AI活用台帳の作り方｜ツール名だけで終わらない管理項目
AI活用の台帳は、入力情報・出力用途・責任者・停止条件を一行で結ぶ判断表です。承認済み利用の分け方と記入例から、自社で継続・変更・停止を判断できる管理項目を解説します。
AI活用の台帳は、承認した利用ごとに「何を入力し、何に出力を使い、誰が確認し、どの状態なら止めるか」を一行で結ぶ判断表です。ツール名だけの一覧では、同じツールを使って公開情報から文章案を作る業務と、社内資料を要約する業務の違いが見えません。入力の扱いも出力後の確認も異なるため、台帳の一行は業務上の利用単位で作ります。
最低限の結論は、利用目的・入力情報・出力用途・人の確認・運用責任者・停止条件を同じ行に置くことです。欄を埋めた後には、停止条件を入力欄や確認欄から判定できる言葉にし、責任者へ停止権限まで渡します。そこまで具体化できるかが運用の分かれ目です。
AI活用の台帳は「承認済み利用」を一行にする
対象は、会社が認めたAI利用を棚卸しし、継続・変更・停止を判断するための台帳です。未承認ツールを探す調査票とは目的が異なります。社内ルールの入口を整える場合は、先に生成AIの社内ルール・利用ガイドラインの作り方【テンプレート付き】で、承認ツール、入力の線引き、相談先を決めてください。台帳は、そのルールを個々の業務へ落とし込む記録になります。
2026年9月21日時点で、NISTはAIシステム台帳を、システム文書、インシデント対応計画、データ辞書、実装ソフトウェアへのリンク、関係者の氏名・連絡先などを含み得る、組織化されたデータベースと説明しています。また、台帳を維持する個人またはチームを方針で定めることも提案しています（NIST AI RMF Playbook: Govern）。
NISTの論点を日々の承認と見直しへ落とすには、まず何を一つの利用として扱うかを揃える必要があります。
一行の単位を決める判定表
| 確認する問い | 同じ行のままでよい | 行を分けて別の利用として承認する |
|---|---|---|
| 利用目的・業務は同じか | 同じ成果物を作る同じ工程 | 下書き作成と採否判断など、役割が異なる |
| 入力情報の区分と来歴は同じか | 同じ出所・同じ取り扱い区分 | 公開情報から社内資料へ変わる、または特別な配慮が必要な情報を含む |
| 出力の利用先は同じか | 同じ担当者が同じ工程で使う | 社内の下書きから外部公開へ変わる |
| 人の確認方法は同じか | 同じ観点・同じ承認者が確認 | 確認なし、別部門承認、専門判断が加わる |
| 停止条件と権限者は同じか | 同じ条件を同じ責任者が判定 | 影響や依存先が変わり、別の停止判断が必要 |
ツール名が同じでも右列に当てはまるなら行を分けます。反対に、部署名だけが違っても入力、出力用途、確認、停止判断が同じなら、責任範囲を確認したうえで統合を検討できます。
ツール名の右に置く管理項目
NISTは、定期的に見直す文書の対象例として、事業上の根拠、範囲と用途、想定されるリスクと影響、前提と制約、出力データの説明、導入・監視・変更管理の計画などを挙げています。さらに、意図した目的・想定用途・導入状況、システムの知識限界、出力を人がどう利用・監督するか、意図した利用の外にある条件の文書化も示しています（2026年9月21日確認：Govern、Map）。
これを承認済み利用の台帳へ絞るなら、次の列を一続きにします。
| 管理項目 | 記入する内容 | 隣の欄とのつながり |
|---|---|---|
| 利用ID・状態 | 利用を識別する名称、承認中・停止中など | 変更履歴と対象を取り違えない |
| 利用目的・業務 | 対象工程と作る成果物 | 出力を何に使ってよいか決める |
| ツール・利用環境 | サービス、基盤モデルと版、アクセス方式 | 変更時に再確認する対象を示す |
| 入力情報 | 情報名、来歴、公開・社内などの区分、個人・機密・専有・センシティブ情報への該当有無 | その入力で許される用途と停止条件につなぐ |
| 出力用途 | 下書き、判断補助、外部公開など、使う工程と利用者 | 必要な人の確認を決める |
| 人の確認 | 確認者と、事実・権利・社内基準などの確認観点 | 確認不能時の停止条件につなぐ |
| 運用責任者 | 問い合わせ、見直し、懸念の調査を担う人または役割 | 利用変更・制限・停止の権限者を明らかにする |
| 停止条件 | 入力、用途、既知の問題、人の確認から判定できる条件 | 発生時の連絡先、停止権限者、代替手順につなぐ |
| 更新契機 | 用途、入力区分、利用先、モデル版、アクセス方式、監督方法の変更 | 定例日を待たず再承認する |
2026年9月21日時点のNIST生成AIプロファイルは、台帳で検討する内容にデータの来歴、既知の問題、人による監督の役割と責任、個人・機密・専有・センシティブデータに関する考慮事項、基盤モデルとその版、アクセス方式を挙げています（Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile）。上表はこの記載を踏まえていますが、「一行にどう配置するか」は自社運用のための提案です。
入力から停止までつながる記入例
