生成AIを業務で使いたいという声が出てきた。とりあえず申請してもらう形にしたい。この記事はその段階にいる管理部門の担当者に向けたものです。従業員10〜20名で、情報システム部門のない会社を想定しています。基準がなければ、申請は全部通るか、判断できずに止まるかのどちらかになります。この記事では、断る理由を先に決めるところから始めます。
結論
順序はこうです。申請しなくてよい範囲を先に広く決める。断る理由を4つに絞る。断るときは代替案を一緒に返す。この3つで、申請制は機能し始めます。承認者が社長ひとりの会社では、承認という手続きに意味がありません。承認欄を作らず、却下基準を自分で確認して記録を残す形にします。残すべきは判断そのものではなく、判断した根拠です。
申請制にしたのに、誰も出さなくなる
申請制の失敗は、たいてい同じ形で起きます。
| 起きること | 理由 |
| 申請が出てこない | 出しても時間がかかると分かっている。無断で使うほうが早い |
| 申請が全部通る | 断る基準がないため、判断のしようがない |
| 申請が止まったまま | 承認者が判断材料を持っていない |
| 一度通ったものが放置される | いつまで有効かを決めていない |
1番目が最も多く、そして最も困ります。申請制を作ったことで、かえって実態が見えなくなるからです。無断利用の状況をどう把握するかはシャドーAI対策で扱っています。
この1番目を防ぐには、申請から回答までの日数を先に決めて、申請書そのものへ書いておきます。回答期限の置き方としては、SaaS管理ツールの解説記事が「SLA：5営業日以内など」という例を挙げていますが（確認日: 2026年9月5日）、承認者が1人の会社では5営業日は長すぎます。判断材料は申請書の6項目だけで、見るのは却下基準の4つだけですから、実際の作業は数分で終わるはずです。目安を3営業日に置き、それを超えたときは途中経過を申請者へ返す形にしておくと、出しても放置されるという不信が生まれません。これは法令上の要求ではなく、運用上の判断です。
申請制を機能させるには、次の3つが要ります。順に見ていきます。
- 申請しなくてよい範囲が明確であること
- 断る理由が決まっていること
- 断られた人が、次に何をすればよいか分かること
申請を必要にする範囲を、先に決める
全部を申請対象にすると、申請が出てこなくなります。先に「申請なしで使ってよい範囲」を決めます。
| 区分 | 扱い | 例 |
| 申請なしで使える | 会社が契約済みで、入力してよい情報の範囲が決まっているもの | 契約中の法人向けツールで、社外公開済みの情報を扱う |
| 申請が要る | 新しいツールを使う／扱う情報の種類が変わる／費用が発生する | 無料のツールを業務で使う、顧客情報を入力する |
| 申請しても通らない | 後述の却下基準に当たるもの | 契約先から預かった情報の入力など |
1番目の範囲を広く取ることが、実はいちばん効きます。使ってよいものが明確なら、多くの人はそこで用が足ります。申請が必要になるのは、その範囲を超えるときだけです。
入力してよい情報の線引きは生成AIに入力してはいけない情報で業務別の判断表を示しています。申請の前に、この線引きが社内で共有されている必要があります。
申請なしで使える一覧は、製品名で書く
上の表の1行目は、自社の文書へ写すときに製品名まで書き下してください。「会社が契約済みのもの」という書き方のままだと、読んだ人は自分が使いたいツールが該当するかを判断できず、結局その都度こちらへ聞きにきます。契約している製品が3つなら3つとも正式名称で並べ、無料版と有料版のどちらを指すのかまで書き添えます。一覧が短いほど、申請しなくてよい範囲がはっきりします。
公開されている実物にも例があります。株式会社X-Tech5 が自社サイトで公開している生成AIサービス利用ガイドラインは、第4条の表で全社標準として使えるサービスを製品名で名指ししています。他社の条文をそのまま写す必要はありません。名指しで書けば読み手が迷わない、という点だけ持ち帰ってください。出典: 株式会社X-Tech5「生成AIサービス利用ガイドライン」（最終改版 2026年8月17日／出典の確認日: 2026年9月8日）。
