社内のAI・自動化の権限とログ、制作会社は「便利だから全部つなぐ」をやめる──誰の名義で何にアクセスさせるか、記録を何日残すか、顧客の情報を流してよい範囲の決め方

この記事は、社内で使うAIと業務自動化の権限・ログ・情報管理を、少人数のWeb制作会社でも回る形で決める方法を扱います。

自動化は、社長より多くの扉を開けている

「このワークフロー、何にアクセスできるんだっけ？」

社内の自動化は、作った人の個人のアカウントで、メール、共有ドライブ、チャット、顧客の管理表につながっていることがあります。
便利さのために足していった連携は、気づけば、社長も把握していないほど多くの扉を開けています。

その鍵が漏れたり、作った人が退職したりしたとき、何が起きるかを答えられる会社は多くありません。

社内のAI・自動化の情報管理とは、「誰の名義で・何に・どこまで」アクセスさせ、その動きを記録に残し、顧客の情報を流してよい範囲を先に決めることである

黒字化の外科医です。社内のAIと自動化の権限・ログ・情報管理を解剖します。

なお私は弁護士ではありません。実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

決めておくべき理由は、三つあります。

第一に、制作会社は、顧客の情報を預かる立場だから。
問い合わせの内容、顧客の名簿、サイトのログイン情報。自動化やAIに流すものの多くは、自社のものではなく預かり物です。

第二に、自動化の権限は、人の権限より広くなりがちだから。
「とりあえず全部の権限を許可」で連携すると、必要のないフォルダやメールまで読める状態になります。

第三に、記録がないと、何が起きたかを説明できないから。
顧客から「うちの情報はどこに渡ったのか」と聞かれたとき、記録がなければ答えられません。

預かり物の分け方は、こちらで整理しています。

▶ AIの情報漏えい対策、制作会社は「預かり物」から線を引く──原稿・顧客名簿・アクセス解析・ログイン情報の4分類と、取引先に説明できる管理の型

今すぐ試せる：自動化の権限を棚卸しするプロンプト

私はWeb制作会社の経営者です。社内で使っているAIと自動化の権限を棚卸ししてください。

【自動化・AIの一覧】
〔名前／連携しているサービス／認証の名義（個人か会社か）／許可している権限の範囲／扱う情報〕
を1行ずつ記載

1. 扱う情報を「自社の情報」「顧客から預かった情報」「個人情報を含む」に分ける。
2. 必要以上に広い権限を持っているものを指摘する。
3. 個人の名義で動いているものを挙げ、会社の名義に移す順番を提案する。
4. 記録（ログ）が残っていないものを挙げる。
5. 断定はせず、確認が必要な点を質問の形で挙げる。

情報管理工場：権限・ログ・流してよい範囲の型

権限の4つの決めごと

1. 名義：自動化は、個人ではなく会社の共有アカウントで連携する
2. 最小：必要なフォルダ・表・チャンネルだけに許可を絞る
3. 鍵：APIキーや認証の情報は、ワークフローの中に直接書かず、
        ツールに認証情報を管理する機能があればそこに、なければ社内で決めた保管場所に置く
4. 棚卸し：3か月に1回、使っていない連携と権限を外す

流してよい情報の線（社内ルールの例）

区分                         AI・自動化に流すとき
──────────────────────────────────────────
自社の情報（社内の手順など）  社内で決めたツールなら可
顧客から預かった情報          契約と顧客の了解の範囲で、決めたツールのみ
個人情報を含む情報            必要な項目だけに絞る。扱いは社内の責任者が確認
ログイン情報・パスワード      流さない

ツールに入れた情報が、学習や保存にどう扱われるかは、各ツールの公式の規約と設定で確認してください。
個人情報の扱いの考え方は、個人情報保護委員会の公表資料で確かめるのが確実です。

ログ（記録）に残すもの

□ いつ、どの自動化が、何件処理したか（実行の履歴）
□ 失敗したときの内容と、誰が直したか
□ 権限や連携を、いつ誰が変えたか
□ AIに顧客の情報を入れた業務と、その目的
□ 記録を何日残すか（社内で日数を決め、ツールの保存期間を公式で確認）

ツールによっては、実行の履歴の保存期間がプランで変わります。必要な日数を残せるかは、公式で確認してください。

台帳の作り方は、止まったときの保守の記事と共通です。

▶ 社内の自動化が止まる・壊れるパターン、制作会社は「作った人しか直せない」をやめる──連携先の変更、認証切れ、上限、データの形の変化と、保守の担当と点検の決め方

構造的なリスク

逆説を指摘しておきます。

ルールを厳しくしすぎると、社員は会社に隠れて、個人のAIや自動化を使い始めます。
禁止の一覧より、「このツールのこの使い方なら使ってよい」という許可の一覧を先に出すほうが、記録の残る使い方に集まります。

よくあるQ&A

Q. 少人数なので、ログまで見る余裕がない。

毎日見る必要はありません。記録が残る設定にしておき、月1回の点検と、何か起きたときに見られる状態にしておけば十分なことが多いです。

Q. 顧客に、AIや自動化を使っていると伝えるべきか？

顧客から預かった情報を流すなら、契約や事前の説明で範囲を伝えておくと、あとで揉めにくくなります。伝え方は、専門家に確認してください。

Q. 退職者が作った自動化は、どうするか？

退職の手続きに「その人の名義で動いている連携の一覧」を入れ、会社の名義に移すか、止めるかを決めます。

▶ 【引き継ぎ設計キット】制作会社の「1人しか知らない」をなくす──案件・顧客・アカウント・判断基準を、退職の前から仕組みにする台帳とプロンプト

最後に

自動化は、人より多くの扉を、黙って開け続けます。

名義と権限を絞り、記録を残し、流してよい情報の線を先に決めた会社だけが、顧客の情報を預かったまま、安心して自動化を広げられるのです。

権限と運用の表は、キットにまとめました。

▶ 業務自動化の設計・ROI計算キット、制作会社の社内向け──業務の棚卸し表、優先順位の式、ROIと回収月数の計算表、1枚の設計書、権限と点検の運用表、止まったときの手順とAIプロンプト

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #業務自動化 #情報管理 #情報セキュリティ #アクセス権限 #個人情報 #AI活用 #制作会社経営 #中小企業 #社内ルール