工務店・ハウスメーカーのAIサービス権限管理 共有アカウントに頼らない運用

「広報共通」「営業部用」のような共有アカウントで生成AIを使っていると、誰が顧客情報を入れたのか、誰が共有リンクを作ったのかが分からず、辞めた人だけを止めることもできません。共有をやめる基本は、一人に一つの記名アカウントを発行し、日常の利用、管理操作、出力の公開承認を別の人や別の権限に分けることです。そのうえで、誰に何を許可するかを部署ではなく「業務・入れる情報・出力の使い道」で決め、導入前に「止められるか」を試し、発行から停止までを一つの申請番号で追います。

この記事は、導入するサービスが決まった後の利用者と権限の管理を扱います。契約文書に書かれた保存、学習利用、削除、解約の条件の確かめ方は工務店のAI利用契約を確認する｜保存・学習利用・解約時の論点、どの業務にAIを使うかの絞り込みは工務店のAI活用候補を棚卸し｜経営課題と業務をつなぐ評価表で扱います。

説明には架空の「工務店例008」を使います。社員12人のうち、AIサービスを使うのは営業3人、設計2人、工務2人、広報1人の計8人で、別に管理操作専用のIDが1件あります。旧来の「広報共通」アカウントを営業3人と広報1人で使っている、という設定です。人数、サービス名、日付はすべて説明用の架空の値です。

01.共有アカウントで失われるのは「誰が」の記録

4人が同じ「広報共通」アカウントを使っていると、履歴の上では全員が同じ人に見えることがあります。不適切な入力、共有範囲の変更、履歴の削除が起きても、どの操作が誰によるものかを追えず、「全員に注意する」で終わってしまいます。どの手順や権限を直せばよいかが分からないまま、同じことが繰り返されます。

個人アカウントにする目的は、社員を監視することではありません。入力した人、設定した人、内容を確かめた人、公開を承認した人が分かれば、問題が起きたときに「誰を責めるか」ではなく「どの工程と権限を直すか」を判断できます。退職者や外注先の担当者だけを、会社の側から止めることもできるようになります。

ただし、全員に個人IDを配っても、全員が管理者で、入れてよい情報も承認の手順も決まっていなければ、共有アカウント時代の問題は形を変えて残ります。完成の目安は、IDの数ではなく、「誰が、どの業務で、どの情報を扱い、どこまで操作できるか」を説明できることです。

02.役割を四つに分け、管理操作を日常の利用から離す

個人アカウントは、できるだけ会社が管理するメールアドレスと認証手段で登録します。私用のメールだけで登録すると、退職後の停止や認証情報の再設定を会社の側でできない場合があるためです。使える認証方式や管理機能は、サービス、プラン、時期によって違うので、導入時点の公式の仕様と管理画面で確かめます。

小規模な工務店では役割を細かく分けすぎると承認が止まり、反対に社長や総務担当者にすべてを集めると日常の操作と重要な設定の境目がなくなります。肩書ではなく、実際に行う操作で役割を決めると整理しやすくなります。

一人が複数の役割を兼ねてもかまいませんが、兼務と一人で完結させることは別です。総務担当者が契約責任者と管理者を兼ねる場合でも、自分の権限追加を自分で申請し、承認し、設定する状態は避けます。

アカウント管理者は「AIに詳しい人」である必要はありません。必要なのは、在籍状況、申請番号、付与した権限、停止の期限、設定の結果を正確に扱えることです。住宅の性能、見積の条件、工程などの内容を判断するのは、各業務の責任者です。サービスが管理専用のIDや管理操作時の追加認証を用意しているなら、日常の利用と分けて使います。分けられない場合は、重要な設定の前に申請番号を確かめ、変更の前後、実施者、時刻、確認者を残します。

03.移行は棚卸しから始める

共有アカウントから移るとき、最初にするのは新しいIDの発行ではなく、今の利用状況の棚卸しです。先に発行すると、旧共有アカウントと個人アカウントが並んで残り、テンプレート、作業途中の下書き、外部連携、請求情報がどちらにあるのか分からなくなります。

