生成AIの利用監査と定期点検｜月30分・2人・A4一枚で回す社内レビューの作り方

この記事は、AIの利用ルールや台帳を一通り整えた後、それが守られているかを定期的に監査し、直し続ける仕組みを作りたい中小企業の経営者と管理部門に向けたものです。この分野の記事は、KPIの階層設計を扱うものと、社内ルールのひな形を扱うものに分かれています。前者はルールの見直しに触れず、後者はKPIに触れません。実務では同じ点検の場で両方を扱うため、記事どおりに進めても片方が抜けます。

この記事では、KPI・ルール・使っていないツールの解約判断を1枚に載せた点検会の作り方を示します。ダッシュボードの構築や対照群の設計は扱いません。10〜20名の会社では作れないためです。

結論

定期点検に必要なのは、指標の階層構造でもダッシュボードでもありません。月次3項目、30分、2名、A4一枚。そして毎回1つ削ること。この形であれば続きます。四半期に1回だけ、提供元の側の変化を確認します。自社が何も変えていなくても、料金・プラン・設定・出力の傾向は変わります。周期ごとの切り分けは次のとおりで、時間の目安は本記事で設計した値です。

周期	見るもの	かける時間	この周期にした理由
月次	使われているか、困っていないか、費用	30分	集計作業が要らない項目だけに絞ってあるため、毎月でも回せる
四半期	提供元側の変化（モデル更新、料金改定、プラン変更、提供の終了、規約と設定の変更）	30分	自社が何も変えなくても前提のほうが動くため
年次	削減時間と品質の変化、ルール全体、台帳の棚卸、契約、役割、点検項目そのもの	1〜2時間	短期間では変化が誤差に埋もれるため

点検が続かない理由は項目の多さ

点検表を作るとき、確認したい項目は次々に出てきます。利用者数、利用回数、削減時間、費用、ルールの遵守状況、事故の有無、新しいサービスの検討。すべて必要に見えます。しかし項目を増やすと、2回目か3回目で止まります。点検が業務になり、業務が忙しいときに真っ先に飛ばされるためです。続けるための条件は単純です。月次の項目を3つに絞り、30分で終わらせること。増やしたい項目は年次へ回します。

点検を続けたほうがよい理由は、社内の都合だけではありません。IPA「情報セキュリティ10大脅威 2026」では、組織向けの第3位に「AIの利用をめぐるサイバーリスク」が2026年に初めて選ばれました。ただし、ここで必要になるのは大きな監査体制を作ることではありません。月に一度、実際の使われ方を見る場が残っているかどうかが先です。

月次は3項目だけ

項目	見るもの	判断すること
使われているか	各ツールの最終利用日、未使用の人数、経費精算と請求書に出てくる台帳に無いAIサービス名	続ける／人数を絞る／解約
困っていないか	相談件数と、その中身	ルールを直す／説明を足す／対象を変える
費用が想定内か	月額と、従量課金の実績	上限設定の見直し／解約

3項目とも数字を集計する必要がありません。管理画面を開いて最終利用日を見る、相談の記録を読み返す、請求額を確認する。これだけです。集計作業が発生する項目を月次に入れると続きません。

削減時間や品質の変化は月次に入れません。短期間では変化が誤差に埋もれ、毎月「変わらない」と報告することになります。これらは年次で見ます。効果の測り方はAI導入の費用対効果をどう測る？で扱っています。

台帳に無いツールが出てきたとき

経費精算や請求書に、台帳へ載せていないAIサービスの名前が出てくることがあります。いわゆるシャドーAIですが、見つけた時点で禁止から入るのは得策ではありません。個人の財布で使われるようになり、次からは見えなくなるためです。まず何に使っていたのかを聞き、公式に用意しているツールで置き換えられるなら台帳へ追加します。置き換えられないものは、入力してよい情報の範囲だけを決めて暫定で認め、次の点検で扱いを決め直してください。台帳の項目そのものはAIツール管理台帳の作り方で扱っています。

