生成AIに社内データを読ませる前の棚卸し｜機密区分の決め方

生成AIに社内データを読ませる前にやるべき棚卸しは、ファイルを1件ずつ分類する作業ではありません。「置き場所」を数え、「機密区分」を自社の呼び方で決め、「区分ごとに渡してよいAIの入口」を対応づける。この3つを決めるだけです。ファイルを1件ずつ見始めた会社は、ほぼ確実に途中で止まります。

この記事は、共有ドライブやファイルサーバーに何年ぶんも資料がたまっていて、生成AIに読ませたいけれど何から手を付ければいいか分からない、という経営者・情シス担当・総務の方に向けて書いています。読み終わる頃には、棚卸しシートの列と、区分の分け方と、最初の90分で何をするかまで決められる状態を目指します。

なお、社内文書をAIに答えさせる仕組みそのものの作り方（RAGの構築手順）は扱いません。そちらはRAGとは｜社内文書をAIに答えさせる手順を非エンジニア向けに解説とDify社内RAG構築手順｜資料整理と検索設定で精度を上げる方法で解説しているので、構築フェーズに入っている方は先にそちらを見てください。この記事は、その手前の「何を読ませてよいか」を決める話です。

Contents / 目次

1. 生成AIに社内データを渡す前に決める3つのこと
2. 棚卸しの進め方5ステップ
3. 棚卸しでつまずく5つの失敗と防ぎ方
4. 棚卸しを終えた会社で変わること
5. 棚卸しの現場で出てくる妥協点
6. よくある質問
7. まず今日やる1つのこと

生成AIに社内データを渡す前に決める3つのこと

決めるのは、置き場所・機密区分・渡し方の3つです。この3つが決まっていれば、あとから新しいAIツールが増えても判断が変わりません。逆にここが空欄のまま導入すると、「このファイル入れていいんでしたっけ」という質問が担当者に集中し、その担当者が休んだ日に事故が起きます。

棚卸しとは、社内にあるデータを「どこに・どんな中身が・誰の持ち物として」置かれているかを一覧にして、扱いのルールを紐づける作業のことです。在庫の棚卸しと同じで、全部を一度に数えるのではなく、棚の単位で数えていきます。

3つの内訳は次のとおりです。

• 置き場所：共有ドライブのフォルダ、ファイルサーバーの部署領域、メールの添付、業務システムの中、紙の書類。ファイルではなく「棚」を数える
• 機密区分：その棚の中身がどれくらい外に出てはいけないか。自社の呼び方で3〜4段に分ける
• 渡し方：区分ごとに、どのAIの入口までなら渡してよいか。入口は契約形態ごとに分けて考える

入口を契約形態ごとに分けるという視点が、多くの会社で抜けています。「生成AIに入れていいか」を1つの質問として考えると、答えが出ません。同じファイルでも、社員が個人で契約しているアカウントに貼る場合と、会社が契約して管理者を置いている環境で扱う場合とでは、会社が確認できる設定やログの範囲が違うことがあります。ただし、何をどこまで管理者が確認できるかはサービスとプランによって異なるので、自社が使っているサービスの管理者向け公式ドキュメントと契約内容で確かめてください。

区分と入口を対応づけると、判断はこの1枚に収まります。ただし各サービスの仕様や設定項目はプランごとに異なり、変更も頻繁です。下の表はあくまで自社版を作るための下敷きなので、右3列は契約している各サービスの公式ドキュメントと自社の契約内容を見て埋めてください。区分名も例なので、自社ですでに使っている呼び方（「極秘」「取扱注意」「部外秘」など）があるならそちらに置き換えてください。