棚卸しの対象は、正式に契約した生成AIだけではありません。無料登録や試用版、ブラウザーの拡張機能、議事録作成、画像加工、文章校正、翻訳など、文章・音声・画像・図面を外部のサービスに送って処理するものは候補に含めます。口頭で利用者を募るだけでは漏れるので、法人カードの明細、登録通知のメール、社内チャットの過去の投稿、業務マニュアル、外部連携の一覧と突き合わせます。目的は無断利用の追及ではなく、業務データがどこにあり、何を止める必要があるかを知ることだと伝えておきます。

台帳は、契約環境の表と利用者ごとの表に分け、社内のサービスID（例：AI-003）でつなぎます。一つの欄に利用者名を並べると、異動や停止の履歴を追えなくなるためです。契約環境の表には、サービス名とプラン、契約の名義、契約責任者、アカウント管理者、利用目的、入れてよい情報の区分、承認済みの外部連携、契約更新日、管理画面と照合した日、移行の状態を書きます。調べていない項目は「なし」ではなく「未確認」とします。台帳で優先して探すのは、契約責任者が分からない、管理者が退職済み、入れてよい情報が決まっていない、利用者の一覧を取り出せない、請求だけが続いている、といった状態です。

旧共有アカウントに残っている物は、全部を移さずに選び直します。

「念のため全部移す」と、不要な顧客情報や古い権限まで新しい環境に持ち込みます。移行はバックアップではなく、今の業務に必要な物を選び直す作業です。

04.権限は部署ではなく「業務・入れる情報・出力の使い道」で決める

「営業部は利用可」と部署で決めると、同じ担当者の作業の違いを表せません。公開済みの見学会案内を短くする作業と、施主の予算や家族構成を含む商談記録を整理する作業では、必要な情報も、誤りが起きたときの影響も違います。権限は、誰が、どの業務で、どの情報を入れ、出力をどこで使い、誰が最終確認するかの組み合わせで決めます。

工務店例008は、「公開」「社内一般」「顧客・案件」「重要管理」の四つの区分を使います。これは法令上の分類ではなく、同社が利用の可否を判断するための架空の社内区分です。区分の作り方は工務店のAI入力データ分類｜社外秘・顧客情報・公開情報の扱いで扱います。台帳、申請書、利用規程で区分の名前が違うと現場が判断できないので、自社で決めた名前にそろえます。

ログインできることと、出力をそのまま顧客に送れることは別です。顧客への回答、広告、契約条件、価格、工程、保証、性能、制度に関する文章は、AIを使っても従来の確認を省きません。出力の正確さを採点する基準は工務店のAI出力評価表｜業務ごとの正確さを測る方法で扱い、権限表には「誰が評価し、誰が公開するか」だけを書きます。

入れようとしている内容が権限の範囲を超えるときは、目的を保ったまま一般的な問いに直せるかを考えます。

氏名を「A様」に置き換えるだけで安全になるとは限りません。所在地、家族構成、建築時期、予算などを組み合わせると、施主や案件を推測できる場合があります。個人情報保護委員会の個人情報保護法ガイドライン（通則編）は、利用目的や安全管理措置の考え方を示していますが、「法人プランなら顧客情報を入れてよい」「氏名を消せば個人情報ではない」といった結論を一律に出せるものではありません。判断できないときは入力せず、決めておいた相談先に回します。

05.導入前に「止められるか」を試す

「法人向け」「チーム向け」と書かれたサービスでも、自社が必要とする操作を制御できるとは限りません。導入前に、公開情報か架空のデータを使い、次の操作を実際に試します。試験した人とは別の人が、期待した結果と実際の結果を照らし合わせます。

全部がそろうことだけを合格条件にする必要はありません。予定の業務と情報に対して、足りない部分を別の運用で補えるかで判断します。たとえば期限付きの自動停止がなければ、停止予定日を台帳に入れて前営業日に管理者へ知らせる運用で補えます。ただし、停止できないアカウントや制御できない公開設定を、「社員を信用する」「規程に書いた」だけで補うことはできません。

結果をすべて点数にして平均すると、停止できないという重大な欠陥が埋もれます。退職者を管理側から止められない、一般利用者が管理者を自由に追加できる、意図しない公開を止められない、のどれかが予定の用途にとって重大なら、他の点数にかかわらず導入を保留するか、公開情報と架空データだけの用途に限ります。

