まず現状を数字で押さえます。日本情報システム・ユーザー協会（JUAS）が2026年3月に公表した「企業IT動向調査2026」の速報値では、言語系生成AIを「導入済み」と回答した企業は33.9%、「試験導入中・導入準備中」を含めると53.4%に達しました。

企業規模による差は大きく、売上高1兆円以上の企業では「導入済み」だけで85.1%です。同調査は東証上場企業とそれに準じる企業4,500社を対象に、957社から回答を得たものです。

用途の広がりも進んでいます。同調査では「画像および動画系生成AI」の導入・試験導入が34.2%、「コード系生成AI」が32.6%と、それぞれ前年度から10ポイント以上伸びました。テキスト処理から、システム開発やクリエイティブ領域へと裾野が広がっています。

最大の障壁は、セキュリティだけではない

ここが重要です。総務省『令和7年版情報通信白書』によると、生成AI導入に際しての懸念事項として日本企業が最も多く挙げたのは「効果的な活用方法がわからない」でした。次いで「社内情報の漏えい等のセキュリティリスク」「ランニングコストがかかる」「初期コストがかかる」が続きます。

つまり、多くの企業が止まっている理由は、セキュリティ上の懸念だけではなく、具体的な使い道が見えていないことにもあります。

同白書によると、生成AIの活用方針を「積極的に活用する」または「活用する領域を限定して利用する」と定めている日本企業は49.7%（2024年度調査）で、前年度の42.7%から増加しています。ただし中小企業では「方針を明確に定めていない」との回答が約半数を占め、大企業と比べて方針決定が遅れている状況が示されています。

方針がない状態は中立ではありません。現場が個人の判断で使い始めるか、あるいは「決まっていないから使わない」という自粛が広がるかのどちらかになります。どちらもリスクです。

次に来るのは「AIエージェント」

先ほどのJUAS調査には、もうひとつ注目すべき数字があります。今回の調査から選択肢に追加された「AIエージェント」について、導入を「検討中」と回答した企業が31.2%と、あらゆるテクノロジーの中で最も高い割合を示しました。

AIエージェントは、指示に応えるだけでなく、自律的にタスクを実行する仕組みを指します。同調査では、導入検討の目的として「生産性向上」に加えて「人材不足解消」への期待が高く表れたと報告されています。

ここから読み取れるのは、企業の関心が「使ってみる」から「任せる」へ移りつつあるということです。ただし任せる範囲を広げるほど、どこで人が確認するかの設計が重要になります。現時点で生成AIの導入がまだなら、まずは足元の3パターンを固めるのが先です。

「生成AIを導入する」と一口に言っても、実際には性質の違う3つの選択肢があります。ここを混同したまま検討を始めると、話が噛み合いません。

① ツール契約｜多くの企業はここで足りる

最も手軽で、最も見落とされているのがこれです。文章の作成、要約、翻訳、アイデア出し。こうした汎用的な業務は、既製のサービスを契約するだけで始められます。

前述の白書では、企業が生成AIを使用している個別業務として「メールや議事録、資料作成等の補助」を挙げた割合が日本で47.3%でした。実際に使われている用途の中心は、この汎用領域です。

法人向けプランを選ぶ理由の一つは、機能だけでなく管理やデータの取り扱いに関する設定です。入力内容を学習に利用するかどうか、管理者が利用状況を把握できるかなど、業務利用に必要な条件を確認してください。個人向けプランでは、法人利用に必要な管理機能や契約上の条件が満たせない場合があります。

② RAG構築｜「社内のことを知っているAI」を作る

RAGは、質問を受けたときに社内の文書を検索し、その内容に基づいて回答を生成する仕組みです。就業規則、業務マニュアル、過去の問い合わせ対応履歴。こうした社内文書を参照させることで、既製ツールでは答えられない質問に対応できます。

ここで最初につまずくのが、読ませる文書そのものが整っていないことです。規程が複数のフォルダに散在している、古い版と新しい版が混在している、決定事項がチャットの中にしか残っていない。この状態で構築しても、古い情報や矛盾した回答が返ってきます。AIの精度ではなく材料の問題です。

着手前に、参照させたい文書が1か所にまとまっているか、最新版がどれか判別できるかを確認してください。

③ 独自開発｜条件が重なったときだけ

業務システムに組み込む開発が必要になるのは、次のような条件が重なったときです。

• 既存の基幹システムと双方向でデータをやり取りする必要がある
• 自社固有の判断ルールが複雑で、ツールの設定では表現しきれない
• 扱うデータの機密性が高く、一般的な外部サービスでは要件を満たせない
• 業務量が大きく、従量課金では既製ツールのほうが割高になる

