未承認の生成AI利用をどう管理する？機密情報・個人情報・利用申請をつなぐ実務ガイドを無料公開

利用禁止だけに頼らず、サービス台帳・データ分類・承認・ログ・例外対応を一つの運用へ

株式会社くるみバディ（本社：東京都渋谷区、代表取締役：崎前裕人）は、未承認の生成AI利用を安全な承認経路へ戻すホワイトペーパー「生成AIの未承認利用を把握・是正する実務ガイド｜機密情報・個人情報・利用申請を管理する方法」を公開しました。用途・サービス・アカウント・入力データを棚卸しし、承認区分、期限付き例外、必要最小限のログ、事故初動へつなぐ方法をまとめています。

資料ダウンロード：

https://curumi.co.jp/resources/shadow-ai-governance?utm_source=prtimes&utm_medium=pressrelease&utm_campaign=wp_shadow_ai_governance&utm_content=topcta

■ 制作背景

IPA中核人材育成プログラム第9期生の卒業プロジェクトチームが作成した「生成AIおよびAIエージェントを安全に活用するための手引書」が、2026年7月31日にIPAサイトへ掲載されました。組織で許可されていない生成AIサービス等の利用について、情報漏えいや不正確な出力等のリスクと実務上の対策が整理されています。

ツール名を禁止するだけでは、現場の業務ニーズ、個人アカウント、入力情報、外部連携、例外利用を同じ基準で把握できません。未承認利用を見つけた後に、承認済み環境、代替手段、期限付き例外へ戻す経路も必要です。

本資料では、未承認の生成AI利用を用途から棚卸しし、機密性と、個人情報等の法令・契約属性を二軸で確認します。用途を親レコード、サービス・契約、アカウント、モデル・版、設定・接続先・権限を子レコードとして管理する単位、簡易確認・専門確認・個別審査の確認経路、期限付き例外、規約・設定変更時の再評価、必要最小限の利用ログ、事象区分と事故初動までを解説します。

■ 本資料で解説する内容

・業務用途、サービス、アカウント、入力情報、責任者を記録する台帳項目

・用途を親、サービス・契約、アカウント、モデル・版、設定・接続先・権限を子にする管理単位

・機密性と個人情報等の法令・契約属性を二軸で確認する分類例

・入力情報、出力用途、操作権限で簡易確認・専門確認・個別審査を分ける設計例

・個人情報入力前に利用目的、学習、保持、削除、第三者提供等を確認する手順

・期限付き例外、終了処理、規約・モデル変更時の再評価トリガー

・規程違反、ヒヤリハット、情報漏えい、AIインシデントを区分し、封じ込めと証拠保全を並行判断する初動

■ 想定読者

情報システム、情報セキュリティ、DX・AI推進、法務・個人情報保護、内部監査、各業務部門の責任者を想定しています。未承認の生成AI利用を把握できていない、禁止事項はあるが申請・例外・事故対応の経路が曖昧、サービスの規約や設定変更を継続的に管理したい企業に向けた資料です。

■ 資料概要

・資料名：生成AIの未承認利用を把握・是正する実務ガイド｜機密情報・個人情報・利用申請を管理する方法

・公開日：2026年8月28日

・形式：PDF（20ページ）

・URL：https://curumi.co.jp/resources/shadow-ai-governance?utm_source=prtimes&utm_medium=pressrelease&utm_campaign=wp_shadow_ai_governance&utm_content=bottomcta

■ 株式会社くるみバディについて

会社名：株式会社くるみバディ（旧商号：株式会社パーフス／2026年7月1日商号変更）

代表者：崎前 裕人

設立：2024年6月20日

資本金：500万円

所在地：〒150-0021 東京都渋谷区恵比寿西1丁目15-10 第6横芝ビル7階

事業内容：AIコンサルティングファーム。職種別のAI実務パッケージ「くるみAIバディ」を提供し、マーケティング・セールス・カスタマーサクセス・管理バックオフィス・経営の各現場で、AI活用と運用の実行を担う

親会社：株式会社くるみ

会社情報：https://curumi.co.jp/about/buddy

■ 本件に関するお問い合わせ先

株式会社くるみバディ　広報担当

メール：[e-mail]

お問い合わせ：https://curumi.co.jp/contact