試験の前に、管理者への設定依頼を具体的にしておくと、結果を照らし合わせやすくなります。

情報処理推進機構（IPA）の中小企業の情報セキュリティ対策ガイドラインは、経営者が実施すべき指針と社内での対策の手順をまとめた資料で、付録に情報セキュリティ関連規程や資産管理台帳のサンプルがあります。この記事の試験表はその様式ではありませんが、AIサービスだけを別扱いにせず、全社のID管理や委託先の管理と同じ台帳でつなぐと漏れが減ります。

06.共有から個人へ：選別・試験・停止の順で移す

共有アカウントを先に止めると、必要なテンプレートや作業途中の下書きに入れなくなることがあり、逆に無期限に残すと、利用者は使い慣れた共有環境に戻ります。移す物と止める日を先に決め、個人アカウントで業務を再開できたことを確かめてから旧環境を閉じます。

全員に一度に発行する必要はありません。工務店例008では、まず広報担当者1人と営業担当者1人に発行し、許可された文章作成、禁止した共有方法が抑止されること、一般利用者から管理操作ができないこと、管理側から止めた後に再ログインできないこと、テンプレートの保存先、公開前の社内承認を試します。試験中に一般利用者が公開リンクを作れると分かったら、本番に進まず、設定の変更、用途の限定、別のサービスのどれにするかを決めます。

台帳では、個人IDの発行日、利用開始日、旧共有アカウントの停止日、停止を確かめた人を分けて書きます。移行の完了日は「新しいIDを配った日」ではなく、「旧共有アカウントでの業務利用が終わった日」です。止める前には、テンプレートの移行先が会社の管理下にあること、旧アカウントの外部連携と共有リンクを確かめたこと、請求先と契約責任者が旧アカウントに依存していないことを見ます。サービスによっては、停止、削除、契約解除、ワークスペースからの除外が別の操作です。画面から利用者名が消えただけで、保存物や連携まで消えたとは考えません。

07.発行・異動・退職を一つの申請番号で追う

権限の管理は、導入時よりも人が動いたときに崩れます。入社者に急いでIDを発行し、異動後も前の部署の権限が残り、退職日に本人に解約を頼む、という運用では、台帳と実際のアクセスが一致しません。発行、追加、削除、停止を口頭の依頼にせず、一つの申請番号で扱います。

申請には、対象者、サービスID、利用目的、役割、入れてよい情報の区分と入れない情報、禁止する操作、出力の使い道、成果物の承認者、開始日、見直し日、停止の条件を書きます。目的が「営業で使う」だけ、管理操作が要る理由がないのに管理者を希望している、承認者が申請者本人だけ、見直し日がない、といった申請は差し戻します。承認の流れは、上長が業務上の必要を、情報管理の担当者が入れる情報の範囲を確かめ、成果物の承認者を決めた後に、アカウント管理者が設定し、別の人が設定結果を照合する順です。管理者は、利用の必要性や顧客情報の扱いを一人で判断する立場ではありません。

異動のときは、新しい権限を足す前に古い権限をどうするかを決めます。「追加」「維持」「削除」を一つずつ書き、変更後の完成形を承認します。営業時代の案件閲覧の権限を残したまま広報の公開権限を足すと、必要以上に広い組み合わせになります。

退職や外注の終了では、本人の最終出社日だけを基準にせず、契約の終了日と引き継ぎの日から、会社の側で停止の時刻を決めます。本人に「自分で削除してください」と頼むだけでは、会社が停止を確かめられません。止めた後は、ログインできないこと、外部連携、共有物、管理者権限、請求の席数を確かめます。

管理者が異動・退職する場合は、一般の利用者より先に交代の計画を作ります。新しい管理者を追加し、停止と権限変更を試し、連絡先と復旧の手順を引き継いだ後で、旧管理者を外します。先に旧管理者を外して、誰も管理画面に入れなくなる順序は避けます。

08.例外は期限と制限を付けて残す

古いサービスや現場の端末、外注先との共同作業では、すぐに個人アカウントへ移せないこともあります。例外を全面的に禁止すると、現場が申告せずに使い続けるおそれがあるため、見える形で残し、扱える情報と終わりの日を絞ります。「忙しい」「以前から使っている」「人数分の費用がかかる」だけでは、共用を続ける理由になりません。

