AI業務診断のチェックリスト｜経営者と責任者が確認する項目

AI業務診断では、棚卸し済みの業務ごとに「重大な影響が生じ得るか」「個人情報・個人データを扱うか」「外部連携や自律的な動作を伴うか」を確認します。判断できない点は未確認として保留し、根拠、確認者、確認日を残せば、経営者が人の判断を置く範囲を決められます。

AI業務診断のチェックリスト

AI業務診断の合否は、3つの評価軸を確認し、判断の根拠と未確認事項を後から追える状態にできたかで判定します。

本記事のチェックリストは、2026年7月31日時点で逐語確認できた公的資料を基に、企業が自社で業務を評価できる形へ編集したものです。「AI業務診断」について、公的な標準手順や共通の点数表は確認できていません。したがって、以下の項目数や「確認済み・条件付き・未確認・対象外」という区分は公的基準ではなく、判断漏れを防ぐための編集上の整理です。

AI事業者ガイドライン第1.2版は、法的拘束力のない非拘束的なソフトローです。一方、個人情報の扱いは、個人情報保護法の規律を踏まえ、個人情報保護委員会が2023年6月2日に公表した注意喚起を確認します。二つを同じ強さのルールとして扱わないことが重要です。

評価項目	経営者・責任者が確認する問い	記録する根拠	判定の考え方
重大な影響	AIの出力や操作が誤ったとき、人の生命・身体・財産、権利、取引、雇用などへ重大な影響又は被害が生じ得るか	利用場面、影響を受ける相手、誤りの結果、人が判断する箇所	影響があり得るなら、人間の判断を介在させる位置を明記
情報の種類	入力・参照・出力に個人情報または個人データが含まれるか	データ項目、利用目的、サービスの契約・設定	「含むから不可」ではなく、必要な確認が完了したかで判定
外部連携・動作	外部システムへの送信、更新、確定、注文、削除などをAIが行い得るか	連携先、実行可能な操作、停止方法、確認者	閲覧・下書きと実行を分け、影響範囲が説明できるかを確認
記録・証跡	誰が、何を根拠に、いつ判断したかを後から確認できるか	URL、規程、設定画面、テスト結果、議事記録	根拠が追えなければ未確認。形式より再確認可能性を重視

チェック欄を埋めるだけでは診断は成立しません。たとえば「人が確認する」にチェックしても、誰が、どの時点で、何を見て、どの条件なら差し戻すのかが不明なら、重大な影響への対応を説明できないため未確認です。各業務について、問い・事実・根拠・判定を一組で残してください。

診断の前提：棚卸し済みの業務一覧があること

診断は、業務名だけでなく入力・処理・出力・利用者が記載された棚卸し済みの一覧を受け取り、一覧の各行を評価する工程です。

本記事は業務の洗い出し方を扱いません。業務一覧の作り方は「AI導入前の業務棚卸しの進め方」が担当する範囲です。診断では、すでに一覧にある各業務について、少なくとも次の情報が読み取れるかを確認します。欠けていれば診断担当者が推測で補わず、その項目を未確認として返します。

一覧から読み取る情報	診断で必要になる理由	不足時の扱い
業務の開始条件と終了条件	AIが関与する範囲を区切るため	対象範囲を未確認にする
入力・参照する情報	個人情報、個人データ、機密情報の有無を確認するため	情報区分を未確認にする
出力と利用先	誤りが誰にどのような影響を与えるかを見るため	影響評価を未確認にする
現在の確認者・決裁者	人間の判断をどこへ置けるかを見るため	判断責任を未確認にする
使用中または想定中のサービス	契約、設定、学習利用、外部連携を確認するため	サービス条件を未確認にする

同じ「問い合わせ対応」でも、社内向け回答案の作成と、顧客への回答の確定・送信では影響が異なります。診断単位が広すぎる場合は、業務を新たに洗い出すのではなく、一覧の一行を「下書き」「承認」「送信」のように評価可能な単位へ分けるよう差し戻します。ここでの目的は候補を増やすことではなく、評価対象を誤解なく特定することです。

評価軸①：重大な影響又は被害が生じ得るか

最初の評価軸は、AIの出力や操作が誤った場合に重大な影響又は被害が生じ得るかを確認し、必要な箇所へ人間の判断を置くことです。

AI事業者ガイドライン第1.2版の別添5（AI利用者向け）は、「出力によって重大な影響又は被害が生じ得る場合」に、人間の判断を介在させる仕組みに基づいて「適宜」判断する考え方を示しています。すべての出力へ一律に承認を求める内容ではありません。また、重大な影響があり得る業務を一律にAI利用の対象外とする内容でもありません。

