AIエージェントを任せるなら、管理者が先に決めること

IT管理部への問い合わせが変わってきた。「このAIエージェント、どこまで動かしていいですか」——そう聞いてくる部署が増えている。ところが管理部側に決まったルールがない。「慎重に」と返すだけで終わる。数週間後には誰の承認もなくクラウドデータにアクセスするエージェントが稼働していた、という話は珍しくなくなった。

権限マップとスキル承認フローを先に作る

AIエージェントが外部ツールと連携できる機能は「スキル」や「プラグイン」と呼ばれる。ChatGPTならカスタムGPTのアクション設定がこれにあたり、カレンダー、メール、社内データベースへのアクセスを与えられる。今、これらを誰が・どういう基準で許可しているか確認してほしい。

まず整備するのは2つだ。現在稼働中のエージェントが何にアクセスできるかを一覧にした「権限マップ」を作ること。新しいスキルを有効化する前に情報システム部門か法務の承認を必要とするフローを定めること。ChatGPT Enterpriseの管理コンソール（admin.openai.com）では、組織全体のGPT利用状況や外部連携のオン・オフを一元管理できる。まずここを開いて現在の設定を確認するだけでも、想定外の許可が発見されることがある。

中国銀行が1万時間削減できた理由

2026年2月、中国銀行と日立製作所が融資業務へのAIエージェント導入で協創を開始した。稟議書の意見作成、融資実行事務、財務モニタリングの3業務にエージェントを適用し、年間10,000時間以上の業務削減を試算している。

成功の鍵は「エージェントが動く範囲」と「行員が確認する手順」を最初に設計したことだ。AIが作成し、人間が承認する——この役割分担を明確にしたからこそ、現場が安心して使い始めた。組織がAIエージェントの利用ルールを定める動きは各ツールでも進んでおり、例えばClaude Code Enterpriseでは組織がエージェントの利用範囲をコントロールできる機能が実装されている。

ChatGPTで30分、ガバナンス文書の草案を作る

「ゼロから文書を作る時間がない」という声は多い。ただ、ChatGPTに次のプロンプトを投げると30分で草案が出る。

「AIエージェントの社内利用ポリシーを作ります。【製造業・従業員500名規模】を想定し、①スキル有効化の承認フロー、②社内データ分類別の利用可否、③インシデント発生時の対応手順の3点を含む草案を400字でまとめてください」

出てきた草案を法務・情報システムと共有し、2〜3回のレビューを経れば実運用できるレベルになる。ゼロから書くより15時間は縮まる。

ルールがある組織ほど、AIの活用が進む

逆説的に聞こえるが、ガバナンスを整えた組織のほうがAI活用のスピードが上がる。承認フローがあれば「ここまでなら使える」と判断できる。権限マップがあれば「このアクセス範囲なら安全」と踏み出せる。ルールがない状態のほうが、担当者は怖くて動けない。

管理コンソールを確認し、権限マップを作り、承認フローを定める。この3つから始めれば十分だ。

ドリップ（執筆）

「とりあえず使えるようにした」状態で止まっている会社、意外と多いですよね。

ガバナンスって制限に聞こえるんですが、実は「ここまでなら安全」という地図なんです。地図があると現場が動きやすくなる。

まず管理コンソールを開いてみてください。意外な設定が有効になっていることがあります。

あなたは社内IT管理者です。【製造業・従業員500名規模】の会社で現在稼働しているAIエージェントのアクセス権限を一覧にした「権限マップ」を作成してください。対象ツールは【ChatGPT Enterprise・Microsoft 365 Copilot】です。各ツールについて①アクセス先（メール・カレンダー・社内ファイル・外部API等）②アクセス権限の種類（読取/書込/送信）③承認者または承認部署④最終確認日の4項目を表形式でまとめてください。不明な項目は「要確認」と記入し、10行以内で出力してください。

あなたは法務・情報システム兼任の担当者です。AIエージェントの社内利用ポリシー草案を作ってください。対象は【製造業・従業員【500名】規模】の会社です。草案には必ず①スキル（プラグイン）有効化の承認フロー②社内データの分類別利用可否（機密/社内限定/公開）③インシデント発生時の初動対応手順の3点を含めてください。社内文書らしい体裁で箇条書きを最小限にし、400字以内でまとめてください。

あなたは社内IT審査担当者です。部署からAIエージェントに新しいスキル（外部ツール連携）を追加したいという申請が届きました。次の情報をもとに、承認可否を判断するためのチェックリストを作成してください。申請内容：【CRMツール（Salesforce）へのデータ書き込み】、申請部署：【営業部】。チェック項目として①取り扱うデータの分類（機密/社内限定/公開）②外部へのデータ送信の有無③インシデント発生時の影響範囲④代替手段の有無⑤法務確認の要否を含め、各項目に対する確認結果と承認/保留/却下の判定を出力してください。