工務店例008なら、例外の記録は次のようになります。対象は現場写真整理サービス（AI-007）で、今のプランでは現場端末ごとに個人IDを発行できないという確認済みの制約が理由です。使うのは工務担当者2人、扱えるのは社内で作った試験用の画像だけで、顧客宅の写真、位置情報、人物の写る画像は入れません。外部共有、連携の追加、請求や管理設定の変更は禁止し、会社の管理端末1台からだけ使い、誰がいつ何をしたかは別の記録に残します。終了予定日は2026年12月20日、継続の判断日は11月16日とし、個人発行ができるプランや別のサービスの比較を進めます。期限までに終えられなければ、理由と追加の対策、新しい終了予定日を改めて承認します。

外注先には自社社員の共有IDを渡さず、担当者を識別できるアカウントを発行します。契約先の会社名だけでなく、実際に使う人、対象の案件、開始日、停止予定日、成果物の受け渡し先を確かめ、外注契約が続いていても担当者が替われば権限を見直します。責任者が不在のときに停止するための緊急用の管理アカウントを設ける場合は、通常の業務に使わず、使った後に実施者、時刻、理由、操作を残して、認証情報の更新が要るかを判断します。

09.権限の異常に気づいたら、止めてから確かめる

ここで扱うのは、退職者のアクセスが残っている、身に覚えのないログイン通知が来た、一般利用者が管理者になっている、知らない外部連携が追加されている、管理者に連絡がつかない、といった権限とアカウントに起因する異常です。顧客情報の誤入力や誤送信、誤掲載は工務店のAI利用ミスへの対応｜誤送信・誤掲載の連絡と修正、AIの誤った出力の原因分析は工務店のAI誤回答の記録｜原因を切り分けて再発を減らすで扱います。

気づいた人は、証拠を消すおそれのある操作を独断でせず、まず使うのをやめて対象と時刻を控えます。ただし、明らかに不要な公開リンクが開いたままになっている場合や、不正な利用が続いている場合は、停止権限を持つ担当者が、原因調査の完了を待たずに決められた手順で遮断します。緊急時の連絡経路と、誰が止められるかは平時に決めておきます。

個人データや外部への流出が関わる場合は、確かめた事実と推測を分け、事案に応じて社内外の相談先につなぎます。「ログを見ていないが漏えいした」「パスワードを変えたので影響はない」と早く断定しないことです。

10.毎月の照合は人数ではなく差分を見る

台帳は作った時点から古くなります。毎月、または人事異動のたびに、在籍者の一覧、サービス側の利用者一覧、申請書、外注契約、請求明細を突き合わせ、一致しないところを調べます。毎回すべてを読み直す必要はなく、前回から追加された利用者、権限が変わった人、しばらく使われていないID、期限を過ぎた外注者、新しく管理者になった人、知らない外部連携、自動更新が近い契約に絞ります。

工務店例008で、月末の管理画面に有効なIDが11件表示されていたとします。説明できるのは、在籍する利用者の8件、管理操作専用の1件、承認済みの外注の1件で、計10件です。

「管理画面の有効ID11件－在籍利用者ID8件－管理専用ID1件－承認済み外注ID1件＝説明できないID1件」

この1件について、役割、追加日、追加した人、最後のアクセス、申請番号の有無を確かめます。管理者の権限を持つIDなら優先して調べます。契約数、利用回数、席数など単位の違う数字を同じ式に混ぜないことも大切です。

社員十数人の工務店では、停止の対象が数人しかいないため、「期限内に止めた割合」のような比率は1件で大きく動きます。比率だけを見ず、止まっていない、承認がない、説明できない、という件数とその原因を並べて見ます。同じ不一致が繰り返されるなら、担当者への注意ではなく、申請の書式、停止依頼の宛先、人事情報が管理者に届く時期といった工程を直します。

経営者が最終的に確かめるのは、「誰が使うか」「何の業務で使うか」「どの情報を扱うか」「誰が出力を確かめるか」「いつ、誰が権限を止めるか」の五つです。この五つに台帳と管理画面の両方で答えられれば、共有アカウントに頼らない運用ができています。全社的な規程との関係は工務店の生成AI利用規程｜入力・確認・公開の社内ルールを参照してください。