AIツール管理台帳の作り方｜SaaS台帳に足すべき4項目

この記事は、社内で使われているAIツールを把握し、管理を始めたい中小企業の管理部門とIT担当者に向けたものです。SaaSの棚卸しや管理台帳の作り方を解説する記事は多く、氏名、部署、サービス名、最終ログイン日といった項目まで具体的に示されています。しかしその項目立てをAIツールへそのまま当てはめると、必要な情報が抜けます。この記事では、既存のSaaS台帳に足すべき4項目と、その理由を示します。あわせて、台帳に載っていないツールの見つけ方と、更新が止まらない運用の作り方を扱います。

結論

AIツールの台帳は、SaaS台帳の焼き直しでは足りません。契約主体、入力してよい情報の区分、学習利用と履歴保持の設定と確認日、出力を確認する人。この4項目が加わることで、費用管理の道具から情報管理の道具になります。

なぜ既存のSaaS台帳では足りないか

IPA（独立行政法人情報処理推進機構）が2026年1月29日に公表した「情報セキュリティ10大脅威 2026」の組織編では、「AIの利用をめぐるサイバーリスク」が初めて選出され、3位に入りました（1位はランサム攻撃による被害、2位はサプライチェーンや委託先を狙った攻撃）。台帳を作る理由を社内の感覚ではなく外部の事実に置けるようになった、ということでもあります。選出の内容はIPAのプレス発表で確認できます。

SaaS管理の目的は、主に費用の最適化とアカウントの整理です。使われていないライセンスを見つけ、退職者のアカウントを閉じる。台帳の項目もこの目的に合わせて作られています。AIツールの管理目的はこれに加えて「何を渡しているか」の把握が入ります。同じサービスでも、契約プランと設定によって入力内容の扱いが変わるためです。この違いは、利用者数や最終ログイン日を記録しても見えません。

観点	一般的なSaaS台帳の目的	AIツール台帳で追加される目的
費用	使われていない契約を見つける	同じ（変わらない）
アカウント	退職者と過剰な権限を整理する	同じ（変わらない）
データ	どこに保存されているかを把握する	何を入力しているかを把握する
設定	対象外のことが多い	学習利用と履歴保持の設定を記録する
出力	対象外	誰が正しさを確認するかを決める

下の3行が、AIツール特有の管理対象です。ここが空白の台帳は、費用管理としては機能しても、情報管理としては機能しません。

まず共通項目をそろえる

AI固有の項目に入る前に、共通部分を確認します。既存のSaaS台帳があるなら、それを流用するのが早道です。ない場合は次の6項目から始めます。

• サービス名
• 用途（どの業務に使っているか）
• 利用者（氏名または部門）
• 権限の種類（管理者か一般か）
• 月額または年額の費用
• 契約期間と更新日

IPAが公開している「中小企業の情報セキュリティ対策ガイドライン」第4.0版には、付録6として資産管理台帳（サンプル）が無償で用意されています。形式はExcelで、全9シート・約340KBです（掲載ページの最終更新は2026年7月3日）。ゼロから様式を作る必要はありません。IPAの掲載ページから入手し、そこへ次章の4項目を足す形が最も早く始められます。

AIツールに足す4項目

1｜契約主体

法人契約か、個人契約か、無料利用か。この3つを区別して記録します。列としては1つですが、管理上の意味がまったく違います。

契約主体	会社ができること	できないこと
法人契約	設定の統制、利用状況の確認、退職時の停止	特になし
個人契約（経費精算あり）	支出の把握	設定の確認、停止、履歴の確認
個人契約（自己負担）	把握そのものが困難	上記すべて
無料利用	把握が困難。設定も既定のまま	上記すべて

2行目以降は、退職時にアカウントを止められません。本人の私物アカウントであり、会社に権限がないためです。入力された社内情報も、退職後もその人のアカウントに残ります。この状態を台帳で可視化することが、法人契約へ移行する判断材料です。

2｜入力してよい情報の区分

そのツールに入力してよい情報の範囲を、区分で記録します。文章で書くと長くなり更新されないため、あらかじめ区分を決めておきます。

区分Aは公開されている情報のみ。区分Bは社内の一般的な文書まで（個人情報と取引先情報を除く）。区分Cは取引先情報を含み、個別の確認を経たもの。区分Dは個人情報を含み、法人契約かつ責任者の承認が必要です。

自社の実情に合わせて区分の数を決めます。3つでも構いません。重要なのは、台帳を見れば「このツールにどこまで入れてよいか」が一目で分かることです。判断のたびに規程を読み直す運用は続きません。契約主体が個人契約または無料利用のツールは、原則として区分Aにとどめます。会社が設定を確認できないため、それ以上の情報を許可する根拠がありません。

3｜学習利用と履歴保持の設定、そして確認日

入力内容がモデルの学習に使われる設定になっているか、入力履歴がどれだけ保持されるか。この2つを記録します。そして最も重要なのが確認日です。

記録する項目	書き方の例
学習利用	オフ（管理画面で設定）／オン／設定項目なし／不明
履歴の保持	30日／無期限／削除可／不明
管理者による利用状況の確認	可／不可
アカウントの認証方法	会社のIDでログイン／ツール個別のID・パスワード／不明
他サービスとの連携	連携あり（連携先名）／連携なし／不明
確認日	2026-08-24

