初採用・初外注の前に作るAI業務台帳｜一人事務所が整理したい5項目
開業して間もない時期に、案内文の下書きや公開資料の要約へ生成AIを使い始めたものの、初めて採用する人や外注先へ、使い方をどう説明すればよいか迷うことがあります。「どの情報を入力してよいのか」「出力は誰が確認するのか」と聞かれても、判断手順が自分の頭の中にしかない状態です。
そこで役立つ可能性があるのが、AIを使う業務を一覧にする「AI業務台帳」です。これは公的な標準様式ではなく、複数の公的資料にある管理上の論点を、YataGarasu編集部が実務向けの5項目に整理した提案です。
個人情報保護法、士業ごとの規律、守秘義務、契約条件などへの適合性は、個別事情に応じて所管機関や有資格者へ確認する必要があります。本記事では法律上の入力可否を判断するのではなく、確認すべき事項を見つけるために、サイトやクラウド上でAI利用業務をどう記録し、更新するかを扱います。
初採用・初外注の前にAI利用業務を見える化する理由
一人で使うAI業務は本人の記憶に依存しやすい
一人事務所では、生成AIの利用方法を文書にしなくても、日々の業務を進められることがあります。たとえば、行政書士が公開されている制度資料を要約するときだけ生成AIを使い、顧客から受け取った資料は入力しないと、自分の中だけで決めているケースです。
中小企業診断士であれば、セミナー案内の初稿には使うものの、顧客の財務情報を含む資料には使わない、と経験的に区別しているかもしれません。しかし、その区別が記録されていなければ、新しく加わった人には伝わりません。
引き継ぐ際に必要なのは、操作方法だけではありません。どの業務で使うのか、何を入力しないのか、生成物のどこを確かめるのか、問題が起きたらいつ止めるのかも共有する必要があります。台帳は、こうした暗黙の判断を書き出す入口になります。
ただし、台帳によって事故を防げる、教育時間を短縮できる、成果物の品質が上がるといった効果は、今回確認した一次情報では実証されていません。台帳の役割は、まず現状と未確認事項を見えるようにすることです。
「初採用・初外注前」は法的期限ではない
確認した公的資料には、初採用や初外注の前にAI業務台帳を作ることを一律に義務付ける記述はありません。編集部がこの時期を勧めるのは、業務を他者へ渡す前に、利用範囲やアクセス権限を見直しやすい運用上の節目だからです。
採用予定が決まったら、求人や雇用手続きと並行して、AIを使う業務を一つ選び、30分から1時間程度で仮の台帳を作成します。外注を予定している場合は、依頼内容を決める段階で、入力禁止情報や使用可能なサービスを整理します。この所要時間は編集部が想定する小規模な試行の目安であり、業務数や確認範囲によって変わります。
採用・外注の予定がない場合でも、現在のAI利用を把握するために作成できます。開業直後は管理規程へ大きな予算を割きにくいため、まず表計算シートなど、すでに安全に運用できる環境で一業務から試す方法が現実的です。新しい有料ツールの契約を先に決める必要はありません。
行政書士と中小企業診断士では確認場面が異なる
行政書士は、相談内容や申請に関連する資料などを扱う場合があります。中小企業診断士は、経営診断資料や財務情報など、顧客の経営上の機密に触れる可能性があります。同じ「顧客資料」でも、含まれる情報、利用目的、契約条件は異なります。
そのため、職種名だけで生成AIへの入力可否を決めることはできません。共通の5項目を入口にしても、実際の入力可否、確認方法、停止条件は業務単位で調整する必要があります。
公的資料から確認できることと、台帳だけでは決められないこと
個人情報を入力するときに確認する事項
個人情報保護委員会は、個人情報取扱事業者が生成AIサービスへ個人情報を含むプロンプトを入力する場合、特定された利用目的を達成するために必要な範囲内であるか、十分に確認するよう注意喚起しています。
また、本人の同意なく個人データを入力し、そのデータが回答生成以外の目的で取り扱われる場合には、個人情報保護法違反となる可能性があるとしています。入力した個人データが機械学習に利用されないことなども、十分に確認するよう求めています。
