AI開発の社内準備｜情シスがいない会社の進め方

情報システム部門がなくてもAI開発は発注できます。 必要なのは技術知識ではなく、対象の業務を説明でき、その場で判断できる人です。ただし、情シスがいる会社なら自然に整っている前提がいくつか抜けているため、発注前に社内で整えておくことがあります。

この記事では、その準備を「社内で決めること」「窓口の条件」「発注前に整理する5項目」「外注先に任せてよい範囲」の順に整理し、小売多店舗の店舗運営部門で日報集計を自動化する準備を例に当てはめます。読み手として想定しているのは、総務や事業部門でIT担当を兼務している方、または見積りを取る前に何をしておくべきか確認したい担当者です。

「情シスがいない」は珍しい状態ではない

総務省の令和7年版情報通信白書によると、日本の企業で「積極的に活用する方針」「活用する領域を限定して利用する方針」のいずれかで生成AIの活用方針を定めている比率は2024年度調査で49.7%（2023年度調査は42.7%）、何らかの業務で生成AIを利用していると回答した割合は55.2%でした。一方、企業規模別に見ると、大企業と比べて規模の小さい企業では「方針を明確に定めていない」との回答が多く、約半数を占めています。生成AI導入の懸念事項として日本で最も多かったのは「効果的な活用方法がわからない」で、次いで「社内情報の漏えい等のセキュリティリスク」「ランニングコストがかかる」「初期コストがかかる」が挙がっています（出典1）。

つまり「使ってはいるが、方針を決める担当がいない」「どこから手を付ければよいか分からない」という状態は、多くの会社に共通しています。情シスがないことは発注の障害ではなく、技術的な判断を外注先に委ねる代わりに、業務に関する判断を社内で速く下せる体制を作ることが準備の中心になります。

社内で決める2つのこと

技術的な部分は外注先が担いますが、次の2つは社内でしか決められません。

「完成の基準」は、精度の言葉ではなく作業量の言葉で決めます。「間違いが少ないこと」ではなく、「集計表を人が直す回数が週1回以内」「人が確認する時間が1日10分以内」のように、誰が見ても同じ判断になる形にしてください。生成AIを使う部分は出力が毎回同じとは限らないため、この基準を先に決めておかないと検収で評価が割れます。

窓口になる人の条件

技術に詳しい必要はありません。次の3つに当てはまる人が向きます。

1. 対象業務の実務を知っている — 自分でやったことがある、または毎日その作業を見ている
2. その場で判断できる、または即日で判断を仰げる — 「この場合はどう処理するのが正しいか」に答えられる
3. 週に1回、30分程度の時間を確保できる — 開発期間中の定例確認に出られる

2番目が最も重要です。 開発中は「この例外はどう扱うか」という質問が繰り返し発生します。その都度会議を開く体制だと、開発そのものより確認待ちで期間が延びます。実際には、総務や経理、事業部門の管理職が窓口になることが多く、店舗ビジネスならスーパーバイザーやエリアマネージャーが適任です。

IT担当を兼務している総務の方が窓口になる場合は、「業務の判断は事業部門、契約とアカウントの管理は総務」と役割を分けておくと、どちらにも待ちが発生しません。

発注前に整理する5項目

1. アカウントとパスワードの管理

個人のアカウントで契約しているサービスがないかを確認してください。前任者のメールアドレスで登録されたPOSの管理者ID、個人のカードで支払っているクラウドサービスがあると、その人が不在のときに作業が止まります。

IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版には、資産管理台帳のサンプル（付録6）が付いています。情シスがない会社では、まずこの台帳の形で「どのサービスを、誰の名義で、誰が管理しているか」を1枚にすることが、外注先に渡す情報の整理にもなります（出典2）。

会社として管理する形に移してから発注してください。 開発の途中で「そのIDは辞めた人のものだった」と分かると、作業が止まり、場合によっては契約のやり直しになります。

2. 対象業務の現状

外注先に説明できる形にしておきます。資料を作る必要はなく、実際の作業画面を見せられれば十分です。ただし「どのくらい時間がかかっているか」だけは、記憶ではなく1〜2週間の実測で押さえてください。効果の判定は導入前の数字がないとできません。

