社員がパーソナルAIエージェントを仕事で使うとき｜会社が先に決めておくルール
仕様確認・更新日: · 編集: 株式会社ウェステリア
パーソナルAIエージェントの多くは、個人向けに月20ドル前後から使えます。そのため、会社が気づかないうちに、社員が自分の判断で会社のメールやカレンダーをエージェントに接続している、ということが起こり得ます。この記事では、社員がパーソナルAIエージェントを仕事で使うときに起こり得るリスクを整理し、会社が先に決めておきたいルールと、そのまま使えるガイドラインのひな形を紹介します。
結論から
- パーソナルAIエージェントは、答えるだけのチャットAIと違い、メール・カレンダー・決済などへの権限を持って「代わりに実行」します。社員が個人契約のエージェントに会社のアカウントを繋ぐと、会社の把握しないところで業務データが動きます(シャドーAI)
- 禁止だけでは実態が見えなくなりがちです。「繋いでよいデータ」「人の承認が必要な操作」「記録の残し方」「退職時の扱い」の4点を先に決めておくのが現実的です
- 2026-09時点では、Meta Museには企業向けプランの発表がなく、Gemini Sparkは個人のGoogleアカウント向けと報道されています。個人向け製品を業務に使う前提で、ルールを設計する必要があります
自社の場合はどうなるかを先に知りたい方へ。 初回1時間の無料ヒアリングで、御社の状況に当てはめてお答えします →
なぜ今、社内ルールが必要なのか
2026年に入り、個人向けの「パーソナルAIエージェント」が相次いで登場しています。2026-09-08(米国時間)にはMetaが「Muse」を発表しました。チャットで頼むと、メール送信、旅行や店の予約、買い物、Webフォームの入力、利用者に代わる交渉などを、内蔵ブラウザを操作して実行します。長いタスクはアプリを閉じた後も作業を続け、承認が必要なときに戻ってきます。
同様の製品は他社にもあります。GoogleのGemini Sparkは2026-05-19に発表された24時間稼働のクラウドAIエージェントで、日本では2026-07-16にAI Ultra向けに日本語で提供が始まり、2026-07-29にはGoogle AI Proユーザーへの順次展開が発表されました。AnthropicのClaude Coworkは2026-08-18にモバイル・Webを含め全有料プランに展開され、OpenAIも2026-07-09に数時間かかるタスクをこなす「ChatGPT Work」を発表しています。オープンソースのOpenClawも、2026-03時点でGitHubスター約24.7万を集めました。
これらに共通するのは、チャットAIとの次の違いです。
- 答えるだけでなく、代わりに実行する
- 長時間、裏で動き続ける
- 会話の内容を記憶する
- 外部サービスへの権限を持つ
つまり、社員が個人で契約したエージェントに会社のメールやカレンダーを接続した時点で、会社のデータに対して「会社が管理していない実行者」が加わることになります。これが、いわゆるシャドーAIの問題です。月20ドル前後から個人で契約できる製品が多いため(2026-09時点)、会社が気づかないうちに使われ始めることは十分に考えられます。
業務利用で起こりうるリスク
まず、どんなリスクがあるかを整理します。以下は特定の製品の欠陥を指すものではなく、パーソナルAIエージェントを業務に使うときに一般的に考えておくべき論点です。
| リスク | 何が起きうるか | 関係する事実(2026-09時点) |
|---|---|---|
| シャドーAI | 社員が個人契約のエージェントに会社のメール・カレンダーを接続し、会社が把握できない | 多くの製品が個人アカウント向け。Museは企業プランの発表なし、Gemini Sparkは業務用Workspaceプラン経由の提供なしと報道 |
| プロンプトインジェクション | エージェントが読んだWebページやメールに仕込まれた指示に従ってしまう | OpenClawについて、プロンプトインジェクションや審査されていないスキルからのデータ持ち出しのリスクが指摘されている(Ciscoの研究者) |
| 誤送信・誤購入 | 宛先違いのメール送信、意図しない発注・決済 | 各社とも重要な操作の前に承認を求める設計を採っている |