確認先は、利用するサービスの管理画面だけではありません。利用規約、プライバシーポリシー、データ利用に関する説明、学習利用の設定、履歴や保存に関する設定を見ます。「法人向け」「学習に使わない」といった一つの表示だけで、すべての情報を入力できるとは判断できません。
さらに、同委員会は生成AIの応答に不正確な内容が含まれるリスクを挙げています。したがって、入力時の確認に加え、出力を原典と照合する工程も必要です。
個別の情報を入力できるかどうかは、利用目的、本人同意の要否、顧客との契約、サービスの設定や規約などによって変わります。判断が必要な場合は、個人情報保護委員会などの所管機関や、該当分野の有資格者へ確認してください。本記事では、その確認結果や未確認事項を台帳へどう残すかに範囲を限定します。
公的機関の資料にも文書化の論点がある
経済産業省などが2026年3月31日に公表した「AI事業者ガイドライン（第1.2版）」には、AI利用者向けの事項とチェックリスト、ワークシートがあります。ただし、本記事で提案する5項目を一つの台帳に記録することは、同ガイドラインが定めた統一様式ではありません。
IPA公式サイトに掲載された「テキスト生成AIの導入・運用ガイドライン」では、組織で生成AIを利用する際のルールの策定・文書化や、リスクマトリクスによる管理が扱われています。ただし、この資料はIPA中核人材育成プログラムの卒業プロジェクトメンバーによる見解であり、IPAの公式基準ではありません。
IPAの「中小企業の情報セキュリティ対策ガイドライン」は、個人事業主や小規模事業者を含む中小企業を対象とし、付録として資産管理台帳のサンプルを公開しています。保存先や取扱情報を整理する際の参考にはなりますが、AI利用業務専用の台帳ではなく、それだけで生成AI固有のリスク管理を満たすものではありません。
台帳を作っても別途確認が必要になる
AI業務台帳は、法令や契約への適合を証明する書類ではありません。次の事項は台帳の作成とは分けて確認します。
- 個人情報保護法上の取扱い
- 士業ごとの法令、守秘義務、職業倫理
- 顧客との契約条件
- 本人同意の要否
- 外注先との秘密保持や委託先管理
- 利用者ごとのアクセス権限
- 入力履歴や生成物の保存期間
- 個別案件で生成AIを利用できるかどうか
行政書士会や中小企業診断協会による標準的なAI業務台帳の有無、士業別の保存期間などは、今回参照した資料から確認できていません。職種固有の判断は、所属団体、所管機関、顧問の専門家など、確認先を台帳に記録して保留します。
AI業務台帳に記録したい5項目
ここから紹介する「業務名・入力データ・確認者・保存先・停止条件」は、法的な必須項目ではありません。公的資料で示された管理上の論点をもとに、編集部が開業直後の事務所でも試しやすい形へ整理した案です。
1. 業務名
「文章作成」のような広い名称ではなく、AIを使う作業の範囲が分かる名前を付けます。利用目的、使用する生成AIサービス、作業の開始点と終了点も併記すると、引き継ぐ範囲を区切りやすくなります。
記入例は「官公庁が公開した資料の要約」「事務所サイトに掲載する案内文の初稿」です。「顧客対応全般」では、入力する情報や確認工程が異なる作業まで一つにまとまってしまいます。
2. 入力データ
入力情報を「入力可能」「入力不可」の二択だけで記録せず、少なくとも次のように区分します。
- 一般に公開されている情報
- 事務所内で作成した非公開情報
- 顧客の機密情報
- 個人情報
たとえば、官公庁サイトで公開されている文書と、相談者から受け取った申請関連資料は、同じ文書データでも扱いが異なります。情報区分に加えて、利用目的、顧客との契約、学習利用や保存の設定をどこで確認したかを記録します。
判断できない情報は、推測で「入力可能」にせず、「未確認・入力保留」とします。その横に「顧客契約を確認」「サービスのプライバシーポリシーを確認」など、次の確認先を書いておくと作業につなげられます。
3. 確認者
一人事務所でも、確認者欄を空欄にする必要はありません。「本人」と記録します。ただし、名前だけでは、何を確認したのかが分かりません。
