AI業務診断の進め方｜現場で止めない実践ステップ

本記事では、棚卸し済みの業務を「出力の影響度」「扱う情報」「外部連携・実行操作」の三軸で一件ずつ評価し、人の判断を置く場所と未確認事項を記録します。公的な標準手順と誤認せず、自社の判断と提供者への確認を分ければ、専任AI部門がなくても診断を完了できます。

AI業務診断の進め方

AI業務診断は、業務一覧の一行を選び、三つの評価軸を順に確認し、根拠が足りなければ保留して、条件付きの判定を記録する流れで進めます。

本記事は、すでに「誰が・何を入力し・何を処理し・何を出力するか」が整理された業務一覧を前提にします。業務の洗い出し自体は「AI導入前の業務棚卸しの進め方｜現場で止めない実践ステップ」が扱う工程です。ここでは一覧を増やしたり、複数業務の着手順を決めたりせず、各業務を単独で評価します。

診断の進行役はAI導入責任者、業務事実の確認者は実務担当者、影響と承認方法の決定者は部門責任者、情報の判断者は情報管理・法務担当者とします。一人が複数の役割を兼ねても構いませんが、誰の観測・判断・確認結果なのかは分けて記載します。

手順	担当	確認すること	成果物
1. 対象を固定する	AI導入責任者	一覧から一つの業務を選び、開始点・終了点・出力を特定する	対象業務欄
2. 影響度を評価する	部門責任者・実務担当者	誤りや誤操作が誰に何をもたらすか、人がどこで判断できるか	影響・人間判断欄
3. 情報を分類する	情報管理・法務担当者	個人情報、個人データ、顧客秘密、社内機密の有無と利用条件	情報区分欄
4. 連携と操作を確認する	システム管理者・実務担当者	参照先、送信先、更新・確定・削除などの操作と復旧方法	連携・操作欄
5. 未確認事項を止める	AI導入責任者	契約、設定、仕様、責任者など不足している根拠	確認待ち欄
6. 判定を記録する	部門責任者	評価可能、条件あり、確認待ち、対象外のいずれかと理由	診断記録

この六手順は公的な標準ではなく、確認済みの公的資料を実務へ落とすための本記事独自の整理です。AI業務診断の公的な標準手順、評価項目、点数表は、2026年7月31日時点の確認では特定できていません。そのため、点数の合計だけで適否を決めず、判断根拠と不足情報を文章で残します。

評価軸①：出力の影響度で人の判断の置き場所を決める

最初の評価軸では、AIの出力が誤っていた場合の影響を具体化し、重大な影響や被害が生じ得る箇所の前に人の判断を置きます。

総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」別添5は、AI利用者について、出力によって重大な影響または被害が生じ得る場合に、人間の判断を介在させる仕組みに基づいて適宜判断する旨を示しています。同ガイドラインは非拘束的なソフトローであり、法令上の義務そのものではありません。また、すべての出力に一律の承認を求める記述でもありません。

評価では「AIを使えるか」の二択から始めず、誤りがそのまま外部へ届くか、金銭・権利・安全・雇用などに影響するか、後から訂正できるかを確認します。たとえば社内向けの下書きは、担当者が原資料と照合してから利用できます。一方、顧客への確定回答、契約上の判断、採用可否、支払確定などは、AIの出力を参考にできる場面があっても、影響が確定する前に権限を持つ人の判断を置く必要があります。

影響の見方	確認する質問	人の判断を置く例	記録する根拠
内部で修正できる	誤りが外部へ届く前に発見・訂正できるか	下書きを利用者が原資料と照合する	確認者、照合資料
外部へ伝わる	顧客・取引先・従業員が出力を受け取るか	送信前に業務責任者が承認する	送信者、承認時点
判断に使われる	金銭、契約、雇用、権利、安全に影響するか	AI出力を根拠の一つに限定し、決定権者が判断する	決定者、判断材料
元に戻しにくい	更新・削除・発注などを容易に取り消せるか	操作前承認、上限、復旧手順を設ける	操作範囲、復旧責任者

「重大な影響があるからAI利用不可」と決めつけるのも適切ではありません。診断で答えるべきなのは、AIが担う範囲、決定権者、確認材料、訂正や停止が可能な時点です。人が画面を見るだけで誤りを判別できない業務なら、形式的な承認を追加してもリスクは下がりません。専門知識を持つ確認者が原資料へ戻れるかまで確認します。