| 記録の所在 | 何をいつ実行したかの記録が個人アカウント側にしか残らない | Museは実行済み・実行予定の操作の監査履歴を利用者が見られるが、見られるのは利用者本人 |
| 退職時のアクセス | 退職後も個人のエージェントに会社アカウントへの接続や記憶が残る | Museは接続の解除や「忘れて」による記憶の削除ができるが、操作するのは利用者本人 |
| 保存データの扱い | 手元のPCに設定や会話履歴が残る | OpenClawは設定と会話履歴をローカル保存。OpenClaw 2.0(2026-08-30)について保存データの暗号化がないと研究者が指摘 |
各社は安全のための仕組みを用意しています。たとえばMuseは、利用者ごとに隔離された専用クラウドコンピュータ(Muse Secure VM)で動き、独立したエージェント「Sentinel」が承認しない限りインターネットにアクセスできない設計だと説明しています。ただし、こうした仕組みは「利用者個人を守る」ためのものです。会社として、どの業務データをどこまで任せてよいかは、製品の仕組みとは別に会社が決める必要があります。
会社が先に決めておく4つのこと
1. 接続を許すデータとアカウント
最初に決めるのは「何を繋いでよいか」です。パーソナルAIエージェントは、接続するアプリと許可する範囲を利用者が選べる製品が多く、Museではいつでも変更・解除できるとされています。裏を返せば、決めるのは社員本人です。会社側で線を引いておかないと、判断が人によってばらばらになります。
考え方の例としては、データを3段階に分けるのが分かりやすいでしょう。
- 繋いでよい: 公開情報の調査、社外秘を含まない資料の下書きなど
- 申請があれば可: 会社のカレンダー、社内の一般的なドキュメントなど
- 繋がない: 顧客の個人情報、人事・給与、取引先との契約情報、経理・決済のアカウントなど
2. 人の承認が必要な操作の線引き
メール送信や購入の前に承認を求める設計は、Muse・Gemini Spark・Claude Coworkなど各社に共通する流れです。Claude Coworkのクラウド版も、メール下書きのような予約タスクを送信前に最終確認させる仕組みだと報じられています。
会社のルールとしては、製品の承認機能に頼るだけでなく、「どの操作は必ず人が中身を確認してから承認するか」を明文化しておくことをおすすめします。社外へのメール送信、発注・支払い、社外サービスへの登録、データの削除などは、承認画面で内容を読まずに押さないことを明記しておくとよいでしょう。承認が続くと中身を見ずに押しがちになる、という点も研修で伝えておきたいところです。
3. 記録をどこに残すか
エージェントが何をしたかの記録は、多くの場合、利用者個人のアカウント側に残ります。業務でエージェントを使うなら、少なくとも「社外に送ったもの」「発注・支払いにつながったもの」は、会社の既存の記録(送信済みメール、発注記録、チャットの報告など)に残る形で運用するルールにしておくと、後から追えなくなる事態を防げます。
4. 退職・異動時の扱い
退職時に会社アカウントを停止すれば、多くの接続は切れます。ただし、エージェントが会話から覚えた内容や、個人のPCに残った履歴は、会社側からは消せません。退職時のチェックリストに「業務で使ったAIエージェントの接続解除と、業務に関する記憶・履歴の削除」を加え、本人に実施してもらう手順を決めておくとよいでしょう。そもそも顧客情報などをエージェントに覚えさせない運用にしておくことが、一番の予防になります。
ガイドラインのひな形
ここまでの内容を、社内ガイドラインのたたき台としてまとめます。自社の規模や業種に合わせて調整してください。
| 項目 | 決めること | 記載例 |
|---|---|---|
| 対象 | どの製品・どの使い方が対象か | 利用者に代わって操作を実行するAIエージェント(個人契約を含む)を業務で使う場合すべて |
| 利用の届出 | 誰が何を使っているかの把握 | 業務で使う場合は、製品名と接続するアカウントを情シス担当に届け出る |
| 接続してよいデータ | 3段階の区分 | 公開情報・社外秘を含まない資料は可。社内カレンダー等は申請制。顧客個人情報・人事・契約・決済は不可 |
| 会社アカウントの接続 | 個人契約への接続を認めるか | 会社のメール・ストレージを個人契約のエージェントに接続しない(許可されたものを除く) |
