取引先から「生成AIの利用管理」を問われたら——セキュリティチェックシートに答えられる状態の作り方

大企業のセキュリティ部門が「情報セキュリティ10大脅威」などの動向を踏まえてチェックシートを更新すると、その設問は数か月遅れで取引先、つまり中小企業に届きます。生成AIの設問はまさにいま増えている領域です。「うちはAIをほとんど使っていないから関係ない」と思っていても、設問は届きます。使っていないなら使っていないで、それを根拠を持って答える必要があるからです。

本記事では、よくある設問の型と、根拠を持って回答できる状態の作り方を解説します。

よくある設問の4系統

会社や書式によって表現は違いますが、生成AIに関する設問はおおむね次の4系統に整理できます。

1. ルールの有無

「生成AIの業務利用に関する規程・ガイドラインを定めていますか」。最も基本的な設問です。ここで問われているのは文書の有無だけでなく、利用してよいサービスの範囲と、入力してよい情報の線引きが決まっているか、という中身です。

2. 入力情報の管理

「機密情報・個人情報を生成AIに入力しない管理策がありますか」。この設問には段階があります。ルールで禁じている（規程レベル）、教育している（人のレベル）、技術的に検知・制御している（仕組みのレベル）。自社がどの段階かを正確に答えることが大切です。

3. 利用状況の把握

「従業員の生成AI利用状況を把握していますか」。シャドーAIを想定した設問で、ここが最も答えにくい項目です。「ルールはあるが、守られているかは分からない」状態だと、正直に書けば「把握していない」になります。

4. 教育・周知

「生成AIのリスクに関する教育を実施していますか」。頻度と対象範囲（全社員か一部か）を問われることが多い項目です。

「いいえ」より怖い、根拠のない「はい」

チェックシートで本当に避けるべきは、「いいえ」と答えることではありません。根拠なく「はい」と答えることです。

回答は取引先との約束として残ります。万一、自社経由の情報の扱いが問題になったとき、「利用状況を把握している」と回答していながら実際には記録が何もなければ、事故そのものに加えて「虚偽に近い回答をしていた」という説明責任が重なります。逆に、現時点で「一部把握」なら、そう書いたうえで改善計画を添えるほうが、取引先の評価は安定します。チェックシートは満点を競う試験ではなく、実態の申告です。

答えられる状態を最短で作る3点セット

4系統の設問に根拠付きで答えるための最小構成は、次の3点です。

1. ルール1枚

利用してよいサービス、入力情報の線引き、相談窓口を1〜2ページで文書化します。これで設問1に「あり（制定日付き）」と答えられます。作り方はAI利用ルールの記事を参照してください。

2. 利用の記録

AI利用が記録に残る形（会社アカウントへの集約と、経路での記録）に利用を寄せます。これで設問3に「把握している（方法: 〜）」と、方法まで書いて答えられます。記録手段の選び方は可視化の3つの方法で比較しています。設問2の「仕組みのレベル」も、まずは記録から始まります。

3. 年1回の教育

入力の線引きと相談窓口を全社員に周知する場を年1回以上設け、実施日と対象を残します。これで設問4に実績付きで答えられます。教材は自作の30分資料で十分です。

回答例の考え方

たとえば設問3「利用状況を把握していますか」に対して、3点セットが整っていれば次のように書けます。

業務でのAI利用は会社管理のアカウントに限定し、社内ネットワークからのAIサービス利用を経路上で記録しています。記録は月次で確認し、未許可サービスの利用が確認された場合は利用者への確認と公認可否の判断を行っています。

具体的な手段と運用頻度まで書けることが、「はい」に根拠がある状態です。この一文が書けるかどうかを、自社の整備状況のセルフチェックに使ってください。

まとめ

• 生成AI設問は「ルール・入力管理・把握・教育」の4系統。届いてから慌てず、型で準備する
• 根拠のない「はい」が最大のリスク。実態の申告＋改善計画が信頼を作る
• ルール1枚・利用記録・年1回教育の3点セットで、大半の設問に答えられる

チェックシートへの対応は、監査のための「やらされ仕事」に見えて、実際には自社のAI利用を安全に広げる土台づくりと同じ作業です。どうせやるなら、回答のためだけでなく、活用のための整備として進めましょう。