社内で何個のAIツールが動いているか、答えられますか—内製ツールの棚卸し手順

「社内で動いているツールは何個ありますか」。この質問に即答できる会社は少ない。AIで作れるようになったことで、業務ツールは申請も稟議もなく増えていく。1つ目は本人が覚えている。3つ目くらいまでは把握できる。筆者の経験では、5つを超えたあたりから誰も全体を知らない状態になる（目安であり、調査に基づく数字ではない）。この記事では、その状態をどう解消するかを整理する。

把握していないツールは、止められない

棚卸しの目的は管理のための管理ではない。把握していないものは、何かあったときに手が出せないという一点に尽きる。

• 情報漏洩の疑いが出たとき、どのツールに何が入っているか分からないと調査ができない
• 退職者が出たとき、どのツールの権限を外せばいいか分からない
• 外部サービスの障害が起きたとき、影響範囲が特定できない
• 使っていないツールが、課金され続けデータを持ち続けている

どれも「知らなかった」では済まない場面で、しかもその場で調べ始めることになる。棚卸しは、その時間を先に払っておく作業だ。

完璧なリストを目指すと着手できない

棚卸しが進まない最大の理由は、最初から網羅的にやろうとすることにある。どこまでをツールと呼ぶのか、スプレッドシートのマクロは含むのか、と考え始めると止まる。

現実的なのは、「今月、業務で使ったもの」を各部署に書き出してもらうところから始めること。定義は曖昧でいい。出てきたものを見てから、必要なら基準を決める。

台帳は5列で足りる

これ以上増やすと、埋める側の負担で止まる。内製ツールの台帳では、5列のうち「扱う情報」（顧客情報・個人情報の有無）だけは必ず埋めてもらう。顧客情報ありと書かれたツールから優先して確認する。

出てきたものを3つに仕分ける

棚卸しで出た範囲は、そのまま情報セキュリティ基本方針の適用範囲を書くときの材料になる。

台帳が埋まったら、1行ずつ次のどれかに振る。

1. 使っている・重要（顧客情報あり、または止まると業務が止まる）→ チェックリスト12項目で確認する
2. 使っている・軽微（個人の作業効率化、情報も軽い）→ 台帳に載せておくだけでよい
3. 使っていない → 止める。停止・データの扱いの決定・アカウントと認証情報の整理の3点をセットで行って止める

使っていないツールの止め方

「使っていないので放置」が一番危ない。動き続けているツールは、認証情報を持ち、データを保持し、課金が発生している。止めるときは3点セットで行う。

• 停止する。まず動作を止める
• データの扱いを決める。移す・保管する・削除する。顧客情報が入っているなら削除の記録も残す
• アカウントと認証情報を整理する。外部サービスの契約を解約し、APIキーを失効させる。キーが残っていると、ツールを止めても使える状態が残る

以降は「作ったら1行」でいい

一度棚卸しをしたら、次からは新しく作るたびに台帳へ1行足す。加えて四半期に1回、台帳を見直して使っていないツールを拾う。この運用が回れば、次の棚卸しはほぼ確認作業で終わる。

棚卸しで共有IDが見つかったら、利用中の業務と所有物を確認してから共有アカウントを廃止して個人IDへ移す手順へ進む。外部連携はツール名だけで終わらせず、公式通知が届いたときにAPI廃止前に影響業務と接続元を棚卸しする方法で依存先を逆引きできる状態にしておく。

大事なのは申請制にしないこと。承認を必要にすると、作る速度が落ちるうえに申請せずに作る人が出る。記録だけを求めるほうが、結果的に把握できる範囲が広くなる。

まとめ

内製ツールが増えること自体は前進で、止める必要はない。ただし把握していないものは守れないし、止められない。完璧なリストを目指さず、5列の表を配って1週間で全体像を出す。あとは作ったら1行足す。この運用に乗せてしまえば、棚卸しは負担ではなくなる。