AIエージェントのアクセス権管理を人の動きから設計する。

権限表は、本人認証、利用機能、参照情報、外部操作の4層で作ります。本人認証では利用者の識別と管理者認証、利用機能では使えるAI・作成・共有・設定変更、参照情報ではフォルダ・データベース・会話履歴、外部操作では送信・公開・更新・削除などを分けます。

デジタル庁の政府向けガイドライン第2.0版は、権限管理、ログ、データ取扱い、人による確認を含むリスク対策を示しています。同ガイドラインは国の政府職員向けですが、企業・店舗・団体でも、自組織の規程や契約に合わせて検討項目を整理する際の一次情報として参照できます。

入社時は標準役割から付与し、教育と利用ルールへの同意を確認します。異動時は新しい権限を足す前に旧権限の要否を確認します。退職・委託終了時はログイン停止だけでなく、共有リンク、APIキー、連携アプリ、代理権限、個人所有のAIやナレッジ、予約実行を洗い出します。

停止後に業務資料や設定が個人アカウントへ残らないよう、所有権の移管先と保管期間を先に決めます。会話や生成物の保存・削除方法は提供環境と契約によって異なるため、実際の管理機能と契約条件を確認してください。

導入は、対象となるAI・連携先・情報を一覧化し、4層の権限表を作り、代表的な役割でアクセス確認を行う順に進めます。最後に、異動・退職と緊急時の手順を机上で試し、停止に必要な担当者、所要手順、連絡先、代替業務を確認します。