「Google Workspaceの管理画面を見れば、社員が何のAIを使っているか全部出るらしい」。知り合いの経営者からそう聞いて、自社の管理画面を開いてみた。見慣れないサービス名がいくつも並んでいて、確かに何かは分かる。しかし、これで社内のAI利用が全部把握できたと言い切っていいのか、途中で不安になる。役員会で「これで実態は押さえた」と報告して、あとから個人スマホでの利用が発覚したら、報告そのものの信頼が崩れてしまう。この手前で足踏みしている方は少なくないはずだ。

連携ログは、期待しすぎても、軽く見すぎても、判断を誤る。会社アカウントで外部サービスにつないだ履歴なので、確かに多くのことが機械的に分かる。しかし個人アカウントでの利用や、AIに入力した中身までは見えない。この「見える線」と「見えない線」を正直に引けるかどうかが、経営報告の質を決める。ここでは連携ログで具体的に何が分かり、何が分からないのかを整理し、分かる範囲だけでも棚卸しとリスク評価に十分使える理由を、実例つきで示したい。

連携ログには、そもそも何が記録されているのか

仕組みは難しくない。社員が新しい外部ツールを使い始めるとき、画面に「Googleアカウントで続ける」「Microsoftアカウントでサインイン」というボタンが出ることが多い。ここを押すと、そのツールは会社アカウントと連携され、同時に「メールを読む」「カレンダーを見る」「ファイルにアクセスする」といった権限を受け取る。この連携が発生したという事実が、会社の管理画面（Google WorkspaceならセキュリティのアプリアクセスやAdminログ、Microsoft 365ならEntra IDのエンタープライズアプリケーション）に履歴として残る。

つまり社員に一人ずつ聞かなくても、「誰が・いつ・どのサービスに・どんな権限を渡して連携したか」が、会社側の記録として自動的にたまっていく。ここが連携ログのいちばんの強みだ。とくに「どんな権限を渡したか」は、アンケートでは絶対に集まらない情報になる。次の表が、連携ログに実際に含まれる項目だ。

記録される項目具体例これで何が読めるか
連携先のサービス名議事録AI、画像生成AI、文章校正AIなど外部サービスの名称どんな種類のツールが社内に入り込んでいるか
連携した社員連携を許可した会社アカウント（氏名・部署）どの部署に利用が集中しているか
連携日・最終利用初回連携の日付、直近でアクセスがあった日今も生きている連携か、放置された連携か
渡した権限（スコープ）メールの読み取り、Driveへのアクセス、連絡先の閲覧その連携がどこまで会社データに触れられるか

とくに右下の「渡した権限」は見落とされがちだが重要だ。同じ議事録ツールでも、カレンダーの閲覧だけを求めるものと、メール全文の読み取りまで求めるものでは、会社データにとってのリスクがまるで違う。連携ログは、この権限の広さまで含めて記録している。使うツールの名前だけでなく「そのツールに会社の何を見せているか」まで分かる、というのが連携ログの本当の価値だ。

正直に線を引く：分かることと、分からないこと

強みがはっきりしたところで、境界線も同じくらいはっきりさせておきたい。連携ログは万能の検知器ではない。会社アカウントを経由しない利用は、構造上まったく記録されない。ここを曖昧にしたまま「全部見える」と報告するのが、いちばん危ない。次の表で、見える範囲と見えない範囲を並べる。

社員のAIの使い方連携ログで補足
会社アカウントで外部AIに連携・サインイン分かるサービス名・連携者・日付・権限まで記録される
会社アカウント連携ツールを、どの部署が多く使うか分かる利用者を部署ごとに集計できる
社員が自分の個人アカウントでAIを利用分からない会社の記録には一切残らない
AIに入力した具体的な内容・貼り付けた資料分からない連携の事実は残るが、中身は見えない
ブラウザで直接開いて使う（アカウント連携なし）分からないログイン連携を伴わない利用は範囲外

個人アカウントでの利用と、入力した中身。この2つは連携ログでは見えない。ここを正直に伝えることは、弱みの告白ではなく、むしろ経営報告の信頼を支える線引きになる。「会社アカウント経由はここまで分かります。個人アカウントでの利用は、この記録では追えないので、規程とルールで管理します」と言えれば、あとで個人スマホの利用が出てきても報告は崩れない。見えない部分をどう扱うかまで含めて設計する。それが誠実な可視化だ。

見える範囲が「一部」でも、なぜ十分に役立つのか

「個人アカウントが見えないなら、意味が薄いのでは」と感じるかもしれない。しかし実務で問題になりやすいAI利用の多くは、そもそも会社アカウント連携で入ってくる。議事録作成ツール、文章校正ツール、資料生成ツールといった業務常用ツールは、社内カレンダーやメール、ファイルとつなげてこそ便利になる。だから社員は自然と会社アカウントで連携する。会社データに深く触れる利用ほど、連携ログに残りやすいということだ。

そして見える範囲は、規程で広げられる。「会社の業務は会社アカウントで行う」と一枚のルールで定めるだけで、これまで個人アカウントに流れていた業務利用が会社アカウント側に寄ってくる。結果として連携ログに残る割合が増え、見える範囲が実務的な水準まで広がる。連携ログは放っておいて範囲が広がる道具ではなく、規程とセットで「見える範囲を人が設計する」道具だと考えるといい。ツールを入れて終わりにせず、利用ルールを一枚決める。この順番が、見えない穴を小さくする現実的な打ち手になる。

