AIチャットボットの管理者を増やしっぱなしにしていないか — 小さな会社の“権限棚卸し表”

「最初の設定だけ手伝ってもらった人」が、今も管理者のまま残っていないでしょうか。

退職、異動、委託終了のあともFAQや学習データを触れる人が残ると、誰が直したのか分からなくなります。

AIチャットボットを安全に運用するには、誰が編集し、誰が確認し、いつ外すかをどう見直せばよいのでしょうか。

なぜ「誰が触れるか」は後回しになるのか

AIチャットボットを入れるときは、まず動かすことが優先されます。社長、広報、現場責任者、制作会社、外部のサポート担当。早く設定するために、広めに権限を渡すことがあります。

最初はそれで助かります。問題は、そのあとです。

PromnyAIのAI学習データでは、自社情報を登録し、ハブやコンテンツ生成で参照できます。登録した情報は一覧で確認し、詳細を開き、不要な情報を削除できます。便利に使うほど、「誰が登録・確認・削除できるか」も一緒に見ておく必要があります。

退職・異動・委託終了で何が残るのか

Microsoft EntraのAccess Reviewsでは、グループ、アプリ、ロール割当を定期的に確認し、適切な人だけが継続してアクセスできるようにする考え方が説明されています。

そこでは、退職や異動後に古いアクセスが残ること、必要以上に強い権限が残ること、監査で指摘されることが論点として挙げられています。

これは大企業だけの話ではありません。小さな会社でも、「前任者だけがFAQを直せる」「委託先がまだ削除できる」「誰が最後に触ったか分からない」は起きます。

小さな会社は5列だけ見ればよい

最初から難しい権限表を作る必要はありません。月1回、または四半期に1回、5列だけで見直します。

見るのは、氏名、役割、触れる範囲、最後に使った日、外す判断。この5つです。

Microsoft Learnでは、アクセスレビューの頻度として週次、月次、四半期、年次などの例が示されています。小さな会社なら、まず月1回か四半期に1回から始めると続けやすくなります。

AI学習データは「登録者」と「確認者」を分ける

AIに読ませる情報は、入れる人と確認する人を分けると見直しやすくなります。

たとえば、現場担当がFAQ案を登録する。広報や責任者が内容を確認する。不要になった情報は、月1回の棚卸しで削除候補に入れる。これだけでも、属人化を減らせます。

NIST AI RMFは、AIの設計、開発、利用、評価に信頼性の観点を取り込むための任意フレームワークです。小さな会社では、難しい言葉に置き換えるより、「AIが読む情報を誰が直せるか」を決めるところから始めるのが現実的です。

月1回・四半期でどう回すか

NCSCのSecure AI system developmentガイドラインは、AIシステムを設計、開発、展開、運用保守の流れで見ています。運用保守では、ログ、監視、更新管理などが扱われています。

AIチャットボットは公開して終わりではありません。公開後に、誰が更新し、誰がログを見て、誰を外すかを見続けます。

小さな会社なら、10分で終わるチェックにしておくのが大事です。長い監査表より、毎月止まらず回る表の方が役に立ちます。

PromnyAIを使う前に決めたい3つの約束

PromnyAIは、主要LLMと業界特化プロンプトを1つの場所で使えるプラットフォームです。AI学習データを使えば、自社情報を参照しながら回答や文章作成に活かせます。

だからこそ、使い始める前に3つだけ決めておくと安心です。

誰が登録するか。誰が確認するか。いつ外すか。この3つが決まっていると、AIを便利に使いながら、古い権限に気づきやすくなります。

まとめ：AIの権限は「渡した日」より「外す日」を決める

• check_circle導入時に渡した管理者権限は、そのまま残りやすいです。
• check_circle退職、異動、委託終了のあとに古いアクセスを見直します。
• check_circle最初の棚卸し表は、氏名、役割、触れる範囲、最後に使った日、判断の5列で足ります。
• check_circleAI学習データは、登録者と確認者を分けると運用しやすくなります。
• check_circle月1回か四半期に1回、外す人を確認するだけでも穴に気づきやすくなります。

AIチャットボットの権限は、増やすときより外すときに差が出ます。便利に使うための最初のルールは、誰に渡すかではなく、いつ見直すかです。