1つも当てはまらないなら、開発を検討する前に①か②を試す価値があります。「生成AIを導入する＝作る」という前提は、多くの場合で不要な費用を生みます。

実務で多いのは、①と②の組み合わせ

3パターンは排他的な選択肢ではありません。実際に多いのは、全社に①のツールを配りながら、特定の部署の課題に対して②を構築する形です。

たとえば、全社員には汎用の生成AIを使えるようにしておき、問い合わせ対応の多い管理部門にだけ社内規程を読ませるRAGを用意する。この組み合わせなら、費用は②の範囲に限定しながら、全社的なリテラシー向上も同時に進められます。

①を全社、②を必要な部署だけ。この設計が、費用と効果のバランスとしては最も現実的です。

費用の構造は3パターンで大きく異なります。金額はサービスや要件により変動するため、桁を掴む目安としてご覧ください。

見積書に載らない費用のほうが大きい

右端の列に注目してください。どのパターンでも、社内の作業は必ず発生します。「丸投げできますか」への答えは、正直なところできません。

特に②では、参照文書の整備が実質的な作業量の大半を占めることがあります。規程を1か所に集める、版を整理する、更新の担当を決める。これは外部に委託しにくい作業です。

従量課金は、浸透するほど増える

②と③では、APIを利用する構成の場合、生成AIの利用量に応じた従量課金が発生します。ここは社内に浸透するほど増える構造なので、導入初期の1か月の実績で年間予算を立てると足りなくなります。

また、費用は作り方でも変わります。社内マニュアル全体を毎回参照させる設計と、必要な章だけを絞り込んでから渡す設計では、同じ質問でも費用が変わります。見積もりの段階で「利用量が増えたときに費用がどう伸びるか」を確認しておいてください。

①の落とし穴｜全員に配ると高くなる

ツール契約は人数課金が一般的なため、全社員に配ると月額が積み上がります。100名の会社で1人あたり月3,000円なら、年間360万円です。

ここで検討したいのは、本当に全員に必要かどうかです。実際に文章を書く業務が多い部署と、そうでない部署では利用頻度が大きく違います。まず利用が見込める部署に絞って配り、実績を見てから広げるほうが、無駄が出ません。

逆に、絞りすぎると社内のリテラシーが上がらないという面もあります。安価なプランを全員に、上位プランを必要な人にという二段構えが取れるサービスもあるので、契約前に確認してください。

スモールスタートの現実的な規模

最初の一歩としては、5〜10名で1〜2か月試すのが現実的です。この規模なら費用は月数万円に収まり、決裁も通しやすくなります。

重要なのは、この期間に「削減できた時間」を記録しておくことです。次の段階で予算を取るとき、この記録が唯一の根拠になります。感覚で「便利だった」と報告しても、拡大の判断材料にはなりません。

3年で比較する

①は初期費用が小さい代わりに月額が続きます。③は初期費用が大きい代わりに、利用人数が増えても費用が比例して増えるとは限りません。比較すべきは初期費用ではなく、3年程度の総額です。

ただし生成AIの領域は変化が速く、3年後に同じサービスが最適である保証はありません。初期投資が大きいほど、方針転換のコストも大きくなるという点は判断材料に入れてください。

展開は次の順で進めます。大がかりな計画は不要ですが、順番を飛ばすと後戻りします。

1｜対象業務を1つ決める

全社の課題を洗い出す前に、1業務に絞ってください。処理量が多く、判断基準が言語化でき、間違えても取り返しがつく業務が適しています。議事録、社内問い合わせへの一次回答、文書の下書き。この領域なら失敗のコストが小さく、効果も見えやすくなります。

あわせて、その業務の現状を数字にしてください。月間件数、1件あたりの所要時間、担当者数。この記録がないと、後で効果を説明できません。

2｜少人数で試す（2〜4週間）

いきなり全社に配らないでください。担当者2〜3名で実際の業務に使い、削減できた時間を記録します。ここで「思ったほど使えない」と分かることにも価値があります。

3｜ルールを決める

効果が確認できたら、広げる前にルールを整備します。順番はここです。ルールなしで広げると判断が個人に委ねられ、ルールを先に作りすぎると使う前から窮屈になります。詳しくは後述します。

4｜部署単位で広げる

一斉展開ではなく、1部署ずつ広げます。最初の利用者が「使いやすい」と言っている状態を作ってから広げると、展開もしやすくなります。逆に、最初の利用者が不満を持ったまま広げると、その評判が先に伝わります。

展開時は、説明会よりも実際の業務で1件処理してみる時間をその場で取ってください。聞くだけでは使えるようになりません。あわせて、社内の問い合わせ窓口を決めておきます。

