中小企業のAI導入、最初の30日でやるべき「セキュリティ設計」5ステップ

「全社でAIを使いたい。でも、情報漏えいが怖い」。中小企業の経営者から、いま最も多く寄せられる相談がこれです。

結論からお伝えします。AI導入の失敗の大半は「ツール選び」ではなく「セキュリティ設計の不在」で起こります。 逆に言えば、最初の30日で設計さえ固めれば、リスクを抑えながら全社展開まで一気に進められます。

この記事では、私たちが実際の伴走支援で使っている「最初の30日でやるべきセキュリティ設計 5ステップ」を、そのまま公開します。

対象は、社員10人から50人くらいの規模で、これから全社にAIを広げたい経営者・情報システム担当の方です。読み終えると、30日を4週に割ったときに何週目で何を決めるのか、決めた内容をどの形（分類表・設定・ガイドライン1枚）で残すのかが分かります。

なぜ「ツール選び」より「セキュリティ設計」が先なのか

多くの会社が、AI導入を「どのツールを契約するか」から始めてしまいます。しかし、これが最初のつまずきです。

気持ちは分かります。使ってみないと何ができるか分からないので、まず契約したくなります。

ただ、契約した瞬間から現場は使い始めます。止める理由が無いものは、止まりません。

ありがちな失敗パターン

ツールを先に決めると、こんな順番で問題が起きます。

1. とりあえず有料プランを契約する
2. 現場が「便利だ」と機密情報を入力し始める
3. 入力データが学習に使われる設定のまま運用される
4. 数ヶ月後に「あの情報、外部に出ていないか？」と不安になる

この時点で社内ルールを作ろうとしても、すでに“なし崩し”で使われているため、後から制御するのは非常に困難です。

もうひとつ厄介なのは、便利さを覚えた社員を止められないことです。仕事が速くなった実感があるので、禁止しても別の手段で使い続けます。事故が起きるのは、たいていこの隠れて使っている時間帯です。

順番を逆にするだけでリスクは激減する

正しい順番はシンプルです。「設計 → ルール → ツール → 展開」。最初の30日は、この“設計”と“ルール”に集中します。

順番を戻すのに遅すぎることはありません。すでに使い始めている会社でも、いま分類表を作って設定を確認すれば、そこから先は同じ形に持っていけます。

設計といっても、大がかりな話ではありません。何を入れてよいかを決め、学習に使われない設定にし、1枚のルールにする。やることはこれだけです。

順番を変えるだけなので、追加の費用もほとんどかかりません。かかるのは、決めるための時間です。

セキュリティは「機能」ではなく「順番」の問題。先に枠を決めてからツールを入れるだけで、事故の大半は防げます。

30日を4週に割る：どの週に何を決めて、どの形で残すか

5つのステップを、そのまま4週に割り付けます。先に週の割り当てを決めておくと、途中で止まりにくくなります。

第1週から第2週は、情報を分類し、学習に使われない設定にそろえるところまでです。決めた結果はA4・1枚の分類表と、管理画面の設定という形で残します。

第3週から第4週は、ガイドライン1枚を配り、小さく試して事故の予行演習をするところまでです。ここで残るのはガイドライン1枚と、試したときに出た質問の記録になります。

週	やること	誰が決めるか	残る形
第1週	扱う情報を3段階に分類する	経営者と各部署の代表	分類表1枚
第2週	学習に使わない設定にそろえる	契約の窓口担当	管理画面の設定と控え
第3週	ガイドラインを1枚にまとめる	情報システム担当	ガイドライン1枚
第4週	1部署で試し、質問を集める	試す部署の責任者	質問と追記の記録

4週に割る利点は、決める人が週ごとに変わることです。全部を情報システム担当に任せると、分類の判断まで背負わせることになって止まります。決める人を先に分けておけば、それぞれの週で話が進みます。

