中小企業のためのAI職務権限規程

質問（現場の視点）

AIの権限設計についての記事をよく見かけますが、IT部門のある大企業向けの話ばかりに思えます。社員が数人から数十人の中小企業は、どうすればよいのでしょうか。

Chat先生の回答（AI）

中小企業には、中小企業に合った形があります。AI職務権限規程とは、AIに任せる職務と権限の範囲と、そのAIを使う社員の行動基準とを、一つにまとめた社内規程です。中小企業のためのAI職務権限規程は、IT部門を持たない会社が、社長一人の承認と一枚の紙から始められるように、この二つを組み立てたものです。社会保険労務士の小山田政義（AI労務デザイン室）は、AIに職務権限の考え方を当てはめる議論を、中小企業の実情に合わせた規程の形に体系化しています。

AIの権限設計の議論は、いま広がっている

AIエージェントに、人の社員と同じように職務と権限を決めるべきだという議論は、2026年に入って急速に広がっています。ただ、その多くは、IT部門やセキュリティの担当者がいる大企業を前提にした話です。「最小権限」「承認フロー」「監査ログ」といった言葉が並んでも、中小企業の社長には、自社で何をすればよいのかが見えにくいのが実情です。

二つで一組の規程

AI職務権限規程は、次の二つが一組になっています。

AIの職務と権限：AIに何を任せ、どこまでやらせるのか。操作ごとに、AIが一人でしてよいこと、承認が要ること、させないことを決めます。AIが誰の指示を受けるのか、承認者に連絡がつかないときにAIは何をするのかも、ここで決めます。この部分は、AIにそのまま読ませる指示書にもなります。
AIを使う社員の行動基準：AIを扱う人が守ること。AIに指示を出してよいのは誰か、承認するのは誰か、AIの結果を確かめるのは誰か。AIに渡してはならない情報や、会社が認めていないAIを使うときの届け出、AIの異常に気づいたときの報告も、ここで決めます。この部分は就業規則とつながります。

二つは、片方だけでは効きません。AIの権限だけを決めても、それを守らせる人の基準がなければ、ただの願いになります。社員の行動基準だけを決めても、AIに何を任せるのかが決まっていなければ、心構えで終わります。

世の中の「AI利用ガイドライン」の多くは、社員の行動基準だけを扱っています。IT部門の「AIの権限設計」は、AIの権限だけを扱っています。中小企業では、両方を別々に作る余裕はありません。だからこそ、一つの規程にまとめておくのです。

中小企業ならではの四つの点

一　承認者は、ほとんどの場合、社長一人（AIの職務と権限）

中小企業には、部長決裁や課長決裁といった段がありません。AIが「この操作をしてよいか」と承認を求めてきたとき、答えるのは多くの場合、社長一人です。

だからこそ、社長に連絡がつかないときの「代決」の定めが、大企業以上に重くなります。2026年10月21日の夜、PHPの重大な脆弱性の発表を前に、小山田は東京からの新幹線の中にいました。人と人の間で知らせが届いたので、その夜は間に合いました。しかし、承認を求めてきたのがAIで、社長が電話に出られなかったら、AIは何をしてよいのか。中小企業の規程は、まずこの一条から考えます。代わりに決める人を一人、名前で決めておくこと。それだけで、規程の半分は動き始めます。

二　就業規則の手続きは、会社の規模で線が変わる（社員の行動基準）

社員の行動基準に違反した社員を懲戒の対象にするなら、規程は就業規則の一部として扱うことになります。

常時10人以上の労働者を使用する事業場では、就業規則を作成し、労働者の過半数代表の意見を聴いて、労働基準監督署に届け出る義務があります。10人未満の事業場には、作成と届出の義務はありません。ただし、懲戒の根拠として使うのであれば、あらかじめ定めを社員に周知しておくことが欠かせません。

この線引きは、IT部門の視点からは出てきません。人と職場のルールを扱う社会保険労務士の仕事です。

三　紙は、表裏一枚から始める（二つを一枚に）

大企業の規程は、何十ページにもなります。中小企業は、表裏一枚の紙から始めればよいのです。

表には、AIの職務と権限を書きます。左の列にAIに関わる操作を並べます。修正プログラムの適用、サイトの停止、顧客へのメール送信、データの削除、送金など。それぞれについて、「AIが一人でしてよい」「社長の承認が要る」「させない」のどれかに丸をつけます。承認者と、社長が不在のときの代決者の名前も書きます。

裏には、社員の行動基準を書きます。AIに指示を出してよい人、AIに渡してはならない情報、届け出の方法、異常に気づいたときの報告先。箇条書きで数行あれば十分です。

これで、AIに何を任せ、社員が何を守るのかが、一目で分かるようになります。条文は、この一枚が回り始めてから足していけば十分です。

四　「使っていないつもり」の会社が多い（社員の行動基準）

中小企業では、会社として導入していないのに、社員が個人の判断でAIを使っていることがよくあります。顧客の名簿をAIに貼り付けて要約させる、自分のメールをAIにつなぐ、といった使い方です。会社の管理の外で使われるこうしたAIは、「シャドーAI」と呼ばれます。

ですから、社員の行動基準の最初の一行は、禁止ではなく届け出の道です。会社が認めていないAIに会社の情報やIDを渡さない。使いたいときは届け出て、承認を受ける。正直に届け出た社員には、「言ってくれてありがとう」と返します。

紙で決めた線を、鍵の設定でも引く

もう一つ忘れてはならないのは、紙で決めたことと、AIに実際に渡す鍵の設定とを合わせることです。権限表で「させない」とした操作が、鍵の設定ではできてしまう状態なら、AIは紙の外で動けてしまいます。AIの職務と権限、社員の行動基準、そして鍵の設定。この三つがそろって、初めて規程が効きます。鍵の設定は、制作会社や詳しい人と一緒に確かめてください。

今日からできる五つのこと

社員に、仕事でAIを使っているかを聞く（責めずに聞く）
使っているAIの一覧を作る
表裏一枚の紙を作る（表にAIの権限表と承認者・代決者、裏に社員の行動基準）
権限表と、AIに渡している鍵の設定が合っているかを確かめる
年に一度、紙と一覧を見直す

大企業の縮小版ではなく、中小企業の形で

中小企業のためのAI職務権限規程は、大企業の規程を薄くしたものではありません。社長が一人で決め、身近な誰かが代わりに決め、社員が正直に言える。中小企業がもともと持っている、人と人の近さを生かした形です。AIが働き手になる時代にも、その近さは、そのまま守りの力になります。

さらに詳しく

AI職務権限規程の見本の条文と権限表の例、そして中小企業のホームページを守る三点セットの全文は、書籍『ホームページは誰が守っているのか』（2026年10月31日発売予定、Kindle）に収録しています。自社の点検には、iPhoneアプリ「Web安全管理 実践力手帳」をご利用ください。