AI検索や業務アプリを会社で使うとき、便利さだけを見て進めると、あとから運用で困ります。特に、社内文書、顧客情報、作業記録、営業資料、契約書、従業員情報を扱う場合は、動く画面を作る前に決めることがあります。
AI以前に業務システムとして見る
AIを使うかどうかに関係なく、会社で使うシステムには次の論点があります。
| 領域 | 確認すること |
|---|---|
| 認証 | 誰がログインできるか |
| 認可 | その人が何を見て、何を変更できるか |
| データ保存 | どこに保存し、誰が管理するか |
| バックアップ | いつ、どこへ、どう戻すか |
| ログ | 誰が何をしたか、どこまで残すか |
| 障害対応 | 止まったとき業務をどう継続するか |
| 退職者対応 | アカウント停止と権限剥奪をどう行うか |
| AIサービス | 入力データの保持、学習利用、国外移転を確認したか |
AIはこの上に乗る処理です。AIを入れたから、認証やバックアップが不要になるわけではありません。
機密性、完全性、可用性
情報システムでは、機密性、完全性、可用性という考え方があります。
- 機密性: 見せるべき人にだけ見せる
- 完全性: データが勝手に変わらない、改ざんや誤更新に気づける
- 可用性: 必要なときに使える
AIを使う業務システムでは、この3つを別々に見ます。
たとえばRAGで社内文書を扱うなら、見てよい文書だけ検索対象にすることが機密性です。原本と回答案の差を確認できることが完全性です。検索基盤やAI APIが止まったときに業務をどう続けるかが可用性です。
よくある構成
利用者
↓ 認証
アプリケーション
↓ 認可
業務データ / 文書 / ログ
↓ 必要に応じて
AI API / ローカルLLM / 検索基盤
↓
回答案 / 分類結果 / 下書き
↓
人の確認 / 承認 / 修正重要なのは、AI APIが業務データへ直接自由に触る構成にしないことです。アプリケーション側で、対象データ、権限、ログ、実行範囲を制御します。
運用で決めること
- 管理者は誰か
- 利用者追加と削除の手順は何か
- 退職者、異動者の権限をいつ外すか
- バックアップから戻す訓練をしているか
- 操作ログを誰が見るか
- AIが間違えたとき誰が修正するか
- プロンプト、設定、モデル変更をどう記録するか
- 外部サービス障害時の代替手順はあるか
これらが決まらないまま本番業務に入れると、便利に見える試作品が、会社として管理できないシステムになります。
よくある失敗
- 個人アカウントのクラウドに業務データを置く
- 共有IDで全員がログインする
- 退職者のアカウントが残る
- バックアップはあるが戻したことがない
- AIサービスへ何を送っているか説明できない
- 操作ログがなく、誰が変更したか分からない
- 本番と検証環境が分かれていない
- APIキーがコードや共有ドキュメントに残る
シオラボならどう扱うか
シオラボでは、AI検索、RAG、業務アプリ、既存システム改修、データ可視化を扱うときに、機能だけでなく運用も確認します。
小さく作って試すことは重要です。ただし、試作品の段階でも、どこで動くか、どこに保存するか、誰が見られるか、消すときどうするかを決めます。
選定指針
- 社内文書や顧客情報を扱う: 認証、権限、ログを先に決める
- 外部AI APIを使う: 送信するデータ、保持、学習利用を確認する
- 少人数の管理画面: 認証プロキシや組織IDも候補にする
- 重要な更新がある: 承認フローと操作ログを置く
- 止まると業務に影響する: バックアップと復旧手順を作る
- 退職や異動が多い: アカウント管理を運用に組み込む
AIを安全に使うとは、AIを避けることではありません。会社のデータを、会社として扱える形にしたうえで、検索、分類、生成、抽出を業務システムに組み込むことです。