診断では、AIが正しいときの便利さではなく、誤ったときの結果から確認します。経営者は許容できない影響を定め、部門責任者は出力の利用場面と差し戻し条件を説明し、情報管理や法務などの担当者は自部門の確認が必要かを判断します。

確認する事実	具体的な問い	判定への反映
影響を受ける相手	従業員、顧客、取引先、一般の利用者の誰に届くか	社内の下書きより、外部へ確定結果が届く業務を慎重に確認
影響の内容	生命・身体・財産、権利、雇用、契約、支払、信用へ影響し得るか	影響が重大なら人間の判断を介在
AIの関与位置	検索、要約、下書き、推薦、判定、確定のどこか	参考情報の提示と最終判断を分離
訂正可能性	誤りを利用前に発見・修正できるか	事後訂正しかできない場合は条件を厳しくする
判断者	誰が何を見て承認・差し戻しするか	氏名ではなく役割と代行経路まで記録

たとえば、AIが社内会議の要点を下書きし、担当者が原記録と照合してから共有する場合と、AIの判定がそのまま採用可否や契約条件へ反映される場合は、同じ「文書処理」でも扱いが違います。後者では、判断根拠を確認できる人、承認前に停止できる仕組み、誤りが疑われる場合の差し戻し先まで確認できなければ「条件付き」または「未確認」とします。

評価軸②：扱う情報の種類（個人情報・個人データ）

二つ目の評価軸は、入力する情報が個人情報か個人データかを区別し、利用目的とサービス側の取り扱いをそれぞれ確認することです。

個人情報保護委員会が2023年6月2日に公表した「生成AIサービスの利用に関する注意喚起等」は、個人情報取扱事業者について二つの確認を示しています。個人情報を含むプロンプトを入力する場合は、特定された利用目的を達成するために必要な範囲内かを十分に確認します。あらかじめ本人の同意を得ずに個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合は、提供事業者が当該個人データを機械学習に利用しないこと等を十分に確認します。

原文は「個人情報」と「個人データ」を書き分けています。診断表でも一括して「個人情報あり」とだけ書かず、どの項目がどの区分に当たるかを社内の担当者へ確認します。この注意喚起は2023年6月2日の文書であり、2026年時点の最新規制や最終基準とみなさず、現行法令・自社規程・最新のサービス条件も別途確認してください。

情報・条件	診断時の確認	残す証跡	判定例
個人情報を含むプロンプト	特定された利用目的の達成に必要な範囲内か	利用目的、入力項目、確認者、確認日	範囲を説明できれば確認済み。説明できなければ未確認
個人データを含むプロンプト	本人同意の有無、応答出力以外の取り扱い、機械学習への利用有無を確認したか	契約、規約、設定画面、提供者の回答	条件を確認できなければ入力を前提に評価しない
顧客・従業員の情報を含まないデータ	本当に個人を識別できる情報が混在しないか	データ項目表、サンプル、抽出条件	混在の可能性が残れば未確認
サービスからの出力	従業員個人への注意として示された、不正確な個人情報が含まれる可能性を踏まえ、利用前に確認するか	確認項目、参照元、差し戻し方法	外部利用前の確認方法が不明なら条件付き

「個人情報があるから不可」「社内利用だから問題ない」という二択では不十分です。必要なのは、入力する項目、利用目的、サービス側の取り扱い、出力の利用先を一続きで確認することです。サービス名だけを記録するのではなく、どの契約プランと設定を誰がいつ確認したかまで残すと、条件変更時に再確認できます。

評価軸③：外部連携・自律的な動作を伴うか

三つ目の評価軸は、AIが回答を表示するだけか、外部システムと連携して送信・更新・確定・注文・削除などを行い得るかを分けることです。

AI事業者ガイドライン第1.2版は、AIエージェントを「特定の目標を達成するために、環境を感知し自律的に行動するAIシステム」と定義しています。別添1はAIエージェント等について、入力経路や外部連携が増えることで被攻撃対象が拡大すること、自律的な動作の中で意図しない商品の注文やファイル削除等が起こり得ること、内部データが意図せず外部送信される可能性を挙げています。

これらはAIエージェントに関するリスク記述です。通常の生成AIによる文章作成へ無条件に広げてはいけません。診断では製品の呼び名ではなく、対象業務で実際に許可される入出力と操作を確認します。ある程度の自律性を持つものも定義に含まれるため、「完全自動ではない」という理由だけで確認対象から外さないようにします。

