低・ゼロ）やアクティブ日数も見られます。組織部門やグループで絞り込めるので部署ごとの確認にも向いており、反映までは最大72時間かかります。

会話の中身については、Business Plus以上などVaultを含むエディションであれば、Google VaultでGemini アプリの会話（プロンプトと応答）を、保持やホールド（削除を止めて残すこと）の対象に出来ます。保持ルールは組織部門の単位で、1日から36,500日まで、または無期限で決めることになります。対象はGemini アプリの会話と説明されているので、Vaultを使う場合は対象の範囲を管理画面で確かめてから社内ルールに書き込みましょう。

3つを並べて分かること

ChatGPT Enterprise・Microsoft 365 Copilot・Geminiに共通するのは、利用者と利用量の集計は標準の画面で見られる一方、会話の中身は保持や監査の別の仕組みで扱う点です。月次の確認は集計の画面、中身の確認は監査の仕組みと、画面ごと分けると線引きが楽になります。Copilotの使用状況レポートは既定でユーザー名が匿名化されており、日常の確認を傾向の把握にとどめる運用とも相性が良いでしょう。

ログ管理方式の比較と、組織規模に応じたツール選定基準

ログの取り方は、手作業の記録、配ったAIの標準の管理画面、専用の監視ツールの3つに分かれます。10〜200名の会社が最初に使うべきなのは、2つ目の標準の管理画面です。

3つの方式の違い

手作業の記録は、社員に使った内容をスプレッドシートへ書いてもらう方法で、費用はかからないものの、書き忘れが出やすく、正確さは本人任せになってしまいます。標準の管理画面は、配ったAIの契約に付いている機能を使う方法で、記録が自動で残るぶん、担当者の手間を小さく抑えることが出来ます。専用の監視ツールは、配っていないAIへのアクセスまで含めて見られるものがある反面、導入と運用に費用と人手がかかり、見える範囲が広いぶん社員へ丁寧に説明しておきたいところです。

専用ツールを入れる前に始める最小構成

専用ツールを検討する前に、次の5つがそろっていれば、10〜200名の会社のログ管理としては充分に回り始めます。

1. 会社として配るAIを1つに決め、個人契約のAIを業務で使わない方針を示す
2. 管理者を2名置く（利用状況を確認する担当者と、中身の確認を承認する責任者）
3. 配ったAIの標準の利用状況画面を、月1回だけ見る
4. 確認の結果をスプレッドシートに月1行残す
5. 社員への事前通知文と、1ページの利用ガイドラインを用意する

この形であれば、新しいツールの費用をかけずに、翌月からすぐ始めることが出来ます。確認の担当と承認の責任者を分けるのは、担当者が1人の判断で会話の中身を開ける状態を避けるためです。

組織規模に応じたツール選定基準

社員10〜50名であれば、最小構成のまま、担当者1名が全体を見る形で足りる場面が多いでしょう。50〜200名になると部署ごとに使い方の差が出てくるため、Geminiのように組織部門やグループで絞り込める画面を使い、部署単位で傾向を見る形に広げていきます。専用の監視ツールを検討するのは、配っていないAIの利用がどれだけあるかを把握したい場合や、複数のAIサービスのログを1か所で横断して見たい場合など、標準の画面では答えが出ない問いが出てきた時点で構いません。ツールを先に選ぶのではなく、答えたい問いを先に決め、ツールは後から選びましょう。

配っていないAIはログに映らない、シャドーAIの検知と可視化

管理画面のログに残るのは、会社が契約したサービスの中での利用だけです。社員が個人のアカウントで使う無料版や、会社が把握していないAIサービスは、どれだけ使われていても画面には出てきません。こうした会社の管理外での利用はシャドーAI（野良AI）と呼ばれ、詳しい対策は野良AI（シャドーAI）の対策でまとめています。

情報漏えいリスクは、見えない場所で大きくなる

情報漏えいリスクが大きくなりやすいのは、ログを取っている会社のAIよりも、ログが一切残らない個人のアカウントの側になります。個人のアカウントでは、入力した内容が学習に使われる設定のままかどうかも、退職した後に会話が残っているかどうかも、会社からは確かめられません。監視を強めるほど、社員が見られない個人のAIに流れてしまうおそれがある点にも注意が必要です。

シャドーAIを見える化する3つの手がかり

配っていないAIの利用を完全に把握するのは難しいため、次のような手がかりを組み合わせて全体像をつかむことになります。

• 社員への聞き取りやアンケートで、業務で使っているAIサービスを申告してもらう
• 会社のネットワークのアクセス記録（プロキシやファイアウォールの記録）に、生成AIサービスへの接続がどれだけあるかを見る
• Microsoft 365を使っている会社であれば、Microsoft PurviewでMicrosoft以外のAIアプリの監査を有効にできるか確かめる（従量課金のpay-as-you-goで、有効にした場合の保持は180日と説明されています。対象になるアプリの範囲は管理画面で確認してみてください。2026年9月28日時点）