点検会の進行

会議体そのものを決めておくと、実施率が上がります。出席者は2名で十分です。決める人（経営者または部門責任者）と、記録を見る人（担当者）です。

時間	やること
0〜5分	前回決めたことが実行されたかを確認する
5〜15分	3項目を順に見る（使われているか／困っていないか／費用）
15〜25分	判断する。続ける・変える・やめるを項目ごとに決める
25〜30分	次回までにやることを1〜3件決め、担当と期限を書く

最初の5分を省略しません。前回決めたことが実行されていない場合、原因は担当者の怠慢ではなく、決めた内容が大きすぎることがほとんどです。次回の決定は小さくします。

実施日は毎月同じ日に固定します。「月末までに」では実施されません。第1営業日の朝、給与計算の日の午後など、既存の定例業務にくっつけると定着します。

A4一枚のシート

点検の記録は、A4で1枚に収まる分量にとどめ、書式を凝らずに次の7項目だけを同じ紙の上へ並べます。項目はこの7つで固定し、途中で増やしたくなったものはその場で足さず、年次の見直しへ回して扱いを決めます。

項目	書くこと	空欄なら次回までにやること
実施日と出席者	実施した日付と、参加した2名の氏名または役割	実施日が固定できていない。次回の日付をカレンダーへ入れる
前回決めたことと実行可否	前回の決定事項と、実行できたかどうか	前回の決定が大きすぎた可能性がある。決定を小さく分け直す
使われているか	ツール名と、最終利用日、今月の未使用人数	管理画面のどこを見るかが決まっていない。確認手順を1行書き留める
困っていないか	相談の件数と、代表的な相談内容	相談を受け取る場所と、記録先を決める
費用	月額と従量課金の実績、想定との差	請求額を毎月確認する担当を決める
今回削ったもの	解約・廃止・削除したものと、その理由	削る観点が持てていない。点検項目そのものを疑う
次回までにやること	1〜3件に絞った決定と、担当と期限	判断が出ていない。3項目のどこで詰まったかを見る

この7項目で、KPIの確認とルールの見直しが同じ紙の上に載ります。4番目の「困っていないか」がルール見直しの入口です。相談が同じ内容で繰り返されているなら、それはルールか説明の不備であり、次回までに直す対象になります。ルールの構成項目そのものは生成AIの社内ルールに必要な項目、入力範囲と台帳の運用は生成AIの情報漏えいを防ぐ社内運用の作り方で扱っています。点検はそれらを維持する仕組みです。

記入例

実際に埋めるとどうなるかを示します。従業員15名、生成AIを2種類使っている会社を想定した仮の例です。

項目	記入内容
実施日・出席者	11月4日／社長・総務担当
前回決めたこと	指示文の共有ファイルを作る → 実行済み（12件登録）
使われているか	文章生成A：8名中6名が今月利用／議事録B：2名中0名。3か月連続で未使用
困っていないか	相談2件。両方とも「取引先の資料を入れてよいか」
費用	A 8,000円／B 3,000円。想定内
今回削ったもの	議事録Bを解約（3か月未使用）
次回までにやること	入力可否の判断表に取引先資料の行を追加（総務・11月中）

この1枚から、2つの判断が出ています。使われていないツールの解約と、相談が重なった項目のルール追記です。数字を集計する作業は一切していません。管理画面と相談記録と請求額を見ただけです。相談が同じ内容で2件出ている点も見ます。1件なら個別に答えて終わりですが、2件重なると判断表の不足を示します。この気付きは、相談を記録していないと得られません。

