個人情報保護に関する内部監査は、多くの障がい福祉・介護事業所で「毎年やらなければいけないが、何をすればいいかよくわからない」項目のひとつです。さらに近年は生成AIツールの利用が現場に広がり、監査対象に「職員がどのAIサービスに、どんな情報を入力しているか」という新しい視点を加える必要が出てきています。この記事では監査の進め方をステップごとに解説します。
ステップ1:監査の目的とスコープを決める
内部監査の目的は、規程どおりに個人情報が扱われているかを確認し、問題があれば是正することです。生成AIの利用状況を監査する場合は、次のようなスコープ設定が考えられます。
- 事業所が公式に契約しているAIツールの利用状況
- 職員が個人的に使っている無料AIサービス(いわゆるシャドーAI)の有無
- AIに入力されたデータの種類(氏名・障がいの状況・家族情報など)
- AI生成物(記録・議事録・文書案)の確認・修正プロセス
ステップ2:監査方法を選ぶ
| 方法 | 特徴 |
|---|---|
| アンケート・ヒアリング | 職員が実際にどのAIツールをどう使っているか把握しやすいが、自己申告のため実態と乖離するリスクがある |
| ログ確認 | 契約しているAIツールの利用ログを確認でき客観性が高いが、個人利用の無料サービスは把握しにくい |
| 端末・アカウント管理状況の確認 | 業務端末からアクセス可能なサービスを棚卸しでき、シャドーAIの発見につながりやすい |
アンケートだけに頼った監査では、「便利だから」と職員が個人アカウントで無料の生成AIに支援記録を入力してしまうケースを見逃しがちです。ヒアリングとログ確認を組み合わせ、複数の角度から実態を把握することが望ましいです。
ステップ3:監査項目のサンプル
- 公式に契約しているAIツールの一覧と契約内容(委託契約の有無)は整備されているか
- 職員向けにAI利用ガイドライン(入力してよい情報・悪い情報の線引き)を周知しているか
- 要配慮個人情報をAIに入力した事例がないか、過去のログをサンプル確認したか
- AI生成物を確定させる前に人による確認プロセスがあるか
- 利用規約の改定情報を定期的に確認する担当者がいるか
ステップ4:是正計画を作る
監査で問題が見つかった場合、その場で終わらせず、いつまでに誰が何を改善するかを記録に残すことが重要です。たとえば「無料AIサービスの個人利用が判明した場合は、業務端末からのアクセス制限を検討する」「入力ルールの周知が不十分だった場合は、次回の研修で取り上げる」といった形で、具体的な期限と担当者を決めます。
監査結果を「できていなかったことの指摘」だけで終わらせると、職員の協力が得にくくなります。適切に運用できていた点も明記し、改善すべき点とセットで報告書にまとめると、次年度以降の監査への協力も得やすくなります。
ステップ5:AIツールの選定・見直しに活かす
監査を通じて「職員が個人的なAIツールに頼らざるを得ない状況」が見えてくることもあります。それは、公式に契約しているツールが使いにくい、あるいは対応していない業務があるというサインかもしれません。Hope Care AIのように福祉現場の業務フローに合わせて設計されたツールへの切り替えを検討する際は、特長のページや料金のページを参考にしながら、監査で見えた課題と照らし合わせて検討するとよいでしょう。
継続的な監査体制のために
内部監査は一度実施して終わりではなく、年1回など定期的に繰り返すことで初めて実効性を持ちます。生成AIの利用状況は技術の進歩とともに急速に変化するため、監査項目自体も定期的に見直す姿勢が求められます。判断に迷う項目があれば、社会保険労務士や個人情報保護に詳しい専門家に相談しながら、事業所の実情に合った監査の型を育てていくことをおすすめします。
監修
株式会社オルデンティアコーポレーション 福祉DXコンサルタント
福祉施設のDX・生成AI活用を専門に支援。本記事は現場の実務課題に基づき執筆・監修しています。