生成AIの利用申請が来たら何を見て決めるか｜判断表と申請書7項目

社員から生成AIの利用申請が来たときに見るものは、申請されたAIの素性と、そこへ持ち込む情報の2つだけになります。この2つの組み合わせを1枚の表にしておくと、1件あたり数分で承認・条件付き承認・別環境への振り替えのどれかに落とし込めます。ここでは社員10〜200名の会社で申請を受け取る情報システム・総務・管理部門の方に向けて、判断表、申請書7項目、返信文面のひな形、申請台帳の列までをそのまま使える形で並べました。ルール全体の設計は生成AIの社内ガイドラインの作り方にまとめていますので、こちらは申請1件をどう裁くかに絞ります。

申請が来たら見るのは2つ｜AIの素性と持ち込む情報

申請1件を裁くのに必要な材料は、申請されたAIの素性と、そこへ持ち込む情報の2つになります。この2つ以外まで確かめようとすると、契約条件の読み込みや技術要件の確認が積み上がり、回答が何週間も出せなくなってしまいます。まずは2つをそれぞれ3つに分けて、9つの交点に答えを置いてみてください。

分け方を先に決めておけば、担当者が誰であっても同じ結論に着地します。申請者にとっても、どこで可否が分かれるのかが見えるようになり、通らない申請が減っていきます。

申請されたAIの素性を3つに分ける

素性というのは、機能の優劣ではなく、会社が設定と履歴に手を届かせられるかどうかを指しています。次の3つで分けてみましょう。

• 会社が契約している環境。管理者がいて、入力を学習に使わない設定と利用ログが会社側の管理下にあるもの
• 個人の無料アカウントや個人名義の有料版。使っている本人しか設定を変えられず、退職時に会社から止められないもの
• 社外サービスと連携する拡張機能や自動化ツール。ブラウザ拡張、会議ツールに常駐する要約AI、メールやチャットに入り込むアシスタントなど

3つ目は申請書に書かれないまま入ってくることが多い区分になります。本人はAIを申請している意識が薄く、便利な機能を1つ入れただけのつもりでいます。拡張機能は、画面に映っている社内情報を丸ごと外部へ送る経路になり得ますので、ツール名と配布元だけは必ず書かせてください。

持ち込む情報を3つに区分する｜個人情報・顧客情報・機密指定ありの社内資料

情報の区分は、機密度という主観ではなく、その情報が誰のものかで切ると迷いが消えます。3区分にして、申請書ではこの3つから選ばせる形にしましょう。

• 区分1 公開情報：すでに社外に出ている情報。自社サイトの文章、公表済みの製品仕様、一般的な調べもの、法令や公的資料の要約など
• 区分2 社内限りの資料：社外に出していない手順書、議事録、見積のひな形、社内規程。機密指定のある文書もここに入ります
• 区分3 顧客や従業員の実名・数字：顧客リスト、取引先から預かった資料、個人情報、人事評価や給与、マイナンバーや健康情報といった要配慮個人情報

区分2と区分3の線が引けていれば、現場は迷わなくなります。判断に困ったときの原則は、本人の名前・会社名・金額のどれかが残っていれば区分3として扱う、という1行で足ります。名前を外して数字だけにしたものは区分2として通せる場面が増えますので、伏せ方までセットで案内してあげましょう。

交点を埋めた1枚の判断表

3つの素性と3つの区分を掛け合わせると、9つの交点ができます。この9マスに答えを埋めてしまえば、申請の大半は表を見るだけで片づきます。

表のとおりに裁くと、承認が2マス、条件付き承認が3マス、振り替えが4マスになります。全体の半分近くが振り替えになりますので、振り替え先を先に用意しておかないと、この表は運用できません。会社として通してよい環境を1つ決めておくことが、判断表を使うための前提です。

承認か禁止かの二択にしない｜条件付き承認と差し戻し

結論は4種類あると決めておくと、判断がぐっと楽になります。承認と禁止の二択にした瞬間、担当者は迷った申請を握ったまま止めてしまいます。

• 承認：そのまま使ってよい。守ってほしいことを3行添えて返します
• 条件付き承認：情報の伏せ方、対象業務、有効期限などの条件を付けて通します
• 別環境への振り替え：そのツールは止めて、会社が契約している環境で同じ作業をしてもらいます
• 差し戻し：申請書の記載が足りず、判断ができない状態。どこを書き足せばよいかを1点だけ指定して返します

