2026.10.22

社内AI利用ログをどこまで取得できるか｜法的境界線とガバナンス設計

社内AIツールの導入が進む中、「どこまでログを取得していいのか」という疑問が企業の共通課題になっています。技術的には利用者のプロンプト内容や操作履歴を記録できますが、個人情報保護法や労働法の観点から、無制限に取得できるわけではありません。一方で、情報漏洩やコンプライアンス違反を防ぐには、適切な監査証跡が不可欠です。本記事では、AI利用ログの法的境界線と、AIエージェント時代に求められるガバナンス設計の実践方法を解説します。

なぜAI利用ログの取得が必要なのか

ガバナンス不足が企業に与える影響

企業のAI活用は急速に拡大しています。世界14カ国・地域を対象とした調査では、管理職ではない個人ホワイトカラー従業員の74%が毎日または週に数回AIを利用しており、2025年と比べて23ポイント増加しました[1]。また、AIエージェントが自社のワークフローに統合されていると答えた回答者は30%で、前年の13%から増加しました[1]。

しかし、利用拡大に対してガバナンス体制の整備は追いついていません。同調査では、回答者の約半数が「人間とAIが混在するチームを管理するための明確なガバナンスが自社に欠けている」と回答しました[1]。また、回答者の約半数が、AIに起因する説明責任を将来の上位3つの懸念の一つに挙げています[1]。

同調査では、管理職ではない個人ホワイトカラー従業員のうち、リーダーがAIについて明確に説明していると答えた人は33%にとどまり、リーダーの発信と組織の実際の行動が強く一致していると答えた人は28%でした[1]。方針の伝達や組織の実際の行動との整合に課題があることが示されています。

インシデント対応と説明責任

AI利用ログは、インシデント発生時の原因究明や説明責任の履行において重要な役割を果たします。機密情報が外部に送信された場合、誰が、いつ、どのような操作を行ったかを追跡できなければ、被害の範囲を特定できず、再発防止策も立てにくくなります。

AIエージェントが誤った判断で業務を実行した場合も、権限を誰が与えたのか、承認プロセスは適切だったのかを検証する必要があります。単なる操作履歴では不十分で、権限委譲の経緯や意思決定の文脈まで含めた包括的な記録が求められます。

法的境界線の2つの観点

個人情報保護法の解釈

AI利用ログが個人情報に該当するかは、「特定の個人を識別できるか」によって判断されます。個個人情報保護委員会のQ&Aでは、通話内容から個人を識別できる場合の個人情報該当性と、利用目的の通知・公表について説明されています[2]。AI利用ログの場合、利用者IDやアカウント情報と結び付けて個人を識別できるログや、プロンプトに個人を識別できる情報が含まれるログは、個人情報に該当する可能性があります。

重要なのは、「取得の可否」よりも「利用目的の明確化と適切な周知」です。ログが個人情報に該当する場合、取得方法などに応じて、利用目的の通知または公表が必要です。企業はログを取得する目的（情報漏洩防止、業務改善、インシデント調査など）を明確にし、従業員に分かる形で周知する運用が重要です[2]。

従業員モニタリングと業務管理の範囲

従業員の監視（モニタリング）については、個人情報保護委員会のQ&Aで、個人データを扱う従業者のモニタリングについて留意点が示されています[2]。AI利用ログの取得は、業務管理の一環として正当化される場合がある一方、過度な監視は従業員のプライバシーを侵害する可能性があります。

運用設計では、取得目的に照らして必要な範囲にログを絞り、取得内容や利用範囲を従業員に分かる形で示すことが重要です。業務効率化や情報漏洩防止という正当な目的に対して、必要な範囲の情報だけを記録し、その目的と範囲を従業員に明示することが求められます。従業員のモニタリングを行う場合は、目的、対象、閲覧者、運用ルールを事前に整理し、社内規程等で明確にしたうえで従業員に周知することが重要です。人事評価や懲戒等への利用を予定する場合は、利用目的との整合性や社内規程、労使手続への影響を確認してください。

ログの保存期間やアクセス制限も重要な設計要素です。利用目的の達成後もログを漫然と保管し続けると、漏えいや想定外の二次利用につながるリスクがあります。保存期間と削除のルールをあらかじめ定めておくことが重要です。また、アクセス権限を適切に制限し、閲覧履歴を記録することで、ログ自体の不正利用を防ぐ必要があります。

AIエージェント時代に求められる監査証跡

従来のログ記録では不十分な理由

AIエージェントが業務に組み込まれると、従来の「APIコールと認証情報のみ」の記録では不十分になります。エージェント用のサービスアカウントしか記録されない構成では、実際に誰の指示でエージェントが動いたのか、権限委譲の経緯を追跡しにくい場合があります[3]。