認証方法と連携先を分けて持つのは、退職や異動のときに何が止まり、何が残るかがそこで変わるためです。会社のIDでログインしていれば、そのIDを止めるだけで利用も止まります。ツール個別のIDとパスワードで入っている場合は、台帳を見ながら1件ずつ解除しなければなりません。連携先が記録されていないと、1つのアカウントを停止したときにどこまで止まるのかが読めず、使える経路が残ったままになる恐れがあります。

確認日を書く理由は、これらの条件が提供事業者の側で変更されるためです。半年前に確認した設定が今も同じとは限らないためです。確認日のない記録は、いつの時点の情報か分からず、判断に使えません。

「不明」と書くことを避けません。空欄は確認したかどうかも分かりませんが、「不明」は未確認であることが明示されます。不明が並んでいる状態は、次に何を確認すべきかを示す一覧になります。

4｜出力を確認する人

そのツールの出力を業務へ使う前に、誰が確認するかを記録します。一般的なSaaS台帳にはない列です。「本人が確認」で構いません。決めておくことに意味が出ます。空欄のままだと、確認されないまま使われる状態が既定になります。対外的な文書に使うツールでは、本人以外の確認者を置くかどうかも判断します。どの業務にどこまで任せ、どこに人の確認を置くかの判断基準はAIエージェントに任せてよい業務・任せてはいけない業務で扱っています。

4項目を入れた記入例

共通項目を省き、AI固有の4項目だけを抜き出すと次のような形になります。実際の台帳では、この左に用途や費用の列が並びます。

サービス	契約主体	入力区分	学習利用／保持	確認日	出力の確認者
文章生成サービスA	法人契約	区分B	オフ／30日・削除可	2026-08-24	本人
文章生成サービスB	個人契約（経費精算）	区分A	不明／不明	2026-08-24	本人
議事録作成サービスC	法人契約	区分C	オフ／無期限	2026-07-10	課長
翻訳サービスD	無料利用	区分A	設定項目なし	2026-08-24	本人

この4行を並べただけで、次にやることが見えます。2行目は設定が不明なまま業務利用されているため、確認するか法人契約へ移す対象です。3行目は履歴が無期限に残るため、区分Cを許可し続けてよいかを再検討します。4行目は無料利用なので区分Aより上には広げません。

確認日の隣には「次回見直し日」の列も持たせておきます。年1回の再確認に合わせて確認日の12か月後を入れておけば、台帳を開いた時点で期限の切れた行がそのまま目に入ります。契約更新日のほうが先に来る行は、更新日に合わせて前倒しした日付を書きます。次回見直し日が空欄の行は、見直しの順番から抜け落ちたままになりがちです。

個人契約から法人契約へ移すときは、移行日を決めて本人へ伝え、移行後に個人契約を解約してもらいます。過去に入力した内容は個人のアカウントに残るため、必要に応じて履歴の削除も依頼します。ここまで決めておかないと、法人契約を用意しただけで個人契約が残り続けます。

台帳に載っていないツールを見つける

台帳は、把握しているツールしか載りません。実際には把握していない利用があります。監視製品がなくても、次の3つの経路から相当な範囲が見えます。

経路	見えるもの	確認する場所
経費精算と法人カードの明細	個人が立て替えて業務利用しているツール	経理の処理記録、カード明細
業務で使っているサービスの連携許可	アカウント連携で使われている外部サービス	Microsoft 365 や Google Workspace の管理画面
本人への確認	無料利用、私物端末での利用	アンケートまたは面談

1行目が最も費用対効果が高い方法です。費用が発生している利用は、必ずどこかに記録が残ります。経理側の処理記録を数か月分見るだけで、把握していなかったツールが出てくることは珍しくありません。台帳に費用の列が揃ってきたら、次はその費用に見合っているかを見る番です。測り方はAI導入の費用対効果をどう測るかで扱っています。

2行目は、多くの会社がすでに契約している環境の標準機能で確認できます。追加費用はかかりません。管理画面で、外部サービスへのアカウント連携を許可した履歴を確認します。

3行目については、聞き方が結果を左右します。処罰しないことを明示しないと申告されません。調査票の作り方と設問例は別記事で扱います。なお、把握していない利用そのものへの対処は生成AIの情報漏えいを防ぐ社内運用の作り方も参照してください。

既存サービスに後から付いたAI機能

台帳から漏れやすいのは、まだ知らないサービスよりも、すでに使っているサービスに後から付いたAI機能です。会議ツールの自動要約や、業務システムに組み込まれたAI検索がこれにあたります。新しい契約が発生しないため申請の対象にならず、台帳にも行が増えません。しかし入力された会議の音声や社内文書が事業者側でどう扱われるかという点では、新しいAIツールを1つ導入したのと同じ状態になります。