差し戻しを乱発すると申請そのものが嫌われますので、書き足してもらう項目は1回につき1つに絞ってください。2往復目からは、電話やチャットで直接聞いたほうが早く終わります。

会計事務所や士業では、顧問先の数字を区分の外に置く

顧問先の決算数値、申告書、マイナンバーを含む資料は、可否を判断する前に持ち込ませないと決めておくほうが安全になります。守秘義務を負っている情報を外部のサービスに入れる行為は、社内のルールだけで完結する話ではなく、顧問先との契約や再委託の扱いにも関わってきます。

実務では、顧問先の資料は会社が契約している環境の中だけで扱い、名前と法人名を外したうえで区分2として申請してもらう形が現実的です。顧問先へ利用許諾を取るかどうかは契約書の再委託条項によって変わりますので、最初の1件は顧問契約の条文を確認してから返しましょう。

申請書は7項目で足りる｜各項目が何を判断するためにあるか

申請書は7項目まで削ると、申請する側も受け取る側も回せるようになります。項目を増やすほど記入が止まり、書かれないまま使われる件数が増えてしまいます。判断に使わない項目は、どれだけ正しく見えても申請書から外してください。

次の表は、総務が兼務で回す前提の7項目と、その項目が何を決めるためにあるかの対応です。法務論点や技術要件を申請者に書かせない線引きにしてあります。

この7項目に対して、料金や契約条件、学習に使われるかどうかを申請者に書かせている会社が少なくありません。申請者は公式ページを読み解く立場にないため、書かせても精度が上がらず、記入の負担だけが増えていきます。素性に関わる確認は、受け取る側が自分で行うほうが速く正確です。

誰が承認するのか｜申請者・最終利用者・責任者を分けて書かせる

承認者は、情報システムの担当者と業務の責任者の2人で足ります。片方だけにすると、技術は分かるが業務が分からない、あるいはその逆という形になり、条件の付け方がぶれてしまいます。

• 申請者：申請書を書いた人。窓口として差し戻しや条件の連絡を受け取ります
• 最終利用者：実際にそのAIへ情報を入力する人。申請者と別人になることが多く、ここを書かせないと部署全体に広がった状態が見えなくなります
• 業務の責任者：条件を守らせる立場の管理職。出力の確認者を兼ねる場合もあります
• 承認者：情報システムの担当者が素性を、業務の責任者が目的と情報区分を見ます。区分3を含む申請だけ、管理部門長の承認を1つ足します

区分3のときだけ承認者を増やす形にしておくと、全体の処理は速いまま、重い申請だけに目が届くようになります。全件を役員決裁にしてしまうと、決裁の待ち時間が申請制そのものを殺してしまいますので、段差の付け方は最初に決めておきましょう。

申請者には書けない5つを、受け取る側が3分で確かめる

素性の確認は、公式ページの決まった場所を見れば3分で終わります。申請者に調べさせず、受け取った側がその場で確かめてしまうほうが、結果的に全員の時間が節約されます。

• 無料版か有料版か、名義は誰かサービス名だけでは分かりません。プラン名と、支払っているのが会社か個人かをセットで確かめます。個人のクレジットカードで払っている有料版は、素性としては個人アカウントと同じ扱いになります。
• 入力が学習に使われる設定になっているか各社の料金ページやヘルプに、プランごとの既定値が書かれています。既定でオンなのか、オフにできるのか、そもそも既定でオフなのかを見ます。
• データがどこに保存されるか会話履歴がサービス側に残るのか、保存期間はどれくらいか、管理者が消せるのかを確認します。退職時に消せない履歴は、条件を付ける理由になります。
• 管理者が利用状況を見られるか管理画面があるか、誰がどれだけ使ったかが分かるかを見ます。見えない環境は、棚卸しのたびに聞き取りが発生します。
• 退職時にアカウントを止められるか会社のメールアドレスで作られていても、個人契約なら会社から止められません。止める手段がない場合は、承認の条件に期限を付けます。

アカウント種別と学習利用のオプトアウトを確かめる

学習に使われるかどうかは、サービス名ではなく、版と設定で分かれます。個人向けだから全部学習に使われる、という覚え方をしていると、判断を間違えてしまいます。2026年9月時点で各社の公式ページに書かれている既定値は、次のようになっています。

