社内の AI 利用申請が、AI 利用ガイドラインに沿っているか AI にチェックさせてみた

ある企業の DX 推進室では、現場部門からの生成 AI 利用申請が月に数十件届くようになりました。申請書には利用目的・使用ツール・入力データの種類が書かれていますが、それが社内の AI 利用ガイドラインや個人情報保護法・機密区分規程に照らして問題ないかを、審査担当者が 1 件ずつ目視で判断しています。

ガイドライン文書は複数あり、「禁止用途」「リスク区分」「機密情報の取扱い」が別々のページに散らばっています。条文の解釈は担当者によってぶれ、可否の判断基準が属人化しているのが実情です。審査が特定の担当者に集中し、ボトルネックになっていました。

まず、難しい設定は一切しません。「申請がガイドラインや禁止用途に抵触していないか、根拠つきで確認したい」と、ふだん上司に説明するような言葉で入力しました。すると AI が、確認すべき手順（チェックの観点）を自動で組み立ててくれます。

プログラミングの知識も、複雑なルール設定も不要です。生成された手順は中身を見て修正でき、一度作れば次回以降も同じ観点で何件でも使い回せます。

手順を保存して実行すると、申請の各観点がガイドラインと照合され、AI が 1 つずつ判定します。結果はこの 1 画面に集約されます。ポイントは、すべての判定に「どのガイドラインの・どの条が根拠か」が必ず添うこと。AI の言い分を鵜呑みにせず、人が原文で確かめられます。行をタップすると根拠の原文が開きます。

AI が合格と判定した 4 件は、根拠つきなので素通しで確認できます。人が頭を使うのは、要確認 2 件と不適合 1 件の、合わせて 3 件だけ。担当者は禁止用途に抵触した申請を起案部門に差戻し、個人情報の入力を除外したシナリオに修正した再申請を確認して、最終的に承認・確定しました。

一連の操作・判断はすべて改ざんできない監査ログに記録されます。「いつ・誰が・何を・どの根拠で判断したか」が後から完全にたどれるので、内部監査やガバナンス報告での説明もそのまま使えます。

担当者の経験と記憶に頼っていた申請審査が、誰が担当しても同じ基準で判定できるようになりました。そして何より、禁止用途への抵触を承認前に確実に検出できたことが、担当者にとって最大の安心材料でした。

今回は AI 利用申請の事例でしたが、INDX Compliance の使い方はどれも同じです。「ものさしになる文書（ガイドライン・法令・社内基準）」と「確認したい文書（申請書・契約書・規程）」を渡し、根拠つきで突き合わせる。社内規程の整合チェック、契約書のレビュー、ISO 監査の事前点検——ルールとの照合が発生するあらゆる業務に、同じ手順がそのまま使えます。