生成AI導入を始める前のチェックリスト｜最初に決める項目

生成AIを使う業務を1件に絞ったあと、着手前に決めておくのは、利用前に用意する知識・技能、入力してよい情報の確認、人間の判断を置く箇所、後から確認できる記録の残し方、利用中の定期確認、やめる条件の6つです。どれか1つでも未決なら、範囲を狭めるか着手を見送ります。項目は2026年7月31日に確認した公式資料をもとにした編集上の整理です。

この記事が始まる地点｜選んだ1件に着手してよいかを判定する

この記事は、生成AIを使う業務の候補がすでに1件に絞れている状態から始まり、その1件に着手してよいかどうかだけを判定します。

対象は、専任のAI部門を持たない企業で、最初の1件を動かす判断をする経営者・部門責任者・AI導入責任者です。まだ候補が複数ある場合、この判定は使えません。優先順位の付け方は『AI化する業務の選び方｜優先順位を決める判断基準』が扱います。

チェックリストは確認事項を並べた一覧を指すことが多いのですが、この記事が並べるのは「確認する問い」だけではなく、その問いに対して何が言えたら合格なのかです。合格条件がなければ、項目を眺めても自社が開始してよい状態かを判定できません。すでに公開している『生成AI導入は何から始める？中小企業が失敗しない7ステップ』が扱う様式が埋まっていることと、着手してよいことは同じではありません。

なお、ここで並べる項目の数、区切り方、合格条件の書き方は、公的に定められた標準ではありません。総務省・経済産業省「AI事業者ガイドライン第1.2版」と、個人情報保護委員会が2023年6月2日に公表した「生成AIサービスの利用に関する注意喚起等」を2026年7月31日時点で確認し、その内容をもとに編集部が整理したものです。同ガイドラインは非拘束的なソフトローであり、法令上の義務を課す文書ではありません。

チェックリストの使い方｜未決の項目があれば着手しない

使い方は単純で、6つの項目それぞれについて「満たされたと言える条件」を満たしているかを確認し、1つでも未達なら、その状態のまま着手しないと決めます。

確認する問い	満たされたと言える条件	残す証跡	未達時の扱い
利用前に必要な知識・技能を用意したか	使う人が、この1件でAIが誤り得る箇所を自分の言葉で説明でき、基本的な動作確認を済ませている	動作確認の実施日・実施者・確認した入力の類型と結果	用意できるまで着手しない
入力してよい情報を確認したか	利用目的の範囲内であることと、提供事業者側の取り扱いの2点を、それぞれ確認した記録がある	確認日・確認相手・確認した文書名	未確認の情報を入力しない範囲まで狭める
人間の判断を置く箇所が決まったか	重大な影響が生じ得る出力を特定し、そこに誰がどの条件で判断を入れるかが決まっている	判断を置く箇所の一覧と担当者	該当する出力を使わない範囲まで狭める
記録を後から確認できるか	数か月後に別の担当者が、いつ・誰が・どの入力でどの出力を使ったかをたどれる	記録の保存先と参照方法、使った入力と出力を特定できる識別子	既存ツールで残せる形にしてから着手
利用中の定期確認が決まったか	次に確認する日と、確認して何を見るかが決まっている	次回確認日と確認項目	日付を入れてから着手
やめる条件が決まったか	止める状態、止められる人、止めたあとに残すものが関係者間で合意されている	合意した記録	合意するまで着手しない

未達のときの選択肢は2つです。1つは、条件を満たすまで着手を見送ること。もう1つは、未達の項目が効かないところまで対象範囲を狭めて着手することです。避けたいのは、未決のまま範囲だけを当初のとおりに保つことです。この判定が示せるのは成果の見込みではなく、決めるべきことが決まっているかだけです。

利用前に必要な知識・技能を用意できているか

合格の条件は、その1件を実際に使う人が、AIの出力がどこで誤り得るかを自分の言葉で説明でき、想定どおりに動くかを確かめていることです。

AI事業者ガイドライン第1.2版の別添5は、AI利用者に向けた事項を「利用前」と「利用中」に分けて示しています。利用前に挙がっているのは、「AIの性質、利用の態様等に応じた便益及びリスクの認識、並びに適正な用途の理解」「適正利用のための必要な知識・技能の習得」「提供されたAIシステム・サービスが想定された仕様に基づき適切に動作しているかについての基本的な動作確認」「AIシステム・サービスの利用過程におけるログ（操作履歴、入力・出力の記録等）の管理体制の整備」です。

