社員が勝手にAIで作ったアプリを社内公開していた…禁止せずに会社で管理する5つの決めごと

2026年11月9日

AIコーディングツールのおかげで、プログラミングの経験がない社員でも、業務用の小さなアプリを作れるようになりました。ところが情シス兼任の担当者や経営者から見ると、「いつの間にか社内に知らないアプリが増えていた」という状態は不安なものです。

「社員が勝手にAIでアプリを作って社内公開している。会社としてどう管理すればいいのか分からない…」

先に結論をお伝えします。頭ごなしに禁止するより、「届け出る」「置き場所を決める」「公開の前に確認する」「持ち主を決める」「やめ方を決める」の5つを先に決めるほうが、現実的で長続きします。禁止すると、見えない場所で作られる（＝シャドーIT）だけで、かえって管理できなくなるためです。

この記事では、社員がAIで作ったアプリを会社として管理するための5つの決めごとを、そのまま使えるチェックリストと開発会社への質問例とあわせて解説します。なお、製品名や公的資料の版数は2026年11月時点の情報です。

社員がAIで作ったアプリが「勝手に」増える3つの理由

管理の話に入る前に、なぜ起きるのかを押さえておきましょう。社員を責める話ではなく、仕組みの問題として捉えると対処が見えてきます。

理由1：作るのが簡単になり、止める人がいない

AIに「こういう画面が欲しい」と伝えるだけで動くアプリができる時代です。作るまでの手間が小さいぶん、「ちょっと便利にしたい」という善意だけで公開まで進んでしまいます。

理由2：「相談する窓口」が決まっていない

作ってよいのか、誰に聞けばよいのかが分からないと、社員は黙って進めるのが一番早いと考えます。相談先が決まっていれば、相談してくれる社員のほうが多いのが普通です。

理由3：作ったあとの面倒を誰が見るかを考えていない

アプリは作って終わりではありません。部品（ライブラリ）の更新、アクセスできる人の管理、担当者が異動・退職したあとの引き継ぎが必要です。ここまで考えて作る社員はまれです。

何が困るのか：放置すると起きやすい3つのリスク

部署ごとに増えたノーコードアプリの棚卸しと引き継ぎは、次の記事で解説しています。AIで作ったアプリでも、起きる問題は似ています。

あわせて読みたい

部署ごとに作ったノーコードアプリが増えて、作った人が辞めたら誰も直せない…情シス兼任の担当者が最初… 部署ごとに作ったノーコードアプリが増え、作った人が辞めたら誰も直せない。情シス兼任の担当者向けに、棚卸し・管理者の複数化・引き継ぎシート・開発会社への診断依頼の6ステップを解説します。

情報漏えい：顧客リストや社員情報を、外部のAIサービスやアクセス制限のない場所に置いてしまう
脆弱性（＝悪用される弱点）の放置：作った本人しか更新方法を知らず、弱点が見つかっても直されない
属人化：作った社員が異動・退職すると、誰も直せないが業務では使われ続ける

個人情報の扱いについては、個人情報保護法に基づく一般的な考え方があります。個別の判断が必要な場合は、弁護士や個人情報保護委員会などの公式窓口に確認してください。

禁止せずに管理するための5つの決めごと

ここからが本題です。IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」は、第4.0版（2026年3月公開）の時点で、社内ルールのひな形（付録5「情報セキュリティ関連規程（サンプル）」）や、情報資産管理台帳のひな形（付録6）、クラウドサービスの安全な使い方の手引き（付録7）を公開しています。

📰 出典：IPA「中小企業の情報セキュリティ対策ガイドライン」

AIで作ったアプリ専用のルールではなくても、これらを土台に「アプリを情報資産（＝会社が守るべきデータやシステム）として台帳に載せる」と考えれば、新しい仕組みを一から作る必要はありません。

決めごと1：届け出る（まず存在を把握する）

最初にやるのは、「作ったら届け出る」ルールです。難しい申請書は不要で、次の4項目を共有のフォームかスプレッドシートに書いてもらえば十分です。

項目	例
アプリの名前・目的	「備品の貸し出し管理」
作った人・使う人	総務の担当者、全社員
扱うデータ	備品名・貸出者の氏名
置いている場所	社内の共有サーバー、クラウド上など

この表は、先ほどのIPAの付録6（情報資産管理台帳）の考え方をそのまま使えます。「届け出たら怒られる」空気を作らないことが、いちばん大切です。

決めごと2：置き場所を決める

社員が個人のアカウントで契約したクラウドサービスや、自分のパソコンの中でアプリを動かしていると、会社からは管理できません。「公開してよい場所」を会社として1〜2か所に決めます。

会社が契約したクラウドサービスのアカウント（アクセスできる人を会社が管理できるもの）
社内のサーバー

あわせて、アクセスできる人の範囲（全社員なのか、特定の部署だけなのか）を、届け出の項目に入れておきます。

決めごと3：データの重さで確認の深さを変える

すべてのアプリに同じ審査をすると、現場が回らなくなります。扱うデータで3段階に分けると運用しやすくなります。

区分	扱うデータの例	公開前の確認
軽い	社内の公開情報（食堂のメニューなど）	届け出のみ
中くらい	社員名簿、社内の業務データ	情シス担当者が置き場所とアクセス範囲を確認
重い	顧客の個人情報、決済、取引条件	公開せず、開発会社や専門家に相談してから

「重い」に当たるものは、AIで作ったものを会社の正式な仕組みとして使い続けるのではなく、開発会社に作り直してもらうことも選択肢です。判断の目安は、「止まったり漏れたりしたら、お客様や取引先に影響が出るか」です。

決めごと4：持ち主（オーナー）を決める

アプリには必ず「持ち主」を1人決めます。作った社員本人でもよいですが、異動や退職に備えて、代わりの人（副担当）も決めておくのが安全です。持ち主の役割は次の3つです。

年に1〜2回、まだ使われているかを確認する
部品の更新や、利用者からの問い合わせに対応する
異動・退職のときに、引き継ぎを情シス担当者に伝える

決めごと5：やめ方を決める

アプリを「作ってよい」と決めるときは、「やめるとき」も一緒に決めておきます。一定期間（例：半年）使われていないアプリは、持ち主に確認したうえで停止・削除する、という流れです。

勝手に消す前に、持ち主へ連絡して確認することが前提です。使っている人がいるのに止めてしまうと、業務が止まって逆効果になります。実際の棚卸しの進め方は、次の記事も参考になります。

あわせて読みたい

社員がAIで作った社内アプリを廃止していい？使われていないアプリの棚卸しと、止める前の6ステップ社員がAIで作った社内アプリが使われていなさそう。勝手に廃止していい？止める前の6ステップ、決裁者の決め方、チェックリスト、開発会社への質問例を解説します。

やりがちな失敗

全面禁止にする：見えないところで作られるだけになり、把握できなくなります
ルールだけ作って周知しない：社員が知らなければ守られません。朝礼や社内チャットで、1枚の資料で伝えましょう
審査を重くしすぎる：申請が面倒だと、届け出なしで公開されます。軽いアプリは届け出だけにするのが続けるコツです
AIの出力を確認せずに公開する：AIが作ったコードに弱点が含まれる可能性はあります。「AIが作ったから安心」とは言えません。経済産業省・総務省の「AI事業者ガイドライン」でも、AIを利用する側が最終的な判断と確認を人が担うことが基本として示されています（詳細は公式資料で確認してください）

📰 出典：経済産業省「AI事業者ガイドライン」