個人情報保護法は事業者に対し「安全管理措置」を講じることを求めており、行政の実地指導や第三者監査の場面では、この措置が実際に機能しているかどうかが確認されます。生成AIを業務に導入している事業所では、従来の紙・基幹システム中心の管理に加えて、AIツールに関する管理体制も監査対象になり得ます。本記事では実地監査を想定したチェックリスト形式で、確認しておくべきポイントを整理します。
組織的安全管理措置のチェックポイント
- 個人情報保護に関する責任者・担当者が明確に定められているか
- 生成AIの利用に関する社内規程（利用範囲、入力禁止情報など）が文書化されているか
- 安全管理措置の実施状況を定期的に確認する仕組み（年次点検など）があるか
- 情報漏えい等の事案が発生した場合の報告体制・連絡フローが整備されているか
人的安全管理措置のチェックポイント
- 職員に対する個人情報保護研修が定期的に実施されているか（生成AI利用に関する内容を含む）
- 雇用契約書や誓約書に守秘義務・個人情報の取り扱いに関する条項があるか
- 退職者に対する情報管理上の対応（アカウント削除等）がルール化されているか
実地監査では「規程があるか」だけでなく「規程通りに運用されている証跡があるか」が問われることが多くあります。研修の実施記録、同意書の保管、アクセスログなど、後から確認できる形で残しておくことが重要です。
物理的安全管理措置のチェックポイント
- 個人情報を含む書類・記録媒体の保管場所に施錠等の管理がされているか
- 生成AIを利用する端末が特定の職員・場所に限定され、離席時の画面ロック等が徹底されているか
- 私物端末やフリーWi-Fi環境から生成AIサービスにアクセスしていないか
技術的安全管理措置のチェックポイント
- 生成AIサービスへのログインにID・パスワード管理、可能であれば多要素認証が導入されているか
- 利用者ごとのアクセス権限が業務内容に応じて設定されているか
- 生成AIサービスとの通信が暗号化（HTTPS等）されているか
- 入力データの保存期間や削除ポリシーが確認・記録されているか
| 措置の種類 | 監査で問われやすい観点 |
|---|---|
| 組織的措置 | 責任者の設置、規程の存在と周知状況 |
| 人的措置 | 研修実施の記録、誓約書の有無 |
| 物理的措置 | 端末・書類の管理状況 |
| 技術的措置 | アクセス制御、ログ管理、暗号化 |
監査当日の対応で気をつけたいこと
実地監査では、規程の提示だけでなく、実際の業務フローに沿った説明を求められることがあります。生成AIをどの業務でどのように使っているか、担当職員が説明できる状態にしておくことが望まれます。また、AIベンダーとの契約書や利用規約の写しをすぐに提示できるよう整理しておくと、監査対応がスムーズになります。
チェックリストはあくまで一般的な確認の目安であり、事業所の規模や取り扱う個人情報の種類によって求められる水準は異なります。個人情報保護委員会が公表するガイドラインを確認するとともに、具体的な運用については弁護士等の専門家に相談することをおすすめします。
生成AI導入に特化した追加チェック項目
従来の安全管理措置のチェック項目に加えて、生成AIを導入している事業所では以下のような項目も監査で確認されることが増えています。
- 利用しているAIサービスの一覧とそれぞれの契約内容が整理されているか
- AIへの入力を禁止する情報（手帳番号、病名、住所等）が具体的に定められているか
- AIの出力結果を職員がどのように確認・修正しているか、その記録が残っているか
- AIベンダーが個人情報保護法上の委託先としての義務を果たしているか、契約書上確認できるか
生成AI関連の項目は、既存の安全管理措置チェックリストに追加する形で管理すると、監査対応時に一元的に説明しやすくなります。専用のAI利用台帳を作成している事業所もあります。
監査で指摘を受けた場合の改善対応
実地監査で不備を指摘された場合は、改善計画を期限付きで作成し、実施状況を記録に残すことが基本的な対応になります。生成AIに関する指摘であれば、利用規程の見直し、職員研修の実施、契約内容の再確認といった具体的なアクションに落とし込み、次回の監査までに実施した証跡を残しておくことが望まれます。
自己点検シートの活用例
実地監査を待つのではなく、事業所自らが定期的に自己点検を行うことも有効な備えになります。以下は自己点検シートの一例です。年に2回程度、管理者と担当職員が一緒に確認する時間を設けている事業所もあります。
| 点検項目 | 確認結果の記入欄 |
|---|---|
| 個人情報保護規程の最終更新日 | （記入欄） |
| 直近の職員研修実施日 | （記入欄） |
| 生成AIツールの利用範囲の見直し状況 | （記入欄） |
| 退職者アカウントの棚卸し状況 | （記入欄） |
複数事業所を運営する法人での監査対応
複数事業所を運営する法人では、事業所ごとに監査対応の水準が異なると、法人全体としての管理体制に疑問を持たれることがあります。本部が各事業所の自己点検結果を集約し、法人全体で改善状況を把握する仕組みを持つことで、どの事業所が実地監査を受けても一貫した説明ができる体制を整えることができます。
外部専門家によるレビューの活用
自己点検だけでは気づきにくい抜け漏れもあるため、社会保険労務士や個人情報保護に詳しい弁護士など外部専門家に定期的にレビューしてもらう事業所も増えています。特に生成AIの利用が広がり始めた初期段階では、社内の知見だけで安全管理措置を整備するのが難しい場合もあるため、外部の視点を取り入れることが有効な選択肢になります。
データ保有期間・廃棄プロセスのチェック
安全管理措置の実地監査では、個人データの保有期間や廃棄プロセスについても確認されることがあります。生成AIサービス上に蓄積された入力データやログについても、いつまで保管し、いつ削除するのかという方針を定めておくことが望まれます。
- 生成AIサービスにおけるデータ保有期間の設定・確認状況
- 不要になった個人データの削除・廃棄手順が明文化されているか
- 廃棄記録（誰が、いつ、何を削除したか）が残されているか
AIベンダーとのデータ処理契約（DPA）整備状況の確認
生成AIベンダーとの契約において、個人情報保護法上の委託先としての義務（安全管理措置、再委託の制限、データ利用目的の限定等）を定めた覚書やデータ処理契約（DPA）を締結しているかどうかも、監査で確認されやすいポイントです。標準の利用規約だけでは、福祉事業所特有の要配慮個人情報の取り扱いについて十分にカバーされていないこともあるため、必要に応じて個別の覚書締結を交渉することも検討に値します。
- 主要なAIベンダーとの間でDPA・覚書の締結状況を一覧化する
- 締結していない場合、リスクの大きさに応じて交渉の優先順位をつける
- 契約更新のタイミングで、覚書の内容が最新の運用実態に合っているか見直す
チェックリストを「一度作って終わり」にしないために
安全管理措置は制度改正やAIツールの更新に応じて見直しが必要な、継続的な取り組みです。年に一度は本チェックリストのような形式で自事業所の状態を棚卸しし、不足している項目から優先的に整備していくことが実地監査への備えにつながります。
監修
株式会社オルデンティアコーポレーション 福祉DXコンサルタント
福祉施設のDX・生成AI活用を専門に支援。本記事は現場の実務課題に基づき執筆・監修しています。