AI監査ログで見るべき項目チェックリスト｜確認担当・保管先・照合例
AI監査ログの話になると、『ログは残っています』で議論が終わりがちです。ただ、ログがあるだけでは、何の業務で、どのデータを使い、どんな判断で進めたのかまでは説明できないことが少なくありません。
AI監査ログで確認すべきなのは、利用履歴、接続先、入力データの区分、出力の使われ先、承認記録の5つです。ただしログが残っているだけでは足りず、項目ごとに「誰が確認するか」「どこに保管されているか」「何の記録と突き合わせるか」を決めておくと、監査で聞かれたときに1件の利用を最初から最後までたどれます。
本記事のポイント
- AI監査ログで確認すべきなのは利用履歴、接続先、入力データの区分、出力の使われ先、承認記録の5つです。
- 項目ごとに確認担当、保管先、突き合わせる記録を決めておくと、監査で聞かれたときに1件の利用を最後までたどれます。
- 毎月数件を抜き出して照合し、つながらない箇所を記録の欠落として運用レポートへ報告します。
監査ログの結論は「何が分かるか」で見ること
監査ログに必要なのは、イベント数の多さではありません。後から『誰が、何に対して、どの条件で、何をしたか』を説明できることです。
そのため、ユーザーID、利用時刻、接続先、データ区分、出力結果、承認状態まで見られる形で整理する必要があります。
| 確認項目 | 分かること | 主な保管先 | 確認担当 | 突き合わせる記録 |
|---|---|---|---|---|
| 利用履歴（ユーザーID・時刻） | 誰がいつ使ったか | AIツールの管理画面のログ、SSOのサインインログ | 情報システム部門 | 人事・アカウント台帳（退職者や共有アカウントでないか） |
| 接続先 | どのSaaS・データベース・ファイルへ触れたか | AIツールの連携ログ、接続先SaaSの監査ログ | 情報システム部門 | 利用申請で許可した接続先の一覧 |
| 入力データの区分 | 顧客情報・社外秘などを持ち込んだか | 利用申請、DLPの検知記録 | 申請を受けた事務局 | 申請時に申告したデータ区分 |
| 出力の使われ先 | 出力がどの業務判断・社外文書に使われたか | 成果物の保存先（文書管理、CRMなど） | 業務部門の責任者 | 最終版の文書と、その作成履歴 |
| 承認記録 | 誰が承認し、誰が止める責任を持っていたか | 承認台帳、申請フォーム | 承認者・事務局 | 実行日時（承認前に実行されていないか） |
| 保存先と保持期間 | 記録がいつまで残るか | 各ツールの保持設定 | 情報システム部門 | 社内の文書保存規程 |
確認担当は会社の体制によって変わります。大切なのは、項目ごとに「この質問が来たら、この人がこの記録を見る」と決めておくことです。
ログがあるだけでは足りない理由
たとえばチャットの履歴が残っていても、接続先や承認状態が別管理なら、監査時には複数の記録をつなぎ直さなければなりません。ログの所在が散らばるほど、説明責任は弱くなります。
ログは申請、承認、保存先の管理とつなげて見られるようにしておく必要があります。
監査ログ運用の進め方
- まず重要業務だけに対象を絞る。
- 監査で見たい観点を5〜6個に固定する。
- 接続先ごとに取れるログを棚卸しする。
- 足りない項目は申請や承認記録で補う。
- 月次レポートで未取得項目を洗い出す。
承認フローとつながっていないログは説明責任が弱い
監査で問題になるのは、ログがないことだけではありません。ログはあるが、その実行が正規申請だったのか、誰が止める責任を持っていたのかが分からない状態も同じくらい危険です。
そのため、重要案件では「申請ID」「承認者」「承認日時」を監査ログから参照できる形にしておくと、後から案件単位で追いやすくなります。SaaS標準ログで足りない場合は、申請フォームや承認台帳側で補完する設計が必要です。
- 重要業務には案件IDを付与し、ログと申請記録を同じ単位で見られるようにする
- 承認不要の軽微案件と、事前承認が必要な案件を分けて保存する
- 停止判断が入った案件は、理由と是正内容まで残す
- 月次レビューで、ログと承認台帳が一致しない案件を棚卸しする
照合の例：1件の利用を最初から最後までたどる
例えば営業担当がAIで提案書の初稿を作り、顧客へ提出した場合、監査では次の順に記録を突き合わせます。どこか1つでもつながらなければ、その箇所が記録の欠落です。
- 誰が実行したか：AIツールの利用ログのユーザーIDと時刻を、SSOのサインインログで確認する。
- 何に触れたか：AIツールの連携ログで、CRMやファイル保存先への接続を確認し、利用申請で許可した接続先と比べる。
- 何を持ち込んだか：申請時に申告したデータ区分と、実際に参照したデータ（顧客情報を含むか）が一致しているかを確認する。
- 誰が承認したか：承認台帳の承認日時が、実行日時より前かを確認する。
- 何に使われたか：顧客へ出した最終版の保存先を開き、AIの初稿から誰が修正したかを確認する。
この順で毎月数件を抜き出して照合すると、ログの欠落や承認前の実行を早めに見つけられます。見つかった欠落の件数は、AIガバナンス運用レポートの月次指標として報告します。
監査ログと監査証跡の違い
監査ログは、ツールが自動で残す操作の記録です。監査証跡は、監査ログに申請・承認・成果物の記録をつなげ、1件の利用の経緯を説明できる状態にしたものです。何を記録として残すかの設計はAI監査証跡の残し方、AIエージェントのログ項目はAIエージェント監査ログテンプレートで整理しています。
よくある質問
チャット履歴が残っていれば監査ログとして十分ですか？
十分ではありません。接続先、入力データ区分、承認状態まで追える必要があります。
すべてのプロンプトを保存すべきですか？
一律に全件を残すより、重要業務（顧客情報を扱う、社外に出す文書を作るなど）を決め、その業務だけは入力と出力を保存する方が現実的です。保存する場合は保持期間と閲覧できる人も同時に決めます。
SaaS側のログだけで足りますか？
多くの場合足りません。SaaSのログには「誰がいつ何をしたか」は残っても、「申請で何を許可したか」「誰が承認したか」は残らないためです。申請フォームや承認台帳と突き合わせる前提で設計します。
監査ログは誰が見るべきですか？
情シスだけでなく、事務局、承認者、必要に応じて監査部門が同じ観点で見られるようにする方が運用しやすくなります。
照合はどのくらいの頻度で行えばよいですか？
毎月、重要業務から数件を抜き出して照合するのが始めやすい方法です。欠落が見つかった月は件数を増やし、原因の接続先や手順を直します。
