AI監査証跡の残し方｜生成AI利用で「誰が何をしたか」を説明できる設計
AI監査ログを整えても、監査証跡としては弱いと言われることがあります。理由は、ログが単発イベントとして残っていても、申請や承認や保存先と結びついていないためです。
結論から言うと、AI監査証跡は、申請、承認、実行、保存、再利用の記録をつなげて説明できる状態です。誰が何をしたかを追うには、ログよりも記録の連結設計が重要になります。
本記事のポイント
- AI監査証跡は、単一ログではなく、申請、承認、実行、保存の記録をつなげて説明できる状態です。
- 誰が、何の目的で、どの条件で、何をしたかが追えると、説明責任を果たしやすくなります。
- ログ収集だけでなく、記録同士を結びつけるID設計と保存方針が重要です。
この記事で扱うテーマ
関連キーワード
- AI監査証跡
- 生成AI 監査証跡
- AI 誰が何をしたか
- 生成AI 証跡
- AI監査 設計
このページで答える質問
- AI監査証跡とは何？
- AI監査ログとどう違う？
- 何をつなげて残すべき？
- 誰が何をしたかをどう説明する？
監査証跡の結論は「記録の連結」にある
監査証跡が必要なのは、後から単独イベントを見るためではなく、『この利用は適切な手続きで行われたのか』を一連の流れで説明するためです。
そのため、申請書、承認記録、実行ログ、保存先、再利用履歴が別々に存在していても、結びつけられなければ証跡としては弱くなります。
たとえばBtoB営業の現場では、顧客の商談記録をAIで要約し、CRMへ転記するワークフローがあります。このとき、AIへの入力データ（商談録音・議事録）、実行者、承認有無、CRMへの保存先が同一IDで追えないと、後から情報漏えいの疑いが生じた際に「どの営業がいつ何を入力したか」を証明できません。証跡の連結設計は、こうした責任追跡の前提になります。
マーケ部門でも同様です。生成AIでメール文面を作成し、配信ツールと連携するフローでは、「誰が承認した文面か」「どのプロンプトを使ったか」「どのリストへ配信したか」の3点が連結されていないと、内部監査やコンプライアンス確認のたびに調査コストが発生します。共通の申請IDをメール件名や配信ログのメタデータに付与するだけで、追跡の精度は大きく上がります。
監査証跡は、『何が起きたか』だけでなく、『なぜそれが許可されたか』まで説明できて初めて意味を持ちます。
| 段階 | 残すべき記録 | なぜ必要か |
|---|---|---|
| 申請 | 業務目的、入力データ、責任者 | 利用目的を示すため |
| 承認 | 承認者、条件、日時 | 手続きの正当性を示すため |
| 実行 | 利用者、接続先、実行時刻 | 実際の行為を追うため |
| 保存 | 保存先、保持期間 | 成果物の所在を示すため |
| 再利用 | 二次利用先、共有先 | 後続影響を追うため |
AI監査ログとの違い
AI監査ログはイベントの記録であり、監査証跡はイベント同士を結びつけた説明可能な線です。ログは証跡の一部ですが、それだけでは足りません。
特に、申請IDや案件IDのような共通キーがないと、複数システムの記録を後から結びつけにくくなります。
具体的な違いを挙げると、ログは「2026年3月10日14:30に田中がChatGPT APIを呼び出した」という事実を記録します。しかし監査証跡は、その呼び出しが申請番号AI-2026-031の承認を受けたもので、入力は匿名化済みの顧客要件書であり、出力は提案書草稿フォルダへ保存されたことまでを示します。内部監査部門が見たいのは後者です。ログを取るだけでは証跡にならない理由はここにあります。
SaaSを複数使う企業では、AIツール側のログ、申請管理シートのログ、CRMの更新ログが別々に存在することが多くなります。これらを事後に手動で突合する手間を減らすには、申請フォームに「案件ID」「利用ツール名」「保存先URL」の3項目を必須にするだけでも連結精度が大幅に上がります。
証跡設計で見落としやすいポイント
- 申請番号と実行ログを結びつけるIDがない
- 条件付き承認の条件が記録されていない
- 成果物の保存先が人依存になっている
- 二次利用や共有履歴が残っていない
条件付き承認の記録漏れは特に見落とされやすいポイントです。「個人情報を匿名化すること」という条件で承認した案件で、後から「本当に匿名化されていたか」が問われたとき、条件の内容と確認者が記録されていないと説明ができません。承認フォームに「条件の内容」「確認方法」「確認者」の3列を追加するだけで、この問題は大きく改善されます。
二次利用の記録漏れも深刻です。あるBtoB事例では、AIが生成した提案書を別の顧客向けにそのまま流用したところ、元顧客の固有情報が一部残っていたことが後から発覚しました。成果物が「誰に共有されたか」「別案件に再利用されたか」まで追えていれば、早期に発見できたケースです。保存先のフォルダ権限とシェアリンクの発行履歴を証跡に含める設計は、こうしたリスクを下げます。
証跡を残す進め方
- 重要業務だけに対象を絞る。
- 申請から保存までの流れを1枚に書く。
- 各段階の記録と保持先を決める。
- 共通IDでつなげられるようにする。
- 定期的に証跡として追えるかテストする。
「定期的に証跡として追えるかテストする」については、四半期に1回、任意の案件を1件選び、申請から再利用までの記録が全部つながるか追跡する演習を行うことが有効です。情シスや監査担当が実施し、つながらなかった段階と理由を事務局へ報告する仕組みにすると、証跡設計の抜け漏れが早期に見つかります。
保持期間の設定では、業務別に年数を変えることが現実的です。顧客への直接送付物は5年、社内検討資料は2年、ルーティン要約は1年のように、影響範囲に応じて期間を変えると、過剰な保存コストを防ぎながら必要な証跡を確保できます。この判断は法務と事務局が一緒に行うことが推奨されます。
証跡設計の優先業務を選ぶ基準
すべての業務に同じレベルの証跡設計を適用するのは現実的ではありません。まず対象業務を「顧客への直接影響がある業務」「機密情報を扱う業務」「複数部門が関与する業務」の3基準で絞り込むと、最初の設計範囲が明確になります。
具体的には、顧客向け提案書・営業メール・公開コンテンツ生成は「顧客直接影響」の高優先業務です。人事評価コメント・契約関連の下書き・法務文書の要約は「機密情報」の高優先業務です。これらに絞って証跡設計を始め、半年で運用を確認してから社内一般業務へ横展開するステップが有効です。
証跡の保持先は、申請管理ツール（例：Googleフォーム＋スプレッドシート）、実行ログ（AIサービスの利用履歴）、成果物保存先（Googleドライブ・SharePoint）の3箇所を共通IDで結ぶ設計が最もシンプルです。専用ツールを追加購入しなくても、既存の環境で証跡の連結設計は実現できます。
よくある質問
すべてのAI利用に監査証跡は必要ですか？
一律ではありません。公開物、顧客対応、重要業務から優先して整える方が現実的です。
監査証跡はどの部門が持つべきですか？
事務局が集約し、情シスや監査部門が必要に応じて確認できる設計が現実的です。
証跡の保持期間はどれくらい必要ですか？
法令や社内規程に依存しますが、少なくとも説明責任を果たせる期間は保持方針を決めておく必要があります。
生成物そのものも証跡に含めるべきですか？
重要案件では含める価値があります。最終成果物だけでなく、どの条件で生成されたかも追えると説明しやすくなります。