記入例は、欄同士の接続を確かめるためのたたき台です。自社の規程として確定する際は、情報区分、契約条件、業界固有の義務を確認してください。
| 項目 | 記入例A：公開情報から説明文の下書き | 記入例B：承認済み社内資料からFAQ草案 |
|---|---|---|
| 利用目的・業務 | 公式に公開済みの商品情報を基に、説明文の初稿を作る | 現行の社内手順書を基に、社内向けFAQの草案を作る |
| 入力情報 | 自社公式サイトの公開済み記載。取得元を記録。未公開情報は入力しない | 文書管理責任者が現行版と確認した手順書。利用を認めた環境だけに入力 |
| 出力用途 | 編集担当者が下書きとして利用。自動公開しない | 担当部門が質問候補と回答草案として利用。最終回答にはしない |
| 人の確認 | 元の公開情報との一致、古い記載、第三者の権利、表現基準を確認 | 現行手順との一致、例外の欠落、問い合わせ先を文書責任者が確認 |
| 運用責任者・権限 | コンテンツ責任者が懸念を受け、修正・利用制限・停止を判断 | 業務手順の責任者が調査し、利用範囲の変更または停止を判断 |
| 停止条件 | 未公開情報が入力された、取得元を確認できない、必要な編集確認ができない | 対象外資料の混入、旧版との識別不能、文書責任者の確認ができない |
| 更新契機 | 外部公開へ用途を変える、入力元を増やす、モデル版・アクセス方式を変える | 対象部署を広げる、手順書を改定する、出力を別システムへ連携する |
| 停止時の確認 | 作成途中の出力と入力記録の扱い、手作業での作成手順を確認 | 保存データの扱い、参照先との依存、従来の問い合わせ手順への切替を確認 |
入力情報には「商品情報」「手順書」という名称に加え、来歴と扱いを記します。この二つがあれば、禁止入力の発生を判定できます。出力用途には、文章生成という処理名よりも、下書き、判断補助、外部公開といった後工程を明記します。すると、誰の確認が欠けたら止めるのかを同じ行から読めます。
停止条件には「問題が起きたら停止」と書かず、他欄との不一致を書きます。たとえば、認めていない情報が入力された、承認した用途の外で使われた、記録済みの問題が現れた、必要な人手確認を実施できない、といった状態です。問題の重大性を台帳だけで決めきれない場合でも、少なくとも誰が受け付け、調べ、利用を変更・制限・停止できるかは決められます。
責任者欄には連絡先と権限を記す
担当者名だけを記すと、異常時に相談を受ける人と、利用を止められる人が一致するか分かりません。台帳には、日常の運用責任、懸念の受付、調査、再承認、停止判断を役割として記し、権限が別の人にあるなら併記します。異動に備えて役職や組織上の役割を主にし、実際の連絡先を関連づける方法も考えられます。
NISTは2026年9月21日時点で、継続監視と定期レビューの役割・責任、レビュー頻度を明確にすることを示しています。また、懸念を誰が受領・調査・是正し、その人に利用を変更・制限・停止する権限があるかを文書化の問いにしています（NIST AI RMF Playbook: Govern）。責任者欄を権限まで広げる理由はここにあります。
定例更新と変更時更新を分ける
台帳の更新日を決めても、変更が先に起きれば記録は現状とずれます。定例レビューに加え、次の変更を更新契機として各行に記します。
- 利用目的または対象業務が変わった
- 入力情報の来歴・区分・取り扱いが変わった
- 出力の利用者、利用先、公開範囲が変わった
- 基盤モデルの版またはアクセス方式が変わった
- 人による確認の担当・観点・手順が変わった
- 既知の問題が顕在化し、停止条件に触れた
これらの変更が起きたら、承認した前提が変わった行を再確認へ戻します。責任者は、変更を一律に禁じるのではなく、継続、条件変更、停止のいずれかを選びます。導入初期の対象業務と判断の進め方は、AI導入は何から始めるべきか｜中小企業の最初の90日にも接続できます。
利用停止には、システムの無効化に加えて後処理が伴います。2026年9月21日時点のNIST生成AIプロファイルは、必要時にシステムを無効化できるプロトコルを設け、廃止時にはデータ保持要件、データセキュリティ、上流・下流の依存関係を考慮するよう示しています（NIST生成AIプロファイル）。実務では、各行に保存データの扱い、連携先、代替手順への参照を持たせておくと、停止判断を実行へ移しやすくなります。
一行だけで停止を判断できる状態にする
最初から全ツールの機能を網羅する必要はありません。承認済みの利用を一つ選び、目的、入力、出力用途、人の確認、責任者、停止条件を一行で埋めます。その後、入力の来歴を確認できないとき、出力の用途が変わったとき、確認者が不在のときに、その行だけで止めるべきか判断できるかを読み返します。
判断できなければ、停止条件の説明を増やす前に、元になった入力欄、出力用途欄、責任者の権限を直します。目的、入力、出力用途、人の確認、責任者、停止条件が同じ行でつながり、入力の来歴不明、用途変更、確認者不在を停止条件として読めることが完成の基準です。AI活用の台帳によって、承認した利用の前提が今も成立しているかを経営と現場が同じ表で確かめられます。