5｜使われ方を見て、次を決める

誰がどの業務に使っているかを把握できると、次に何をすべきかが見えます。特定の部署だけ利用が伸びているなら、そこで何が起きているかを聞き、他部署へ横展開します。

②のRAG構築や③の独自開発を検討するのは、この段階です。既製ツールで手応えがあり、かつ足りない部分が具体的に分かってからのほうが、要件が正確になります。着手から運用までの手順はAI導入の進め方で解説しています。

生成AIのセキュリティで最初に押さえるべきは、技術的な防御ではなく入力した情報がどう扱われるかです。ここには法令上の論点があります。

公的機関が示している内容

個人情報保護委員会は2023年6月2日に「生成AIサービスの利用に関する注意喚起等について」を公表しています。個人情報取扱事業者に対する注意点として、次の2点が挙げられています。

• 生成AIサービスに個人情報を含むプロンプトを入力する場合には、特定された当該個人情報の利用目的を達成するために必要な範囲内であることを十分に確認すること
• あらかじめ本人の同意を得ることなく個人データを含むプロンプトを入力し、当該個人データが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法の規定に違反することとなる可能性がある。そのため、当該生成AIサービスを提供する事業者が、当該個人データを機械学習に利用しないこと等を十分に確認すること

あわせて同委員会は2023年8月に広報パンフレットを公開しており、生成AIサービスの提供者が入力された個人データをAIの学習などに利用する場合、個人データの第三者提供に該当する可能性があるとして、利用規約などを確認するよう注意喚起しています。

確認する順序

• 契約プランを確認する — 学習利用の可否はプランによって異なります。無料版・個人向け有料版・法人向けで扱いが違うことが一般的です
• 利用規約とプライバシーポリシーを読む — 同委員会も、利用規約等を十分に確認したうえで利用を判断するよう求めています
• 確認日と根拠を記録する — 規約は改定されます。いつ時点の何を確認したかを残してください
• データの保存場所を確認する — 業界・契約・社内規定などによって、データ保存場所に要件が設けられる場合があります

情報システム部門の審査を通すために

社内審査で止まる案件の多くは、技術的な問題ではなく説明材料が足りないことが原因です。次の資料を先に揃えておくと、やり取りの往復が減ります。

• 使用するサービスと契約プラン（学習利用の可否が分かる規約の該当箇所を添える）
• 入力する情報の種類（個人情報を含むのか、含むならどの範囲か）
• データの保存場所と保持期間
• アクセス権限の設計（誰が使えるか、管理者は誰か）
• 利用ルールの案（次章の内容）

逆に、これらが揃っていない状態で「生成AIを使いたい」と持ち込むと、情報システム部門は判断できません。否決されているのではなく、判断材料がないだけというケースがかなりあります。

「絶対に安全」は存在しない

ここは正直に書きます。どれだけ確認しても、リスクをゼロにはできません。サービス側の規約は改定されますし、社員が誤って機密情報を入力する可能性も残ります。

したがって現実的な目標は、リスクをゼロにすることではなく「起きたときに気づけて、対処できる状態」を作ることです。利用状況を管理者が把握できる構成にする、誤入力時の報告先を決めておく。この2つがあるだけで、事故の被害は大きく変わります。

なお、これらは個人情報を扱う場合の論点です。営業秘密や未公開の経営情報については個人情報保護法の範囲外ですが、社内ルールとしては同様に扱いを決めておく必要があります。

ルールは分厚いほど良いわけではありません。現場が読まないルールは、ないのと同じです。最初はA4で1枚、次の4項目が書かれていれば機能します。

1｜入力してよい情報と、してはいけない情報

最も重要な項目です。抽象的に「機密情報は入力しない」と書くだけでは、現場は判断できません。具体例で示してください。

• 入力しない：顧客の氏名・連絡先などの個人情報、取引先との契約内容、未公開の経営情報、開発中の製品仕様
• 判断が必要：社内の会議内容、業務手順、自社の実績数値 → 誰に確認するかを決めておく
• 入力してよい：一般に公開されている情報、個人が特定できない形に加工した情報

迷ったときの確認先を1名決めておくことが、実務では効きます。「判断に迷ったら○○に聞く」と書いてあるだけで、現場は止まらずに済みます。

2｜出力の扱い

AIが生成した内容をそのまま使ってよいのか、確認が必要なのか。用途ごとに決めます。社内向けの下書きは確認不要、社外に出す文書は必ず人が確認する、といった線引きです。

特に事実関係を含む文章は、生成AIが誤った内容をもっともらしく書くことがあります。数字・固有名詞・日付は人が確認するという一文を入れておいてください。

3｜使用してよいサービス

会社として契約したサービスを明示します。これを書かないと、社員が個人アカウントで業務情報を入力する状態が生まれます。前章のとおり、個人向けプランでは学習利用の扱いが異なることが一般的です。