週をまたいで遅れるのは、たいてい第1週です。分類が決まらないと、あとの3週がすべて後ろにずれます。

詰まったら、完璧な分類をあきらめてください。迷った情報をすべてレベル3に入れて先に進めば、第2週には入れます。

ポイント：4週の割り当ては会議1回で決められます。決めた表は、ガイドラインと同じ場所に置いてください。

ステップ1：扱う情報を3段階で分類する

最初にやるのは、ツールの契約ではなく「自社の情報の棚卸し」です。

決めるのは経営者と各部署の代表です。現場に任せると、判断が人によってばらばらになります。

かかる時間は会議1回、長くても2時間です。分類そのものより、だれが決めたかをはっきりさせるほうが効きます。

情報を3つのレベルに分ける

すべての情報を、AIに入力してよいかどうかで3段階に分類します。

レベル	区分	AIへの入力	例
レベル1	公開可	自由に入力OK	プレスリリース、公開済み資料
レベル2	社内限定	条件付きで可	議事録、社内マニュアル
レベル3	機密	原則禁止	顧客の個人情報、未公開の財務

この表を1枚作るだけで、現場の判断基準が劇的に明確になります。

分類を作るときは、いま実際に扱っている書類を机に並べてから始めてください。頭の中だけで考えると、抽象的な区分になって現場で使えません。過去1か月に作った資料を10種類ほど持ち寄れば十分です。

ポイント：迷ったらレベル3に倒す

判断に迷う情報は、安全側（レベル3）に倒すのが鉄則です。後から緩めるのは簡単ですが、漏れた情報は取り戻せません。

逆に、レベル1は思っているより多く見つかります。すでに公開している資料や、社外にそのまま出しているパンフレットは全部ここに入ります。ここが厚いほど、現場は安心して使い始められます。

詰まりやすいのは、レベル2の線引きです。社内限定といっても、部署をまたぐと社外に近い扱いになる情報があります。

迷うなら、まず部署ごとに表を作ってください。全社で1枚にするのは、各部署の表がそろってからで間に合います。

ポイント：分類表は「完璧」より「今日から使える」を優先。まずA4・1枚で作り、運用しながら育てるのが成功パターンです。

ステップ2：データが学習に使われない設定にする

法人向けプラン（ChatGPT Enterprise / Team、Claude のチームプラン等）では、入力データを学習に使わない設定が標準で用意されています。

決めるのは契約の窓口担当です。設定を触れる権限を持つ人が1人いれば、その日のうちに終わります。

必ず確認すべき2点

• 入力データがモデルの学習に使われないこと（オプトアウト or 法人プラン既定）
• 会話ログの保持期間と削除ポリシー

ここを確認せずに個人向け無料プランを全社で使うのは、最も多い事故原因です。法人プランの契約は、コストではなくセキュリティ投資と捉えてください。情報が漏れる具体的な仕組みは別記事で解説しています。

設定の場所はプランによって変わりますし、画面も更新されます。マニュアルを写して回すより、その日に管理画面を開いて一緒に確認してしまうほうが確実です。確認する日を1日決めて、その場で終わらせてください。

詰まるのは、すでに個人アカウントで使っている社員がいるときです。取り上げるより、法人のアカウントに移してもらうほうが早く片づきます。

移す期限を1週間で切ってください。期限を切らないと、いつまでも両方が残ります。

設定を変えたら、画面を保存して控えを残しておきます。あとで「本当に切り替わっているのか」を聞かれたときに、これが答えになります。

ステップ3：社内ガイドラインを「1枚」で作る

分厚い規程は誰も読みません。現場が実際に守れるのは、A4・1枚に収まるガイドラインです。

最低限入れるべき項目

1. 入力してよい情報／いけない情報（ステップ1の表）
2. 使用を許可するツールと、禁止するツール
3. 出力を使うときの確認ルール（ファクトチェック必須など）
4. 困ったときの相談先（担当者・窓口）

1枚に収める理由は、配ったあとに読み返されるかどうかで決まるからです。分厚い規程は最初の1回すら読まれず、結局だれも判断基準を持たないまま使い始めます。1枚なら机に貼れますし、新しく入った人にもそのまま渡せます。