連携ログから棚卸しし、リスク評価につなげる流れ

実際にどう使うのかを、従業員62名・情報システム部門なしのモデル企業で通してみる。管理業務は総務の担当者が兼務している想定だ。手順は3段階になる。まず連携ログを書き出し、次にサービスごとに素性を調べ、最後にリスクの高い順に並べて手を打つ。

最初の書き出しは機械的にできる。管理画面から外部連携アプリの一覧を出すと、たとえば連携中の外部サービスが数十件見つかる。このうちAI系を拾い、各サービスについて「入力データが学習に使われるか」「データの保存国はどこか」「会社として契約（データ処理契約）を結べるか」を確認していく。ここは規約を読む地道な作業だが、渡した権限が連携ログに残っているので、優先順位はつけやすい。メール読み取り権限まで渡している連携から先に調べればいい。次が、その棚卸しをリスク評価に落とした一例だ（サービス名はすべて架空）。

連携サービス（架空）渡した権限学習利用保存国リスク評価と対応
GijiNote（議事録AI・利用9名）カレンダー・メール読み取りON米国高。会議内容に機密が含まれる。学習利用OFFの設定が可能か確認、不可なら代替へ
ChatBoost（文章生成・利用14名）プロフィールのみ不明不明中。利用者が多く影響大。会社契約に一本化し保存国と学習設定を確定させる
PicForge（画像生成・利用3名）DriveアクセスOFF日本低。ただしDrive全体へのアクセスは過剰。権限を必要な範囲に絞る

この一枚ができると、経営としての打ち手が具体になる。GijiNoteは機密性の高い会議メモを扱いながら学習利用がONで保存国も米国なので、真っ先に設定変更か代替検討にかける。ChatBoostは危険度こそ中だが14名が使っていて業務に根づいているため、禁止より会社契約への一本化が現実的だ。PicForgeはリスクは低いが、画像生成なのにDrive全体へアクセスできる権限が広すぎる。この「権限の絞り込み」は、連携ログに権限が残っているからこそ気づける対応になる。

手作業でここまでやると、書き出しから規約調査、台帳化まででおよそ数十時間かかる。従業員62名規模のモデル企業でアンケート併用の棚卸しを一通りやると約63時間、会社の総コスト換算で約39万円相当という試算もある（人件費は社会保険の会社負担や間接費まで含めた給与の約3倍で換算）。一度きりの現状把握なら自前でもできるが、新しいツールは毎月増えるため、維持まで手作業で回すのは重い。だから「最初の棚卸しをきちんとやり、その後は自動で差分を追う」という二段構えが現実的になる。

よくある質問（FAQ）

個人アカウントでのAI利用も連携ログで分かりますか

分かりません。連携ログは、社員が会社アカウント（Google WorkspaceやMicrosoft 365）で外部サービスに連携した履歴から検出する仕組みです。社員が自分の個人アカウントで生成AIを使った場合、その履歴は会社側にまったく残りません。ここは連携ログの構造的な限界です。だからこそ「会社の業務は会社アカウントで行う」という規程を一枚定め、業務利用を会社アカウントに寄せることで、見える範囲を実務的な水準まで広げる設計が必要になります。

連携ログを見れば、社員がAIに入力した内容も確認できますか

確認できません。連携ログに残るのは「どのサービスに、誰が、いつ、どんな権限で連携したか」までで、AIに入力した具体的な文章や貼り付けた資料の中身は含まれません。中身が見えない代わりに、渡した権限の広さ（メール読み取りやファイルアクセスなど）は分かります。どこまで会社データに触れられる連携なのかを、権限から評価するのが実務的な使い方です。

Google WorkspaceとMicrosoft 365で、見えるものは違いますか

画面の名前や項目の呼び方は異なりますが、考え方はほぼ同じです。Google Workspaceならセキュリティ設定のアプリアクセス管理やAdminログ、Microsoft 365ならEntra IDのエンタープライズアプリケーションから、外部連携したサービスと権限、連携者を確認できます。どちらも「会社アカウントを経由した連携」を対象とする点は共通で、個人アカウントや連携を伴わない利用が見えない点も共通です。

まず何から始めればよいですか

管理画面から外部連携アプリの一覧を書き出すところからで十分です。AI系のサービスを拾い、利用者数と渡した権限を確認して、権限の広いものから素性（学習利用・保存国・契約可否）を調べていきます。ここまでで「今どこにリスクが寄っているか」の全体像がつかめます。その後は毎月増える新規ツールを追い続ける必要があるため、最初の棚卸しはしっかり、維持は自動で差分を追う、という二段構えがおすすめです。

連携ログで会社アカウント経由の利用を台帳にし、見えない個人アカウントは規程で線引きする。この「分かることと分からないことを正直に分けた棚卸し」を外部の手で数日で仕上げ、そのまま継続モニタリングにつなげる形がShadowLens STKです。自社の管理画面に並んだサービス名をどう読めばいいか迷う段階でも、見える範囲の整理からご一緒できます。

あわせて読みたい