機密区分（呼び方は自社に合わせる）	中身の例	個人のアカウントで開くAIチャット	会社契約のテナント内AI	社内ネットワークに閉じた環境
公開	会社案内、公開済みの製品カタログ、プレスリリース	可	可	可
社内限定	社内マニュアル、議事録の一部、社内向け手順書	不可	可	可
社外秘	見積根拠、原価、取引先ごとの条件、開発中の仕様	不可	条件つきで可（契約と設定の確認が要る）	可
極秘・要配慮	人事評価、給与、健康情報、顧客の個人データ、係争中の案件	不可	原則不可	個別に判断

ここが分かれ目。「条件つきで可」を空欄のままにしないでください。何を確認したら可になるのかを書いておかないと、現場は結局「たぶんダメ」と判断して使わなくなります。条件は具体的に、たとえば「入力内容の扱いについて公式ドキュメントで確認済みであること」「利用ログが残ること」「部長承認があること」のように書きます。

法人契約と個人契約でデータの扱いがどう違うのかを整理したい方は、AIの法人プランと個人プランの違い｜学習利用と管理機能で選ぶで先に確認しておくと、この表の右3列が埋めやすくなります。

この章の結論として、棚卸しのゴールは「全ファイルの分類」ではなく、この表を自社の言葉で埋めきることです。表が埋まれば、あとは棚をこの表に当てはめていく作業になります。

棚卸しの進め方5ステップ

棚卸しは、次の順で進めます。1回目は完璧を目指さず、社内で使用頻度の高い置き場所から着手してください。以下、各ステップで何をどう決めるかを具体的に書きます。

1. 置き場所を数える
2. 区分を決める
3. 入口を対応づける
4. 共有権限を点検する
5. 渡す形に整える

ステップ1 ファイル単位ではなく置き場所単位で数える

最初にやるのは、共有ドライブやファイルサーバーの「上から2階層目まで」を書き出すことです。ファイルを開く必要はありません。フォルダ名と、その中に何が入っているかの代表例を1行で書くだけです。

粒度の目安は、1つの棚に入っている資料の性質がだいたい揃っていることです。目安と具体例は次のとおりです。

• 粒度の目安：1つの棚に入っている資料の性質が揃っていること
• 割る例：「営業部」だけだと中に見積も名簿も社内資料も混ざるので、「営業部／見積」「営業部／顧客名簿」まで割る
• 割らない例：「営業部／見積／2024年／4月」まで割ると数が爆発するので、そこまでは割らない

棚卸しシートはスプレッドシートで十分です。次のヘッダーをそのままコピーして1行目に貼ってください。

置き場所,中身の代表例,持ち主部署,機密区分,個人情報の有無,契約上の制約,渡してよいAIの入口,加工の要否,最終確認日
営業部/見積,案件ごとの見積書と原価計算シート,営業部,社外秘,なし,一部NDAあり,会社契約のテナント内まで,原価列を落とす,2026-08-29
人事/評価,人事評価シート・面談記録,人事部,極秘,あり,-,渡さない,-,2026-08-29
広報/会社案内,会社案内PDF・製品カタログ,広報,公開,なし,-,制限なし,不要,2026-08-29

列のうち「契約上の制約」は忘れられがちですが、後で効いてきます。取引先と結んだ秘密保持契約（NDA）は、開示できる相手や利用目的を限定していることがあり、その範囲は契約書の条文ごとに違います。自社の区分がどうであれ、外部のAIサービスに渡してよいかは契約書を読んで判断してください。判断がつかないときは顧問弁護士に確認します。

進め方の設計としては、90分の作業会を2回に分けるのがおすすめです。1回目で置き場所を全部書き出し、2回目で区分を埋める。1回で終わらせようとすると、区分の議論が長引いて置き場所の洗い出しが終わりません。

ステップ2 機密区分を自社の呼び方で決める

機密区分に業界共通の正解はありません。「極秘・社外秘・社内限定・公開」の4段はよく見かける形ですが、これが標準というわけではなく、すでに文書管理規程がある会社はその呼び方に合わせてください。新しい呼び方を作ると、既存の規程と二重管理になります。