• ChatGPTの個人向け（無料・Go・Plus・Pro）は、料金ページの比較表で、コンテンツをモデルの学習に使用する設定が無効化可能と示されています。ChatGPT Businessは、デフォルトではビジネスデータを学習に使用しないと明記されています
• Claudeは、料金ページの比較表でモデルのトレーニングの欄が、個人向け（Free・Pro・Max）はオプトアウト、Team・Enterpriseはデフォルトではなしと示されています
• Perplexityは、ヘルプセンターで無料・Pro・Maxについて学習用のデータ保持が既定で有効と説明されています。オプトアウトの操作は、以後のデータにだけ効く仕組みになります
• Geminiの個人向けは、アクティビティの保存をオフにすると学習に使われない形です。オフにしても72時間は保存されると説明されています。Google Workspaceの対象エディションについては、人間によってレビューされることも、許可なくユーザーのドメイン外で生成AIモデルのトレーニングに使用されることもないと案内されています

この差を押さえておくと、返信の書き方が変わります。個人の無料アカウントだから駄目ですと返すのではなく、その版では入力が学習に使われる設定が既定になっているため、会社の環境で同じ作業をお願いしますと書けるようになります。料金と機能の並びは法人向け生成AIサービスの料金比較に、ChatGPTの法人プランの中身はChatGPTの法人向け料金にまとめてあります。

※各サービスの学習利用の既定値は、2026年9月15日から16日にかけて各社の公式ページ（ChatGPTの料金ページとOpenAIのビジネス向け料金ページ、Claudeの料金ページ、Perplexityのヘルプセンター、Googleのヘルプ）で確認した表示内容です。設定と提供条件は変更されることがありますので、申請を裁く時点でもう一度ご確認ください。

全社で使ってよい・申請すれば使える・使わせないの3段階に分ける

申請を減らす一番の近道は、判断が済んでいるツールを先に名指しで公開してしまうことになります。3段階の一覧を1ページにまとめて社内に置き、申請フォームの冒頭からリンクしておきましょう。

• 全社で使ってよい：会社が契約している環境。管理者がいて、学習非利用の設定と利用ログが効いているもの。ツール名とプラン名まで書きます
• 申請すれば使える：会社契約ではないものの、業務上の必要が説明できるもの。特定業務に特化したAI、画像生成AI、議事録の文字起こしサービス、設計や開発の補助ツールなど
• 使わせない：会社が設定も履歴も確認できないもの。個人の無料アカウントでの業務利用、配布元が分からないブラウザ拡張、退職時に停止できない個人契約

一覧はツール名を挙げるところまで踏み込まないと機能しません。生成AI全般、という書き方では、現場は自分が使っているものがどれに当たるかを判断できず、結局そのまま使い続けることになります。名前を挙げると更新の手間が生まれますが、その手間は四半期に一度の棚卸しで吸収できます。

申請不要リストを先に決めて公開する

申請制の目的は件数を集めることではなく、判断が要る申請だけを上げてもらうことになります。会社が契約している環境の中で完結する定型業務は、申請不要とはっきり宣言してしまいましょう。

• 社内会議の議事録の要約と、決定事項の箇条書きへの整理
• 社内向けメールや案内文の下書き、言い回しの調整
• 社内文書の誤字脱字と表記ゆれの点検
• 表計算の関数やエラーの相談、手順書のたたき台づくり
• 公開されている資料や法令の読み解き、社内共有用の要約

この宣言があるだけで、月に届く申請の数は目に見えて変わります。現場の受け取り方も、監視されている感覚から、ここまでは自由に使ってよいという線が引かれた感覚へ移っていきます。申請不要リストと3段階の一覧は同じページに置き、更新日を必ず添えてください。

ここまでで気づかれたと思いますが、この運用は会社として通してよい環境が1つあることを前提にしています。振り替え先がないまま使わせないと返し続けると、現場は黙って個人アカウントに戻ってしまいます。

受付から回答まで3営業日｜所要日数と有効期限の設計

回答までの日数を決めて公開すると、申請制は一気に動き出します。いつ返事が来るか分からない窓口には、そもそも申請が出てきません。次の数字をそのまま社内規程に書き込んでみてください。

