AIを使えば、プログラミングの経験がない社員でも業務アプリが作れる時代になりました。便利な反面、「このアプリを社内（あるいは取引先やお客様）に公開したい」と言われたとき、どこまで確認してから許可すればいいのか、迷う経営者・情シス兼任の方は多いはずです。
「社員が作ったAIアプリを新しく公開したいと言ってきた。届け出や公開前の確認はどこまで求めればいいのか」
先に結論をお伝えします。公開前の確認は、アプリの「影響の大きさ」で3段階に分け、小さいものは短い届け出だけ、大きいものは開発会社や専門家のレビューを必須にするのが現実的です。すべてに重い審査をかけると社員が黙って公開するようになり、逆に何も決めないと、誰も把握していないアプリが増えていきます。
この記事では、社員がAIで作ったアプリを公開する際の届け出項目、公開前チェックリスト、開発会社への質問例を、IPA（情報処理推進機構）のガイドラインを手がかりに整理します（執筆時点：2026年10月）。
社員が作ったAIアプリの公開で、確認が必要になる理由
社員が作ったアプリを止めるのが目的ではありません。確認が必要なのは、作った本人が「動いた」ことしか見ていないことが多いからです。
- 動くことと、安全であることは別（ログインの穴、入力欄の不備、設定の誤りは画面に出ない）
- 作った本人が異動・退職すると、誰も直せなくなる（属人化）
- アプリに入れたデータが、AIサービスの外部に送られている場合がある
- 公開した瞬間から、トラブルの責任は会社が負う
中小企業の情報セキュリティ対策について、IPAは次のガイドラインで経営者が取り組むべき考え方と実践手順をまとめています。
📰 出典：IPA「中小企業の情報セキュリティ対策ガイドライン」（第4.0版・最終更新 2026年9月30日）
このガイドラインは、経営者が認識して実施すべき指針と、社内で対策を実践する手順をまとめたものです。第4.0版では、はじめに取り組む項目に「バックアップを取ろう！」が加わって「情報セキュリティ6か条」となり、「5分でできる！情報セキュリティ自社診断」にも「ウェブサイトを安全に運用する」などの項目が追加されたと案内されています。AIアプリを公開する場面でも、この考え方がそのまま土台になります。
社内でAI製アプリが増えている背景や、内製と発注の線引きについては、次の記事でも解説しています。
詳しくは次の記事で解説しています。
公開前の確認を決める5つのポイント
ポイント1：アプリを「影響の大きさ」で3段階に分ける
最初に決めたいのは、確認の重さを一律にしないことです。次のように、誰が使うかと何を扱うかで分けると運用しやすくなります。
| 段階 | 例 | 公開前に求めること |
|---|---|---|
| 小：自分や自部署だけが使う | 自分の作業を楽にする集計ツール。個人情報を扱わない | 届け出（A4半ページ程度）のみ |
| 中：社内の複数部署が使う | 部署をまたぐ申請・管理ツール。社員の情報を扱う | 届け出＋チェックリスト＋情シスの確認 |
| 大：社外（取引先・お客様）が使う、または個人情報・お金を扱う | お客様向け予約フォーム、会員情報の管理 | 届け出＋開発会社や専門家によるレビューを必須に |
「社外に出る」「個人情報を扱う」「お金が動く」のどれかに当てはまったら、段階を一つ上げる、と決めておくと迷いません。
ポイント2：届け出は「A4半ページ」に収まる項目だけにする
届け出が重いと、社員は出さなくなります。最低限、次の項目があれば十分です。
- アプリの名前と目的（何の業務を楽にするものか）
- 作った人と、代わりに見られる人（2人以上）
- 使う人の範囲（自分だけ／部署／全社／社外）
- 扱うデータの種類（個人情報、取引先情報、社外秘など）
- 使ったAIサービスやツールの名前
- 置いている場所（どのクラウドやサーバーか）
IPAのガイドラインの付録には「資産管理台帳（サンプル）」があります。届け出の内容は、この台帳に1行ずつ記録していくと、あとで棚卸しがしやすくなります。
ポイント3：公開前チェックリストは「中」以上で使う