機能の範囲	確認する内容	主な証跡	未確認なら止める対象
閲覧・検索	参照できる保存先と情報の範囲	接続先一覧、参照設定	機密情報への到達範囲
下書き・提案	出力を見る人と採用判断者	画面、承認ルール	外部公開前の確認方法
外部送信	宛先、内容、送信前確認、取消可否	連携仕様、送信ログ	誰に何を送れるか
更新・確定	変更できる項目、承認、復元方法	権限設定、変更履歴	顧客・契約・会計情報への影響
注文・削除	金額・対象の制限、二重確認、停止方法	テスト結果、監視・停止手順	意図しない実行を防ぐ条件

連携機能があるだけで対象外にする必要はありません。ただし、「実行前に人が確認する」「読み取り専用に限定する」「検証環境だけで動かす」などの条件を置く場合、その条件が製品の実際の設定で担保されるかを確認します。口頭の運用予定しかなく、設定やログで確かめられない場合は確認済みにしません。

加えて、AI事業者ガイドライン第1.2版の別添5（AI利用者向け）は、利用前に「提供されたAIシステム・サービスが想定された仕様に基づき適切に動作しているかについての基本的な動作確認」を挙げています。外部連携や実行条件は、説明だけでなく、想定した仕様どおりに動くことを利用前のテスト結果で確かめます。

判断できない「未確認」の扱い方

判断材料が足りない項目は否定や推測で埋めず、「未確認」として必要な証跡、確認担当、期限を記録します。

未確認は不合格の言い換えではありません。情報がないことと、条件に適合しないことを分けるための判定です。たとえば、サービスが個人データを機械学習へ利用しないか確認できない場合、「利用する」「利用しない」のどちらとも断定せず、契約や提供者回答の確認が終わるまで、そのデータ入力を前提とした評価を保留します。

判定	意味	必ず記録すること	次回の見直し条件
確認済み	根拠を基に評価できた	結論、根拠、確認者、確認日	根拠となる契約・設定・業務が変わったとき
条件付き	条件を守れば評価できる	条件、担保方法、責任者、逸脱時の扱い	条件を設定や手順で確認できたとき
未確認	判断に必要な情報が不足	不足情報、入手先、担当、期限	証跡を入手し再評価したとき
対象外	問いがその業務に該当しない	対象外とした理由	業務範囲や機能が変わったとき

未確認を放置しないために、診断表では「何を確認するか」だけでなく「何が見つかれば判断できるか」を書きます。「セキュリティを確認する」では広すぎます。「外部送信できるデータ項目と送信先が分かる連携仕様を情報管理担当が確認する」のように、証跡の完成形まで指定します。

反対に、検索や画面表示の方法が悪くて根拠を見落とした可能性がある場合は、すぐに「記載なし」と決めません。規約本文、契約書、管理画面、提供者の回答など、肯定的な記載を発見できる手段で確認したかを残します。

評価の記録方法と証跡の残し方

診断記録は専用様式でなくてもよく、業務・問い・根拠・判定・確認者・確認日を後から容易に確認できれば成立します。

AI事業者ガイドライン第1.2版は文書化について、後から容易に確認可能となるよう適切なツールで記録が残されていれば差し支えなく、必ずしも紙媒体や特定の文書形式による必要はないとしています。表計算、チケット管理、文書管理など、自社で更新履歴と参照権限を管理できる方法を選べます。

同ガイドラインの別添5（AI利用者向け）は、利用前に「AIシステム・サービスの利用過程におけるログ（操作履歴、入力・出力の記録等）の管理体制の整備」を挙げています。これは利用前に管理体制を整える項目であり、利用中に適正な範囲・方法で使われているかを定期的に確認する項目とは分けて記録します。

ただし、形式が自由であることは内容を省略してよいという意味ではありません。診断結果だけを残すと、担当者の異動やサービス条件の変更後に再現できません。最低限、次の列を一つの台帳で結び付けます。

記録列	記載内容	記載例
対象業務・範囲	どこからどこまでを評価したか	問い合わせ回答案の作成まで。送信は含まない
評価軸・問い	何を判断したか	個人データを含むプロンプトを入力するか
確認した事実	推測ではなく確認できた内容	対象プランの管理画面で学習利用設定を確認
根拠	URL、文書名、設定、ログ、テスト結果	規約URL、確認した設定名、保存した画面
判定・条件	確認済み、条件付き、未確認、対象外	条件付き：承認前は外部送信しない
人の判断	誰が、いつ、何を確認するか	部門責任者が送信前に原資料と照合
確認者・確認日	判断した役割と日付	情報管理責任者、2026年7月31日
再確認の契機	いつ評価を見直すか	契約、設定、連携先、業務範囲の変更時