例えば、3段階の権限委譲を経て始まったワークフローの47番目の処理をエージェントが実行している場合、最終的な操作は「エージェント用のアカウント」として記録されるだけで、一連の処理の起点や権限委譲の経緯は追跡できません[3]。また、単一のエージェントに幅広いアクセス権を与えると、職務分掌を実質的に迂回し、請求書の入力から支払いの承認までを単独で行えてしまいます[3]。

これらの課題に対し、企業は以下の基本的な問いに答えられる体制を整備する必要があります。どのエージェントが稼働しているのか、何を行う権限が与えられているのか、その権限を誰が委譲したのか、不適切な行動を誰が止めるのか――多くの組織がこれらの問いに明確に答えられていません[3]。

包括的な監査証跡の設計

AIエージェント時代の監査証跡には、以下の情報を包括的に記録する必要があります[3]。

エージェントは何をしようとしていたのか（目的）
その行動は承認された目的の範囲内だったか
目的を追求する方法に課された制約を守ったか
どのデータに触れたか
どのツールを呼び出したか
どの統制が作動したか
誰に通知されたか
停止権限は誰にあったか
初期の認可者は誰か
権限委譲の連鎖はどうなっているか

特に重要なのは、「目的と行動規範の遵守状況」を記録することです。従来の統制は人間が状況を判断し、その行動に責任を負うことを前提としているため、AIエージェントには人間の判断や責任を前提とした統制だけでは不十分な場合があります[3]。そのため、エージェントに与えられた目的（例：延滞口座の解消を支援する）と行動規範（例：予約システムの弱点を突くことは禁止）を明確に定義し、それらが守られているかを監査できる仕組みが必要です[3]。

ガバナンス設計の実践ステップ

90日計画による段階的導入

BCGが示すエージェントの棚卸しやリスク評価の考え方を参考に、本記事では30日・60日・90日の段階に分けた導入案を提示します。期間の区切りは、本記事独自の実践案です[3]。

第1段階（30日以内）：エージェントの可視化
すべてのエージェントをリスト化し、責任者、利用システム、認証情報、導入承認者を確認します。文書化された目的と運用制約を整理し、現状を把握します。

第2段階（60日以内）：リスク評価と優先順位付け
直接アクセス層、間接アクセス層、二次影響層の3層でリスク評価を行います。顧客データ、規制対象情報、資金移動、本番システム変更を扱うエージェントを優先し、対策の順序を決定します。

第3段階（90日以内）：統制の試行導入
目的外のシステムへのアクセスを制限し、影響が大きい場面では決定論的ルール（毎回必ず作動する固定ルール）と人の承認を実装します。エスカレーション基準とキルスイッチ（緊急停止機能）の使用権限を確立します[3]。

決定論的な統制と責任体制

影響が大きい業務では、統制は決定論的に、固定ルールに基づく形で設定すべきです[3]。「一定額を超える支払いには必ず人の承認を求める」といった絶対的なルールを使用します。担当者には、拒否できるだけの十分な情報、権限、時間を与える必要があります[3]。

責任体制の明確化も不可欠です。CRO（最高リスク責任者）は許容リスクの範囲とエスカレーション基準を設定し、CISO（最高情報セキュリティ責任者）は実効性ある統制を設計します。CIO（最高情報責任者）はシステム全体の統制アーキテクチャを統括し、事業責任者は各エージェントに担わせる業務と制約を定義します。法務・コンプライアンス部門は規制対応と法的リスク管理を担います[3]。

最も重要なのは、「誰がこのエージェントに権限を与えたのか」という問いに対する明確な答えを持つことです[3]。権限委譲の起点を明確にし、責任の所在を曖昧にしないことが、AIガバナンスの基礎となります。

社内AIの導入時には、利用状況や監査証跡をどのように確認できるかも、ツール選定の観点になります。Smart Generative Chatでは、オプション機能として監査証跡画面や分析画面を提供しています。利用できるログ項目や機能の範囲は、機能紹介ページをご確認ください。

さいごに

社内AI利用ログの取得について、法的境界線は「取得の可否」よりも「取得目的、利用範囲、開示義務」に焦点が当たっています。個人情報保護法では利用目的の明確化と通知が求められ、労務管理や従業員のプライバシーへの配慮が必要です。

AIエージェント時代においては、単純なログ記録ではなく、権限委譲の連鎖、目的・行動規範の遵守状況、影響範囲を含む多層的な監査証跡が必要です。2026年10月16日、総務省は「フロンティアAI時代の通信事業におけるデータの保護・セキュリティの在り方に関する検討会」の開催を公表しました[4]。第1回会合は10月22日に予定されており、通信事業を対象とする検討会ですが、今後の議論が企業のAIガバナンス設計にも示唆を与える可能性があります。

企業は「技術的に取得できる」ことと「法的・倫理的に許容される」ことの間のギャップを認識し、明確な目的と透明性のあるガバナンス設計を構築する必要があります。90日計画による段階的導入と、「誰がこのエージェントに権限を与えたのか」という基本的な問いに答えられる体制の構築が、責任あるAI利用の第一歩となります。