台帳への書き方は2通りあります。既存サービスの行の下に「サービス名（AI機能名）」という子行を立てて、入力してよい情報の区分と学習利用の設定をその行で管理する方法が1つ。もう1つは、既存の行にAI機能用の列を足し、同じ行の中で扱う形です。行を増やしたくない小さな台帳では後者が向きますが、AI機能ごとに入力してよい範囲が変わる場合は、子行に分けたほうが判断を書き分けられます。

注意したいのは、これらの機能が提供事業者の更新によって追加され、既定で有効な状態のまま配信される場合があることです。管理者が何も操作していなくても、ある日から要約が作られるようになっていた、ということが起こり得ます。そのため契約更新の見直しを行うときは、費用と利用者だけでなく、AI機能が増えていないかを毎回確認します。確認した結果は、次の3点の形にして台帳の備考へ残しておくと追いやすくなります。

確認する項目	書き方の例	確認する場所
AI機能が有効か	有効・無効・不明	管理画面の機能設定
既定でオンか	既定オン・既定オフ・不明	提供事業者の更新履歴
管理者が無効化できるか	可・不可・不明	管理画面の権限設定

更新が続く運用にする

誰が更新するか

更新する人を1名決めます。複数名で分担すると、誰も更新しなくなります。IT担当者がいない場合は管理部門の担当者で構いません。専門知識より、確認する習慣のほうが重要です。

更新するタイミングを決める

新しいツールを使い始めるときは、申請時に1行追加します。入社時と退職時は、利用者の列を更新する。契約更新の1か月前には、費用と設定を見直す。年1回、学習利用と履歴保持の設定を再確認し、確認日を更新します。

「気付いたときに更新する」は運用として成立しません。上の4つのタイミングだけ決めておけば、他は不要です。特に4番目は日付を決めて予定に入れます。

業種によって足す列

共通6項目とAI固有4項目の10列が基本ですが、扱う情報の性質によっては足したほうがよい列があります。該当しない会社は足しません。

足す列	必要になる会社	記入内容
データの保存地域	取引先から国内保存を求められる	国内／海外／不明
第三者認証の有無	取引先の確認票で問われる	取得の有無と規格名
出力の根拠を示せるか	説明責任が問われる業務で使う	参照元を示せる／示せない
個人情報を扱うか	個人情報を入力する運用がある	扱う／扱わない

1行目と2行目は、取引先からセキュリティに関する確認票が届く会社では、遅かれ早かれ必要になります。届いてから調べるより、台帳に列を持っておくほうが早く回答できます。

逆に、社内向けの文章作成にしか使っていない会社が4列すべてを足すと、更新されない列が増えるだけです。その列を見て何を決めるのかに答えられない列は入れません。

項目を増やしすぎない

台帳が続かなくなる最大の原因は項目の多さです。共通6項目とAI固有4項目、合わせて10列で始めます。使っていない列があれば削ります。

追加したくなる項目の多くは、実のところ判断に使われていないものです。「その列を見て何を決めるのか」に答えられない項目は入れません。

台帳へ載せる前の入口として、利用申請の設計があります。申請を必要にする範囲と却下の基準は生成AIの利用申請で扱っています。

台帳に載せる費用の項目についてはAIツールの費用で、更新日と解約の締切まで含めて整理しています。

営業の文書に顧客名が入る場合の扱いは営業でAIを使うで整理しています。

退職や異動でアカウントが止まると、台帳に載っていないものから失われます。担当者が辞めるとき、AIまわりで何が消えるかで扱っています。

よくあるご質問

台帳は何で作るのがよいですか

表計算ソフトで十分です。専用ツールを導入すると、更新のために別の手順を覚える必要が生じ、更新が止まります。既に資産管理の仕組みがある場合は、そこへ列を足すほうが確実です。

無料プランのツールも台帳に載せますか

載せます。無料プランは入力内容が学習に使われる設定になっていることがあり、有料プランより確認の必要性が高い場合があります。費用がかからないことと、リスクがないことは別です。

台帳は誰まで見られるようにしますか

利用者本人が自分の行を確認できる状態が望ましいです。全体を見られるのは管理担当と経営者に限ります。全社公開にすると、記載をためらう人が出て、実態から離れていきます。

台帳の作成は法令で義務づけられていますか

法令上の作成義務ではありません。総務省と経済産業省のAI事業者ガイドラインは2026年3月31日公表の第1.2版が最新ですが、これは事業者が自主的に取り組むための指針であり、台帳の様式を定めた文書ではない、という位置づけです。それでも、取引先から届くセキュリティの確認票に答えるときは、台帳があるほうが回答は早く済みます。

今週やること

今週着手するなら、まず把握しているツールを表計算ソフトに書き出し、契約主体の列だけを埋めます。個人契約や無料利用が並んでいれば、そこが最初の対処対象です。他の列は後から足せます。

社内ルール全体との関係は生成AIの社内ルールに必要な項目で扱っています。

自社で進めるか、外部に任せるかの切り分けから相談できます。お問い合わせはこちらです。