案内文の初稿なら、固有名詞、日付、数値、引用元、存在しない制度や手続きの混入を確認項目にできます。顧客向け資料であれば、別の顧客に関する情報が混ざっていないかも確認します。原典のURLや確認日を残せば、後から確認根拠を追いやすくなります。
本人だけで確認を完了できる業務と、所管機関や有資格者による判断が必要な業務は分けます。どの業務に第三者確認が必要かは、今回確認した一次情報から一律には決められません。
4. 保存先
入力に使った資料、生成物、確認記録、台帳自体の保存先を記録します。「クラウド」だけではなく、フォルダ名や管理単位まで特定できる形にします。ただし、台帳へパスワードや秘密鍵を直接書き込んではいけません。
保存場所を決める際は、次の点も確認対象になります。
- 誰が閲覧できるか
- 誰が更新・削除できるか
- 外注先へどこまで共有するか
- バックアップがあるか
- 個人端末へ持ち出せるか
- 契約終了後にアクセスを止められるか
台帳には、使用サービスや顧客情報の種類など、管理上重要な情報が集まります。そのため、台帳そのものにも閲覧権限と更新権限が必要と考えられます。適切な保存製品やバックアップ方法は、事務所の環境や扱う情報によって異なるため、一律には決められません。
5. 停止条件
問題が起きてから判断を始めるのではなく、「この状態になったら、いったんAI利用を止めて確認する」という条件を記録します。候補として、次のような事象が考えられます。
- 重大な誤りが繰り返し見つかった
- 個人情報や機密情報の不適切な入力が判明した
- 利用規約やプライバシーポリシーが変更された
- 学習利用や保存の設定が変更された
- 障害により出力の確認や記録ができなくなった
これらは編集部による候補であり、公的な統一基準ではありません。「停止する」だけでなく、停止後に誰が何を確認し、どの条件を満たせば再開するかも記録します。
入力情報・出力確認・停止判断を業務ごとに決める
入力情報はサービス名ではなく条件で判断する
同じ生成AIサービスでも、契約プラン、管理設定、利用者の操作、規約の改定によってデータの取扱いが変わる可能性があります。サービス名だけを見て入力可否を固定せず、業務ごとに次の条件を確認します。
- 何の目的で入力するのか
- 本人同意の要否を確認したか
- 顧客との契約で利用が認められているか
- 入力内容が機械学習に利用されるか
- 入力履歴や生成物がどこに保存されるか
- 利用規約とプライバシーポリシーの確認日はいつか
画面上では、アカウントのデータ管理、履歴、学習利用、共有、保持期間に関する設定を確認します。設定名や配置はサービスごとに異なり、更新で変わる場合があるため、確認した画面名と日付を台帳へ残します。
法令、職業倫理、契約に照らした入力可否は個別事情によるため、編集部では判断できません。判断材料がそろわない場合は入力を保留し、所管機関、所属団体、契約担当者、有資格者のうち、どこへ確認するかを決めます。
確認者と確認方法をセットにする
生成AIの出力確認では、「目視済み」だけでは確認内容が分かりません。業務に応じて、確認方法を具体化します。
- 原典を開き、記述内容と照合する
- 数値と日付を元資料で確かめる
- 引用文と引用元の対応を確認する
- 個人情報や別顧客の情報が混ざっていないかを見る
- 顧客向け成果物へ移す前に、最終版を再確認する
たとえば、公開資料の要約なら、元資料のURL、発表主体、発表日、数値を確認します。案内文の初稿なら、事務所の実際の受付時間、対応地域、連絡先と一致するかを確かめます。生成AIに自己点検させるだけで完了せず、人が原典や管理画面を開いて確認します。
停止後の行動まで決める
停止条件に当てはまったら、まず該当業務での生成AI利用を一時停止します。次に、入力した内容、生成された出力、サービス設定、直近の規約変更、共有範囲を確認します。
台帳には、停止日、確認者、確認した資料、再開条件を追記します。外注先が関係する場合は、問題発生時の連絡先と連絡経路もあらかじめ決めておきます。
関係者への報告義務や具体的な対応は、情報の種類、契約、法令、発生した事象によって異なります。必要な対応は所管機関や有資格者へ確認してください。本記事では、技術的・運用的な初動として、利用停止、設定確認、記録、連絡先の明確化までを扱います。