3つのうち最初に取り組みやすいのは申告で、責めない前提で聞くほど正直な答えが集まりやすいものです。見つかった利用を禁止するだけでは別のサービスに移るだけになりがちなので、同じことが出来る会社のAIを用意し、そちらへ案内する流れを作ってみてください。配った環境が使いにくければ、社員はまた個人のAIに戻ってしまいます。

どこまで見てよいか、記録してよい範囲と見すぎの線引き

見てよい範囲を決める手がかりになるのが、個人情報保護委員会がQ&Aで示している、従業者のモニタリングの留意点です。従業者のモニタリングとは、会社が社員の業務の様子を記録・確認することを指し、生成AIの利用ログの確認もこれに近い性格を持ちます。

個人情報保護法から見たコンプライアンス対応

個人情報保護委員会の通則編ガイドライン3-4-3「従業者の監督」では、法第24条に基づき、個人データを取り扱わせる従業者に対して会社が必要かつ適切な監督を行う義務が示されています。そのうえでQ&AのQ5-7は、従業者をモニタリングする場合の留意点として、次の4つを挙げる内容となります。

1. モニタリングの目的をあらかじめ特定し、社内規程などに定めて従業者に明示する
2. 実施の責任者とその権限を定める
3. 実施のルールを策定し、運用する人に徹底する
4. ルールどおり適正に行われているかを確認する

あわせて、労働組合などへの事前の通知や協議、従業者への周知が望ましいとされています。

※個人情報保護委員会の通則編ガイドライン3-4-3と、Q&AのQ5-7の内容を、2026年9月28日時点で同委員会のWebサイトで確認したものです。自社の個別の判断は、弁護士などの専門家にご相談ください。

社員のプライバシー保護との両立

4つの留意点を生成AIのログに当てはめると、見る目的・見る人・見る手順・見方の点検を、先に決めて社員へ伝えることになります。目的は、情報漏えいの防止と、会社のAIが業務に役立っているかの把握に絞るのが自然でしょう。勤務態度の評価や個人の考えを探る目的で会話を読むのは、目的の外なので避けてください。集計の画面を見るのは担当者、会話の中身を開くのは責任者の承認を得たときだけ、と権限を分ければ、見すぎを仕組みで防ぐことが出来ます。

記録してよい範囲と、見すぎになる例

線引きの目安として、見てよい例と見すぎの例を分けて並べます。

• 部署別・個人別の利用量と、利用がゼロの社員の把握
• 1人だけ利用量が急に増えたときの、本人への事情の確認
• 情報漏えいの疑いがあるときに、責任者の承認を得て該当の会話を確認すること
• 退職・異動した人のアカウントが残っていないかの確認

反対に、次のような使い方は目的を超えた見すぎになりやすいものです。

• 理由なく、全社員の会話を定期的に読み続ける
• 会話の内容を、人事評価の材料にする
• 承認の手順を通さず、担当者の判断だけで中身を開く
• 社員に知らせていない目的で、ログを使う

迷ったときは、その確認を社員に説明できるかどうかを基準に考えてみましょう。

社員への事前通知文のひな形と、利用ガイドラインへの書き方

事前通知は、Q5-7の4つの留意点を1枚にまとめ、AIを配る前か、ログの確認を始める前に社員へ出すのが基本になります。次のひな形は社員10〜200名の会社を想定したものなので、自社の体制に合わせて書き換えてお使いください。

文中の1・3〜5が、Q5-7の目的の特定・責任者と権限・ルールの策定と徹底・適正な確認に対応し、2は目的の範囲を具体的に示す項目になります。会話を確認したときに本人へ伝えるかどうかは、調査の妨げになる場合もあるので、原則と例外を社内で相談して決めてみてください。

利用ガイドラインの策定で書き込む項目

通知文とは別に、社員が日々参照する利用ガイドラインにも、ログに関する項目を短く入れておきます。

• 会社のAIでは利用ログが記録され、定期的に確認されること
• 会社が許可したAI以外に、業務の情報を入力しないこと
• 入力してはいけない情報（個人情報、取引先の秘密情報など）の例
• 困ったとき・誤って入力したときの連絡先

誤って入力したときに自分から報告してもらえる雰囲気を作ることも、ログを見るのと同じくらい大切です。ガイドライン全体の作り方は生成AIの社内ガイドラインの作り方で詳しく紹介しています。

月1回のログ確認チェックリスト（10〜200名の会社向け）

月次の確認は、担当者1名が月初に1回、配ったAIの管理画面を開いて次の項目を順に見る形で回せます。気になる点が出ても、その場で会話の中身を開かず、まず記録シートに書いて責任者へ上げるのが順番です。

