【組織のAI活用#201】社内でAIで作ったツールやアプリを外部公開する前の承認ルールづくり

こんにちは！寺田です。

現在は、デジタル関連会社のAI推進者などのAI活用者のコミュニティである「AI Digital Community (ADC)」の代表理事や、顧客事業の「×AI化」をサポートするFURIKAKE Partners(株)と組織のAI活用を支援するプロダクトを提供するAI Portalize(株)の代表取締役を務めており、様々な側面から組織のAI活用をサポートしています！

生成AIの普及や進化によって、非エンジニアの方でも社内用のツールやWebアプリを簡単に作れるようになりました。
普段の業務の効率化において非常に有効ですが、一方でそれを、個人のローカル環境ではなく、組織内や外部にも見える形で公開する際には、色々な考慮が必要になってきます。

ということで、今回は、社内で作成したWebアプリやサービスを公開する際に社内て設けておきたい承認フローについて書いていこうと思います。

なぜ公開前の確認が必要なのか

一言でいうと、作ったものをいきなり公開するのではなく、社外に出す前に必ず確認するルールが必要だということです。
というのも、AIを使えばコードが書けなくても、とりあえず動くものは誰でも作れてしまうからで、それが安全でないことも充分ありえます。

どのようなリスクがあるのか

具体的に、技術面と運用面の両方で深刻なリスクが考えられます。
例えば、個人情報や社内の機密情報などの重要な情報の漏えいだったりというイメージです。
鍵のかかっていない金庫を、そのまま人通りの多い外に置いているような状態にならないように、考慮をしておく必要があります。

また、情シスやセキュリティ部門が知らないところで、勝手にアプリが動いている状態も非常に危険です。いわゆる野良アプリとなってしまい、何かトラブルがあった時に誰も正しく対処できなくなってしまいます。
その結果、会社の信用に関わる致命的な事故につながるリスクにもなりえます。

具体的な承認ステップについて

そのため、社内への公開にも言えますが、特に社外に出すものは、事前審査から公開判定、そして継続管理という流れで統制することをお勧めします。
まずは、外部公開や顧客共有をする前に、必ず申請フローを通すことを組織内で必須化します。そのうえで、確認チームが認証や権限設定などの基準をもとに、しっかりと審査を行います。

ここで問題がなければ公開となりますが、課題があれば修正して再度確認するという流れです。
特に非エンジニアがAIで作ったものほど、公開前に専門的な目線でのレビューが必須になると考えます。

公開した後の管理について

公開したら終わりではなく、その後の継続的な管理も非常に重要になります。公開したURLやサーバー、そして誰が責任者なのかを、しっかり管理する必要があります。つまり、公開後も定期的な監査や、脆弱性の対応を継続して行うということです。

逆に言うと、誰が管理しているかわからない状態のものは、外部に公開するべきではないと考えます。
そうならないためにも、公開したものに関して、常に把握できる状態を作っていく必要があります。

社外公開などのリスクが大きいものに関しては、承認フローづくりから

社内で作った便利なツールを顧客に共有するのは、ビジネスのスピードや価値を上げる上でとても有効です。
とはいえ、セキュリティの事故が起きてしまっては本末転倒です。

また、公開時に社内でチャックやフィードバックするフローがあることで、各従業員が安心して作成していけるような流れにもつながるんじゃないかなと思っています。

まずは、今回紹介したような承認フローを標準ルールとして作成し、組織に定着させることが大切ではないかなと思っています。

読んでいただきありがとうございました！
過去のAI関連記事はこちらです！

ちなみに、組織におけるAIの推進についてまとめた本も出版させていただいております。もしよければご覧ください。