ゼロから決める場合、段数は3〜4段にとどめるのをおすすめします。段数を増やすほど境目の判断が細かくなり、現場がどちらに入れるか決めきれずに使われなくなりやすいからです。

迷ったときの判定は、次の3つの質問で切ります。

1. この資料が競合他社の手元にあったら、商談で不利になるか。なるなら「社外秘」以上
2. 特定の個人を識別できる情報が入っているか。入っているなら「極秘・要配慮」側に寄せる
3. 取引先から預かった資料か。預かり物なら、自社の判断だけで区分を下げない

2番目に関して補足します。個人情報とは、生存する個人に関する情報のうち、氏名や生年月日などで特定の個人を識別できるもののことです。個人データを含む文書を外部のサービスに渡す場合の法律上の扱いは、自己判断で押し切らず、個人情報保護委員会の法令・ガイドラインのページで自社の使い方に当てはまる文書を確認したうえで、必要なら顧問弁護士や社労士に見てもらってください。第三者提供や委託の扱いも、同じページのガイドラインで確認できます。

区分を付ける作業自体は、AIに下読みさせて効率化できます。渡すのはファイル名と代表的な中身の説明だけで十分で、ファイル本体を渡す必要はありません。出発点のたたき台として、こんな短い指示から始めてください。

あなたは社内の文書管理担当です。
これから渡す「フォルダ名と中身の説明」の一覧に、機密区分の案を付けてください。

区分は次の4つだけを使ってください。
極秘・要配慮 / 社外秘 / 社内限定 / 公開

出力は表形式で、列は「フォルダ名・区分案・そう判断した理由・判断に迷った点」にしてください。
判断に迷った場合は無理に決めず、「要相談」と書いて理由を残してください。

［ここに棚卸しシートの置き場所と中身の列を貼る］

出力で人が必ず見るのは「判断に迷った点」の列です。ここが埋まっている行は、社内で議論すべき行です。AIが自信満々に付けた区分より、迷った行のほうが情報量があります。

この下読みをさせるときも、渡してよいのはフォルダ名と一般的な中身の説明までです。「顧客名簿」というフォルダ名は渡してよくても、名簿そのものを貼ってはいけません。棚卸しの作業中に事故を起こしては本末転倒です。

ステップ3 区分ごとに渡していいAIの入口を対応づける

ここで、最初の表を自社の実態に合わせて埋めます。埋めるために必要なのは、自社が今どのAIサービスを、どの契約形態で使っているかの一覧です。

確認するのは次の4点です。

• 契約形態：会社契約か、社員の個人アカウントか。個人アカウントが混ざっているなら、それはシャドーAIとして別に対処が要る
• 入力データの扱い：入力した内容がどう扱われるか。設定で変更できる項目があるか
• 管理者の可視性：誰がいつ何を入れたかを管理側で確認できるか
• データの保存場所と保存期間：入力データがどこに、どれくらい残るか

この4点はサービスごとに仕様も名称も違い、更新も頻繁です。正確な設定項目名と現在の仕様は、契約している各サービスの管理者向け公式ドキュメントで確認してください。管理画面で見るべき観点を具体的に整理したものはChatGPT業務利用のセキュリティ設定｜管理画面で見る6項目にまとめています。

シャドーAIとは、会社が把握していないAIツールを社員が業務で使っている状態のことです。棚卸しの過程でこれが必ず出てきます。見つけても、まず禁止から入らないでください。禁止すると隠れるだけで、把握できない使い方が増えます。対処の順序はシャドーAI対策の3ステップ｜禁止せず情報漏洩を止める仕組みで扱っています。

ステップ4 過剰共有になっている共有フォルダの点検

棚卸しで最も見落とされ、最も事故につながるのがここです。過剰共有とは、本来その資料を見る必要のない人にまで閲覧権限が開いている状態のことです。人が手で開いている間は「知らない人はたどり着かない」ので表面化しませんが、社内検索を伴うAIを入れた瞬間、質問一つで表に出てきます。