証跡は、診断日時点の状態を示せるものにします。変化するウェブページはURLだけでなく確認日を残し、設定画面は対象プランや組織が分かる形で保存します。個人情報や秘密情報そのものを診断台帳へ複製する必要はありません。証跡の保存先と閲覧権限を記し、台帳には判断に必要な範囲だけを残します。

複数業務の着手順を決める作業は「AI化する業務に優先順位を付ける手順」の範囲です。本記事の診断台帳では点数を足して順位を付けず、各業務の評価と残る不確実性を正確に引き渡します。

主体を取り違えないための確認事項

自社がAI利用者として決める事項と、AI提供者・AI開発者へ確認する事項を分ければ、ガイドラインの対象を取り違えずに診断できます。

AI事業者ガイドライン第1.2版は、AI開発者、AI提供者、AI利用者の3主体を定義しています。本記事の主な読者は、事業活動でAIシステムまたはAIサービスを利用する「AI利用者」です。同じ企業が、活用方法によって複数の主体を兼ねる場合もあるため、会社名だけでなく対象業務での役割を確認します。

主体	対象業務での立場	診断表での扱い
AI利用者	事業活動でAIシステム・サービスを利用する	利用目的、入力、出力の利用、人間の判断、ログ管理などを自社で決める
AI提供者	AIを組み込んだサービスとして利用者などへ提供する	サービスの仕様、権限設計、契約、データの取り扱いを確認する相手
AI開発者	AIシステムを開発する	開発時のデータ参照や設計について確認が必要になる相手

「ユーザーやシステムに付与する権限を業務遂行に必要な最小限に設定する」は別添4のAI提供者向け、「必要最小限のデータ入力・参照」は別添3のAI開発者向けの記述です。これらをAI利用者である読者への公式要求として書き換えてはいけません。

診断では、自社の利用条件としてどの操作を許可するかを決めることと、提供者の権限設計がどのようになっているかを確認することを別欄にします。自社開発を行いAI開発者も兼ねるなら、その業務に限って開発者向けの確認事項も適用します。主体を分けることで、誰の未確認事項か、誰に質問すべきかが明確になります。

関連するAIテーマを確認したい場合は、AI関連記事一覧から目的に合う記事を選べます。

よくある質問

ここでは、AI業務診断のチェックリストを使う際に迷いやすい判定を4つに絞って回答します。

Q1. 個人情報を扱う業務はすべて対象外ですか？

いいえ。個人情報を含むプロンプトが利用目的の達成に必要な範囲内かを確認し、個人データについては本人同意や応答出力以外の取り扱い、機械学習への利用有無など、該当条件を確認します。情報の区分やサービス条件を確認できなければ、その入力を前提とした評価を未確認にします。

Q2. AIの出力はすべて人が承認しなければなりませんか？

一律の承認が求められているわけではありません。AI事業者ガイドライン第1.2版の別添5は、出力によって重大な影響又は被害が生じ得る場合に、人間の判断を介在させる仕組みに基づいて適宜判断する考え方です。業務ごとに影響と利用場面を確認し、人の判断が必要な位置を定めます。

Q3. 根拠資料が見つからない項目は不合格ですか？

直ちに不合格とはせず「未確認」とします。不足している情報、確認先、担当者、期限、何が分かれば判定できるかを記録してください。確認できない状態のまま「問題なし」と扱うことは避けます。

Q4. 専用の診断システムや紙のチェックシートが必要ですか？

必須ではありません。後から容易に確認できる適切なツールへ記録が残っていれば、紙媒体や特定の文書形式に限定されません。表計算やチケット管理でも、対象業務、根拠、判定、確認者、確認日、再確認条件を追えることが大切です。

まとめ

AI業務診断では、重大な影響、情報の種類、外部連携・自律的な動作という3軸を確認し、根拠と未確認事項を追跡可能な形で残します。

経営者と責任者が確認すべきなのは、AIに向くかどうかを一つの点数で決めることではありません。誤りが生じたときの影響、個人情報と個人データの扱い、外部への送信・更新・確定・削除等の操作を業務ごとに分け、人間の判断をどこへ置くかを説明できる状態にすることです。

確認できない事項は推測せず、必要な証跡と担当者を付けて未確認にします。診断結果は形式よりも再確認できることを重視し、契約、設定、連携先、業務範囲が変わったときに見直せる台帳として残してください。

参考資料

本記事で参照した公式資料は、2026年7月31日時点で確認した以下の4件です。

• 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」掲載ページ
• 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」本編
• 総務省・経済産業省「AI事業者ガイドライン（第1.2版）別添（溶け込み版）」
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023年6月2日）