社外の専門家に社内のツールを使ってもらうときの権限設定 付与から削除まで
社外のAI専門家に、社内のチャット、ファイル共有、クラウドサービス、生成AIのツールを使ってもらうときの権限の設定方法を説明します。付与の前に決めること、アカウントの発行、権限の範囲、個人データの扱い、終了時の削除を整理します。
専門家が作業を進めるには、社内のツールを使ってもらう必要があることがあります。権限を広く渡すと作業は早く進みますが、情報が漏れたときの影響も大きくなります。
権限設定の考え方
社外の人に渡す権限は、作業に必要な範囲に限ります。基本の考え方は次のとおりです。
- 作業に必要なツールだけ、必要な期間だけ使えるようにする
- 見るだけでよい情報には、編集の権限を渡さない
- 1人に1つのアカウントを発行し、共有しない
- 誰に何の権限を渡したかを記録する
IPAの「中小企業のためのクラウドサービス安全利用の手引き」にも、同じ考え方の項目があります。運用の項目として、利用者の範囲を決めることと、利用者の認証を厳格に行うことが挙げられています（同手引き）。
付与の前に決めること
権限を渡す前に、社内で次の事項を決めます。
- 専門家が使うツールの一覧
- ツールごとに、見るだけか、編集もするか
- 見てよいフォルダやチャンネルの範囲
- 権限を使える期間
- 権限の付与と削除を行う社内の担当者
担当者は、ツールの管理者の権限を持つ人にします。管理者の権限を、専門家に渡すことは避けます。管理の作業を専門家に頼む必要がある場合は、範囲と期間を特に限って渡し、作業の後に戻します。
権限を渡す前に、秘密保持契約を結びます。結び方は「AI専門家に相談する前の秘密保持契約」で説明しています。
アカウントの発行
アカウントは、専門家ごとに発行します。社員のアカウントを貸したり、1つのアカウントを複数の人で使ったりしないようにします。
共有のアカウントでは、誰が何をしたかが記録に残りません。問題が起きたときに、原因を確かめることが難しくなります。
アカウントの発行では、次の点を設定します。
- 社外の人であることが分かる名前や表示
- パスワードに加えて、確認コードなどを使う認証の設定
- 有効期限を設定できるツールでは、契約の期間に合わせた期限
ツールの料金がアカウントの数で決まる場合は、社外の人の分の費用も確認します。招待の機能で、社外の人を一部の場所だけに招く方法もあります。
ツールごとの権限の例
| ツール | 渡す権限の例 | 注意点 |
|---|---|---|
| チャット | 専門家との連絡用のチャンネルだけに参加 | 全社のチャンネルには招かない |
| ファイル共有 | 作業用のフォルダだけを共有 | 上の階層のフォルダを共有しない |
| 業務システム | 試しの環境、または見るだけの権限 | 本番のデータの編集は社内の担当者が行う |
| クラウドの環境 | 作業する範囲に限った権限 | 費用が発生する操作の範囲を決める |
| 生成AIのツール | 会社の契約のアカウントを発行 | 入力してよい情報の範囲を伝える |
業務システムでは、本番の環境とは別に、試しの環境を用意できる場合があります。開発や設定の作業は、まず試しの環境で行ってもらいます。
個人データを扱う場合
専門家が触れる範囲に個人データがある場合は、個人情報保護法の安全管理措置の考え方にそって設定します。ガイドラインでは、技術的安全管理措置として次の4つが示されています。出典は個人情報保護委員会「ガイドライン（通則編）」10-6です。
- アクセス制御：担当者と取り扱う個人情報データベース等の範囲を限定する
- アクセス者の識別と認証：正当なアクセス権を持つ者であることを、識別した結果に基づき認証する
- 外部からの不正アクセス等の防止
- 情報システムの使用に伴う漏えい等の防止
専門家に個人データの取扱いを任せる場合は、委託先の監督も必要です（個人情報保護法第25条）。必要のない個人データには、権限を渡さないようにします。詳しくは「顧客データを専門家に渡すとき」で説明しています。
生成AIのツールの扱い
専門家が生成AIのツールを使って作業する場合は、どのアカウントを使うかを決めます。主な方法は次の2つです。
- 会社の契約のアカウントを、専門家に発行する
- 専門家が自分で契約しているアカウントを使う