禁止するより、「これを使ってください」と示すほうが守られます。使いたい人はどのみち使うので、安全な選択肢を用意するのが現実的です。

4｜困ったときの連絡先

誤って機密情報を入力してしまった、出力内容に問題があった。こうしたときに誰へ報告するかを書いておきます。報告しても責められない、という姿勢もあわせて示してください。隠されるほうが被害は大きくなります。

参照できる公的な指針

社内ルールを整備する際の参照先として、総務省と経済産業省が公表している「AI事業者ガイドライン」があります。2026年3月31日に第1.2版が公表されました。法的拘束力を持つものではありませんが、事業者が留意すべき事項が整理されています。

ただし、いきなりガイドラインの水準に合わせようとすると整備が終わりません。まずA4で1枚を作って運用を始め、必要に応じて厚くしていく順序をおすすめします。

自社の場合にどこまでルールを固めるべきか、どのパターンから始めるべきかも含めてご相談いただけます。

導入したものの使われなくなる。この現象には、はっきりした構造があります。

効果を測っていないと、次の手が打てない

JUAS「企業IT動向調査2025」によると、言語系生成AIを導入した企業に効果測定の方法を尋ねたところ、最も多かった回答は「効果測定を行っていない」で59.8%でした。次いで「削減できた労働時間の測定」が32.8%です。

同調査では、導入効果について「期待を大きく超える効果があった」が4.0%、「概ね想定どおりの効果であった」が33.1%、「期待値には至っていないが一定の効果はあった」が36.1%で、合算すると73.2%が何らかの効果を感じていました。

この2つを並べると構造が見えます。約7割が「効果はある気がする」と答えている一方、約6割は測っていない。感覚で運用されている状態です。

測っていないと、利用が減ったときに原因が分かりません。予算の継続を説明することもできません。導入前の数字を記録しておくことが、定着させるための最初の作業になります。

何を測ればいいか

「効果測定」というと大がかりに聞こえますが、次の3つを記録するだけで十分に判断できます。

特に1つ目が重要です。利用率が3割を切っている場合は、定着状況を見直すサインと考えてよいでしょう。この場合、原因を探る前に「使っている3割が何に使っているか」を聞いてください。そこに横展開のヒントがあります。

3つとも、専用のツールは不要です。月に一度、簡単なアンケートを取るだけで把握できます。

そのほかの典型的な原因

参照する情報が古くなった
RAGを構築した場合に必ず起きます。就業規則が改定されたのにAI側に反映されていないと、回答が古くなります。一度「AIは信用できない」と評価されると、信頼は戻りません。更新の担当と頻度を決めてください。

使い方が個人技のままになっている
同じツールでも、指示の出し方で結果が変わります。うまくいった指示を社内で共有しないと、使える人と使えない人の差が開き、後者が離脱します。テンプレートとして配布するだけで状況が変わります。

例外時の手順が決まっていない
AIが対応できないパターンに出会ったとき、どうすればいいかが決まっていないと、人は元のやり方に戻ります。例外時の手順を用意し、その件数を記録してください。

推進する人がいなくなった
担当者の異動で止まる例は多くあります。判断の経緯と設定の意図を文書に残しておくと、引き継いだ人が触れるようになります。

最後に、自社がどこから着手すべきかを整理します。次の3つに答えると、進む方向が決まります。

質問1｜対象業務は決まっているか

決まっていないなら、まず①ツール契約です。汎用ツールを少人数に配り、実際に使ってみるところから始めてください。使ってみないと、何に使えるかは分かりません。白書が示す最大の懸念「効果的な活用方法がわからない」は、机上の検討では解消しません。

質問2｜答えてほしい内容が、社内文書の中にあるか

「就業規則ではどうなっているか」「過去に同じ問い合わせがあったか」。こうした質問に答えさせたいなら②RAG構築が候補になります。

ただし着手前に、参照させたい文書が1か所にまとまっていて、最新版が判別できる状態かを確認してください。ここが整っていない場合、先にやるべきは文書の整理です。AI導入ではなく、その前段の作業になります。

質問3｜既存の業務システムとつなぐ必要があるか

基幹システムのデータを参照する、処理結果を自動で書き戻す。こうした要件があってはじめて③独自開発が必要になります。

逆に、この要件がないのに開発を提案された場合は、その理由を聞いてみてください。①や②で足りるなら、そちらのほうが早く、安く、やめやすいという利点があります。

どの業務から着手すべきか、既製ツールで足りるのか構築が必要なのかも含めてご相談いただけます。相談の結果、まずは社内文書の整理から、という結論になることもあります。どの業務から着手するかはAIによる業務効率化で整理しています。