• いま誰がやっているか（兼務なら、本来の業務の何を後ろに回しているか）
• 1回あたり何分、月に何回か
• どのファイル・システムを使っているか（Excel、スプレッドシート、POSの管理画面など）
• 例外的な処理をしたケース（月末だけ違う、特定店舗だけ様式が違う、など）

例外の数が費用と期間を左右します。「基本はこう、ただしこの場合だけ違う」を洗い出せるのは、業務を知っている人だけです。

3. つなぐ可能性のあるシステムの契約状況

既存の業務システムと連携する可能性があるなら、次を確認してください。

• 契約しているプランで外部連携（API、CSVの自動出力など）が使えるか
• 提供元に問い合わせる窓口があり、誰がその窓口と話せるか
• 契約書や利用規約に外部連携やデータ持ち出しの制限がないか

ここは提供元への確認に時間がかかります。POSや勤怠管理のようなクラウド型のサービスは、上位プランでないと連携機能が使えないことがあり、確認の返事が来るまで1〜2週間かかることもあります。相談と並行して早めに着手してください。

4. 扱う情報の範囲

外注先にどこまでのデータを見せるかを決めます。

• テスト用に渡すデータの範囲（直近1ヶ月分か、特定店舗分か）
• マスキングが必要な項目（従業員名、顧客名、クレーム本文など）
• 秘密保持契約の締結時期（見積りのための資料共有より前か）

IPAが2026年1月29日に公表した「情報セキュリティ10大脅威 2026」では、組織向けの2位に「サプライチェーンや委託先を狙った攻撃」、3位に「AIの利用をめぐるサイバーリスク」（初選出）、7位に「内部不正による情報漏えい等」が入っています（出典3）。外注先に渡すデータの範囲を決めることは、委託先経由のリスクを自社で管理する最初の作業です。渡さなくても開発できる情報は渡さない、渡す情報は誰が承認したかを残す、の2点で足ります。

5. 最低限のセキュリティの土台

自動化の仕組みは、既存のPCやアカウントの上で動きます。土台が崩れていると、作った仕組みも一緒に止まります。前述のガイドライン第4.0版では、はじめに取り組む「情報セキュリティ5か条」に「バックアップを取ろう!」が加わり6か条になり、「5分でできる！情報セキュリティ自社診断」の項目も見直されました（出典2）。OSとソフトの更新、ウイルス対策、パスワードの強化、共有設定の見直し、手口を知ること、そしてバックアップ。この6つを総務が一度確認しておけば、開発会社との会話で「そこから直しましょう」となる時間を省けます。

外注先に任せてよい範囲

「どのサービスを使うか」は任せて構いませんが、理由は聞いてください。「使い慣れているから」だけの場合、自社の要件に合っているかは別途確認が必要です。また、生成AIを使う部分と使わない部分を分けて説明してくれるかも見てください。数値の集計に生成AIは要りません。自由記述の分類や要約のように、揺れを許容できる部分にだけ使うのが、情シスがいない会社で運用を安定させる基本です。

詳しい人がいない状態で判断する方法

複数社に同じ質問を投げて、回答を比べてください。技術の知識がなくても差が見えます。

1. この業務でうまくいかない可能性がある部分はどこですか
2. 納品後、私たちだけで対応できることは何ですか
3. 他社に引き継ぐことになった場合、何を渡せますか
4. 運用開始後、毎月いくらかかりますか（AI利用料は開発費に含まれますか）
5. 私たちのデータはAIの学習に使われますか

1番と3番の答え方に差が出ます。うまくいく話だけをする会社と、リスクを先に伝える会社では、着手後の対応が変わります。比較の進め方はAI開発の相見積もりにまとめています。