却下の基準｜断る理由を4つに絞る
ここが本題です。断る理由をあらかじめ決めておけば、承認の判断は「4つのどれかに当たるか」を見るだけになります。専門知識がなくても判断できます。
| 却下する理由 | 確認すること | 確認のしかた |
| 入力してはいけない情報を扱う | 顧客・取引先から預かった情報、未公表の情報を入れる予定か | 申請書の「扱う情報」欄を見る |
| 学習に使われる設定になっている | 入力内容がAIの学習に使われない設定にできるか | 提供元のページで、法人向けの設定の有無を確認する |
| 誤りに気付ける人がいない | 出てきた結果が正しいかを判定できる人が社内にいるか | 申請者に「間違っていたらどう分かりますか」と聞く |
| 費用の継続負担が決まっていない | 誰の予算で、いつまで払うか | 申請書の費用欄と、承認者の予算権限を見る |
2番目の「学習に使われる設定になっている」は、提供元が公開している説明ページで確かめられます。OpenAI は法人向けの説明で「デフォルトでは、ユーザーのデータを使用してモデルが学習することはありません」と書いており、対象として ChatGPT Business、ChatGPT Enterprise、API プラットフォームなどを挙げています。出典: OpenAI「OpenAI におけるエンタープライズプライバシー」（出典の確認日: 2026年9月8日）。
Google も同様に、Workspace の生成AI機能について「お客様からの事前の許可や指示がない限り、Workspace は、モデルのトレーニングに顧客データを使用することはありません。」と明記しています。申請書に書かれたツールが法人向けの契約かどうかで、この記述が当てはまるかが変わりますから、無料の個人向けプランを同じものとして扱わないでください。出典: Google「Google Workspace の生成 AI に関するプライバシー ハブ」（出典の確認日: 2026年9月8日）。
3番目は見落とされがちですが、実務では重要です。誰も正誤を判定できない業務にAIを使うと、間違いがそのまま外へ出ます。この観点はAIに向いている業務の見分け方で詳しく扱っています。
この4つに公的な裏付けがあるか
1番目と2番目には、参照できる公的な資料があります。
個人情報保護委員会は、個人情報を含むプロンプトの入力について注意喚起を出しました。あらかじめ本人の同意を得ずに個人データを含むプロンプトを入力し、それが応答結果の出力以外の目的で扱われる場合、個人情報保護法の規定に違反することとなる可能性があるとしたうえで、事業者がその個人データを機械学習に利用しないこと等を十分に確認することを求めています。
出典: 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」別添12ページ（令和5年6月2日／出典の確認日: 2026年8月31日）。掲載ページもあわせて確認できます。
また、行政機関向けではありますが、デジタル庁のガイドラインには申請と許可の考え方が条文の形で示されました。規約への同意だけで使えるクラウド型の生成AIについて、原則として要機密情報を取り扱わないこととし、例外として扱う場合は情報セキュリティ責任者の許可が必要、要機密情報を扱わない場合でも利活用の許可を得ることと定めています。
出典: デジタル庁「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン（第2.0版）」PDF 47ページ 別紙2「生成AIシステム利活用ルール（ひな形Ver2.0）」（2026年6月12日／出典の確認日: 2026年8月31日）
中小企業向けの資料としては、IPAが「中小企業の情報セキュリティ対策ガイドライン 第4.0版」のコラムで、生成AI利用時の注意点を4つ挙げています。利用規約とデータの取り扱い方針を事前に確認する、機密性の高い情報や個人情報を入力しない、生成物は必ず人が確認する、出力をそのまま使わず補助的に使う、というものです（PDF 49ページ／出典の確認日: 2026年8月31日）。