• 受付から回答まで3営業日。差し戻しも回答に含め、握ったままにしません
• 棚卸しの日を週に1日決める。たとえば毎週火曜の午前にまとめて裁くと、判断の基準がそろいます
• 急ぎの案件は、30日の期限付き仮承認で先に通す。期限までに正式な判断を出します
• 正式な承認は6か月で失効。更新したいときは再申請してもらいます
• 異動と退職のタイミングで、台帳とアカウントを突き合わせます

仮承認は、判断を先送りするための逃げ道ではありません。期限のない承認は、条件を付けても半年後には誰も覚えていない状態になります。30日という短い期限を切っておくと、急ぎで通した案件が必ず一度は見直しの机に戻ってきます。

6か月の失効は、退職や異動でアカウントが浮くことを防ぐ仕掛けにもなります。失効の2週間前に台帳から自動で通知が飛ぶようにしておけば、更新の手間は1件あたり数分で終わります。期限を切らない運用を続けていると、3年前に承認したツールが今も動いている状態になり、棚卸しのたびに調査から始めることになってしまいます。

3営業日を守るための現実的な工夫：判断表で答えが出る申請は、その日のうちに返します。表で決まらない申請だけを週1回の棚卸しに回すと、多くはその場で片づき、残りだけに時間を使える形になります。

返信文面のひな形3種｜承認・条件付き承認・別環境への振り替え

返信は、結論を1行目に置いて、理由と条件をその下に並べる形が読まれます。判断そのものより、伝え方で申請制の評判が決まってしまう場面も少なくありません。そのまま社内メールに貼れる形で3種類を置いておきます。

承認の通知（守ってほしい3行つき）

件名：【承認】生成AI利用申請（◯◯システム／◯◯部 ◯◯様）

◯◯部 ◯◯様

申請いただいた◯◯（プラン：◯◯）の業務利用について、申請のとおり承認します。

　対象業務：◯◯の下読みと要約
　情報区分：区分2（社内限りの資料まで）
　有効期限：2026年◯月◯日（6か月後に再申請をお願いします）

使い始めるにあたり、次の3点だけお願いします。

　1. 顧客名・取引先名・個人名が含まれる資料は入力しないでください（区分3は別途申請が必要です）
　2. 出力をそのまま社外に出さず、必ずご自身で事実と表現を確認してください
　3. 使い方や範囲を変えるときは、再度ご連絡ください

不明な点があれば、この返信にそのままご質問ください。

情報システム担当　◯◯

条件付き承認の通知（条件を埋める欄つき）

件名：【条件付き承認】生成AI利用申請（◯◯システム／◯◯部 ◯◯様）

◯◯部 ◯◯様

申請いただいた◯◯について、下記の条件付きで承認します。条件を満たす範囲であれば、本日から利用いただけます。

【条件】
　1. 入力前に、顧客名・法人名・担当者名を伏せ字または記号に置き換えてください
　2. 利用範囲は◯◯の業務に限ります（他の業務に広げるときは再申請をお願いします）
　3. 出力を社外に出す場合は、◯◯課長の確認を受けてください
　4. 有効期限は2026年◯月◯日までとします（3か月）

【条件を付けた理由】
申請内容に顧客の実名と金額が含まれており、そのままでは情報区分3に当たります。名前と社名を外していただければ、同じ作業を区分2として続けられます。

伏せ方の具体例が必要であれば、サンプルをお送りします。遠慮なくご連絡ください。

情報システム担当　◯◯

別環境への振り替えの通知（断りではなく置き換えだと伝える）

件名：【別環境のご案内】生成AI利用申請（◯◯／◯◯部 ◯◯様）

◯◯部 ◯◯様

申請いただいた◯◯については、今回は利用を見合わせていただき、会社で契約している◯◯で同じ作業をお願いできればと思います。使えないという結論ではなく、置き場所を変えるご案内になります。

【理由】
申請いただいた◯◯は、入力した内容が学習に使われる設定が既定になっており、会社側で設定の変更や履歴の削除ができません。議事録には取引先名が含まれますので、会社の管理が届く環境で扱わせてください。

【同じ作業を会社の環境で行う手順】
　1. ◯◯（社内ポータルのリンク）からログインしてください
　2. 録音データを◯◯に置き、文字起こしを実行します
　3. 要約は◯◯の画面から、いつもの指示文でそのまま作れます