求められているのは、一般的なAI研修の受講記録ではありません。文言は「適正利用のための」知識・技能であり、対象はこれから使う用途です。全社向けの研修を実施した事実だけでは、この1件について合格とは言えません。次の形で確認できていれば条件を満たします。

• 使う人が、この業務でAIの出力が誤ったときに何が起きるかと、出力の正しさをどうやって確かめるか（照合先、確認手順）を説明できる
• この1件で想定する入力の類型と例外（定型的な依頼、表記のゆれがあるもの、必要な情報が欠けているもの、対象外に近い例外的な依頼など）を書き出し、それぞれを実際に通して、出力の形式と内容が業務で使える状態かを確かめた
• その確認をいつ・誰が・どの類型について行ったかが残っている

確認の範囲をどこまで広げるかは、自社で決める必要があります。第1.2版が利用前の事項として示しているのは基本的な動作確認までであり、**何件確認すれば足りるという十分条件は示されていません。**範囲は次の規則で決めます。書き出した類型ごとに、誤った出力が業務に与える影響の大きさを見て、重大な影響が生じ得る類型と例外的な入力ほど広く確認します。影響が小さく、入力のばらつきも小さい類型は、確認を軽くしてかまいません。

自社の運用として「まずこの類型を各◯件」といった目安を決めるのは問題ありませんが、用途のばらつきが大きい業務や重大な影響が生じ得る業務では、その回数で足りないことがあります。時間をかけるべきなのは確認の回数ではなく、どの類型をどこまで確認し、何が分かったのかを残すことです。

入力してよい情報の2点確認を終えたか

合格の条件は、入力してよい情報について、利用目的の範囲内であることの確認と、提供事業者側の取り扱いの確認という性質の違う2点を、それぞれ別に済ませていることです。

根拠は、個人情報保護委員会が2023年6月2日に公表した「生成AIサービスの利用に関する注意喚起等」で、個人情報取扱事業者に向けて次の2点が示されています。

1つ目は、「個人情報取扱事業者が生成AIサービスに個人情報を含むプロンプトを入力する場合には、特定された当該個人情報の利用目的を達成するために必要な範囲内であることを十分に確認すること」。

2つ目は、あらかじめ本人の同意を得ることなく個人データを含むプロンプトを入力し、それが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法の規定に違反することとなる可能性があるため、「当該生成AIサービスを提供する事業者が、当該個人データを機械学習に利用しないこと等を十分に確認すること」。

**原文は1つ目で「個人情報」、2つ目で「個人データ」と書き分けています。**言い換えずにそのまま扱ってください。確認する相手も違います。

確認の区分	原文が用いている語	誰に対して確認するか	満たされたと言える条件
利用目的の範囲内か	個人情報	自社（利用目的を特定している部門）	この1件での入力が、特定済みの利用目的を達成するために必要な範囲内だと説明できる
機械学習に利用されないか	個人データ	生成AIサービスの提供事業者	機械学習に利用しないこと等を、契約・規約・設定のどこで確認したかを示せる

この2点は「個人情報を入力してはいけない」という禁止ではなく、確認すべきことが増える、という位置づけです。「個人情報を扱う業務は最初に選ばないほうがよい」とも読みません。選んだのであれば、上の2点を済ませてから着手するだけです。

この注意喚起は2023年6月2日のものであり、2026年時点の最新規制や最終的な基準ではありません。資料自身が「今後、追加の注意喚起等を実施する可能性もある点に留意されたい」と述べています。令和8年改正個人情報保護法の内容を反映した文書でもないため、改正内容をこの資料から読み取らないでください。

なお、AI事業者ガイドライン第1.2版には、「ユーザーやシステムに付与する権限を業務遂行に必要な最小限に設定する」という記述がAI提供者向けの別添に、「必要最小限のデータ入力・参照」という記述がAI開発者向けの別添にあります。**これらは読者であるAI利用者に向けた要求ではありません。**自社が満たすべき項目としてではなく、提供者・開発者へ質問する観点として使ってください。