自治体には、実際に運用されている様式もあります。大阪市が業務受託事業者等に向けて公開している「生成AI利用に関する確認依頼書」は、遵守事項のチェックリストで「インターネット上の公開された環境で不特定多数の利用者に提供される定型約款・規約への同意のみで利用可能な生成AIは利用しません。」と定めました。同じチェックリストには「生成AIを利用する場合は、入力情報を学習しない設定（オプトアウト）をして利用します。」という項目もあります。前者はこの記事の1番目の基準に、後者は2番目の基準に、そのまま対応しています。
オプトアウトは、入力した内容を学習に使わせない設定を指す語です。公的な様式でも、公開されている社内規程でもこの言い方が使われているので、申請書の項目名にこの語を入れておくと、提供元のヘルプを検索するときに迷いません。出典: 大阪市「大阪市生成AI利用ガイドライン」掲載の生成AI利用に関する確認依頼書（直近改定 令和7年12月22日／出典の確認日: 2026年9月8日）。
これらはいずれも「使うな」ではありません。扱う情報の種類と、学習に使われるかの確認と、人による確認。この記事の却下基準は、この3点を判定できる形に整理したものです。
逆に言えば、この4つに当たらなければ承認してよいということです。基準を減らすほど、判断は速くなります。増やしたくなったときは、その項目で実際に事故が起きたかを確認してから足します。
断ったときに、業務をどうするか
| 却下の理由 | 代わりに示すこと |
| 入力してはいけない情報を扱う | 情報を伏せた形なら使えるか。固有名詞を外して使う方法を一緒に考える |
| 学習に使われる設定になっている | 会社が契約している別のツールで同じことができないか |
| 誤りに気付ける人がいない | 確認できる人と組む。または確認できる範囲まで用途を狭める |
| 費用の継続負担が決まっていない | 無料の範囲で試し、効果が出てから申請し直す |
却下は「使うな」ではなく「この条件なら使える」を返すものと考えます。代替案を出せない却下が続くと、申請制そのものが避けられるようになります。
費用の判断に使う金額
4番目の「費用の継続負担が決まっていない」を判断するには、いくらかかるのかを申請者と同じ画面で見ておく必要があります。代表的な法人向けプランの公表価格は次のとおりです。金額は提供元のページに出ている通常料金で、値引きや代理店経由の価格は含みません。
| 提供元 | プラン | 公表価格 |
| OpenAI | ChatGPT Business 標準シート | ￥3,050 から（$20/月 年額課金、$25/月 月額課金） |
| OpenAI | ChatGPT Business プレミアムシート | ￥15,250 から（$100/月 年額課金、$125/月 月額課金） |
| Workspace Business Starter | ￥800（1ユーザーあたり・年間プランの通常料金） | |
| Workspace Business Standard | ￥1,600（1ユーザーあたり・年間プランの通常料金） | |
| Workspace Business Plus | ￥2,500（1ユーザーあたり・年間プランの通常料金） | |
| Workspace Enterprise | 要問い合わせ |
これは相場ではなく、確認日の時点で提供元が公表している価格です。ドル建てと円建てが併記されているため、為替と課金の周期によって実際の請求額は動きます。Google のページには新規契約向けの期間限定価格も併記されていますが、3日で変わることを確認しているため、この表には入れていません。10名で標準シートを契約したときの月額は、この単価から自分で計算してください。出典: OpenAI の法人向け料金ページおよびGoogle Workspace の料金ページ（いずれも出典の確認日: 2026年9月8日）。
承認者が申請者本人になってしまう場合
この場合、承認という手続きに意味はありません。代わりに次の形にします。
| やり方 | 内容 | 得られるもの |
| 記録だけ残す | 承認欄を作らず、使うことを台帳へ書いて共有する | 誰が何を使っているかが分かる |
| 4つの基準を自分で読み上げる | 却下基準の表を見ながら、当たらないことを確認して記録する | 判断の根拠が残る |