提供元の変化を四半期で見る

自社の使い方は変わっていなくても、提供元の側が変わります。この確認は多くの点検表から抜けています。

変化	起きること	確認する場所
モデルの更新	同じ指示でも出力の傾向が変わる	実際に使ってみる。担当者への確認
料金の改定	月額や従量単価が変わる	請求額、提供元からの通知
プランの変更	使っていた機能が上位プラン限定になる	提供元からの通知、管理画面
提供の終了	使えなくなる	提供元からの通知
規約・設定の変更	学習利用や履歴保持の条件が変わる	利用規約、管理画面の設定

最後の行が最も重要です。入力してよい情報の範囲は、提供元の設定を前提に決めています。設定が変われば、前提が崩れます。四半期に1回、管理画面を開いて設定と確認日を更新します。1行目も見落とされます。出力の傾向が変わると、それまで通っていた指示文が期待どおりに働かなくなります。「最近うまくいかない」という相談が増えたら、この可能性を確認します。担当者の使い方の問題とは限りません。

判断が割れたとき

点検会は2名で行うため、意見が割れることがあります。多くは同じ3つのどれかです。あらかじめ決着のつけ方を決めておくと、その場で止まりません。

割れる論点	よくある構図	決着のつけ方
解約するかどうか	決める人は解約、担当者は継続を主張	利用者本人に「なくなると困るか」を直接聞く
ルールを厳しくするか	決める人は厳格化、担当者は現場が守れないと主張	実際に起きた相談の件数で判断する
新しいサービスを試すか	担当者は試したい、決める人は費用を懸念	上限額と期限を決めて試す。判断は次回へ持ち越す

1行目の決着のつけ方が重要です。点検会の2名は、そのツールを毎日使っている本人ではないことが多いためです。使っている人に聞けば、10分で決まります。

3行目は、その場で結論を出さないという決着です。判断を持ち越すことは先送りとは違います。上限額と期限を決めてあれば、試行そのものが判断材料になります。

割れた論点と、その決着は記録に残します。同じ論点が半年後に再燃したとき、前回どう決めたかが分かると議論が短くなります。

年次に回すこと

月次に入れなかった項目は、年1回まとめて見ます。1〜2時間かけて構いません。

対象業務ごとの削減時間と品質の変化を、導入前の記録と比較します。利用ルールの全体見直し。実態と合っているかを見る。台帳の全項目の棚卸しをして、使っていない列を削ります。契約の見直しは、プラン、人数、更新日。役割の確認では、担当者の異動・退職を反映します。点検項目そのものの見直しも行い、月次3項目が適切かを確かめます。

実施時期は決算期か期初に合わせます。日付を決めておかないと実施されません。

毎回1つ削る

点検の出口を「何も変えない」で終わらせないための工夫です。毎回、必ず1つ削ります。

削る候補	判断の目安
使われていないツール	3か月、実際の業務での利用がほぼない
形骸化した承認	却下がゼロで、内容も読まれていない
更新されない台帳の列	半年以上、誰も更新していない
守られていないルール条項	違反が続いているが実害が出ていない
点検項目そのもの	見ても判断が変わらない

削る対象が見つからない月は、点検の観点自体を疑います。本当に何も削るものがない組織は稀です。多くの場合、見ている項目が判断につながっていません。

削ることに抵抗が出るのは、作った本人が出席している場合です。作った労力と、維持する労力は別だと切り分けておきます。使われていないものを維持する費用は、毎月発生し続けます。

記録を再利用する

点検の記録は、その場限りの議事録ではありません。次の場面でそのまま使えます。

翌年度の予算を立てるとき。費用の推移と、解約したものの記録が要ります。新しいツールの導入を検討するとき。過去に何がうまくいかなかったかを見ます。担当者が交代するとき。決めたことと、その理由です。取引先や金融機関にAI活用の状況を説明するときにも使えます。