| 承認が必須の操作 | 人が中身を確認する操作 | 社外へのメール送信、発注・支払い、外部サービスへの登録、データ削除は内容を確認してから承認する |
| 決済 | 会社のカードを使わせるか | 会社のカード・決済情報はエージェントに登録しない |
| 記録 | 後から追えるようにする | 社外送信・発注は会社のシステム上に記録が残る形で行う |
| 外部スキル・拡張 | 追加機能の扱い | 出所の確認できない拡張機能(スキル等)は業務用の環境に入れない |
| 事故時の連絡 | 誤送信・誤購入・不審な動作 | 気づいた時点で情シス担当へ報告し、接続を解除する |
| 退職・異動 | 接続と記憶の後始末 | 接続解除と業務関連の記憶・履歴の削除を本人が行い、チェックリストで確認する |
| 見直し | ルールの更新時期 | 製品の変化が速いため、四半期ごとに見直す |
最初から完璧なルールを作る必要はありません。まず「届出」「繋がないデータ」「承認必須の操作」の3つだけでも決めておくと、実態の把握と大きな事故の予防につながります。
全面禁止でよいのか
リスクだけを見ると全面禁止にしたくなりますが、個人のスマートフォンで使える製品を完全に止めるのは難しく、禁止すると使っている実態が見えなくなるおそれがあります。届出制にして「どう使えば安全か」を一緒に決めるほうが、結果的に管理しやすいと当社は考えています。ただし、扱う情報の性質によっては禁止が妥当な業種・部署もあります。
また、個人向け製品では会社の管理が届きにくいという限界は残ります。業務の中核でエージェントを使いたい場合は、会社が管理できる形で専用に用意する選択肢も検討に値します(別記事「既製のパーソナルAIエージェントで足りるか、自社専用に作るか」で整理しています)。
出典
本記事の事実関係は、次の公開情報に基づいています(2026-09-23時点で確認)。製品の仕様・料金・提供地域は変わることがあるため、最新は各社の公式情報でご確認ください。
仕様の出典: Meta: Introducing Muse(英語) / Meta: Museの発表(日本語) / Meta: パーソナルAIエージェント「Muse」を日本で提供開始(日本語、2026-10-23) / TechCrunch: Meta debuts its Muse AI agent. Will consumers trust it? / 日本経済新聞: Museの各国展開に関する報道 / Google公式ブログ: Gemini Spark が日本で利用可能に / ITmedia: Gemini Sparkの日本での提供に関する報道 / PCWorld: Google's new Spark AI agent / Bloomberg: OpenAI unveils ChatGPT Work / NBC News: Claude Cowork のクラウド対応 / 9to5Mac: Claude Cowork が全有料プランのモバイルで利用可能に / Wikipedia: OpenClaw
よくあるご質問
- 社員が個人で契約したAIエージェントの利用を、会社は把握できますか?
- 個人のアカウントと端末で使われている場合、会社側から技術的に把握するのは難しいのが実情です。そのため、禁止よりも届出制にして自己申告しやすくし、「会社のアカウントを個人契約のエージェントに繋がない」というルールで守る範囲をはっきりさせる方法が現実的です。
- 製品側に承認機能があれば、社内ルールは要らないのでは?
- 承認機能は誤操作を減らす仕組みですが、「どの操作で、何を確認してから承認するか」を決めるのは利用者です。承認が続くと中身を読まずに押してしまうこともあります。会社として承認が必須の操作と確認の観点を決めておくことで、製品の仕組みが実際に効くようになります。
- Meta Museは日本の会社でも使えますか?
- 使えます。Museは2026-10-23(日本時間)に日本で提供が始まり、iOS・Android・muse.aiで使えます(Metaの日本語版発表(2026-09-08)の時点では「現時点で未定」とされていました)。ただし企業向けプランは発表されていません(2026-10-23時点)。日本で使える同種の製品としては、Gemini Sparkも日本語で提供されています。いずれの製品も、業務で使う前に本記事のようなルールを決めておくことをおすすめします。