評価軸②：業務が扱う情報の種類を確認する

二つ目の評価軸では、入力・参照・出力・保存の各段階で扱う情報を分類し、利用目的とサービス側の取扱いを確認します。

個人情報を含むことだけで一律に対象外とはしません。個人情報保護委員会の2023年6月2日の注意喚起は、個人情報取扱事業者が個人情報を含むプロンプトを入力する場合、特定された利用目的を達成するために必要な範囲内かを十分に確認するよう示しています。これは2026年時点の最新規制や最終基準としてではなく、日付を付けて参照すべき注意喚起です。

同注意喚起は「個人情報」と「個人データ」を書き分けています。本人の同意を得ずに個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合には、個人情報保護法の規定に違反する可能性があるとしています。そのため、そのような入力を行う場合は、提供事業者が当該個人データを機械学習に利用しないことなどを十分に確認します。

情報の状態ごとの網羅的な確認観点は「AI業務診断のチェックリスト｜経営者と責任者が確認する項目」が扱います。本記事の診断手順では、情報の状態を確定し、自社で確認する事実、サービス側へ確認する事実、未確認時の扱いを診断記録へ文章で残します。

個人情報を含まない場合も、社内公開情報か、機密や契約上の制限がないかを自社で確認し、保存先、保持期間、二次利用などのサービス条件が不明なら確認待ちにします。個人情報を含む場合は利用目的の範囲と利用規約・プライバシーポリシー・保存条件を確認し、個人データを含む場合は本人同意の有無、入力後の利用目的、機械学習への利用有無を確認します。顧客秘密や社内機密を含む場合は、契約、社内規程、開示範囲に加え、外部送信、再委託、保持・削除、管理者機能を情報管理担当者と提供者へ確認します。

診断表には「機密あり」とだけ書かず、どの工程で、どの情報が、誰の操作により、どのサービスへ渡る可能性があるかを記録します。匿名化や伏字を使う場合も、復元可能性や業務上必要な情報が残るかを確認し、「加工したから安全」と断定しません。情報区分を判断できる担当者がいなければ、推測で合格にせず確認待ちとします。

評価軸③：外部連携・実行操作のリスクを見分ける

三つ目の評価軸では、AIが文章を返すだけか、外部の情報を参照するか、送信・更新・確定・削除まで行うかを分けて評価します。

「AI事業者ガイドライン（第1.2版）」別添1はAIエージェントについて、多様な入力経路や外部連携が増えることで被攻撃対象が拡大すること、自律的な動作の中で意図しない商品の注文やファイル削除などが起こり得ること、内部データが意図せず外部へ送信されて機密情報が漏洩する可能性を挙げています。これはAIエージェントに関するリスク類型であり、文章生成だけの利用へ無条件に広げるべきではありません。

そこで、業務一覧の「AI利用」という一語を、参照と操作に分解します。メール本文の案を画面に表示するだけなのか、顧客データを検索するのか、メール送信まで行うのかでは、失敗時の影響も必要な制御も異なります。

連携・操作の段階ごとの網羅的な確認観点は「AI業務診断のチェックリスト｜経営者と責任者が確認する項目」が扱います。本記事では、出力のみ、外部参照、外部送信、状態変更、複数システム連携の順に対象工程の境界を特定し、各段階で誰が何を判断するかを記録します。

出力のみなら、利用者が採用箇所を決め、根拠資料との照合方法を残します。外部参照があるなら参照元と取得範囲、外部送信があるなら宛先と送信前の判断点を記録します。登録、更新、確定、注文、ファイル削除などの状態変更があるなら、操作権限、上限、取消可否、復旧方法を確かめ、実行前の判断点を設けます。複数システムが連続して動くなら、各境界の責任者、途中状態、ログ、障害が波及する範囲を分けて残します。

操作を伴う業務では、「人が監視する」だけで終えません。誰が、どの情報を見て、どの時点で止められるか、誤操作後に元へ戻せるかを確認します。高速に連続する処理など、人が確認しきれない設計なら、その監視方法で十分と判断せず、操作範囲の縮小やシステム側の制御を提供者へ確認します。

判断できないときの扱い方

根拠が足りず判断できない項目は、推測で点数を付けず、「確認待ち」として必要な証拠・確認者・期限を記録します。

診断が止まる原因は、AIの知識不足とは限りません。利用規約の対象プランが不明、管理画面の設定を確認できない、削除後の復旧可否が分からない、業務上の決定権者が定まっていないなど、社内外の事実が欠けている場合があります。このとき「おそらく保存されない」「たぶん担当者が確認する」と仮定して先へ進めると、後から判定理由を説明できません。

確認待ちには、単なる疑問ではなく、解消条件を付けます。たとえば「個人データの機械学習利用が不明」なら、対象プランの契約条項、管理画面の設定、提供者の回答のうち何を証拠とするかを決めます。「人の判断が必要」なら、役職名だけでなく、何を照合すれば判断できるかを確認します。