人間の判断を置く箇所と条件が決まったか

合格の条件は、この1件の出力のうち重大な影響または被害が生じ得るものを特定し、そこに誰がどの条件で判断を入れるかが決まっていることです。全部の出力を人が承認する、では合格になりません。

同別添5は、利用中の事項として「出力によって重大な影響又は被害が生じ得る場合、人間の判断を介在させる仕組みに基づき適宜判断」と示しています。求められているのは重大な影響が生じ得る場合の適宜の介在であって、すべての出力への一律承認ではありません。

最初の1件では不安から全件確認にしがちですが、これは慎重さというより設計の放棄に近い運用です。どこに人の判断を置くかを決めることが、着手前の作業です。

出力の使われ方	重大な影響・被害が生じ得るか	人間の判断を置く条件	人間判断の確認記録
担当者本人の下書き・情報整理に使う	生じにくい	本人が使う前に内容を読む。個別の承認は置かない	個別承認の記録は不要。利用ログは記録方針に従う
社内の意思決定資料の一部になる	内容によって生じ得る	事実・数値・引用を含む箇所は、確認元をたどって業務責任者が確認する	確認した箇所と確認者。利用ログは記録方針に従う
顧客・取引先に出る確定文書になる	生じ得る	送付前に作成者以外が内容を確認する	確認者と確認日。利用ログは記録方針に従う
後続の処理や外部への送信・更新・確定・削除の操作につながる	生じ得る	操作の実行前に人が内容を確認し、実行者を記録する	実行前の確認記録と実行者。利用ログは記録方針に従う

右端の列は、人間の判断を置いたことの記録だけを指します。**業務に使った入力と出力をたどれる利用過程のログは、次の節で決める記録方針に従って全行で残します。**個別承認が不要という判断は、ログも不要という意味ではありません。

1行目の「生じにくい」は既定であり、固定ではありません。本人用の下書きでも、機密情報や個人情報を含む入力を使う場合や、その下書きがそのまま社内の意思決定資料・社外向けの文書へ流用される場合は、重大な影響が生じ得ます。使われ方が変わった時点で、下の行と同じ扱いに移してください。

この表の区分は編集上の整理であり、自社の業務では影響の大きさが違うところに線が引かれることもあります。決めるべきは線の場所であり、線が引かれていない状態で着手しないことです。あわせて、判断を置く箇所に実在の担当者が割り当てられているかも確認してください。役職名だけが決まっていて誰が実際に見るのかが未定なら、未達として扱います。

記録を後から確認できる方法が決まったか

合格の条件は、数か月後に別の担当者が、いつ・誰が・どの入力でどの出力を業務に使ったかをたどれることです。専用の記録様式を新しく作る必要はありません。

AI事業者ガイドライン第1.2版は、文書化の程度について「後から容易に確認可能となるよう適切なツールで記録が残されていれば差し支えなく、必ずしも紙媒体や特定の文書の形式による必要はない」と述べています。求められているのは形式ではなく、後から確認できることです。

最初の1件で起きやすいのは、記録フォーマットの設計に時間を使い、肝心の業務が始まらない事態です。すでに使っている共有ドライブ、業務システムのコメント欄、チャットのスレッドでも、後から参照できるなら差し支えありません。決めておくのは次の3点です。

• どこに残すか（既存のどのツールのどの場所か）
• 何を残すか（最低限、実施日・実施者・業務に使った入力と出力そのもの、またはそれを一意に再参照できる識別子（保存先のファイルパス、文書名と版、スレッドやメッセージのID など）・出力を業務のどこに使ったか）
• 誰が参照できるか（担当者が異動しても参照権限が残るか）

使った先だけを残すと、同じ作業で複数の出力を得ていた場合に、どれを採用したのかが後から特定できません。識別子を使う場合は、あとで同じものを開けることが条件です。上書きされる可能性のある保存先を指すなら、版や更新日も併せて残します。

