AI導入の試算ガイド ／ 公開日 2026-09-18

AIに任せてよい業務・任せてはいけない業務｜データ区分（機密度）で線を引く判断基準

「AIにどこまで任せてよいか」は、業務の名前では決まりません。同じ議事録作成でも、社外公開する広報用の原稿と、 未公表の人事評価が並ぶ会議の記録では、必要な条件がまったく違います。判断の軸になるのは業務名ではなく、その業務で投入するデータの区分です。この記事では、公開・社内・機密・禁止の4区分で線を引く方法と、 区分ごとに何を用意すれば任せてよくなるかを、順番に整理します。

1. 業務名ではなくデータで線を引く理由

社内で禁止事項を決めるとき、「顧客対応はAI禁止」「資料作成はAI可」のように業務名で区切った一覧がよく作られます。 この形は運用が始まると必ず破綻します。理由は2つあります。

  • 同じ業務名の中に、まったく違うデータが混ざっている。「資料作成」には公開済みの製品情報だけを使う場合もあれば、未発表の売上実績を貼り付ける場合もあります。 業務名の単位で可否を決めると、どちらかが必ず間違った扱いになります。
  • 禁止の理由が担当者に伝わらない。「なぜ禁止なのか」が業務名からは読み取れないため、現場は自分の作業が該当するか判断できません。 結果として、明文化されていない作業がすべて黙認されるか、逆に萎縮してまったく使われなくなります。

データの区分で線を引くと、この2つが同時に解けます。判断するのは「この作業で何を貼り付けるか」だけで、 担当者がその場で自己判定できます。禁止の理由も区分そのものが説明しています。

2. データ区分の4段階

当社が診断で使っている区分はこの4つです。区分は「情報の重要度」ではなく、外に出たときに誰がどれだけ困るかで決めます。判断に迷ったら、重いほうの区分に寄せてください。

公開：そのまま任せてよい

外部へ出しても支障のない情報だけを扱う業務です。

  • 投入の制限は緩いですが、出力の事実確認は別工程で必ず行ってください。
  • 引用・数値・コードは、生成したAI自身に検算させず、別の工程で検証します。

社内：契約と設定を整えれば任せてよい

社外秘だが、法令上の特別な保護対象ではない情報です。

  • 商用契約（Team / Enterprise / API）で運用します。個人向けプラン（Free / Pro / Max）で恒常運用しないでください。
  • ファイルと通信先をallowlist化し、.env・秘密鍵・名簿はdeny対象にします。

機密：設計を先に決めてから、範囲を限って任せる

個人情報や取引先の秘密情報を含みます。取り扱いの設計が先に必要です。

  • 顧客ごとに組織・API鍵・リポジトリを分離します。
  • 入力・出力・承認者・失敗・利用料をログに記録します。
  • 個人データを本人の同意なく投入する場合、利用目的の範囲内か、学習利用の有無を事前に確認してください（個人情報保護委員会の注意喚起）。
  • PoCの段階では、匿名化・複製データで代替できないかを先に検討します。

禁止：そのままでは任せない（置き換えてから）

そのままAIへ投入してはいけない情報（要配慮個人情報、与信・医療・採用の判断材料など）です。

  • この区分のデータはPoCに投入しません。匿名化・複製データに置き換えてから始めます。
  • 採否・与信・医療判断など、影響の大きい決定をAIに自動で行わせないでください。
  • 投入の可否そのものを、担当部門と法務で先に決める必要があります。

「社内」と「機密」の境目でつまずく会社が最も多いところです。判定は単純で、個人が特定できる情報、または取引先から秘密保持の約束つきで受け取った情報が1件でも含まれるなら「機密」です。 自社の売上や原価は、外部との約束がなければ「社内」で扱えます。

