研修が終わったあと、アカウントは誰が止めるか
研修は終わりました。受講者は全員アカウントを持ちました。ここまでは、たいていの会社でうまくいきます。問題はそのあとです。
先に、当社にとって都合の悪いことから書きます。研修を売る側は、受講後にアカウントを止めるところまでは面倒を見ないことが多いです。研修の契約は、実施日で終わっているからです。当社も、明示的にお引き受けしていない限り、御社のアカウントを止める権限は持っていません。だから、止める担当を御社の中に置いていただく必要があります。ここを言わずに研修だけ売ることもできますが、そうすると半年後に、誰も管理していないアカウントが数十個残ります。
この記事は、扱う対象を3つに絞ります。退職者のアカウント、異動で使わなくなった席、誰も見ていない利用履歴。研修の前に決めるべきこと（会社契約にするのか、個人アカウントのままにするのか）はChatGPT研修の前に決めるアカウントと契約｜個人アカウントのまま研修をやると何が残らないかに書きました。本記事はその続き、研修が終わった翌月からの話です。
1｜研修のあとに残るものは、3つしかない
「アカウント管理」と言うと範囲が広く見えますが、実際に手当てが要るのは次の3つです。
| 残るもの | 放っておくと起きること | 効いてくるのは | 止める人 |
|---|---|---|---|
| (1) 退職者のアカウント | 会社を離れた人が、社内の資料を投げ込んだ会話履歴にアクセスできる状態が続く | 権限（費用より重い） | 人事の退職手続に組み込む |
| (2) 異動で使わなくなった席 | 使っていない席の利用料を払い続ける。過去の会話に、異動先では見てはいけない情報が残る | 費用と権限の両方 | 情シスまたは管理部門（四半期の棚卸） |
| (3) 誰も見ていない利用履歴 | 危ない使い方も、まったく使われていない事実も、どちらも検知されない | 気づく速さ | 推進担当（月次で見る） |
この3つに共通しているのは、「誰の仕事でもない」という点だけで放置されていることです。難しいから止まっているのではありません。人事は情シスの仕事だと思い、情シスは現場の判断だと思い、現場は自分に権限が無いと思っている。決めるのは担当者の名前ひとつです。
2｜(1)退職者：退職手続のチェックリストに、1行足すだけで終わる
いちばん重く、いちばん簡単に片づく項目です。
まず前提の確認から。個人情報を扱うシステムのアカウント管理は、会社の任意の運用ではありません。個人情報保護法は第23条で安全管理措置を、第24条で従業者の監督を、第25条で委託先の監督を定めています。個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」は、講ずべき安全管理措置を、基本方針の策定、取扱規程等の整備、組織的・人的・物理的・技術的の各安全管理措置という枠組みで整理しており、技術的安全管理措置にはアクセス制御と、アクセス者の識別・認証が含まれます。退職した人のアカウントが生きているという状態は、この「アクセス制御」が効いていない状態です。
内部不正の観点では、独立行政法人情報処理推進機構（IPA）の「組織における内部不正防止ガイドライン」（第5版・2022年4月改訂）があります。資産管理、技術的管理、職場環境、事後対策など10の観点、合計33項目の対策として整理されており、退職者や異動者の権限管理もその中に含まれます。
実際に足すのは、この3行です
- 「生成AIのアカウントを停止する」を、退職手続のチェックリストに項目として追加する。メール、勤怠、チャットは載っているのに、生成AIだけ載っていない会社がほとんどです。研修で新しく配ったものは、既存のリストには載りません。
- 停止の期日を、最終出社日ではなく退職日に合わせる。有給消化中にアクセスできる状態が残ります。ここを分けて書かないと、実務では最終出社日で止まります。
- 会話履歴をどうするかを、事前に決めておく。停止した時点で本人は見られなくなりますが、会社側に残すのか、削除するのかは別の判断です。業務で作った成果物が会話の中にしかない場合、消すと社内から失われます。逆に残す場合は、誰が見られるのかを決めておく必要があります。
この3行が入っていないと、退職者のアカウントは「気づいた人が誰かに言う」でしか止まりません。そして、たいてい誰も気づきません。
3｜(2)異動：止まらない「席」は、費用よりも権限で効く
