中小企業の生成AI導入は、セキュリティを先に決めたほうがうまくいく
生成AIを業務に入れたいが、社内の情報が漏れるのが心配で止まっている。そんな会社に向けて、この記事では「セキュリティを先に決めると、なぜ効果が上がるのか」を整理します。
中小企業の生成AI導入状況、活用方針があるのは6割弱
総務省の令和8年版 情報通信白書によると、生成AIの活用方針を定めている日本企業は68.9%です。前年度の49.7%から大きく増えました。ただ、企業規模で分けると、大企業の74.0%に対して中小企業は58.1%です。世界に目を向けると、ISACA（ITガバナンスや監査の国際団体）が2026年5月に、専門家3,400人超への調査を発表しています。職場で社員がAIを使っていると答えた人は90%でしたが、正式で包括的なAIの方針があると答えたのは38%、方針がないと答えたのは25%でした。使う人は増えても、方針づくりが追いついていないのは日本だけではありません。
情報通信白書の同じ調査では、日本企業が懸念するリスクの1位は「社内情報の漏洩などのセキュリティリスク」（46.4%）でした。前年度の調査では、導入の懸念事項として「効果的な活用方法がわからない」が最も多く、次が「社内情報の漏えい等のセキュリティリスク」でした。
この2つは、実はつながっています。何を入れてよいかが決まっていないと、使い道も決められないからです。
入れてよい情報が決まると、使える業務が広がる
生成AIの効果が大きいのは、社内の情報を使う業務です。議事録、社内資料の要約、見積の下書き、問い合わせへの返信などが当てはまります。
ところが、何を入れてよいかが決まっていないと、社員は安全を優先して、当たり障りのない用途にしか使いません。文章の言い換えや、一般的な調べものです。これでは効果は限られます。
「この情報は会社が契約した法人向けプランなら入れてよい」「これは入れない」が決まると、社内の情報を使う業務に手を広げられます。セキュリティを決めることは、使える範囲を決めることでもあります。
社員が迷わず使えるので、社内に定着する
ルールがない状態では、使うかどうかは各自の判断になります。慎重な人は使わず、気にしない人は私物のアカウントで使う。どちらも会社としての効果にはつながりません。
使ってよいサービス、入れてよい情報、迷ったときの聞き先が決まっていれば、社員は迷わずに使えます。会社が契約した法人向けプランで使ってもらえるので、私物のアカウントでの利用（シャドーAI）も減らせます。禁止するより先に、何を使っているかを把握する。この考え方は1本目の記事で書きました。
取引先に説明できる
取引先から届くセキュリティのチェックシートに答えるときや、自工会のガイドライン・SCS評価制度に向けて社内のルールを整えるときに、生成AIの使い方も一緒に書いておけば、同じ説明を使い回せます。「どのサービスを、どの設定で、誰が使っているか」を答えられることは、取引を続けるうえでの安心材料になります。
事故のときの損失を小さくできる
IBMの調査（Cost of a Data Breach Report 2025、600組織）では、情報漏えいなどの侵害を受けた組織の63%が、AIのガバナンス方針を持っていないか、策定中でした。また、シャドーAIの利用度が高い組織は、低い・ない組織に比べて、侵害1件あたりの損失が約67万ドル多かったとされています。
これは世界の600組織を対象にした調査で、規模別の内訳は公表されていません。金額をそのまま中小企業に当てはめることはできません。ただ、使い方を決めずに広がった利用ほど、事故のときの損失が大きくなるという傾向は、中小企業にも当てはまると考えています。
先に決めるのは3つだけ
最初から完璧なルールを作る必要はありません。先に決めるのは次の3つです。
- 入れてよい情報。 社外秘、取引先から預かった情報、個人情報など、入れない情報を先に決める
- 使うサービスと設定。 会社が契約する法人向けプランで使うサービスと、学習させない設定（生成AIを学習させない設定はどこにある？）
- 迷ったときに誰に聞くか。 判断に困ったときの聞き先を1人決めておく
この3つが決まれば、あとは使いながら足していけば十分です。使い始めると増える論点（人が確認する工程、AIにつなぐ範囲）と、これまでの対策の点検は、生成AIのリスク、これからとこれまでで整理しています。セキュリティを先に決めることは、生成AIを止めるためではなく、安心して広げるための準備です。
参考文献
公開情報（2026年10月3日・10月8日取得）。