3. 区分を問わず、任せてはいけない5つ

データの区分が軽くても、任せ方そのものが成立しない業務があります。次の5つは、削減額がいくら大きくても1件目には選ばないでください。

  • 人の採否・与信・処遇を決める判断。結果に説明責任が伴い、かつ誤りが個人の不利益に直結します。下調べの整理までは任せられますが、判断そのものは人が行います。
  • 医療・健康に関する判断。同じ理由です。加えて、病歴や健康診断の結果など、要配慮個人情報にあたる情報が含まれやすく、投入の可否から検討が要ります。
  • 確認なしで外部へ送られる出力。顧客への自動返信、SNSへの自動投稿、発注の自動確定など、取り消せない工程です。 下書きの生成までに限れば、削減効果はほとんど落ちません。
  • 正誤を人が判定できない出力。専門外の翻訳、根拠を追えない統計の解釈など、確認者が間違いに気づけない作業です。 「速くなったが正しいか分からない」状態は、削減ではなくリスクの先送りです。
  • 法令・契約で処理場所や委託先が制限されている情報。越境移転の制限や再委託の禁止条項がある案件は、技術ではなく契約の問題です。先に法務へ確認します。

逆にいえば、これら5つに当たらず、区分が「公開」か「社内」で、出力を人が確認してから使う業務であれば、 ほとんどの場合そのまま着手できます。止まっている会社の多くは、実際には着手できる業務まで一律に止めています。

4. 区分を下げてから任せる4つの手

「機密だから使えない」で終わらせる必要はありません。投入するデータのほうを作り変えれば、同じ業務を軽い区分で回せます。 実務でよく効く順に4つ挙げます。

  • 置き換える。氏名・住所・電話番号・口座番号を、通し番号に差し替えてから投入します。 作業の内容が「文章の整形」や「分類」なら、実名がなくても結果は変わりません。作業後に番号を戻せば完了します。 ただし、番号と実名の対応表を自社で保持する限り、個人データの取り扱いが続いている点は変わりません。 投入先へ渡る情報を減らす手であって、社内の管理義務が消えるわけではありません。
  • 切り出す。ファイル全体ではなく、その作業に必要な列や段落だけを渡します。 契約書1通をそのまま貼るのではなく、確認したい条項だけを抜き出せば、区分が「機密」から「社内」に下がることがあります。
  • 複製で試す。PoCの期間は、実データではなく形式だけ同じダミーデータで進めます。 手順が固まってから本データへ切り替えると、設計の手戻りが起きても被害がありません。
  • 逆向きに使う。データを投入するのではなく、AIには手順書・チェックリスト・雛形のほうを作らせ、 実データの処理は既存の社内システムで行います。生成物に機密が一切含まれないため、区分の議論そのものが不要になります。

この4つで下げられない業務は、そもそも投入するデータ自体が成果物の中身になっている業務です。 その場合は区分を下げるのではなく、契約・ログ・権限分離を整えたうえで正面から「機密」として設計します。

5. 社内ルールは、この3行で足りる

長い利用規程を作っても読まれません。担当者が作業前に自問できる長さにします。当社が最初に置くことを勧めているのは次の3行です。

  • ①投入するものを区分する。公開・社内・機密・禁止のどれかを、貼り付ける前に自分で決める。
  • ②「社内」以上は、会社が契約した商用プラン（Team / Enterprise / API）でのみ扱う。個人のアカウントや個人向けプラン（Free / Pro / Max）では扱わない。
  • ③出力は、人が確認してから使う。外部へ出る文書と、取り消せない操作には、必ず承認を1段挟む。

この3行に加えて、①の判定に迷ったときの相談先（部署名か担当者名）を1つ書いてください。 相談先のない規程は、迷った時点で作業が止まるか、黙って進められるかのどちらかになります。

この記事は当社の受託実務にもとづく運用上の整理であり、法的助言ではありません。 個別の法令解釈・契約条項の判断は、自社の法務部門または専門家へご確認ください。

関連：算出方法と根拠 ／ よくある質問 ／ ガイド一覧

御社の業務が4区分のどこに当たるか、その場で判定します

実際の業務を2〜3件挙げていただければ、区分の当て方、区分を下げる手の選び方、社内ルールの3行への落とし込みまで通してお見せします。持ち帰れる判断基準の形にするところまでが範囲です。

45分の無料相談を申し込む受託3商品と料金を見る

いただいたご相談には、3営業日以内にご返信します。

初回45分のみ無料です。ヒアリングの結果、Claudeを使う価値がないと判断した場合はその場でお伝えします。