一つの業務から試し、変更時に更新する
最初から全業務を記録しない
開業直後は、顧客対応、営業、経理、サイト更新などを一人で進めることが多く、最初から詳細な管理表を作ると更新が続かない可能性があります。まず、現在もっとも頻繁に生成AIを使っている一業務を選びます。
着手順序は次のとおりです。
- AIを使っている業務を一つ選びます。
- 業務名、入力データ、確認者、保存先、停止条件を仮記入します。
- 判断できない欄には「未確認」と書き、確認先を添えます。
- 実際の作業で一度使い、記録漏れや重複を確認します。
- 更新を続けられると判断してから、二つ目の業務を追加します。
費用を抑えて始めるなら、事務所ですでに利用許可を出している表計算環境を使う方法があります。ただし、無料か有料かだけで保存先を決めず、アクセス権限、共有設定、バックアップ、利用規約を確認します。
記入に時間がかかりすぎる場合は、業務名を細かく分けすぎていないか、同じ情報を複数箇所へ書いていないかを見直します。項目を増やすのは、実際の確認漏れが見つかった後でも間に合います。
定期更新と変更時更新を組み合わせる
台帳は作成時点の状況を示すものであり、更新しなければ実態とずれます。月に一度、または四半期に一度など、事務所が継続できる頻度で定期確認日を設けます。それに加えて、次の変更があったときは予定日を待たずに更新します。
- 使用する生成AIサービスや契約プランが変わった
- 利用規約やプライバシーポリシーが変わった
- 学習利用、履歴、保存に関する設定が変わった
- 担当者や確認者が変わった
- 資料や生成物の保存先が変わった
- 採用者や外注先が加わった
- 顧客との契約条件が変わった
各行に最終更新日と更新者を設けると、現在も有効な情報かを判断しやすくなります。「規約確認済み」とだけ書かず、「確認日」と「確認したページ」を残すことが重要です。
採用者・外注先へ渡す前に別途確認する
台帳は作業説明の基礎資料になり得ますが、契約や委託先管理を代替しません。共有前に、利用可能なAIサービス、入力禁止情報、アクセス権限、秘密保持、顧客との契約条件、問題発生時の連絡先を別途確認します。
外注先へ台帳全体を渡す必要があるとも限りません。他の顧客や事務所内部の情報が含まれる場合は、依頼する業務に必要な範囲だけを共有します。必要な秘密保持契約、委託先の監督方法、権限設定は契約形態や取扱情報によって異なるため、個別の判断は専門家へ確認してください。
まとめ
AI業務台帳は、法令上の義務でも公的な標準様式でもありません。それでも、開業直後の一人事務所が「どの業務でAIを使い、何をまだ確認できていないか」を見つける入口にはなり得ます。
今日取りかかるなら、実際に生成AIを使っている業務を一つ選び、業務名、入力データ、確認者と確認内容、保存先、停止条件を書いてください。30分で判断できない欄は、無理に埋めず「未確認」とします。そのうえで、サービスの管理画面、利用規約、プライバシーポリシー、顧客との契約、所管機関や専門家のうち、次にどこを確認するかを併記します。
初採用や初外注を控えている場合は、共有する前に、利用可能なサービス、入力禁止情報、アクセス権限、秘密保持、問題発生時の連絡先を確認します。サービス、規約、設定、担当者、保存先が変わったときは台帳も更新してください。
台帳の項目数を増やすこと自体を目的にせず、実際の業務で更新を続けられるか、未確認事項を確認へつなげられるかを基準に調整することが大切です。
出典一覧
- 経済産業省「AI事業者ガイドライン（第1.2版）」（2026-03-31）
- 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023-06-02）
- IPA「テキスト生成AIの導入・運用ガイドライン」（2024-07-31）
- IPA「中小企業の情報セキュリティ対策ガイドライン」（2026-03-27）
- IPA「国内企業のDX動向・AI活用動向のポイントを公表」（2026-07-16）
この記事はAIが生成し、編集長のチェックを受けて公開しています。