| 外部の目を1回だけ入れる | 顧問の士業や取引先の情報システム担当に、年1回まとめて見てもらう | 自分では気付けない抜けを拾える |
承認者が1人しかいない場合の設計は、AIエージェントの実行承認でも同じ問題が起きます。その扱いはAIエージェントの承認フローで扱っています。記録の残し方はAIツール管理台帳の作り方を参照してください。
承認は期限付きにする
| 決めること | 目安 | 期限が来たときにやること |
| 有効期間 | 1年 | まだ使っているかを確認する |
| 確認の方法 | 台帳の一覧を見て、担当者に一括で聞く | 使っていないものは契約と権限を止める |
| 確認する人 | 台帳を持っている人 | 止めた記録を台帳へ残す |
| 途中で止める場合 | 担当者の異動・退職時 | その人が使っていたツールを棚卸しする |
最後の項目が重要です。退職時に返却するのは貸与品だけではありません。個人アカウントで契約されていたツールは、退職と同時に社内から見えなくなります。
基準を破ったときにどうするか
基準を決めると、破られたときの扱いを必ず聞かれます。公開されている他社の規程には、違反した場合に就業規則に基づく懲戒処分の対象となることがある、と定めている例があります。ただしそれは、就業規則や情報管理規程の側に生成AIの扱いが書かれていることが前提です。書かれていない規程を根拠にして処分することはできません。
順序としては、就業規則と情報管理規程を先に開き、生成AIや外部サービスへの情報の持ち出しについて何が書いてあるかを確かめます。記述がなければ、罰則の設計より先に、規程へ1行足すほうが早いです。懲戒が可能かどうかは個別の法的判断になるため、この記事では断定しません。これは法令解釈ではなく、順序の話です。出典: 株式会社X-Tech5「生成AIサービス利用ガイドライン」第18条（最終改版 2026年8月17日／出典の確認日: 2026年9月8日）。
申請書に書いてもらう6項目
却下基準を判定できる分だけで十分です。項目を増やすと、申請そのものが面倒になります。
| 項目 | 書いてもらう内容 | どの却下基準を見るためか |
| ツール名と提供元 | 正式名称。無料版か有料版かも | 学習に使われる設定 |
| 何に使うか | 業務名と、どの作業に使うか | 全体の妥当性 |
| 扱う情報 | 入力する内容の種類。実データは書かない | 入力してはいけない情報 |
| 結果を誰が確認するか | 出てきたものの正誤を判定する人の名前 | 誤りに気付ける人がいるか |
| 費用 | 月額と、誰の予算か | 費用の継続負担 |
| いつまで使うか | 期間。継続なら「継続」と書く | 有効期間の管理 |
様式は紙でも表計算でも構いません。台帳と同じファイルにしておくと、申請がそのまま記録になります。別々に管理すると、片方だけが古くなっていきます。申請の前提になる制度の側は、AI法は2025年9月に全面施行されたで整理しています。
そのまま貼れる申請の文面
上の6項目は、そのまま申請書の記入欄にできます。次の表の右側は、書いてもらう内容の見本です。実在の会社名や実際の顧客名は書かせず、種類がわかる書き方にとどめてください。この表を表計算へ貼り付ければ、様式は今日から使えます。
| 項目 | 記入例 |
| ツール名と提供元 | 文章要約ツール（正式名称を記入）／提供元／法人向けの有料プラン |
| 何に使うか | 社内会議の議事録の下書き作成 |
| 扱う情報 | 社外公開済みの製品資料のみ。顧客名と未公表の数値は入れない |
| 結果を誰が確認するか | 会議に出席した担当者が、共有前に全文を読み合わせる |
| 費用 | 月額1名分。総務の予算から支出する |
| いつまで使うか | 継続。次の確認は1年後 |
記入例のうち、判断が分かれるのは「扱う情報」の欄です。ここが「業務データ」のような大きい言葉で書かれていると、却下基準の1番目を判定できません。書き直してもらうときは、入れる情報を1つずつ挙げてもらい、そのうち社外に出ていないものがあるかだけを聞きます。申請の心理的な負担を上げないため、追加で聞くのはこの1点にとどめます。