手順で分かりにくいところがあれば、画面を一緒に見ながらご案内します。初回だけ15分ほどお時間をいただければ、次からはご自身で完結できます。

情報システム担当　◯◯

3種類に共通する要点は、理由を会社の事情ではなくデータの行き先で説明することになります。規程で決まっているためという書き方は、納得を生まないまま不満だけを残してしまいます。振り替えの文面では、置き換え先の手順を3行で示すところまで書き切ってください。手順がない案内は、現場にとっては断りと同じ意味になります。

よくある申請5件の実例判定

実際に届く申請は、ほとんどが次の5つのどれかに近い形をしています。結論と理由を先に置いた判定例として、そのまま社内の説明資料に使えます。

1. 無料版のChatGPTで会議の録音を文字起こししたい

結論は別環境への振り替えになります。理由は、議事録には取引先名と担当者名がほぼ必ず含まれており、素性が個人アカウント、情報区分が2から3という組み合わせになるためです。会社が契約している環境に同じ機能があるなら、そちらの手順を案内して終わります。文字起こしだけを外部サービスで行い、要約を会社の環境で行うという分け方も、音声そのものに顧客名が入っている以上は勧められません。

2. 顧客リストを貼り付けて分類させたい

結論は条件付き承認になります。会社が契約している環境で、氏名・法人名・連絡先の列を外し、業種や購入金額といった属性だけを貼り付ける形にしてもらえば、区分2として通せます。列を外す作業を申請者任せにすると崩れますので、貼り付けてよい列を明記した見本を1つ渡してあげてください。元のリストと突き合わせる作業は、AIではなく表計算で行うほうが確実で速く終わります。

3. 画像生成AIでチラシを作りたい

結論は条件付き承認になります。判断の分かれ目は情報区分ではなく、出力の公開範囲にあります。社外に配る制作物は、既存の作品や商標に似ていないかを人が確認する工程が要りますし、生成した画像を商用利用してよいかは、サービスの利用規約とプランによって変わります。条件としては、公開前に制作担当と上長が確認すること、生成に使った指示文とサービス名を台帳に残すこと、この2つを付けておくと後から追いかけられます。

4. ブラウザ拡張のAI要約を入れたい

結論は、会社が管理者として配布できる場合に限って条件付き承認、それ以外は別環境への振り替えになります。拡張機能は、開いている画面の中身を読み取って外部へ送る作りのものが多く、本人が意図しないページの情報まで対象になってしまいます。配布元が個人や実体の分からない事業者の場合は、権限の範囲を読み解くだけで申請1件分の時間を使ってしまいますので、会社として配布する拡張の一覧を先に作り、その中から選んでもらう形にするほうが早く回ります。

5. 取引先から、自社データをそのAIに入れてよいか聞かれた

結論は差し戻しになります。ここで確認するのは自社のルールではなく、取引先と交わした秘密保持契約や業務委託契約に、第三者への開示や再委託の制限がどう書かれているかという点です。契約書を確認せずに社内基準だけで可と答えてしまうと、会社としての約束を越えた回答になってしまいます。申請者には、対象の契約書と該当条項を添えて再提出してもらい、判断は法務または経営層と一緒に行いましょう。逆の立場で自社が取引先に尋ねる場合も、同じ材料をそろえて聞くと話が早く進みます。

承認したあとに守ってもらうこと

承認は終わりではなく、条件を守ってもらう期間の始まりになります。渡すルールは3つまでに絞ると覚えてもらえますので、出力の確認、違反したときの扱い、困ったときの連絡先の3つに整理しておきましょう。

出力物の検証責任｜ハルシネーションと著作権の確認は人が行う

生成AIの出力には、事実と異なる内容がもっともらしい文章で混ざることがあります。ハルシネーションと呼ばれる現象で、数字・固有名詞・法令の条文・引用元のURLといった、確認できるはずの情報ほど確かめる価値が高くなります。

• 数字と固有名詞は、出典の一次資料に当たって確認します。社名や制度名が実在するかどうかまで見ます
• 社外に出す文章は、既存の作品や他社の表現に似ていないかを確認します。画像や図版は商標にも注意が必要です
• 確認した人の名前を残します。誰も確認していない出力が社外に出る経路を作らないでください

検証の工程は、公開範囲によって重さを変えると現実的に回ります。社内限りの下書きは本人の確認で足り、顧客に提出する資料は上長の確認を加え、社外公開の制作物は担当部署の確認を通す、という三段構えが目安になります。公開範囲を申請書の項目に入れておいた理由は、この工程を機械的に決められるようにするためです。