状態	意味	次に集めるもの	診断記録の書き方
評価可能	三軸と人の判断方法を根拠付きで説明できる	判定根拠の保存	条件と確認者を明記
条件あり	制限を置けば評価できる	入力範囲、承認点、操作範囲	条件が外れた場合の扱いも記載
確認待ち	契約・設定・仕様・責任者が未確認	URL、契約書、画面、提供者回答、社内決裁	確認者と期限を明記
対象外	想定用途に合わない、または管理方法を設計できない	理由と再確認条件	AI利用以外の判断は先取りしない

確認待ちは失敗ではなく、誤った確定を避ける正式な診断結果です。期限までに根拠が得られなければ、その時点では条件を満たさないと記録します。複数業務を比較して着手順を決める作業は「AI化する業務に優先順位を付ける手順｜効果とリスクの評価方法」の役割なので、ここでは一件ごとの評価状態を確定するところまでに留めます。

自社で決めること／AI提供者・開発者に確認すること

自社は利用目的・影響・人の判断・許容する情報と操作を決め、製品内部の権限設計やデータ参照はAI提供者・開発者への確認事項として分けます。

「AI事業者ガイドライン（第1.2版）」は、AI開発者、AI提供者、AI利用者を別の主体として定義しています。事業活動でAIサービスを使う企業は原則としてAI利用者です。ただし、自社開発や社外提供も行う場合は、一つの企業が複数の主体を兼ねることがあります。

主体の書き分けは重要です。「必要最小限のデータ入力・参照」は別添3のAI開発者向け、「ユーザーやシステムに付与する権限を業務遂行に必要な最小限に設定する」は別添4のAI提供者向けの記述です。これらをAI利用企業への直接の公式要求とは書かず、提供者・開発者の設計を確認する質問へ変換します。

主体	診断で決める・確認すること	記録する回答例
自社（AI利用者）	利用目的、許容する入力、人の判断点、出力の使途、停止条件、記録責任者	顧客送信前に責任者が原資料と照合
AI提供者	対象プランの想定用途、付与可能な権限、外部連携、保持・削除、ログ、障害時の連絡	送信権限と参照権限を分けられるか
AI開発者	判断に使うデータ範囲、不要な属性の扱い、モデルやシステムの制約	必要最小限の参照にする設計か
自社が複数主体を兼ねる場合	開発・提供・利用それぞれの責任者と記録	部門ごとの役割と引き渡し条件

ベンダーへの質問は「安全ですか」の一問にせず、「この契約プランでは入力データが機械学習に利用されるか」「参照と更新の権限を分けられるか」「外部送信先を制限できるか」「誰がどの操作をしたか確認できるか」「保持期間と削除方法は何か」のように、診断表の空欄へ対応させます。回答が営業資料、契約、仕様、管理画面で異なる場合は、どれが対象環境へ適用されるかを確認します。

評価結果を記録する

評価結果は、一業務一行を基本に、三軸の事実、根拠、未確認事項、条件、判断者、確認日を後から追える形で残します。

「AI事業者ガイドライン（第1.2版）」は文書化について、後から容易に確認できるよう適切なツールで記録が残っていればよく、紙媒体や特定の文書形式である必要はないとしています。専用システムを用意しなくても、表計算、チケット管理、文書管理など、自社が更新履歴と参照権限を管理できる方法を選べます。

同ガイドライン第1.2版の別添5（AI利用者向け）は、利用前の項目として、AIシステム・サービスの利用過程におけるログ（操作履歴、入力・出力の記録等）の管理体制の整備を挙げています。また、利用中の項目として、不要なデータや冗長なログの削除等によるデータ最小化と適切なデータ管理の徹底を挙げています。ログ管理体制の整備と、適正な範囲・方法で利用されているかの定期的な確認は別の項目です。診断記録には、残すログの範囲、管理責任者、不要になったデータや冗長なログを削除する条件も記載します。

最低限、業務名だけでなく評価した工程の開始点と終了点を記載します。同じ「問い合わせ対応」でも、回答案の作成だけか、顧客への送信までかで判定が変わるためです。根拠欄には「規約確認済み」ではなく、資料名、対象プラン、版や日付、確認箇所、確認者を残します。画面設定を根拠にする場合は、環境と取得日も添えます。

判定を更新するときは古い行を消さず、変更前の判定、変更理由、変更日を追えるようにします。サービスの仕様変更、連携先の追加、入力情報の変更、人の確認工程の廃止は、診断の前提を変えるため再評価の対象です。診断記録は導入可否を永久に保証する証明書ではなく、その時点の条件付き判断です。