大阪市の様式と、どこが違うか
6項目で足りるのかを確かめるために、公的機関が実際に使っている様式と突き合わせました。大阪市の確認依頼書は、本体が5項目、利用業務の内訳が5項目、遵守事項のチェックリストが13項目という構成です。従業員10〜20名の会社では、このうち2項目を書けないため落としています。
| 大阪市の確認依頼書の項目 | 自社の6項目のどれに当たるか | 10〜20名の会社では省いてよい理由 |
| 生成AIサービス名称・提供元・利用規約 | ツール名と提供元 | 内容は同じ。規約の確認は却下基準の2番目で見る |
| 利用業務内容・利用目的・利用方法 | 何に使うか | 目的と方法を分けて書ける業務量ではないため、1欄にまとめる |
| 利用する生成AIサービスの類型 | ツール名と提供元 | 契約中のツールが数個なら、類型より製品名のほうが早い |
| 利用者の範囲 | 該当なし | 部署単位の切り分けが不要で、台帳の担当者欄で足りる |
| 情報セキュリティ管理体制（部署・役職・人数） | 該当なし | 専任の担当部署がなく、書ける中身がない |
| 利用ログの管理体制 | 該当なし | ログを集めて見る仕組みと担当がいないため、書けない |
| 遵守事項チェックリスト13項目 | 却下基準の4つ | その場で判定できる数まで絞らないと、申請が出てこなくなる |
落とした2項目は、担当部署と役職と人数を書く「情報セキュリティ管理体制」と、「利用ログの管理体制」です。専任の担当がいない会社では、この欄に書ける中身がありません。無理に埋めると、実態と違うことが様式へ残ります。書けるようになった時点で足す、という順序にしてください。出典: 大阪市「生成AI利用に関する確認依頼書」（前掲／出典の確認日: 2026年9月8日）。
よくあるご質問
そもそも申請制にする必要はありますか
扱う情報の範囲を全員が理解していて、使うツールが会社契約のものだけなら、申請は不要です。申請が要るのは、新しいツールを使うとき、扱う情報の種類が変わるとき、費用が発生するときの3つです。この3つ以外まで申請対象にすると、手続きが目的になります。
却下の基準を4つより増やしてはいけませんか
増やすこと自体は問題ありませんが、増やす前に「その項目で実際に困ったことがあるか」を確認します。想定だけで基準を増やすと、判断に時間がかかるようになり、申請が止まります。事故や問題が起きた項目を後から足していくほうが、運用が続きます。
無料版のツールは一律で禁止すべきですか
公的機関の様式には、規約への同意だけで使えるサービスの利用そのものを禁じている例があります（前掲の大阪市の確認依頼書）。ただしこれは、市民から預かった情報を扱う前提で置かれた条件であり、社外公開済みの情報しか入れない民間の用途では判断が変わります。一律禁止にすると、無断利用に移るだけです。判断すべきは無料か有料かではなく、入力した内容が学習に使われる設定かどうかと、扱う情報の種類です。社外に公開済みの情報しか入れない用途であれば、無料版でも問題にならない場合があります。提供元の設定画面で、学習利用の有無を確認します。
申請書はどこまで詳しく書いてもらうべきですか
却下基準を判定できる分だけです。項目が多いほど申請の心理的な負担が上がり、出てこなくなります。実データや詳細な業務フローを書かせる必要はありません。扱う情報は「顧客名を含む」「社外公開済みの資料のみ」といった種類の記述で足ります。
承認した後、実際に基準どおり使われているかはどう確かめますか
全件を確認する方法はありません。年1回の有効期間の確認時に、申請内容と実際の使い方が変わっていないかを聞きます。あわせて、AIツールが出す利用記録で確認できる範囲を把握しておくと、問題が起きたときに追えます。何が記録されているかの確認手順は、AIエージェントのログ管理の記事で扱っています。
今日やること
今日できることは、会社が契約しているツールで「申請なしに使ってよい範囲」を1行で書くことです。それが決まると、申請が必要な場面が自動的に決まります。
現在お使いのツールを前提に整理することもできます。お問い合わせはこちらです。
ここまでの整理を踏まえて、無料診断で現在の段階を確認できます。
無料診断をはじめる