違反したときの対応と、漏えいが疑われたときの初動

罰則を書くこと自体が目的ではなく、報告が上がってくる状態を作ることが目的になります。入力してはいけない情報を入れてしまった社員が、黙っているほうが得だと感じる設計にしてしまうと、会社は事故に気づけなくなってしまいます。

独立行政法人情報処理推進機構（IPA）が公開している情報セキュリティ10大脅威 2026の解説書［組織編］では、経営者層向けの対策として、規程違反時の対応（ペナルティ）の明確化と並んで、未許可・未認可のAIサービス利用（シャドーIT）の禁止、個人アカウントにおける業務利用の制限、外部サービス利用時には入力データを学習対象から除外するオプトアウト設定の徹底が挙げられています。罰則と代替手段と設定を、3点セットで用意するという整理になります。

初動の手順は、次の順番で1ページに書いておきましょう。

1. 入力してしまった内容と、入力した日時・サービス名・アカウント名を特定します
2. 該当する会話の削除と、必要であればアカウントの停止を行います
3. 入力した情報が区分3に当たるか、個人データが含まれるかを判定します
4. 個人データの漏えい等に当たる可能性がある場合は、管理部門と経営層へ即日報告します
5. 報告義務の有無を、個人情報保護委員会が示す4類型に照らして確認します

個人情報保護委員会が報告の必要な事態として示しているのは、要配慮個人情報を含む漏えい等（またはそのおそれ）、財産的被害が生じるおそれがある個人データの漏えい等、不正の目的をもって行われたおそれがある行為による漏えい等、本人の数が1,000人を超える漏えい等の4類型です。ガイドライン（通則編）では、速報の速やかの目安を当該事態を知った時点から概ね3〜5日以内、確報を報告対象事態を知った日から30日以内または60日以内（不正の目的のおそれがある場合は60日以内）としています。

AIに入力したから直ちに報告義務が生じるわけではなく、4類型に当たるかどうかで判断が分かれます。一方で、判断に使える時間は数日という前提になりますので、初動の連絡先と判断する人を先に決めておいてください。実際の手順や点検項目は生成AIのセキュリティチェックリストにも整理してあります。

※個人情報保護委員会の4類型と報告期限は、同委員会サイトの漏えい等の対応とお役立ち資料（https://www.ppc.go.jp/personalinfo/legal/leakAction/ ）および個人情報の保護に関する法律についてのガイドライン（通則編）（https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/ ）の記載を2026年9月20日に確認しています。IPAの記述は、独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」（https://www.ipa.go.jp/security/10threats/10threats2026.html ）および同 解説書［組織編］（2026年3月・64ページ／https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf ）16ページの記載によります。

申請台帳の列設計｜スプレッドシートにそのまま貼れる形

台帳は、申請フォームの回答をそのまま流し込める列にしておくと続きます。凝った管理ツールを入れる前に、スプレッドシート1枚で始めてみてください。次の10列が、後から効いてくる最小構成になります。

列を増やしたくなったときは、その列を何の判断に使うかを言えるかどうかで決めてください。使い道を言えない列は、入力されないまま空欄が並び、台帳全体の信頼を落としてしまいます。申請フォームをスプレッドシートに連携しておけば、申請日から判定までは自動で埋まり、担当者が手で書くのは判定・条件・期限の3列だけになります。

台帳ができると、会社が使っているAIサービスの一覧が自然と手元に残ります。利用料の棚卸しや、契約の重複を見つける材料としても使えますので、経理や購買の担当者にも見える場所に置いておきましょう。費用の見方は生成AIのコスト管理でも触れています。

ルールを作る前に利用実態を棚卸しする

申請制の設計は、今どれだけ使われているかを数えてから始めると失敗が減ります。実態を見ないまま作った申請書は、現場がすでに使っているツールを一つも拾えず、最初の1件が来た時点で作り直しになってしまいます。

Gartnerが2026年2月に実施した日本におけるエンドユーザー調査（ガートナージャパン2026年6月18日発表、図1の母数はn=449）によると、IT部門が選定した以外の生成AIツールやサービスをユーザー部門が利用することについて、自由に認めている企業は8%、審査の上、問題なければ認めている企業の割合は67%でした。同社は、両者を合わせると75%の企業が何らかの形でユーザー部門が選定した生成AIの利用を認めていることになる、としています。