ラクダ式：三つの評価軸を1枚の記録表に統合する

ラクダ式では、影響度・情報・外部連携を一行に並べ、人の判断点と確認待ちを同じ視野で読めるようにします。

以下は本記事独自の記録例であり、公的な評価様式やラクダの効果実績ではありません。例として「顧客問い合わせの回答案作成」を評価します。AIは回答案を表示するだけで、送信操作は行わない想定です。実際の判定では、自社の契約、設定、業務、情報区分に置き換えてください。

記録項目	記載例	判断・条件
対象工程	問い合わせ内容を読み、回答案を作成するまで	顧客送信は対象外
出力の影響度	誤った案がそのまま送られると顧客へ影響する	担当者が原資料と照合し、責任者が送信を判断
扱う情報	氏名や連絡先を含む可能性がある	利用目的の範囲を情報管理担当が確認
外部連携・操作	社内FAQを参照し、回答案を表示する	メール送信・顧客台帳更新の権限は付けない
提供者への確認	入力の機械学習利用、保持、参照権限、ログ	対象プランの契約・設定で回答を保存
現在の判定	確認待ち	情報の取扱い確認後に条件ありへ更新
記録情報	判断者、根拠、確認日、次回確認日	変更履歴を残す

この形式の利点は、影響が小さいのに情報の扱いが未確認、外部連携はないが人の判断方法が曖昧、といった軸ごとの違いを隠さないことです。三軸のどれかに空欄があれば総合点で埋めず、確認待ちとして担当者へ返します。

診断が完了したら、評価済みの業務一覧を次の工程へ引き渡せます。ただし、この記録表の役割は一件ごとの適合度とリスクを説明するところまでです。複数業務の並べ替えや、選んだ一件の実施計画は別工程として扱います。関連テーマを確認したい場合は、AI関連記事一覧から目的に合う記事を探してください。

よくある質問

AI業務診断で迷いやすい点は、評価の開始条件、人の判断、個人情報、未確認事項の四つに整理できます。

Q1. 業務一覧が未完成でも診断を始められますか？

診断対象の工程について、担当者、入力、処理、出力、開始点、終了点が分かる状態にしてから始めます。全社の一覧が完成している必要はありませんが、対象工程が曖昧なままでは影響度や外部操作を評価できません。一覧の作り方は「AI導入前の業務棚卸しの進め方｜現場で止めない実践ステップ」が扱います。

Q2. すべてのAI出力を上司が承認すべきですか？

AI事業者ガイドライン第1.2版（別添5・AI利用者向け）では、出力によって重大な影響や被害が生じ得るかに応じて、人の判断を介在させる仕組みに基づき適宜判断する考え方が示されています。一律の承認ではなく、下書きの誤りを利用者が訂正できる場合と、送信・契約・支払・削除などで状態が確定する場合を分けます。承認者がいても判断材料がなければ不十分なので、原資料と確認項目も記録します。

Q3. 個人情報を扱う業務は診断で対象外になりますか？

個人情報があるだけで一律に対象外とはしません。2023年6月2日の個人情報保護委員会の注意喚起に沿って、個人情報は特定された利用目的を達成するために必要な範囲かを確認します。本人同意なく個人データを入力し、応答以外の目的で扱われる場合については、提供事業者が機械学習に利用しないことなども確認します。

Q4. ベンダーから回答が得られない項目はどう判定しますか？

推測で可否を決めず、確認待ちにします。質問、必要な証拠、回答責任者、期限を記録し、期限までに確認できなければ「現時点では条件を満たす根拠がない」と残します。実データの入力や外部への送信・更新・削除を伴う範囲は、根拠が揃う前に評価済みとしません。

まとめ

AI業務診断を自社で完了する要点は、棚卸し済みの各業務を三軸で評価し、事実と判断と未確認事項を混ぜずに記録することです。

まず、誤出力がもたらす影響から人の判断点を決めます。次に、個人情報・個人データ・機密情報を分け、利用目的とサービス側の取扱いを確認します。さらに、出力だけか、外部参照・送信・更新・確定・削除まで行うかを分けます。

判断材料が欠けていれば確認待ちとし、証拠、担当者、期限を残してください。自社が決める利用条件と、AI提供者・開発者へ確認する製品内部の設計を分ければ、形式的な点数ではなく、誰が読んでも条件と根拠をたどれる診断結果になります。

参考資料

本記事で参照した公式資料は、2026年7月31日時点で逐語確認できた次の掲載ページです。

• 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」掲載ページ
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023年6月2日）