生成AIの法人向けサービスは、多くが利用者ごとの席（シート）単位で課金されます。したがって、使わなくなった席をそのままにすると、使っていない分の利用料を払い続けることになります。ただし、金額の話は分かりやすいぶん、対処もされやすい項目です。
本当に注意が要るのは権限のほうです。異動は、退職と違って「アカウントが要らなくなる」わけではありません。要るけれども、見てよい範囲が変わります。ここが見落とされます。
- 人事部門にいたときの会話履歴に、給与や評価に関する内容が残ったまま、営業部門へ異動する。
- 特定の顧客を担当していたときにアップロードした資料が、担当替えのあとも本人の履歴から参照できる。
- 部門ごとに共有していたプロンプトやカスタム設定の共有先が、異動後も元の部門のまま残る。
いずれも「アカウントを止める」では解決しません。止めるのではなく、権限と履歴を洗い直す作業です。異動の多い会社では、月次で追いかけると負荷が高いので、四半期に一度の棚卸に載せるのが現実的です。
棚卸で突き合わせる2つの名簿
やることは単純で、名簿を2つ並べて差分を見るだけです。ひとつは人事が持っている在籍者・所属の名簿。もうひとつは、生成AIサービス側の利用者一覧。この2つを突き合わせて、次の3つに仕分けます。
- 在籍していないのに席がある → 停止（第2章の漏れ）
- 在籍しているが、所属が名簿と違う → 権限と共有先の見直し
- 席はあるが、直近3か月の利用が0回 → 本人に確認のうえ、返却するか、使えていない理由を潰すか
3つめは、実は研修の効果測定そのものです。利用が0回で止まっている人がいるなら、席を返してもらう前に、なぜ止まったのかを聞いてください。多くは「業務のどこで使えばいいか分からない」で止まっています。この止まり方については社員がChatGPTを「検索代わり」で止まる理由と、業務が変わる教え方に書きました。
4｜(3)利用履歴：誰も見ていないログは、事故のあとにしか読まれない
法人向けの生成AIサービスの多くは、管理者向けに利用状況を確認する機能を備えています。ただし、機能があることと、誰かが見ていることは別です。当社が研修後にうかがった範囲では、管理画面を月に一度でも開いている会社は多数派ではありません。
見るべきものは3つに絞れます。全部を毎月見ようとすると続きません。
| 見るもの | 何を判断するか | 見つかったときの打ち手 |
|---|---|---|
| 使われているか（利用者数・頻度の推移） | 研修が定着に向かっているか、失速しているか | 失速している部門に、業務に紐づいた使い方を追加で渡す |
| 危ない使い方が出ていないか | 社内ルールで禁じた情報が投入されていないか | 個人を責めずに、規程とルールの書き方を直す（禁止事項が具体的でないことが原因のことが多い） |
| 席と在籍が合っているか | 第2章・第3章の漏れ | 停止または権限の見直し |
ルールの側が抽象的なままだと、履歴を見ても何が違反なのか判断できません。「機密情報を入力しない」だけでは、現場は判断できないのです。入れてはいけない情報の具体化については生成AIの社内ルール(AI利用規程)の作り方｜入れてはいけない情報とひな形の考え方に、情報漏えいの経路そのものについては生成AIのセキュリティリスクとは？情報漏洩を防ぐ対策と社内ルールの作り方にまとめています。
5｜棚卸の回し方は、月次・四半期・年次の3段でよい
頻度を分けないと続きません。当社が研修後の運用としてご提案しているのは、次の3段です。
| 頻度 | やること | 担当 | 所要の目安 |
|---|---|---|---|
| 随時 | 退職・入社にあわせてアカウントを停止・発行する | 人事（退職手続のチェックリストで自動的に走る） | 1件あたり数分 |
| 月次 | 利用状況を1画面だけ見る（利用者数の推移と、明らかな異常の有無） | 推進担当 | 15分程度 |
| 四半期 | 在籍名簿と利用者一覧を突き合わせ、停止・権限見直し・返却の3つに仕分ける | 情シスまたは管理部門 | 半日程度（初回はもう少しかかります） |
| 年次 | 契約席数の見直しと、規程の改定要否の確認 | 管理部門＋決裁者 | 更新時期にあわせて |
ここで大事なのは所要時間ではなく、「誰が」の欄が空いていないことです。当社が見てきた範囲では、止まる原因の大半は、負荷ではなく担当の空欄でした。