点検の手順はこうです。

1. 共有ドライブ・クラウドストレージの共有設定一覧を、管理者権限で書き出す
2. 「全社員に共有」「リンクを知っている全員が閲覧可」「組織外に共有」になっている場所を抽出する
3. 抽出した場所を、棚卸しシートの機密区分と突き合わせる
4. 区分が「社外秘」以上なのに全社共有になっている場所を、優先して閉じる
5. 退職者・異動者のアカウントに残っている権限を落とす

ここで必ず出てくるのが、「誰が使っているか分からないから閉じられない」という古い共有フォルダです。判断の目安として、最終更新日が数年前で、持ち主部署が特定できない棚は、削除ではなく閲覧権限を情シスと部門長だけに絞る（=封鎖する）のが現実的です。消すと戻せませんが、絞るのは戻せます。必要な人からは必ず問い合わせが来るので、そのときに開ければ済みます。

AIを使った業務でどんな情報漏えいの経路があるかは、公的機関が整理した情報も参考になります。独立行政法人情報処理推進機構（IPA）が公開しているIPAのAIセキュリティに関する情報は、社内で説明資料を作るときの土台に使えます。

ステップ5 渡す前のファイルの整え方

区分が「渡してよい」になっても、そのまま渡すと精度が出ないファイルがあります。棚卸しシートの「加工の要否」列は、ここで使います。

ファイルの読み取り方はサービスとバージョンによって違うので、下の4つは「うまく読めなかったときに疑う順番」として使ってください。実際にどう読まれるかは、自社で使うサービスに同じファイルを渡して、返ってきた答えを元の資料と突き合わせて確かめます。

• セル結合と複数行ヘッダーのExcel：見出しがどの列にかかっているかが読み取れず、答えがずれることがあります。1行ヘッダー・結合なしの表に作り直してから渡す
• スキャンしただけのPDF：画像として保存されている紙のPDFは、文字として読めていないことがあります。テキストが選択できるかを開いて確認する
• 1ファイルが大きすぎる資料：数百ページの規程集をまるごと渡すと、扱える分量の上限に引っかかることがあります。章ごとに分割する
• 不要な列が付いたままの名簿系：連絡先や社員番号など、その用途に要らない列は渡す前に落とす。落とせば区分が1段下がることもあります

4つ目が実は一番効きます。「顧客名簿だから渡せない」で止まっていた資料も、氏名と連絡先の列を落として、業種と受注金額だけにすれば区分が下がり、扱える入口が広がります。棚ごと諦めるのではなく、列を落として使えるようにできないかを1回考えてください。

この章の結論として、5ステップを終えた時点で手元に残るのは、置き場所ごとに区分と渡し先と加工の要否が入った1枚のシートです。このシートがあれば、新しいAIツールを検討するときも「どの区分まで扱えるサービスか」という一つの質問で評価できるようになります。

棚卸しでつまずく5つの失敗と防ぎ方

ここで挙げるのは、社内データの棚卸しという作業そのもので起きる失敗です。順に見ていきます。

失敗1 ファイル1件ずつの分類から始めて、途中で力尽きる

共有ドライブにたまった大量のファイルを、1件ずつ開いて区分を付け始めるパターンです。着手した直後は順調に進みますが、似たファイルの判断で毎回迷い、担当者の通常業務が回らなくなって止まります。止まった棚卸しシートは、半端に埋まっているぶん、次に着手する人が使いづらくなります。

防ぎ方は、ステップ1のとおり置き場所単位で始めることです。ファイル単位の判断は、その棚をAIに読ませると決まってから、その棚の中だけでやります。

失敗2 区分を決めたのに、ファイル側に何も書いていない

シートの上では区分が決まっているのに、実物のフォルダやファイル名にはその情報が入っていない状態です。結果、現場の社員がファイルを開いたとき、それが社外秘なのかどうか分かりません。シートを毎回見に行く人はいないので、運用は数週間で崩れます。