会社の契約のアカウントを使う場合は、会社の設定と利用規約のもとで情報が扱われます。専門家のアカウントを使う場合は、入力した情報の扱いが専門家の契約に従います。社内の情報を入力する作業では、会社の契約のアカウントを使う方法が管理しやすくなります。
どちらの場合も、入力してよい情報の範囲を書面で伝えます。社内で生成AIの利用ルールがある場合は、そのルールを専門家にも渡します。
権限の台帳
誰に何の権限を渡したかは、台帳に記録します。台帳に書く項目の例は次のとおりです。
- 専門家の氏名と、契約の期間
- 使うツールの名前と、アカウントの名前
- 権限の内容（見るだけ、編集、管理）
- 見てよい範囲（フォルダ、チャンネル、プロジェクト）
- 付与した日と、付与した社内の担当者
- 権限の期限と、削除した日
IPAの「中小企業の情報セキュリティ対策ガイドライン」には、付録として資産管理台帳のサンプルがあります。社内で台帳を作るときの参考にできます。
起きやすい設定の誤り
社外の人に権限を渡すときに、次のような誤りが起きやすくなります。
- 共有のリンクを、リンクを知っている全員が見られる設定にしている
- 作業用のフォルダではなく、その上の階層のフォルダを共有している
- 専門家の個人のメールアドレスに、社内のメールを自動で転送している
- 試しの環境のつもりで、本番の環境の権限を渡している
- 作業が終わった後も、招待したままになっている
設定した後は、社内の担当者が、専門家のアカウントで見える範囲を確かめます。ツールによっては、他の利用者から見える範囲を確認する機能があります。
利用中の確認
権限を渡した後も、定期的に確認します。確認する点は次のとおりです。
- 権限の一覧と、実際に使っている権限が一致しているか
- 作業が終わったツールの権限が残っていないか
- 操作の記録（ログ）を確認できるツールでは、通常と違う操作がないか
作業の範囲が変わったときは、権限も見直します。範囲が広がる場合は、追加する権限と期間を記録してから渡します。
問題が起きたとき
情報の漏えいや不正な操作が疑われる場合に備えて、次の事項を決めておきます。
- 専門家が問題に気づいたときの、社内の連絡先
- 専門家のアカウントを止める手順と、止める権限を持つ人
- 操作の記録を確認する人
個人データの漏えいなどで、個人の権利利益を害するおそれが大きい事態が生じる場合があります。その場合は、個人情報保護委員会への報告と本人への通知が必要です（個人情報保護法第26条）。対象となる事態は、個人情報保護委員会の規則で定められています。
専門家との契約には、問題に気づいたときにすぐ連絡する義務を書いておきます。
終了時の削除
契約が終わるときは、権限を削除します。削除の手順は次のとおりです。
- 権限の一覧をもとに、専門家のアカウントをすべて挙げる
- 専門家が作ったファイルや設定を、社内の担当者に移す
- アカウントを停止し、その後に削除する
- 共有していたリンクやパスワードを変更する
- 専門家の手元のデータの削除を依頼し、報告を受ける
アカウントを先に削除すると、専門家が作ったファイルも一緒に消えるツールがあります。削除の前に、ファイルの持ち主を社内の担当者に移します。契約の終え方は「専門家との契約の終わり方」で説明しています。
まとめ
社外の専門家に渡す権限は、作業に必要なツール、範囲、期間に限ります。アカウントは1人ずつ発行し、共有しません。
個人データがある場合は、アクセス制御と認証の考え方にそって設定し、委託先の監督を行います。終了時は、ファイルを移してからアカウントを削除し、手元のデータの削除の報告を受けることが必要です。
よくある質問
- Q. 専門家に社員のアカウントを貸してもよいですか。
- A. 貸さないようにします。誰が何をしたかが記録に残らず、問題が起きたときに原因を確かめられなくなるためです。
- Q. 生成AIのツールは専門家のアカウントを使ってもらってもよいですか。
- A. 使えますが、入力した情報の扱いは専門家の契約に従います。社内の情報を入力する作業では、会社の契約のアカウントを発行する方法が管理しやすくなります。
- Q. 契約が終わったら、まず何をしますか。
- A. 専門家が作ったファイルの持ち主を社内の担当者に移してから、アカウントを停止・削除します。
参考にした公的な資料
この記事はAITECH編集部が公的な資料をもとに作成しました。法令・制度は2026.11.15時点の内容です。個別の契約・税務の判断は、弁護士・税理士などの専門家にご確認ください。