6｜次の研修を発注するときに、先に決めておくと軽くなること
ここまでは、すでに研修が終わった会社向けの話でした。これから発注する場合は、次の3つを見積の段階で決めておくと、あとの運用が軽くなります。
- アカウントの名義を、会社にするか個人にするか。個人名義のまま研修をやると、そもそも会社が停止できません。管理者から止められないアカウントは、棚卸の対象にすら載りません。
- 研修当日だけ使う一時アカウントと、研修後も使う恒久アカウントを分けるか。分けると、当日の参加者全員に恒久アカウントを配らずに済みます。全員に配るのか、部門から選ぶのかという判断は生成AI研修は全員に受けさせるか、選抜にするか｜広げると薄まり、絞ると戻ってこないに整理しました。
- 研修終了の翌月に、棚卸の初回を置く。研修が終わってから決めようとすると、決める人がいなくなります。研修の日程を組む会議で、初回の棚卸日も一緒に置いてください。
ノセカエの場合と、正直に申し上げること
- 当社は御社のアカウントを止める立場にありません。研修の受託範囲に含まれないためです。止める担当を社内に置いていただくことを、研修の設計時に必ずお願いしています。
- 「研修後もサポートします」という言い方を、当社はしていません。何を、いつまで、誰がやるのかを書かないサポートは、実務では機能しないためです。棚卸の手順書と、初回の実施日までをお渡しする形にしています。
- 席が余っている状態は、当社の受注にとってはむしろ好都合です。そのうえで、四半期の棚卸をご提案しています。使われていない席を抱えたまま次の研修に進んでも、定着はしません。
- サービスの画面の手順や料金は、この記事には書いていません。提供各社の仕様は変わるためです。停止や権限の操作は、その時点の公式ドキュメントをご確認ください。
まとめ
研修が終わったあとに残るのは3つです。退職者のアカウント、異動で使わなくなった席、誰も見ていない利用履歴。
退職者は、退職手続のチェックリストに1行足せば終わります。ただし期日を退職日に合わせること、会話履歴の扱いを先に決めることの2点を落とさないでください。個人情報保護法第23条の安全管理措置と、ガイドライン通則編が挙げる技術的安全管理措置（アクセス制御、アクセス者の識別と認証）が根拠になります。
異動は、止めるのではなく権限と履歴を洗い直す作業です。在籍名簿と利用者一覧を四半期に一度突き合わせ、停止・権限見直し・返却の3つに仕分けます。
利用履歴は、月に15分、1画面だけ見れば足ります。見ないログは、事故が起きたあとにしか読まれません。
この運用が止まる理由は、負荷ではありません。担当の欄が空いていることです。研修の日程を決める会議で、止める人の名前と、初回の棚卸日まで決めてください。それだけで、半年後に数十個のアカウントを数え直す作業が消えます。
研修の設計と一緒に、終わったあとの棚卸まで決めます。
受講予定の人数、アカウントの契約形態、社内で管理を担える部門をうかがい、研修の内容にあわせて、停止の担当・棚卸の頻度・見るべき項目を1枚にしてお返しします。助成金が使える設計かどうかも、あわせて確認します。
助成金が使えるか無料診断 →※本記事は、記載時点で公表されている法令および公的機関の公表資料に基づく一般的な整理であり、個別の事案における取扱いや適否を判定するものではありません。参照した資料は、個人情報の保護に関する法律第23条・第24条・第25条（e-Gov法令検索）、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」、独立行政法人情報処理推進機構（IPA）「組織における内部不正防止ガイドライン」第5版（2022年4月改訂）です。制度およびガイドラインは改正されることがあるため、細目は各資料の最新版をご確認ください。生成AIサービスの管理機能・課金単位・停止手順は提供各社の仕様により異なり、変更されることがあるため、本記事では個別のプラン名・料金・画面操作は記載していません。実施にあたっては、その時点の公式ドキュメントをご確認ください。個人情報の取扱いおよび社内規程に関する個別の判断は、弁護士等の専門家にご確認ください。棚卸の頻度・所要時間および運用が止まる原因に関する記述は、当社が研修後にうかがってきた範囲に基づく整理であり、統計調査に基づくものではありません。助成金は要件を満たす場合に対象となることがあり、支給を保証するものではありません。