防ぎ方は、区分をフォルダ名の先頭に入れてしまうことです。命名ルールをこう決めます。

［区分］_フォルダ名

例
公開_会社案内
社内_業務マニュアル
社外秘_見積根拠
極秘_人事評価

※ 略号は自社の規程の呼び方に合わせる
※ フォルダを新規作成するときは、必ず先頭に区分を付ける（新規作成のルールとして周知する）

見た目は少し無骨ですが、これが一番効きます。ファイルを開く人が、開く前に区分を目にする状態を作るのが目的です。

失敗3 過剰共有の点検を飛ばして、検索できるAIを先に入れる

社内の文書を横断検索できるAIを導入したあとに、経理部しか知らないはずの資料が、別部署の社員の質問に答える形で出てくるケースです。原因はAIではなく、もともと全社共有になっていた権限設定にあります。AIは権限を破っているのではなく、開いていた扉を見つけただけです。

防ぎ方は、ステップ4を導入の前に済ませることです。順番を逆にすると、公開後に「なぜ見えるのか」を説明するところから始めることになり、社内の信頼を先に失います。

失敗4 紙とメールの中身を棚卸しの対象から外す

共有ドライブだけを対象にして、キャビネットの紙資料と、担当者の受信トレイに埋まっている添付ファイルを数えないパターンです。ところが実務では、AIに読ませたい情報がメールの添付にしか無いことが珍しくありません。契約書の最終版、取引先からの仕様変更の連絡、見積の根拠。

防ぎ方は、棚卸しシートの置き場所に「メール（部署名）」「紙（保管場所名）」の行を最初から作っておくことです。中身を全部洗う必要はありません。「ここにも重要なものがある」と一覧に存在させておけば、後で必要になったときに探せます。

失敗5 取引先から預かったデータを、自社の区分だけで判断する

自社では「社内限定」と判断した資料が、実は取引先とのNDAで開示範囲が限定されているケースです。自社の情報ではないので、自社の区分表だけでは判断を誤ります。特に、受託開発や下請けの立場で預かった設計データ、顧客リスト、原価情報が該当します。

防ぎ方は、棚卸しシートの「契約上の制約」列を必ず埋めることと、預かり物には自社区分の1段上を当てておくことです。判断に迷ったら、取引先に「業務効率化のために社内でAIツールを使うが、御社からお預かりしている資料は対象から外している」と先に伝えておくと、あとで揉めません。

この章の結論は、失敗の4つまでが「作業の設計ミス」で、残る1つが「自社以外の権利の見落とし」だということです。前者はステップの順番を守れば防げますが、後者は契約書を見に行かないと防げません。

棚卸しを終えた会社で変わること

棚卸しが終わると、生成AIの導入判断にかかる時間が短くなります。新しいツールの検討時に「これは使っていいのか」を毎回ゼロから議論するのではなく、「このツールは社外秘まで扱えるか」という1問に置き換わるからです。

変化として現れやすいのは、次の3つです。

• 質問が担当者に集中しなくなる：判断基準がシートとフォルダ名にあるので、詳しい人に聞かないと決められない状態が減る
• 導入の検討が早くなる：ツールの評価軸が「扱える区分」に一本化され、比較検討が短く済む
• 社内文書を読ませる仕組みに進める：どの棚を読ませるかが決まっているので、RAGのような仕組みの対象範囲を最初から絞れる

時間の効果を見積もりたい方向けに、計算の式だけ示します。効果は業種と社員数で大きく変わるので、次の式に自社の実測値を入れてください。

削減できる時間（月） = 確認の回数（週） × 1回あたりの所要時間（分） × 関わる人数 × 4週 ÷ 60

回数は、社内チャットやメールで「これAIに入れていいですか」と聞かれた履歴を1〜2週間分数えて出す
所要時間は、聞く側と答える側の両方を足す

判断がシートに載っていれば、この時間はほぼゼロになります。時間そのものは小さく見えますが、この確認が止まっている間、業務そのものも止まっている点が実際の損失です。

