生成AIの共通基盤は作るべきか、全社で揃えるのはどこまでか

部署ごとに別々の生成AIの契約が進んだとき、全社の共通基盤を作って道具を1つに統一する必要はありません。全社で揃えるのは、契約と学習の扱い・会社のIDでのログインと退職時の停止・使った記録と保存期間・社内データの閲覧権限の4つです。どの用途にどの製品を使うかは、管理側が部署単位で許可できる範囲の中で部署に任せて構いません。

部署ごとに入った生成AIは、1つに統一しないといけないのか

統一しなくて構いません。統一が必須なのは製品の数ではなく、後で説明する4つの項目です。営業が文章づくりに向いた製品を選び、開発がコードに強い製品を選ぶのは、用途に合わせた選択であって、それ自体は統制の問題ではありません。

全部を1つにまとめようとして部署の反発で止まるのは、「何を守らせたいか」と「どれを使わせるか」を同じ指示にしてしまうからです。部署から見ると、使い慣れた道具を取り上げられる話にしか聞こえません。一方で情シスが本当に守りたいのは、退職者のアカウントが残らないこと、入力した情報が学習に使われない契約であること、後から誰が何をしたか追えること、見せてはいけないファイルがAI経由で見えないこと、のはずです。これは製品が1つでも3つでも同じように決められます。

一律に固めなくてよい根拠

総務省と経済産業省の AI事業者ガイドライン（第1.2版）は、AIガバナンスを検討するときに、AIのリスクの程度と各主体の資源制約に配慮することが重要だとしています。情シスの人数が限られる会社で、全部署の使い方を細部まで同じにするのは、この考え方とも合いません。リスクが大きいところだけ全社で固め、それ以外は部署の判断に任せる、という分け方が筋です。

同じガイドラインは、AIガバナンスでは経営層の責任が大きく、リーダーシップの発揮が重要だとも書いています。どこまでを全社で揃えるかは、情シスが案を作り、社長が決める事柄です。社長への返事は「統一すべきかどうか」ではなく「全社で守る4項目と、部署に任せる範囲」の形にすると、決めてもらいやすくなります。

全社で揃える4つの項目と、部署に任せる範囲

部署ごとに入った生成AIで全社が必ず揃えるのは、契約と学習の扱い・会社のIDでのログインと退職時の停止・記録と保存期間・社内データの閲覧権限の4つで、用途・プロンプト・部署で足す機能は管理側が許可した範囲で部署に任せてよい、というのが線引きです。表にすると次のとおりです。

この表は AI事業者ガイドラインと各社の公式資料の記述をもとに、全社と部署の分担として並べ直したものです。公式に決められた区分ではありません。

契約を部署任せにできないのはなぜか

AI事業者ガイドラインは、AIの利用者に対して、提供者が定めたサービス規約を守ることを求めています。入力した内容が学習に使われるかどうか、データをどう扱うかは、使い方ではなく契約と規約で決まります。部署が個別に申し込むと、どの規約に同意したのかを会社として把握できません。契約の名義と条件は、製品がいくつあっても情シスが1か所で持ちます。社員が個人アカウントで使っている状態を止める話は、シャドーAIの無断利用を止める3つの境目で扱っています。

ログインと退職時の停止、記録と保存期間

会社のIDで入れること、退職した日にそのIDを止めればAIにも入れなくなることは、部署ごとに差があってはいけない項目です。部署の担当者が管理者を兼ねている契約は、その人が異動や退職をした時点で管理の空白が生まれます。

記録と保存期間も同じです。問題が起きたときに「この部署の製品だけ記録が無い」となれば、調べようがありません。ここは製品とプランで、できることが変わります。どの製品でどこまで揃えられるかは、後の対応表で確かめます。

部署に任せてよいのはどこまでか

部署に任せるのは、どの作業に使うか、どう指示を書くか、そして管理側が許可した中からどの機能を使うかです。入力してはいけない情報は、機密情報や個人情報を不適切に入力しないよう注意を払うというガイドラインの考え方に沿って全社で線を引き、そのうえで部署ごとに扱う情報に合わせて足します。部署ごとの入力ルールの足し方は、部門別ルールで漏洩を防ぐ方法にまとめています。

大事なのは、部署の裁量を「何でも自由」ではなく、管理側の設定の内側に置くことです。Google Workspace では Gemini アプリのオン・オフを組織部門やグループ単位で設定でき、Microsoft Copilot では組織で使ってよいエージェントを管理者が選べます。部署が選べる幅を、全社の管理画面の中で用意できるわけです。

AIは社内のどのデータまで見るのか

Microsoft Copilot と Google Workspace の Gemini は、利用者がもともと閲覧できる社内データだけを使います。裏を返すと、共有フォルダの権限が広すぎれば、AIもその範囲を広く見せます。AIを部署に広げる前に、閲覧権限の見直しを全社で済ませておくのはこのためです。

公式資料に書かれていること

Microsoft の公式資料は、Copilot は各ユーザーが少なくとも表示のアクセス許可を持っている組織データだけを表示する、と説明しています。そのうえで、SharePoint などのアクセス許可の仕組みを使って適切なアクセスを確保することが重要だ、という立場です。Google も、Workspace の生成AIは既存の Workspace の権限に従い、閲覧権限の無いファイルはAIも閲覧・使用できない、と書いています。