社員が自分で確認できる項目と、情シスや開発会社が確認する項目を分けます。
- ログイン：誰でも開ける状態になっていないか。パスワードを画面やコードに直接書いていないか
- データ：個人情報や社外秘を、必要以上に入れていないか。AIサービスに送られるデータの扱いを確認したか
- バックアップ：データが消えたときに戻せるか（6か条の「バックアップを取ろう！」に対応）
- 更新：使っている部品やサービスのバージョンが古いままになっていないか
- 止め方：問題が起きたとき、誰が・どうやってアプリを止めるか決めてあるか
- 引き継ぎ：作った本人以外が、どこに何があるか分かる資料があるか
ポイント4：「大」の段階は、作った本人だけで公開させない
社外に出るアプリや個人情報を扱うアプリは、AIが書いたコードの見落としがそのまま事故につながります。ここは開発会社や専門家によるレビュー（＝作った人以外が中身を確認すること）を必須にしてください。
レビューを頼むときは、「脆弱性（＝悪用されうる弱点）の確認」「ログイン・権限の確認」「データの置き場所の確認」を依頼範囲に入れ、その範囲と費用を事前に見積もってもらいます。個人情報の扱いなど法律が関わる点は一般論にとどまるため、個別には専門家や公式窓口に確認してください。
ポイント5：公開後の担当者と見直しの時期を決める
公開で終わりではありません。誰が保守するのか、いつ見直すのかまで決めておかないと、使われなくなったアプリが放置されます。
- 公開時に「次回の見直し日」を決める（目安は半年〜1年後）
- 作った人の異動・退職時は、代わりの担当者を決めてから手続きする
- 使われなくなったら廃止する流れを用意する
廃止の進め方は、別の記事にまとめています。
やりがちな失敗
- 全部に重い審査をかける：申請が面倒で、社員が無届けで公開するようになる
- 「社内だけだから大丈夫」と考える：社内向けでも、社員情報や取引先情報が見られる状態になっていることがある
- 禁止だけして、相談先を決めない：悩んだ社員が個人のサービスで勝手に作り、かえって見えなくなる
- 作った本人だけが仕組みを知っている：退職後に直せず、使い続けるかやめるかも決められない
発注者がやること チェックリスト
- ☐ アプリを小・中・大の3段階に分ける基準を決めた
- ☐ 届け出の項目（A4半ページ）と提出先を決めた
- ☐ 届け出の内容を一覧（台帳）で管理する人を決めた
- ☐ 「中」以上で使う公開前チェックリストを用意した
- ☐ 「大」の段階はレビューを必須にし、頼める開発会社や専門家に当たりをつけた
- ☐ 公開後の保守担当と見直し時期を決める流れにした
- ☐ 作った人が異動・退職するときの引き継ぎ手順を決めた
開発会社への質問例
開発会社にレビューや引き継ぎを依頼するときは、次のように聞くとスムーズです。
- 「社員がAIで作ったアプリのレビューをお願いしたいのですが、どこまで見てもらえて、費用はどのくらいかかりますか？」
- 「ログインや権限の設定、データの置き場所について、公開前に確認してもらえる項目を教えてください」
- 「作った本人以外が保守できるように、最低限そろえておくべき資料は何でしょうか？」
- 「問題が見つかった場合、修正は同じ費用の中で対応してもらえますか？別の見積もりになりますか？」
- 「社内で公開前チェックリストを作る予定です。足りない項目があれば教えてもらえますか？」
まとめ
社員が作ったAIアプリの公開は、止めるのではなく、影響の大きさに応じた確認の重さを決めておくことが大切です。
- 影響の大きさで小・中・大の3段階に分ける
- 届け出はA4半ページ程度の項目にとどめる
- 「中」以上は公開前チェックリストを使う
- 「大」は作った本人だけで公開せず、レビューを必須にする
- 公開後の担当者と見直し時期を決める
この仕組みを最初に作っておけば、社員のチャレンジを後押ししながら、会社として把握できないアプリが増えるのを防げます。ルール作りやレビューの進め方で迷ったときは、開発会社に相談してみてください。
あわせて読みたい関連記事