同じ発表では、母数n=414の設問として、シャドーAIを把握できていない企業が43%、把握しているが、有効な対策を取れていない企業が30%に上ると示されました。両者を合計すると73%の企業がシャドーAIを有効に管理できていないことになり、把握し、有効な対策を取れていると回答した企業は24%、その他が3%でした。同社ディレクター アナリストの林 宏典氏は、「企業は従来の『IT部門が選定したAIのみ利用を認める』方針を見直す段階に来ています」とコメントしています。

審査の上で認める会社が多数を占めている一方、管理まで届いている会社は少数にとどまっている形です。申請制を敷くこと自体は珍しくなく、差が付くのは審査のあとの運用になります。ガートナージャパンは、採用時の審査・許可、次に利用中のモニタリング、そして定期的な棚卸しという3つのステップを挙げています。この記事で扱ってきた判断表と返信文面が1つ目、台帳と有効期限が2つ目と3つ目に当たります。

棚卸しの具体的な手口は、社内の聞き取りと支払いの記録の2方向から当たると早く進みます。経費精算にAIサービスの名前がないか、クレジットカードの明細に月額の少額決済がないかを見ると、申請の出ていない利用が浮かび上がります。見つけたものを咎めるのではなく、台帳へ載せて振り替え先を案内する流れにしておくと、次からは先に相談が来るようになります。実態把握の進め方はシャドーAI（野良AI）の対策でも解説しています。

※ガートナージャパン株式会社のプレスリリース「Gartner、国内企業の「シャドーAI」対応における新たな指針を発表」（2026年6月18日）を2026年9月20日に確認しています。数値は同社が2026年2月に実施した日本におけるエンドユーザー調査によるもので、母数は設問によりn=449およびn=414です。調査会社自身による調査であり、第三者による検証結果ではありません。

公的指針を申請書の言葉に翻訳する

公的な指針は、そのまま社内に配っても読まれません。申請書の選択肢や条件の文言に翻訳して初めて、現場の判断が変わります。参照する価値が高い資料と、申請制のどこに接続するかを並べておきます。

• IPAの情報セキュリティ10大脅威 2026（組織編）では、AIの利用をめぐるサイバーリスクが3位に選出されています。2026年に初めて選出された脅威で、順位は約250名の10大脅威選考会の審議と投票で決まっています。社内で申請制の必要性を説明するときの土台になります
• 同じ解説書［組織編］の16ページには、職場に許可なくAIを業務利用し、情報漏えいにつながる可能性という項目があり、「例えば職場で AI サービスの利用が無い場合など、従業員が個人的に利用している AI サービスを業務利用することがある（シャドーAI）」「また、職場が従業員の個人アカウントによる AI の業務利用を認識できないこともリスクといえる」と記載されています。申請書に個人アカウントかどうかを書かせる理由の説明にそのまま使えます
• 一般社団法人日本ディープラーニング協会（JDLA）は、生成AIの利用ガイドラインのひな形（条項のみ・簡易解説付ともに第1.1版、2023年10月公開）と、生成AIの利用ガイドライン（画像編）第1版（2024年2月公開）を公開しています。同協会は、このひな形を参考に、それぞれの組織内での活用目的等に照らして、適宜、必要な追加や修正を加えて使用くださいと案内しています
• 東京都デジタルサービス局は、AI導入･活用ガイドラインと生成AI利用の手引きをPDFで公開しています（2026年3月）。自治体向けに整備された資料ですが、公的機関が何をどこまで文書にしているかを知る参照先として押さえておけます
• 個人情報保護委員会が示す漏えい等報告の4類型は、申請書の情報区分の定義そのものに接続できます。区分3を、要配慮個人情報と、本人が特定できる顧客・従業員の情報、と定義しておくと、事故のときに報告の要否を判断する起点がそろいます

翻訳の具体例を1つ挙げます。要配慮個人情報という法律の言葉は現場に届きませんので、申請書の選択肢では、健康診断の結果・病歴・障害の有無・犯罪歴などが含まれる資料、と書き下しておきます。このひと手間があるだけで、区分の選び間違いが減っていきます。