業種×部門で当てはめる

ここまでの準備を、実際の業務に当てはめて確認します。以下は想定の典型例で、特定の顧客の実績ではありません。

例：小売多店舗の店舗運営部門で日報集計を自動化する

15店舗を展開する小売業の店舗運営部門を想定します。各店の店長が閉店後に日報を送り、本部のスーパーバイザー2名が翌朝それを集計して、週1回の店長会議用の資料にまとめています。日報の中身は、売上・客数・客単価などの数値と、欠品・クレーム・スタッフの状況・気づきといった自由記述です。送り方は店によってばらつきがあり、Excelを添付する店、チャットに本文で書く店、紙をスキャンする店が混在しています。情シスはなく、PCの調達とアカウント発行は総務の1名が兼務、POSは提供元が運用するクラウド型、勤怠管理は別のクラウド型サービスという構成です。

この会社がAI開発を発注する前に整えることを、5項目に沿って見ていきます。

まず窓口です。技術に近いのは総務ですが、日報の中身を判断できるのはスーパーバイザーなので、窓口は店舗運営部門のスーパーバイザー1名にし、総務は契約とアカウントの管理を担います。「クレームの分類がこれで正しいか」「この店だけ様式が違う理由は何か」に答えられるのはスーパーバイザーだけです。

次にアカウントです。確認すると、POSの管理者IDが3年前に退職したスーパーバイザーの個人メールで登録されたまま残っていました。日報を貯めているスプレッドシートは「リンクを知っている全員が編集可」の共有設定で、各店のアルバイトからも見える状態です。前者は会社名義への変更を提供元に依頼し、後者は店長のアカウントだけに編集権限を絞ります。ガイドラインの6か条にある共有設定の見直しは、まさにこの場面です。

対象業務の実測では、2週間記録した結果、集計はスーパーバイザー1人あたり毎朝おおよそ1時間半、店から様式の違う日報が来た日はさらに30分かかっていることが分かりました。例外として、月末は本部が指定する棚卸の数値が加わること、催事期間中の2店舗だけ客数の定義が違うことが挙がりました。

システム連携では、POSの提供元に「日別売上のCSVを自動で取り出せるか」を問い合わせます。契約プランでは手動ダウンロードしかできず、自動出力には上位プランが要ると分かった場合、プランを上げるか、当面は店長が入力する数値をそのまま使うかを社内で決めます。ここは外注先ではなく発注側の判断です。

扱う情報では、日報にスタッフの実名と、クレーム本文に顧客の名前が含まれます。外注先にテスト用として渡すのは直近1ヶ月分・3店舗分とし、スタッフ名と顧客名を置き換えてから渡します。秘密保持契約は、見積りのために実際の日報を見せる前に結びます。

最後に完成の基準です。「毎朝9時までに前日分の集計表が全店分揃っている」「自由記述の分類（欠品・クレーム・人員・その他）をスーパーバイザーが直す件数が1日3件以内」「売上ゼロや前日比の大きな変動は自動で目立たせ、人が確認する」の3つを基準にしました。数値の集計は通常のプログラムで行い、生成AIは自由記述の分類と要約にだけ使う構成です。日報の様式を店ごとに揃える（入力フォームに寄せる）ことは開発の範囲ではなく、店舗運営部門が店長会議で決めて周知する仕事として切り分けました。

導入後に見る指標は、スーパーバイザーの朝の集計時間と、分類を手で直した件数の2つに絞ります。どちらも導入前の実測があるから比較できるもので、この2週間の記録が準備の中で最も価値のある作業になります。

当社が自社で運用して分かったこと

当社は自社サイト500ページ超をAIで開発・運用し、記事の自動公開パイプラインとサイト上のAIチャットも自社で構築して運用しています。専任の情シスを置かずに運用して分かったのは、止まる原因の多くが技術ではなく、認証情報の置き場所が分からない、誰が気づくかが決まっていない、という運用側の問題だということです。認証情報を1箇所で管理し、エラーが出たときの通知先を1人に決めるだけで、復旧までの時間は大きく変わります。

この経験は、情シスがいない会社の準備にそのまま当てはまります。アカウントの整理と「誰が気づくか」の決定は、開発の前に済ませておくほうが、開発そのものより効きます。 当社では相談の段階で、この2点が整っているかを最初に確認します。

