AIで自動化してよい業務・止めるべき業務を見分ける情シス向け判断基準

現場から「この業務、AIで自動化できませんか」と相談されたとき、情シスが最初に確認すべきなのは、AIの性能ではありません。見るべき順番は、入力データ、出力先、誤ったときの影響、止め方、責任者です。

AI自動化は、単に作業時間を短縮する施策ではありません。社外回答、契約判断、個人情報、本番環境操作に近づくほど、誤出力の影響は大きくなります。一方で、分類、要約、下書き、候補提示のように、人が確認する前提の使い方であれば、情シスの管理下で安全に始めやすい領域もあります。

経済産業省・総務省の「AI事業者ガイドライン（第1.2版）」では、AIの利用形態に伴って生じうるリスクの大きさを把握し、対策の程度をリスクの大きさに対応させる「リスクベースアプローチ」が重要とされています。本記事でもこの考え方に沿って、現場相談を三段階で判定できる形に整理します。

結論：AI自動化は「任せる範囲」で三段階に分ける

「AIでできるか」だけで判断すると、過剰に広げすぎるか、逆にすべて禁止するかのどちらかになりがちです。実務では、次の三段階で分けると判断しやすくなります。

判断フロー：現場から相談されたらこの順番で確認する

現場の相談は「議事録を自動化したい」「問い合わせ返信をAI化したい」のように大きな単位で来ます。しかし、そのまま可否を答えると危険です。業務を分解し、どの工程だけをAIに任せるのかを決めます。

AI自動化の判断フロー
1. 入力データに個人情報・機密情報・契約情報が含まれるか
2. 出力が社外、顧客、応募者、取引先に直接届くか
3. 誤出力が金額、契約、評価、セキュリティ、本番環境に影響するか
4. 人が確認してから確定する工程を残せるか
5. 誤った場合に止める、戻す、追跡する手順があるか
6. 上記を満たせない場合は、本番化ではなく業務整理または見送りにする

特に重要なのは、4番と5番です。AIの出力精度が高く見えても、確認者がいない、ログがない、手動運用に戻せない状態では、本番業務に組み込むべきではありません。

自動化に向いている業務：人の判断前の「下準備」

AI自動化で最初に狙うべきなのは、完全自動化ではなく、担当者の下準備を減らす業務です。出力が間違っていても人が直せる、判断基準を文章で説明できる、件数が多い、ログを残しやすい業務は候補になります。

この段階では、AIの出力を「正解」として扱わず、確認すべき候補として扱うのが安全です。現場にも「AIが判断する」のではなく「人が判断しやすい材料を作る」と説明すると、責任分界が明確になります。

自動化を避ける業務：誤りがそのまま結果になる領域

AI出力がそのまま社外に送られる、金額に反映される、個人の評価に使われる、本番環境を変更する、といった業務は慎重に扱う必要があります。AIの回答は自然な文章に見えるため、誤りが混ざっていても気づきにくい場合があります。

個人情報・機密情報を入れる前に確認すること

個人情報保護委員会は、生成AIサービスが普及していることを踏まえ、生成AIサービスの利用に関する注意喚起等を公表しています。業務でAIを使う場合、入力する情報が個人情報、顧客情報、従業員情報、評価情報、契約情報に該当しないかを確認する必要があります。

実務では、次のように入力可否を分けると運用しやすくなります。

判断に迷う場合は、まず公開情報またはダミーデータで検証し、個人情報・顧客情報を扱う前に契約条件と管理設定を確認します。

PoCで見るべき項目：精度だけで本番化しない

PoCでは「正解率が高いか」だけでなく、確認工数、例外処理、ログ、停止手順まで見ます。精度が高くても、担当者が毎回長時間確認しているなら、実運用では効果が出ません。

PoC計画書のひな型
対象業務：［業務名］
AIに任せる工程：［分類／要約／下書き／候補提示など］
AIに任せない工程：［承認／送信／金額判断／本番操作など］
使用データ：［公開情報／社内情報／個人情報の有無］
成功基準：［1件あたり確認時間を何分削減、重大誤りゼロなど］
失敗基準：［重大誤り発生、確認工数増加、ログ欠落など］
確認者：業務部門の確認者、部門責任者、情シス担当者を決める。
停止条件：重大誤り、情報漏えいのおそれ、想定外の外部送信、確認工数の増加が発生した場合はPoCを停止する。
停止判断者：業務部門責任者、情シス担当者、管理者のうち、停止判断を行う担当を決める。
ログ保存期間：PoC結果の評価、問い合わせ対応、事故調査に必要な期間を決め、利用ログと判断記録を保存する。

本番化後の運用ルール：月次で見ないAIは劣化に気づけない

AI自動化は、導入して終わりではありません。入力データ、プロンプト、参照ナレッジ、連携先システム、モデル仕様が変われば、出力傾向も変わります。NISTのAI Risk Management Frameworkは、AIの設計・開発・利用・評価に信頼性の観点を組み込むための任意利用の枠組みとして公開されています。

本番化したAI自動化は、少なくとも次の項目を定期確認します。

• 利用件数、対象外件数、停止回数
• 誤出力件数、重大誤り件数、差し戻し件数
• AI出力を人がどれだけ修正しているか
• プロンプト、参照データ、連携先、権限の変更履歴
• ログ取得漏れ、ログ閲覧権限、削除手順
• 現場がAI出力を確認せず、そのまま使っていないか

特に危険なのは、AIの出力を現場が信頼しすぎて、確認工程が形骸化することです。月次レビューでは、正解率だけでなく「人が何を修正したか」「どの例外が増えたか」を見る必要があります。

現場に返す回答例：そのまま使える文面

情シスが現場に返答するときは、単に「できます」「できません」ではなく、どの範囲なら進められるかを明示します。

進めてよい場合
この業務は、AIの出力を担当者が確認してから確定でき、誤りがあっても社外・金銭・権限への直接影響が限定的です。まずは［対象件数］件を対象に、分類・要約・下書き作成までのPoCとして進めます。送信、承認、確定処理はAIに任せません。

条件付きで進める場合
この業務は個人情報または機密情報を含む可能性があるため、利用するAIサービスの契約条件、DPA、データ保存期間、学習利用の有無、ログ保存期間、管理者の閲覧範囲を確認してからPoC可否を判断します。確認が完了するまでは、本番データは入力せず、公開情報・ダミーデータ・テスト用データに限定して検証します。

自動化を見送る場合
この業務はAI出力が金額、契約、評価、本番環境に直接影響するため、AIによる自動実行は行いません。代替として、判断材料の整理、確認項目の抽出、文面の下書きまでを対象に再設計します。

まとめ：AI自動化は「止められる状態」で広げる

AI自動化の成否は、AIの性能だけでは決まりません。業務として安全に回るか、確認者がいるか、ログを追えるか、失敗時に止められるかで決まります。

まずは、問い合わせ分類、議事録案、FAQ候補、申請不備チェックのように、人が確認する前提の業務から始めます。次に、PoCで削減時間、確認工数、重大誤り、例外処理、ログを確認します。本番化後は月次レビューで、出力傾向と運用ルールの形骸化をチェックします。

情シスの役割は、AI活用を止めることではありません。危ない自動化を止め、安全に進められる範囲を具体化することです。「AIに任せる工程」と「人が責任を持つ工程」を分けるだけで、現場のAI活用は一気に進めやすくなります。