“禁止”だけでなく“推奨”も書く

「やってはいけないこと」だけのルールは、現場のやる気を削ぎます。「この業務にはむしろ積極的に使ってOK」という推奨例を併記すると、安全と活用が両立します。ガイドラインに入れる項目の具体例やテンプレは別記事にまとめています。

作るのは情報システム担当ですが、1人で書き上げないでください。各部署の代表に一度見せてから配ると、守られ方が変わります。

かかる日数は3日ほどです。項目は4つだけなので、時間がかかるとしたら文言の調整の部分になります。

詰まったときは、他社の規程を写さないでください。自社の分類表とつながっていない文章は、現場が読んでも判断に使えません。

ステップ4：小さく試して、事故の“予行演習”をする

いきなり全社展開しないこと。まずは1部署・数名で試験運用します。

パイロット運用で見るべきこと

• ガイドラインが現場で実際に守れるか
• 想定していなかった使い方が出てこないか
• 「これは入力してOK？」という質問がどこで発生するか

ここで出た質問こそが、ガイドラインに追記すべき“生きた事例”になります。

作ったガイドラインは、配る前に声に出して読んでみてください。読みにくい文章は、そのまま守られない文章になります。項目の順番も、現場が迷う順に並べ替えると効きます。

試す部署は、いちばん忙しいところを選んでください。余裕のある部署で試すと、本番で起きる問題が出てきません。

期間は2週間で足ります。長く試すほど丁寧に見えますが、質問が出そろうのは最初の数日です。

試験運用のあいだは、質問を集める場所を1つに決めておきます。口頭で聞かれて口頭で答えると、同じ質問が別の人からまた出てきます。書き残しておけば、そのままガイドラインの追記になります。

予行演習として、うっかりレベル3の情報を入れてしまった場面も一度やってみてください。誰に何分以内に伝えるかを、その場で決めておきます。

詰まったら、試す範囲を1業務に絞ります。部署全体で試そうとすると、そもそも始まらないことがあります。

ステップ5：全社展開と、続けられる運用体制をつくる

最後に、全社へ広げます。ただし「展開して終わり」にしないことが重要です。

形骸化させない3つの仕組み

• ガイドラインを3ヶ月ごとに見直す担当を決める
• 新しいツール・新しい事例を追記し続ける
• 現場の「これ便利だった」を共有する場をつくる

AIもルールも、技術の進化に合わせて変わり続けます。更新され続ける仕組みそのものが、最大のセキュリティ対策です。

全社に広げるときは、使ってよい業務の例を先に見せてください。禁止事項から入ると、現場は触らないほうが安全だと判断します。試した部署で実際に楽になった作業を、そのまま例として出すのがいちばん伝わります。

展開の日は、分類表とガイドラインを同時に配ってください。ルールだけが先に届くと、禁止されたとしか伝わりません。

見直しの担当は、名前で決めます。役職で決めると、異動のたびに宙に浮きます。

詰まるのは、3か月後の見直しがいつのまにか消えるところです。会議の予定として先に入れておくと残ります。

まとめ：30日の設計が、その後の数年を決める

最初の30日でやるべきことを、もう一度整理します。

1. 情報を3段階に分類する
2. 学習に使われない設定にする
3. ガイドラインを1枚で作る
4. 小さく試す
5. 全社展開＆更新し続ける

この順番を守るだけで、「情報漏えいが怖くて進められない」状態から、「リスクを抑えて全社で使える」状態へと変わります。

ここまでの5つは、どれも順番に意味があります。分類が無いままガイドラインを書くと中身が抽象的になり、試さないまま全社に配るとルールが現場に合いません。飛ばしたくなる週ほど、あとで戻ってくることになります。

30日と書きましたが、決めている時間そのものは合計で1日ぶんもありません。空いていないのは日数ではなく、決める場です。

逆に言えば、会議を4回とるだけで形になります。先に4回の日程を押さえてしまうのが、いちばん確実な進め方です。

とはいえ、自社だけで設計しきるのは負担も大きいもの。「うちの場合はどう設計すべき？」と思ったら、まずは気軽にご相談ください。 御社の状況に合わせた最初の一歩を、無料でお伝えします。