ただし、機密情報や個人情報を含む入力・出力を、自社の保存方針に反する形で残さないでください。原文をそのまま保存できない場合は、方針に従って保存できる形（該当箇所を伏せた要点や、保存済みの元データを指す識別子と版）に置き換え、どの出力を採用したのかが一意に定まる状態にします。この置き換え方も、着手前に決めておきます。

なお、別添5では「AIシステム・サービスの利用過程におけるログ（操作履歴、入力・出力の記録等）の管理体制の整備」が利用前、「AIの活用が適正な範囲・方法で行われているかについての定期的な確認」が利用中の事項として、別々に示されています。記録が残る状態を用意することと、記録を定期的に確認することを、一続きの要求として扱わないでください。着手前に必要なのは前者、着手後に回すのが後者です。

利用中の定期確認と変更時の見直しが決まったか

合格の条件は、次に確認する日と、そのとき何を見るかが決まっていることです。頻度そのものに公的な基準はありません。

同別添5は、利用中の事項として「AIの活用が適正な範囲・方法で行われているかについての定期的な確認」を挙げています。示されているのは定期的に確認するという方針であり、何か月ごとという数値ではありません。したがってこの記事でも一律の頻度は示さず、自社で決めた日付が入っていることを合格条件にします。

定期の日付だけでなく、日付を待たずに見直す契機も決めておくと、変更に取り残されません。

確認対象	確認の契機	確認結果として残すもの	次の判断
利用の範囲と方法	決めた定期日	決めた範囲・方法から外れた利用の有無	外れがあれば範囲を戻すか、範囲の定義を見直す
入力してよい情報の前提	提供事業者の規約・設定・プラン変更の通知を受けたとき	2点確認の結果が現在も有効か	有効でなければ該当する情報の入力を止める
人間の判断を置いた箇所	決めた定期日／担当者が交代したとき	判断が実際に行われた記録の有無	行われていなければ担当を割り当て直す
記録とデータ	決めた定期日	記録から入力と出力をたどれるか、不要なデータや冗長なログが残っていないか	たどれない箇所は残し方を直し、不要なものを削除して参照方法を更新する
サービスのアップデート	提供事業者からの更新通知	出力や連携先の挙動が変わっていないか	変化があれば動作確認をやり直す

最後の行に関して、第1.2版は利用中の事項として「AIシステムのアップデート及びAIの点検・修理又はそれらをAI提供者へ実施を依頼」を挙げ、「ただし、アップデートにより連携する他のAIに影響を及ぼしうる」ことも考慮すると注記しています。他のツールと連携させている場合は、更新の影響が1件の中で閉じないことがあります。動作確認をやり直す範囲も着手前と同じ考え方で決め、変わった機能が関わる入力の類型と、影響が大きい類型から確認してください。

記録とデータの行についても、第1.2版は利用中の事項として「不要なデータや冗長なログの削除等による、データ最小化と適切なデータ管理の徹底」を挙げています。何を消してよいかを着手前に決めておくと、確認のたびに判断せずに済みます。削除の対象は、どの入力でどの出力を使ったかをたどれる状態が保たれる範囲で決めます。

やめる条件と停止後の引き継ぎが決まったか

合格の条件は、どういう状態になったら止めるか、誰の判断で止められるか、止めたあとに何を残して次に渡すかの3点が、着手前に関係者間で合意されていることです。

最初の1件で最も抜けやすいのがこの項目です。着手前の議論は「どうやってうまくいかせるか」に集中しがちですが、問題が起きたあとに止める条件を決めようとすると、判断そのものが「失敗を認めるかどうか」の議論になり、動けなくなります。**やめる条件は、後から行う失敗処理ではなく、着手前に満たしておく合格条件として扱ってください。**決めておく内容は次の3点です。

• 止める状態: 出力の誤りがどの程度・どの範囲で出たら止めるか。確認の負荷がどうなったら止めるか。入力してよい情報の前提が崩れたときは即時に止めるか。
• 止められる人: 現場の利用者が自分の判断で止めてよいのか、業務責任者の判断が要るのか。連絡が付かないときは誰が代わるのか。
• 止めたあとに残すもの: どこまで進んでいたか、何が起きたか、どの記録がどこにあるか。

