生成AI利用ログの保存・監査体制はどう整えるべきか

生成AIの利用ログをどれくらいの期間、どのような形式で保存し、誰がどう監査するのか——この体制づくりは、多くの事業所で後回しにされがちなテーマです。しかし、ログの保存・監査体制が整っていないと、万が一のトラブル発生時に事実確認ができず、監督官庁や利用者への説明責任を果たせなくなるおそれがあります。

なぜログの保存・監査が必要なのか

• 情報漏えいが疑われた際、何が入力・出力されたかを事後的に確認するため
• 職員による不適切な入力（要配慮個人情報の入力など）を早期に発見するため
• 監督官庁や自治体から利用実態の説明を求められた際に、根拠資料として提示するため
• 生成AIの回答をそのまま記録に転記していないか、内容の正確性を後から検証するため

保存すべきログの項目例

監査体制を整えるためのステップ

1. ログの保存期間を定める（法令上の保存義務がある記録との整合性も確認する）
2. ログを閲覧できる権限者を限定し、閲覧履歴自体も記録する
3. 定期的なサンプル抽出によるチェック（例：月1回、無作為に抽出した利用ログを管理者が確認する）を仕組み化する
4. 不適切な入力を発見した際の是正フロー（本人への注意喚起、研修の実施など）を明文化する
5. 年1回程度、監査体制自体の実効性を振り返り、必要に応じて見直す

小規模事業所での現実的な運用

専任の監査担当者を置けない小規模事業所では、管理者が他の業務と兼務しながらログ確認を行うことになります。その場合、次のような工夫が有効です。

• 全件確認ではなく、要配慮個人情報に関わりそうなキーワード検索によるスポットチェックにする
• ログ確認の結果を簡易な記録シートに残し、実施した証跡を残す
• 生成AIサービス側にログ抽出・検索機能が備わっているかを選定時から確認しておく

保存すべきログの範囲や監査の具体的な水準は、事業所の規模やサービス種別によって異なります。運営基準や個人情報保護法上の義務との関係については、専門家に相談しながら自事業所に合った体制を構築することが望ましいでしょう。

Hope Care AIでは、利用ログの記録・確認機能を備えており、事業所の監査体制づくりを支援します。機能紹介やセキュリティのページをご参照ください。