この章の結論として、棚卸しの効果は「AIの精度が上がる」ことではなく、「判断が速くなり、詰まらなくなる」ことです。精度の話は、読ませる仕組みを作る段階の話題になります。

棚卸しの現場で出てくる妥協点

正直に書きます。社内データの棚卸しは、きれいに完了することがほぼありません。実際に進めると、次の4つに必ずぶつかります。

1. 持ち主が分からない棚が残る
2. 区分をシステムで強制できない
3. 棚卸しシートの更新が止まる
4. 区分の議論が長引く

順に、どう折り合いを付けるかを書きます。

1つ目は、持ち主が分からない棚が必ず残ることです。持ち主が特定できない理由は、次の3つに分かれます。

• 作った担当者が退職している
• 部署が統廃合されて引き継ぎ先が消えている
• そもそも誰が作ったか記録がない

この棚を全部特定しようとすると棚卸しが止まります。持ち主不明のまま「保留」区分に置き、権限だけ絞って先に進んでください。保留の棚が残っていても、持ち主がはっきりしている棚から着手すれば導入は進みます。

2つ目は、区分をシステムで強制できないことです。権限管理の仕組みで縛ろうとすると、設定と運用の負担が現場に乗ります。だからフォルダ名に区分を書くという原始的な方法を薦めています。技術で縛れないぶんは、「どこに置くか」で縛るのが現実解です。

3つ目は、棚卸しシートの更新が止まることです。1回作って終わりにすると、半年で実態と合わなくなります。ただし「定期的に見直しましょう」では動きません。次の4つを更新のトリガーにして、シートの「最終確認日」を書き換えてください。

• 人事異動があったとき
• 新しい取引先とNDAを結んだとき
• 新しいAIツールを契約したとき
• 退職者が出たとき

カレンダーの定期タスクより、こちらのほうが続きます。

4つ目は、区分の議論が長引くことです。「これは社外秘か社内限定か」で30分議論になる棚が、必ずいくつか出ます。ルールとして「5分で決まらなければ上の区分に置く」と先に決めておいてください。上に置きすぎて不便になったら、あとで下げればいい。逆は取り返しがつきません。

なお、区分の下読みをAIに手伝わせる話は前半で触れたとおりです。最終的にどの区分に置くかを決めるのは、その資料が外に出たときに責任を負う人であって、AIではありません。この線引きについてはAIに入力してはいけない個人情報｜線引きと社内ルールの作り方で詳しく整理しています。

この章の結論として、棚卸しは100点を目指す作業ではありません。持ち主のはっきりした棚に区分が付き、残りが権限を絞った状態で保留になっていれば、生成AIの導入は安全に進められます。

よくある質問

まず今日やる1つのこと

今日1分でできることがあります。共有ドライブのトップ階層を開いて、フォルダ名を10個だけ紙に書き出してみてください。書きながら「これは誰の持ち物で、外に出たら困るか」を頭で判断できるかどうかで、自社の棚卸しがどれくらい大変かが体感できます。判断できないフォルダが半分以上あるなら、そこが出発点です。

棚卸しが終わって「どの棚を読ませるか」まで決まったら、次は読ませる仕組みの話になります。進め方はAI導入は何から始めるか｜中小企業が失敗しない最初の1業務で、最初の1業務の選び方から解説しています。

ここまで読んで、置き場所の数え方までは分かったけれど、区分の線引きと契約の確認まで自社だけでやり切るのは重い、と感じた方もいると思います。コレットラボでは、AI導入前のデータ整理や社内ルールづくりの設計から、現場への定着まで伴走しています。契約前の相談だけでも構いませんので、いまの状況を聞かせてください。一緒に整理しましょう。

区分の線引きから、AIに読ませる仕組みづくりまでは、データ棚卸しから始めるAI業務システム化でお手伝いしています。