あわせて、外部への連絡が必要になる場合も想定しておきます。同別添5は「関係するステークホルダーと協力して行う予防措置及び事後対応」として「AIが人間の生命・身体・財産に危害を及ぼした場合に講ずるべき措置の実施」「セキュリティが侵害された場合に講ずるべき措置の実施」「個人のプライバシーを侵害した場合に講ずるべき措置の実施」を挙げ、別に「AI提供者（又はAI提供者を通じてAI開発者）に対するインシデント情報のフィードバック」を、予兆があった場合も含むものとして挙げています。この4つに利用前・利用中の区別は付いていません。自社の中で止めて終わりにせず、提供者・開発者へ共有する連絡先を先に確認しておくと、実際に起きたときに探さずに済みます。

止めることは失敗ではなく、止める条件が決まっているからこそ範囲を絞って試せます。止めたあとの立て直し方は『生成AI導入が初期段階で失敗する原因と立て直し方』が扱います。着手する1件の範囲をどこで区切るかについては『生成AI導入を何から始める？最初の業務を選ぶ実践手順』が扱います。

よくある質問

着手前によく出る疑問は、判定を始められる状態、未決項目の扱い、入力してよい情報、人間の承認範囲の4点に整理できます。

Q1. 使う業務の候補がまだ1件に絞れていない場合はどうすればよいですか？

この記事の判定は使えません。合格条件のうち、入力してよい情報、人間の判断を置く箇所、やめる条件は、対象業務が1件に定まっていないと書けないためです。優先順位の付け方は『AI化する業務の選び方｜優先順位を決める判断基準』が扱います。絞り込みが終わってからこの記事に戻ってください。

Q2. 未決の項目が残ったまま着手してはいけませんか？

原則として着手しません。ただし、条件を満たすまで見送るほかに、未決の項目が効かないところまで対象範囲を狭めて着手するという選択肢があります。範囲を狭めた場合は、何を狭めたのかと、いつ見直すのかを記録に残してください。

Q3. 個人情報を含む入力は一律で禁止すべきですか？

一律禁止が公式に求められているわけではありません。個人情報保護委員会の2023年6月2日の注意喚起は、個人情報取扱事業者に対して、利用目的を達成するために必要な範囲内であることの確認と、提供事業者が個人データを機械学習に利用しないこと等の確認という2点を示しています。自社の判断として禁止することは選べますが、それは確認を省く代わりの措置です。確認して認めるのか、確認せずに禁止するのかを決めること自体が、着手前の作業になります。

Q4. すべての出力に人間の承認が必要ですか？

必要とはされていません。AI事業者ガイドライン第1.2版の別添5が示しているのは、「出力によって重大な影響又は被害が生じ得る場合」に「適宜」人間の判断を介在させることです。すべての出力への一律承認は公式の要求ではなく、実務上も確認者の負荷が上限に達した時点で形骸化します。決めるべきなのは、どの出力に判断を置くかという線引きと、そこに割り当てる実在の担当者です。個別の承認を置かないと決めた出力でも、入力と出力をたどれる記録は記録方針に従って残します。

まとめ

生成AIを使う最初の1件で決めるのは、ツールの選定ではなく、着手してよいと言える状態を作ることです。知識・技能、入力してよい情報の2点確認、人間の判断を置く箇所、後から確認できる記録、利用中の定期確認と見直しの契機、やめる条件と停止後の引き継ぎ。この6つに「満たされたと言える条件」を書き込み、1つでも未達なら、範囲を狭めるか着手を見送ります。とくに抜けやすいのはやめる条件で、着手前に合意しておけば、止める判断が失敗の議論になりません。

次回の確認日を空欄のままにせず、日付を入れたところで着手可否の判定は完了します。本文の根拠は2026年7月31日に確認した公式資料であり、項目の区切り方や合格条件の書き方は編集部による整理です。AI事業者ガイドライン第1.2版は非拘束的なソフトローであり、法令上の義務を課す文書ではありません。導入や運用に関する他のテーマはAI関連記事一覧にまとめています。

参考資料

• 総務省・経済産業省「AI事業者ガイドライン第1.2版」掲載ページ
• 総務省・経済産業省「AI事業者ガイドライン第1.2版」別添
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023年6月2日）
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」別添1（2023年6月2日）