Google Geminiを活用した生成AI全社利用の進め方、セキュリティと管理体制の見直し点

解説

社内で生成AIサービス（Google Gemini）のようなツールを利用する際、「何を使ってよいか」「どう業務に組み込めばよいか」という点が関心事になります。

特に、安全性を重視し機密情報が多い組織ほど、導入のハードルが高い傾向があります。この事例は、そのような慎重な環境にあった首都高速道路が、いかにして全従業員を巻き込み生成AI活用を定着させたのかというプロセスに焦点を当てています。

単なるツールの提供やマニュアル配布ではなく、「現場の意識改革」と「適切な利用プロセスの設計」こそが、成功の鍵であったことがわかります。自社でもDX推進を行う場合、具体的なツール導入以上に、従業員一人ひとりの活用を促すための定着策を見直すきっかけになります。

ポイント

• 首都高速道路が直面した、変革を受けにくい組織文化の中で、Google Geminiを活用したDX推進事例を紹介する。
• 単なるツール導入に留まらず、「全従業員底上げ」「ハンズオン研修」「管理職理解促進」の多角的なアプローチで現場の定着を促した。
• その結果、社内規則のFAQ化や事業計画策定など具体的な業務効率化が進み、組織全体のDXマインド醸成に成功している。

情シスへの影響

生成AIサービス（Gemini）および関連Google Workspace機能を利用するにあたり、セキュリティとアクセス管理に関する懸念が生じます。

1. データガバナンスとコンプライアンスの確認:

2. 社内機密情報や個人情報を外部連携型の生成AIツールに入力・利用する場合、入力データの取り扱いがAIモデルの学習に利用されるか否かを徹底的に確認する必要があります。本事例では「入力したデータがAIモデルの学習に利用されない」環境構築を前提としています。

3. ライセンスとアクセス制御（ID管理）:

4. 組織全体で生成AIサービスを展開する場合、誰がどのレベルの機能（例：Basic/Notebookなど）を利用できるかについて、適切なライセンス割り当てと、部門・職位に応じた利用制限（権限管理）が必要です。

5. 情報源としての検証プロセス（ワークフロー設計）:

6. Gemini NotebookのようなRAG（Retrieval-Augmented Generation）機能は便利ですが、出力された情報がどの社内ドキュメントや規定に基づいているかという出典明示（ソースの信頼性確認）の仕組みを業務プロセスに組み込む必要があります。利用者が誤った情報を「真実」と認識しないよう教育・管理策が必要です。

影響範囲

Google Workspaceを利用する全従業員、および社内データが対象となる部門全体（法務、技術開発、人事など）。影響範囲は特定のバージョンや機能に留まらないため、「要確認」。特に機密度の高い業務プロセス（規定の参照、事業計画策定）に生成AIを組み込む場合のリスク管理が必要です。

重要度

★★★★☆

対象者

• M365管理者
• Entra管理者
• AD管理者
• セキュリティ担当者
• ネットワーク管理者

優先度

計画的に対応

優先度の理由

本事例は、生成AIの技術的な利用方法以上に「組織への定着と管理」の重要性を示しています。すぐに緊急パッチが必要な脆弱性の話ではないため、「今すぐ対応」ではありませんが、全社利用を前提とする場合、データセキュリティポリシーやアクセス権限の見直しといった計画的な取り組み（ライセンス/ID管理）を迅速に進めるべき段階にあるためです。

確認手順

• 組織内で生成AIツールを利用する場合の「入力データの取り扱いガイドライン」を策定し、法務・情報セキュリティ部門とレビューする。
• Google WorkspaceにおけるGemini機能やNotebook等の利用範囲について、部署や職務に応じた最小権限原則に基づくアクセス制御ポリシーを設定・監査する。
• 社内システムから生成AIを利用する場合、必ず参照元ドキュメントを明示し、ファクトチェックを行うためのワークフロー（承認プロセス）を実装するか検討する。
• 全従業員向けに、「生成AIの出力は仮説であり最終的な業務判断には人間による検証が必須である」という認識を徹底させる研修計画を策定する。