そのため、判断の理由を1行でよいので残します。「解約した」だけでなく「3か月使われなかったため解約した」と書いておくと、後から読んで意味が分かります。

月次の点検にログの確認を組み込む場合は、見る項目を絞る必要があります。何を見て、どうなったら異常とするかはAIエージェントのログ管理で扱っています。

日本は「作る」に寄り、「見直す」が弱い

総務省「令和8年版 情報通信白書」によると、自社の何らかの業務で生成AIを利用していると回答した割合は、日本で86.4%に達しています。使うこと自体は、もう特別な状態ではありません。一方で、生成AI活用による業務変革等について「組織的な取組はない」と回答した割合は27.0%と約3割に上り、企業規模別では中小企業で特に高い傾向が示されています。使っているのに、組織としては見ていない。ここが点検の抜けやすいところです。

令和8年版情報通信白書は、セキュリティリスクや法的・倫理的問題、その他不適切な利用を防ぐための取組状況について、日本では「全社的な指針やガイドラインを整備している」が41.1%で最も高かったと記載しています。

一方で他の3か国（米国、ドイツ及び中国）では、「製品・サービスの企画・導入段階で、専門的な審査体制がある」や「製品・サービス導入後、定期的な評価・検証が行われている」と回答した割合が日本に比べて高い傾向が見られた、としています。

作ったルールを見直す工程が弱い、という差です。点検を月次で回す設計は、この差をそのまま埋める作業にあたります。点検の対象がシステムそのものになる場合は、AIを組み込んだシステムの運用保守をご覧ください。

この記事のA4一枚は、月次を30分で終わらせるための最小版です。年次の棚卸で点検項目そのものを見直すときは、総務省・経済産業省のAI事業者ガイドライン（第1.2版・令和8年3月31日公表）のページで公開されているチェックリストとワークシート（別添7）と突き合わせてください。抜けている観点が見つかっても、月次へ足すのではなく、年次の項目として書き加えます。

出典

• 総務省「令和8年版 情報通信白書」第Ⅰ部 懸念されるリスク及びリスク対策のための取組状況　2026年9月2日確認
• 総務省「令和8年版 情報通信白書」第Ⅰ部 生成AIの業務利用状況　2026年9月5日確認
• 同 第Ⅰ部 生成AIの活用に向けた組織的な取組状況　2026年9月5日確認
• 総務省・経済産業省 「AI事業者ガイドライン（第1.2版）」掲載ページ　2026年9月5日確認
• IPA 「情報セキュリティ10大脅威 2026」　2026年9月5日確認

よくあるご質問

点検会に経営者は出るべきですか

毎月は不要です。四半期に一度、判断が必要な事項が出たときに参加する形で足ります。毎月出席すると、報告のための資料作りが発生し、点検が形骸化します。

点検で何も問題が出ないときは

点検の対象が実態と合っていない可能性があります。実際に使っている人へ、直近1か月で困ったことを1つ聞きます。問題がないのではなく、拾う仕組みがないだけの場合が多くあります。

記録はどこに残しますか

既に使っている共有フォルダか業務システムに置きます。点検のために新しい保管場所を作ると、次第に参照されなくなります。過去分と並べて比較できることが条件です。

点検で問題が見つかったらどうしますか

その場で全部を直そうとしないことです。次回までにやることを1〜3件に絞り、担当と期限まで書きます。それ以上に出てきた分は、消さずに年次の見直しへ送ります。例外は、実害がすでに出ているものだけです。入れてはいけない情報が入力された、費用が想定を大きく超えているといった場合は、当日中に止める判断をします。

点検の頻度はどれくらいが目安ですか

月次で見るのは、集計の要らない3項目だけです。提供元側の変化は四半期、削減時間や品質やルール全体の見直しは年次へ分けます。他社の記事には従業員数で頻度を決める基準も出てきますが、出所を確認できないため、ここでは採っていません。頻度を上げることよりも、実施日を固定するほうが続きます。

今週着手するなら、次回の点検日をカレンダーに入れ、A4一枚の7項目を用意するところまでです。全体の位置づけはAXとは何かを参照してください。

判断の材料が足りないと感じた場合は、お問い合わせからご相談いただけます。