つまり、AIが勝手に見えないものを見せることはありません。問題になるのは、人が開けば見られるのに誰も開かなかったファイルです。全社公開のままになっている人事資料や見積の原本は、これまで探さなければ見つかりませんでした。AIに質問すると、それが答えの材料として出てくる可能性があります。

部署に任せられない理由

共有フォルダの権限は部署をまたいで設定されています。営業のフォルダを総務が見られる、全社員が見られる共有ドライブがある、といった状態は、1つの部署の中では直せません。だからこの作業は部署ではなく情シスが持ち、AIを部署に広げる順番より先に置きます。見直しの対象は、全社公開や「リンクを知っている全員」になっている場所から始めるのが手早い進め方です。

使っている製品ごとに、4つの項目はどこで揃えられるか

Microsoft Copilot は既存のアクセス許可と Microsoft Purview の保持ポリシー、Google Workspace の Gemini は組織部門ごとのオン・オフと既存の権限、Claude はチームプランで SSO まで、SCIM と監査ログとデータ保持はエンタープライズプランで揃えます。各社の公式資料にある機能を、4項目に当てはめて並べると次のとおりです。

この表は各社の公式資料の記述を4項目に沿って並べ直した整理で、設定の手順ではありません。契約中のプランで実際に何が使えるかは、自社の管理画面で確かめてください。

Copilot と Gemini は、既存の基盤に乗る

Copilot と Gemini は、すでに会社で使っている Microsoft 365 や Google Workspace の権限の上で動きます。閲覧権限は前の節のとおり既存の設定に従い、Copilot ではやり取りのデータに対する保持ポリシーを管理者が Purview で設定できます。学習の扱いについても、Copilot は Microsoft Graph 経由のプロンプト・応答・データを基礎LLMのトレーニングに使わない、Gemini は顧客のコンテンツを許可なくドメイン外のモデルのトレーニングに使わない、とそれぞれ公式資料に書かれています。

部署の裁量も、この上で持たせられます。Gemini アプリのオン・オフは組織部門（主に部署に使う単位）やグループごとに設定でき、グループの設定が組織部門の設定より優先されます。部署全体は止めたまま、試す人のグループだけ使えるようにする、といった分け方ができます。

Claude はプランで記録と保存が分かれる

Claude のプラン比較では、チームプランにもシングルサインオンがあります。一方、SCIM（ユーザーの追加や削除を会社のID管理から反映する仕組み）、監査ログ、カスタムデータ保持の設定、ロールベースのアクセス制御は、エンタープライズプランだけにあります。エンタープライズプランの監査ログは、ユーザーの操作、システムイベント、データアクセスの主要な情報を記録すると説明されています。

開発部署がチームプランで使っている場合、ログインは会社のIDに寄せられますが、記録と保存期間を他の製品と同じ水準で揃えることはできません。記録を全社で揃えると決めたなら、エンタープライズへ移すか、その部署の使い方を記録が要らない範囲に絞るかを選ぶことになります。

ChatGPT の法人契約は管理画面で確かめる

ChatGPT の法人向けプランについては、公式資料の原文をここでは確かめられていないため、機能を並べていません。使っている場合は、契約中のプランの管理画面と公式資料で、上の4項目（学習の扱い・ログインと退職時の停止・記録と保存期間・社内データとの連携範囲）があるかを1つずつ確かめてから、次の判定表に当ててください。

今ある部署ごとの契約は、残すか・移すか・やめるか

今ある契約は、4項目を満たすかどうかで3つに分けます。製品の好みや料金の安さではなく、4項目を基準に判定するので、部署には「その製品をやめさせたい」ではなく「この条件を満たしてほしい」と伝えられます。

この判定表は、AI事業者ガイドラインの考え方と各社の公式資料の機能をもとにした整理です。

3つの製品が並んでいる場合の当てはめ方

ここからは仮の例です。営業は ChatGPT、総務は Gemini、開発は Claude を、それぞれの部署で契約している状態に当てはめます。

総務の Gemini が会社の Google Workspace の契約で使われているなら、閲覧権限は既存の設定に従い、オン・オフも組織部門単位で管理できるので、権限の見直しを済ませたうえで残す候補になります。開発の Claude がチームプランなら、ログインは会社のIDに寄せられても、監査ログとデータ保持が無いので、記録を全社で揃える方針なら「移す」に入ります。営業の ChatGPT は、契約名義とプランを確かめ、管理画面で4項目を確認してから判定します。個人の無料アカウントだったなら「やめる」です。

結果として3つの製品が残っても構いません。4項目が揃っていれば、製品が3つあることは統制上の問題ではなく、管理画面が3つあるという手間の問題になります。手間が重いと感じたら、そのときに製品を減らす判断をすれば足ります。

判定の後に記録の運用を決める

残す・移すが決まったら、記録をどの頻度で誰が見るかを決めます。記録が取れる設定にしても、見る人と見る場面が決まっていなければ、問題が起きたときに初めて開くことになります。記録する項目と見方の決め方は、生成AIの利用ログの管理体制で整理しています。

公開日：2026年10月