• 担当者と日にちを固定する総務・情シスの担当者1名が、毎月第1営業日の週に確認します。責任者は担当者とは別の人（部長など）にし、会話の中身を確認するときの承認だけを受け持ちます。
• アクティブな利用者数を見るChatGPT Enterpriseは分析ダッシュボード、Copilotは管理センターの使用状況レポート、GeminiはGemini レポートで、配った人数に対して何人が使っているかを確かめます。
• 利用がゼロ・少ない人を把握するGemini レポートの利用レベル（ゼロ・低）などで把握します。使っていない人は責めるのではなく、研修や使い方の共有の案内先にします。
• 急に利用量が増えた人を確認するまず本人か上長に業務の事情を聞きます。中身の確認が必要と判断したときだけ、責任者の承認を得て監査や保持の仕組み側で確認します。
• 退職・異動した人のアカウントを確認する人事の異動情報と照らし合わせ、不要になったアカウントを停止します。
• 設定が意図どおりか確認する学習に使わせない設定や、使わせる機能・モデルの設定が、先月から変わっていないかを見ます。
• 記録シートに1行残す確認日・確認者・アクティブな利用者数・気になった点・対応を書き、責任者へ数行で報告します。
• 年1回はルールそのものを点検する通知文どおりに運用できているか、会話を開いた記録に承認が付いているかを確かめ、必要なら通知文を改めます。

反映のタイミングはCopilotの使用状況レポートが48時間以内、Geminiのレポートが最大72時間とされているため、月初の数日を空けてから見ると前月分がそろいます。

見つけたときの対応の順番

異常に見える数字が出たときは、記録・聞き取り・承認・確認の順で進めます。

1. 数字の変化を記録シートに書く
2. 本人または上長に、業務の事情を聞く
3. 情報漏えいの疑いが残るときだけ、責任者の承認を得て該当の会話を確認する
4. 確認した日時・理由・承認者・結果を記録し、必要なら有事対応の手順に進む

急増の理由が、新しい業務で使い始めたという前向きな事情である場合もあるため、疑う前に聞く順番を守ってみてください。情報漏えいが疑われる場合の初動は、生成AIセキュリティチェックリストの領域5にまとめています。

月次レビューの運用定着のコツ

月次の確認を続けるには、見る項目を増やしすぎないことと、見た結果を誰かに伝える場を作ることが欠かせません。報告は、責任者への数行のメールや、月例の会議の冒頭の1分程度で充分でしょう。利用の多い部署の使い方を社内で共有すれば、ログの確認が、取り締まりではなく活用を広げるための材料にもなります。最初の3か月は項目を減らしてでも続けることを優先し、慣れてから項目を足しましょう。

導入の実践ステップ、配る前から最初の月次確認まで

ログの管理は、AIを配った後から始めるより、配る前に形を決めておくほうが社員への説明もしやすくなります。次の5つのステップで進めれば、1か月ほどで最初の月次確認までたどり着くことが出来ます。

1. 会社として配るAIとそのプランを決め、管理画面でどのログが見られるかを確かめる
2. 担当者と責任者を決め、管理者の権限を2名に付与する
3. 事前通知文と利用ガイドラインを作り、必要に応じて労働組合などに通知・協議したうえで社員へ周知する
4. AIを配り、最初の1か月は利用が始まっているかだけを見る
5. 翌月初に1回目の月次確認を行い、記録シートの1行目を書く

順番のなかで特に守りたいのが3番目です。社員への周知が終わる前に、ログの確認を始めないようにしてください。順番が逆になると、見られていたことを後から知った社員の信頼を損ねてしまいます。

会社で安全に使うには、ログを最初から備えた環境を選ぶ

ここまでの運用は、会社が配ったAIの管理画面でログが見られることが前提になっています。裏を返すと、どのAIを配るかを選ぶ段階で、利用ログが見られるかどうかを確かめることが、後の手間を大きく左右します。会社で生成AIを安全に使う条件は、ログのほかにも、入力した内容を学習に使わせない設定、社員への配布と退職時の停止、用途に合わせた複数のAIの使い分けまで含めて考える必要があります。

サービスごとに別々に契約すると、管理画面もログもサービスの数だけ分かれ、月次の確認で開く画面が増えてしまいます。複数のAIを使い分けたい場合は、1つの管理画面でまとめて見られるかどうかも、比較の目安に加えてみてください。法人向けプランの料金と管理機能の違いはChatGPT法人プランの料金、複数のAIを1つの環境で使う考え方はマルチAIの記事で整理しています。

よくある質問

まとめ

生成AIの利用監視は、利用者・日時・機能・利用量の4項目を、配ったAIの標準の管理画面で月1回確かめるところから始められます。会話の中身は監査や保持の別の仕組みで扱い、目的・責任者・ルール・点検を社員へ先に示したうえで、理由があるときだけ承認を得て開くのが線引きの目安です。専用の監視ツールは、配っていないAIの把握など、標準の画面で答えが出ない問いが出てきてから検討しても遅くないでしょう。まずは通知文のひな形と月次のチェックリストを自社用に書き換えて、来月の第1週に1回目の確認をしてみてください。

ほかのテーマはAI活用コラム一覧からご覧いただけます。