IPAが挙げている対策の一覧は、法的な義務ではなく、推奨される取り組みの整理になります。自社の規模と業種に照らして、どこまで取り入れるかを決めていきましょう。

※IPA「情報セキュリティ10大脅威 2026」のページ（2026年1月29日公開・2026年5月21日最終更新）および解説書［組織編］（2026年3月・64ページ）、JDLAの資料室ページ、東京都デジタルサービス局のAI導入･活用ガイドラインのページを、2026年9月20日に確認しています。東京都デジタルサービス局のページ（https://www.digitalservice.metro.tokyo.lg.jp/business/ai/ai-guideline ）は、掲載されている資料名と公開時期によります。

申請書とルールの定期見直し｜四半期ごとの更新と改版履歴

申請書とルールは、四半期に一度の更新を前提に作っておきます。サービス側の提供条件や学習利用の既定値が変わると、過去に出した判断がそのままでは通らなくなってしまいます。

• 四半期ごとに、3段階の一覧と申請不要リストを更新します。名前を挙げたツールのプランと設定を、公式ページで確認し直します
• 改版履歴を文書の末尾に残します。版数・更新日・変えた箇所の3列で足りますので、何が変わったのかを1行で書きましょう
• 再審査日が到来した台帳の行を抽出し、条件が守られているかを申請者に確認します
• 差し戻しの理由を集計し、同じ理由が3件以上あれば申請書の項目名や説明文を直します

更新のときに一番手間がかかるのは、ツールごとの設定確認になります。担当者1人で全部を抱えると続きませんので、3段階の一覧に書いたツールごとに確認担当を割り当ててしまうほうが、結果的に早く終わります。

申請制が形骸化しているサインの測り方

形骸化しているかどうかは、件数・部署の偏り・リードタイム・差し戻し理由・条件の遵守の5つで健康診断できます。数字で押さえておけば、感覚だけの議論に時間を使わなくて済みます。

• 件数：月に0件が続いているのは、順調ではなく、黙って使われている疑いのサインになります。棚卸しの結果、台帳にないツールが出てくるようなら、窓口が知られていないか、申請が面倒だと思われています
• 件数の偏り：申請が特定の1部署からしか出てこない状態も、同じ疑いに当たります。部署別の件数を並べて、ゼロが続く部署に声をかけてみましょう
• リードタイム：受付から回答までの平均が2週間を超えていれば、現場は待たずに使い始めます。3営業日の設計から離れた分だけ、申請制は空洞になっていきます
• 差し戻し理由：同じ理由が繰り返されているなら、原因は申請者ではなく申請書の側にあります。情報区分の選択で迷いが出ているなら、選択肢の言い回しを書き直します
• 条件の遵守：条件付き承認を出した案件を3件だけ抜き取り、実際の使われ方を聞いてみます。条件が形だけになっているなら、条件の数が多すぎる可能性があります

この5つを四半期に一度、A4用紙1枚にまとめて経営層に共有すると、申請制は制度として生き続けます。数字が一切動いていない状態が続くようであれば、申請制そのものではなく、会社が用意している環境の使い勝手を疑ってみてください。使える環境が現場の仕事に合っていれば、申請は自然と集まってきます。

よくある質問

まとめ

生成AIの利用申請を裁く材料は、申請されたAIの素性と、持ち込む情報の区分の2つになります。素性を会社契約・個人アカウント・拡張機能の3つに、情報を公開情報・社内限りの資料・実名や数字ありの3つに分け、9つの交点に承認・条件付き承認・別環境への振り替えを埋めた表を1枚作っておけば、届いた申請の大半はその場で結論が出せます。

申請書は7項目に削り、料金や学習利用の設定は受け取る側が公式ページで3分で確かめます。回答は3営業日、急ぎは30日の仮承認、正式な承認は6か月で失効という数字を先に公開してください。承認と禁止の二択にせず、条件付き承認と差し戻しという中間の結論を持っておくことが、申請制を動かし続けるための要になります。

そして、振り替え先のない禁止は、個人アカウントでの利用に戻りやすくなってしまいます。会社として通してよい環境を1つ決め、申請不要リストと3段階の一覧を公開し、台帳で件数とリードタイムを測っていきましょう。この形まで持っていけば、申請制は現場を縛る制度ではなく、判断が要る数件だけを拾い上げる仕組みとして働いてくれます。

法人のAI活用に関する他の記事はAI活用コラム一覧をご覧ください。複数のAIを1つの環境でまとめて使う形についてはマルチAIの解説もあわせてご覧いただけます。