AI PoCを本番導入へ進める判断基準｜情シスが会議で使えるチェックリスト

AI PoCは、デモが動いた時点では成功に見えます。しかし、本番導入の可否は「便利だったか」では決められません。情シスが見るべきなのは、効果が残るか、誤出力を止められるか、ログを追えるか、費用と運用負荷を説明できるかです。

特に生成AIは、出力の自然さと正確さが一致しないことがあります。問い合わせ分類、議事録要約、FAQ回答、提案書下書き、社内ナレッジ検索など、用途ごとに誤りの影響は異なります。PoCの点数だけで本番化すると、後から「誰が確認するのか」「個人情報を入れてよいのか」「ログは何か月残すのか」「止める権限は誰にあるのか」が未整理のまま利用者だけが増えます。

総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」では、AI活用に取り組む事業者がリスクベースアプローチに基づき、自主的に具体的な取組を推進することが重要とされています。つまり、本番化判断では「精度が高いから導入」ではなく、用途ごとのリスクに応じて管理策を変える必要があります。

最初に決める：PoC結果を3分類する

PoC終了後の会議では、いきなり採用可否を議論するのではなく、次の3分類に分けると判断がぶれにくくなります。

本番化の最低条件は、AIが完璧に答えることではありません。誤りが起きても検知でき、説明でき、止められ、手動運用に戻せることです。

PoCで測るべき8項目

情シスが本番化判断に使えるPoC報告書には、少なくとも次の8項目を入れます。単なる満足度アンケートではなく、業務量・確認工数・リスク・費用を同じ表で見えるようにします。

確認工数の計算は単純でも構いません。たとえば、確認1件1分で月5,000件なら5,000分、約83時間です。ここに問い合わせ対応、教育、ログ確認、アカウント管理を加えると、PoC時より大きな運用負荷になることがあります。

本番化を止めるべきサイン

PoCで一定の効果が出ても、次の条件に当てはまる場合は本番化を急がない方が安全です。

• AI出力が、契約条件、返金可否、採用評価、人事評価、セキュリティ判断に直接使われる
• 人が確認する工程を残せない
• 誰が、いつ、何を入力し、どの出力を使ったか追えない
• 個人情報や営業秘密を入力しがちだが、マスキング手順がない
• 利用者からの問い合わせ窓口、FAQ、エスカレーション先が未定
• 停止権限者と手動運用への戻し方が決まっていない
• 自社契約上のデータ利用条件、学習利用の有無、ログ保存期間が未確認

個人情報保護委員会は、生成AIサービスの利用に際して個人情報の取扱いに関する注意喚起を公表しています。個人情報を含むデータを入力する可能性がある業務では、PoC段階から「入力してよい情報」と「入力禁止情報」を分けておく必要があります。

RAG・社内検索を開放する前の確認

社内文書を検索して回答するRAGやコネクタ連携は、便利な一方でアクセス権の不備を表面化させます。AI導入そのものよりも、共有フォルダやナレッジベースの権限棚卸しが先に必要になることがあります。

IPAの「AI利用者のためのセキュリティ豆知識」では、AI利用時の最低限かつ有効性の高いセキュリティ対策を紹介しており、RAG利用時の注意も項目化されています。

RAG開放前チェック

• 参照対象フォルダに、退職者、人事、法務、経営会議、未公開案件の資料が混在していないか
• AIが参照する権限は、利用者本人の権限と連動しているか
• 古いFAQ、廃止済み規程、旧価格表を検索対象から外しているか
• 回答に出典文書名、更新日、リンクを表示できるか
• 検索対象にする文書のオーナーと更新責任者が決まっているか

ここが未整理のまま社内検索を広げると、「AIが間違えた」のではなく「古い資料や見えてはいけない資料を参照した」問題になります。

本番導入前チェックリスト

本番化会議では、次の表を「済」「一部未対応」「未対応」で確認します。未対応が残る場合は、全社展開ではなく限定本番または追加PoCに戻します。

段階展開の判断フロー

AI PoCから本番導入へ進める場合は、いきなり全社展開するのではなく、利用人数、利用機能、扱うデータ、出力先を段階的に広げていくことが重要です。

特に、PoCでは問題が見えにくかった誤出力、ログ取得漏れ、問い合わせ対応、費用増加などは、利用範囲を広げた段階で表面化することがあります。そのため、各段階で「次へ進める条件」と「止める条件」をあらかじめ決めておくと、判断が属人的になりにくくなります。

1. 限定本番：特定部署、少人数、低リスク用途に限定して開始する
2. 部門展開：同じ業務を行う部門や近い利用ケースに広げる
3. 機能拡張：ファイル添付、社内検索、API連携などを追加する
4. 全社展開：標準業務としてルール、教育、監査、費用管理に組み込む

段階展開の判定メモひな型

対象業務：［要確認：例）議事録要約、社内FAQ検索、問い合わせ一次回答など／自社で確認］
対象者：［要確認：例）情報システム部門5名、総務部門10名など／自社で確認］
利用可能データ：公開情報、社内一般資料、個人情報を含まないデータ
利用禁止データ：［要確認：例）個人情報、未公開の契約情報、顧客情報、認証情報など／自社で確認］
次段階へ進む条件：重大な誤出力がない、ログ取得漏れがない、問い合わせ対応が運用可能な範囲内である
止める条件：［要確認：例）禁止データ入力が1件でも発生、重大な誤出力が業務判断に使用、問い合わせ件数が想定を超過など／自社で確認］
判断者：業務オーナー、情シス責任者、必要に応じて法務・情報セキュリティ部門

なお、停止基準は「問題が起きたら考える」のではなく、事前に数値や判断条件を決めておくことが重要です。たとえば、禁止データの入力が発生した場合、重大な誤出力が業務判断に使われた場合、問い合わせ件数が想定を超えた場合などは、一度展開を止めて、ルールや教育、ログ確認方法を見直す必要があります。

本番後レビューで見ること

本番導入はゴールではなく、運用開始です。導入後は、少なくとも利用開始後1か月、その後は四半期などの単位でレビューします。レビューでは、利用件数、削減時間、誤出力、問い合わせ、禁止データ入力、ログ未取得、費用、利用者の修正量を確認します。

レビューで見るべきサインは2つあります。1つ目は、現場がAI出力を大幅に修正している状態です。この場合、プロンプト、参照データ、対象業務の切り方を見直します。2つ目は、現場がAI出力を確認せずにそのまま使っている状態です。この場合、確認ルールが形骸化している可能性があります。

情シスの役割は、AI導入を止めることではありません。PoCの成果を、業務に耐える運用へ変換することです。そのためには、効果、リスク、ログ、権限、契約、費用、停止手順を同じテーブルで見て、段階的に広げる判断が必要です。