当社の費用

日報集計のような1業務の自動化は、業務自動化ミニ開発（300,000円〜・税抜・単発）の代表的な依頼内容です。まず1業務で動かし、効果を見てから対象を広げる進め方を基本にしています。社内に技術的な相談先を置くのが難しい場合は、AI開発顧問（300,000円/月・税抜・最低3ヶ月）で、アカウント整理の進め方や提供元への質問内容の助言を含め、開発側の観点から外から支える形もあります（名義変更や提供元への問い合わせ自体は契約者側で行っていただきます）。

初回30分の相談は無料・オンライン対応・秘密厳守です。相談の結果、今の体制では開発より先に整えるべきことがあると判断した場合は、その内容をお伝えします。

商談で聞かれる質問

Q1. 作業範囲はどこまでですか

当社が担うのは、対象業務の分解、例外パターンの整理、技術的な設計と実装、実データでの精度調整、検収、運用担当への引き渡しです。発注側にお願いするのは、窓口の指名、アカウントの会社名義化、対象業務の実測、既存システムの提供元への問い合わせ、テストデータの準備と秘密保持契約の締結です。アカウントの名義変更と提供元への問い合わせは、契約者本人でないと進められないため、当社が代行できません。 着手前に総務側で時間を確保していただきます。

Q2. 導入後の運用は誰がやりますか

日常の運用は発注側の窓口が担います。具体的には、朝の出力結果の確認、分類を直した件数の記録、店から様式の違う日報が来たときの対応です。納品時に、認証情報の管理場所、エラー時に何が通知されるか、止まったときの確認手順を画面付きで引き渡します。改修が必要になった場合は都度見積り、または開発顧問で継続的にご一緒する形のどちらかです。「納品後の窓口はどこか」は契約前に確認してください。

Q3. 依頼前に何を用意すればよいですか

3点です。第一に、使っているサービスと名義・管理者の一覧（1枚で構いません）。第二に、対象業務の1〜2週間の実測記録。第三に、完成の基準についての現時点の考えです。いずれも完成している必要はなく、初回の相談で一緒に整理できます。一覧に「名義」の欄があると、個人名義のアカウントがその場で見つかります。

まとめ

• 情シスがなくてもAI開発は発注できる。必要なのは業務を説明でき、判断できる人
• 社内でしか決められないのは「対象業務」と「完成の基準」。基準は作業量の言葉で決める
• 窓口は「その場で判断できる」ことが最も重要。業務の判断と契約の管理は分担する
• 発注前に個人名義のアカウントを会社管理に移し、共有設定を見直す
• 既存システムの外部連携の可否は提供元への確認に時間がかかるので早めに着手する
• 外注先に渡すデータの範囲を決めることは、委託先経由のリスク管理の第一歩
• 詳しい人がいなくても、同じ質問を複数社に投げれば差が見える

あわせて読みたい

• AI受託開発の進め方｜発注から納品までの流れ
• AI開発の相見積もり｜同じ条件で比べる
• AI開発の要件定義｜発注前に整理すべき5項目チェックリスト
• AI開発のセキュリティ｜発注前に確認すべきデータの扱い・学習利用・保管場所
• 業務自動化PoCの進め方｜30万円規模で小さく検証する手順と成功基準
• 業務システムの開発会社｜4分類で選ぶ
• 店舗スタッフ向け生成AI研修｜シフト・接客文面・POP作成を現場で回す設計
• 生成AIのセキュリティ｜社内で決める7項目
• AI開発の記事一覧

出典

1. 総務省「令和7年版 情報通信白書」第Ⅰ部 第2節（2）企業におけるAI利用の現状 — 生成AIの活用方針を定めている企業の比率（49.7%）、業務での生成AI利用率（55.2%）、企業規模別の方針策定状況、導入に際しての懸念事項（図表Ⅰ-1-2-12〜15）
2. IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版 — 「バックアップを取ろう!」を追加した情報セキュリティ6か条、「5分でできる！情報セキュリティ自社診断」、資産管理台帳のサンプル（付録6）
3. IPA「情報セキュリティ10大脅威 2026」（2026年1月29日公表） — 組織向け脅威の順位（2位 サプライチェーンや委託先を狙った攻撃、3位 AIの利用をめぐるサイバーリスク、7位 内部不正による情報漏えい等）