AIを導入する前にやるべきこと——フォルダ整理と権限設定から始める

「うちもそろそろAIを使わないと」——シンガポールの日系企業で、この言葉を聞く機会が増えました。

ただ、いざ始めようとすると、多くの方が最初にぶつかるのは「どのAIツールを選ぶか」ではなく、もっと手前の問題です。自社のデータが整理されていない。どのフォルダに何が入っているか把握しきれていない。誰がどのファイルにアクセスできるか、明確なルールがない。

この状態でAIを導入すると何が起きるか。「機密情報がどこにあるか分からないのに、AIにデータを渡す」という状況が生まれます。

この記事でわかること

• AI導入で最初につまずくのが「データ整理」である理由と、それを裏付ける調査データ
• 具体的に何をすればいいか（4つのステップ）
• hamon が自社で情報を4段階に分類し、フォルダ構造を整備した実体験
• まず1時間でできる「棚卸しチェックリスト」

AI導入の障壁は「AIの性能」ではなく「自社のデータ管理」

日本企業がAI導入で最も多く挙げる課題は何か。総務省の「令和7年版 情報通信白書」（2025年）によると、最多は**「実用的な活用方法がわからない」、次いで「技術的なセキュリティリスク」**です。

この2つの課題、実は根っこが同じです。

「活用方法がわからない」のは、自社の業務データが整理されていないから、どの業務にAIを適用できるか判断できない。「セキュリティが心配」なのは、どのデータが機密でどのデータが機密でないか、分類されていないから、何をAIに渡してよいか判断できない。

つまり、AIの問題ではなく、データ管理の問題です。

調査データが示す「整理されていない」リスク

IBM の “Cost of a Data Breach Report 2025”（2025年7月公表、600組織・17業種・16カ国調査）は、AI関連のセキュリティ侵害について衝撃的な数字を報告しています。

• AI関連の侵害を報告した組織のうち、97%がアクセス制御を欠いていた
• 社員が会社の許可なくAIツールを使う「Shadow AI」経由の侵害は5社に1社（20%）
• Shadow AI による追加コストは1件あたり平均 +67万ドル（約1億円）

97%という数字の意味は明確です。AIに関連したセキュリティ事故のほぼすべてが、「誰が、どのデータに、アクセスできるか」が管理されていない状態で起きている。AIツールの欠陥ではなく、データへのアクセス管理の欠如が原因です。

さらに、日本国内の調査では管理職の25%が機密情報を生成AIに入力した経験があるというデータもあります（Forbes Japan報道）。「便利だから」と個人の判断で使った結果、機密情報がAIサービスのサーバーを通過してしまう。これが実際に起きていることです。

では、具体的に何をすればいいのか

AI導入の前に必要な整理は、4つのステップに分けられます。

ステップ1: ファイルの棚卸し——「どこに何があるか」を把握する

最初にやるべきことは、自社のデータがどこに散らばっているかを把握することです。

多くの会社で、データは複数の場所に分散しています。会社のファイルサーバー、Google Drive、OneDrive、個人のデスクトップ、メールの添付ファイル、チャットツールの中。まずはこれらを一覧にして、「ここに何がある」を可視化します。

この段階では完璧を目指す必要はありません。主要なフォルダを開いて、中に何が入っているかをざっと確認するだけで十分です。

ステップ2: 機密度の分類——「何が守るべき情報か」を決める

棚卸しができたら、次はデータの機密度を分類します。

分類の考え方はシンプルです。「これがもし外部に漏れたら、どのくらい困るか」で段階を分けます。

• 最高機密: パスワード、APIキー、アクセストークン → 漏れたら即座に被害が発生する
• 高機密: 顧客の個人情報、契約書、財務データ → 漏れたら法的責任が生じうる
• 社内情報: 業務手順、社内ルール、議事録 → 外部に出したくないが、漏れても直接的な被害は限定的
• 公開情報: 会社のWebサイトに載っている情報、業界の一般知識 → 誰が見ても問題ない

分類基準は会社によって異なりますが、大事なのは基準を決めて、共有することです。基準がなければ、「これはAIに渡していいのか」という判断が個人任せになり、それがShadow AIの温床になります。

ステップ3: フォルダ構造の整理——分類に沿ってデータを配置する

分類基準が決まったら、フォルダ構造を分類に合わせて整理します。

具体的には、機密度が異なるファイルが同じフォルダに混在している状態を解消します。契約書と社内マニュアルが同じフォルダに入っていれば、権限設定も一律になり、「この人にはマニュアルだけ見せたいが契約書は見せたくない」という制御ができません。

フォルダ構造は複雑にする必要はありません。機密度ごとにトップレベルで分けるだけでも、次のステップ（権限設定）が格段にやりやすくなります。

ステップ4: 権限設定——「誰が何にアクセスできるか」を明確にする

最後に、フォルダごとにアクセス権限を設定します。

Google DriveやOneDriveなどのクラウドストレージであれば、フォルダ単位で共有設定を変えることができます。最高機密のフォルダは経営者のみ、高機密は関係部門のみ、社内情報は全社員、というように段階的に設定します。

この4つのステップが完了すると、「AIに渡してよいデータ」と「渡してはいけないデータ」の線引きが明確になります。AIツールの選定や導入は、この線引きができてから始めるものです。

hamon の実体験: 1名法人で情報を4段階に分類した過程

ここからは、hamon 自身の話をします。

hamon はシンガポールで1名で運営している法人です。AI（Claude）を業務の中核に据えており、リサーチ、文書作成、コード開発、顧客向けコンテンツ制作まで、日常業務の大部分でAIを使っています。

AIを本格的に業務に使い始めたとき、最初にぶつかったのは、個別のデータをどう扱うかという以前の、もっと漠然とした恐怖心でした。設立まもない1人法人なので、ファイルの量自体はまだ多くありません。hamon が使っているのは Claude Code のような、パソコンやクラウドの中のファイルを自分で読みに行くタイプのAIエージェントです。そういう相手に会社の情報を触らせて本当に大丈夫なのか——何が危なくて何が平気なのか、自分の中に線がありませんでした。この線がないうちは、AIに任せる範囲もなかなか広がりませんでした。

Tier 0〜3: 4段階の分類を設計した

そこで、すべての情報を4段階（Tier 0〜Tier 3）に分類する仕組みを作りました。

Tier	内容	保存場所	AIに渡してよいか
Tier 0	パスワード・APIキー・トークン	パスワード管理ツール専用	絶対に渡さない
Tier 1	顧客の個人情報・契約金額・財務データ・契約書	クラウドストレージの限定フォルダ	渡さない
Tier 2	匿名化済みの業務知識・社内ルール・設計文書	社内ナレッジベース	渡してよい
Tier 3	公開情報・業界知識・公式ドキュメント	制限なし	渡してよい

この分類の肝は、保存場所を Tier ごとに物理的に分けたことです。

Tier 0（パスワード等）は専用の管理ツールにしか保存しない。Tier 1（顧客情報・財務データ）はクラウドストレージの特定フォルダにしか置かない。社内のナレッジベースには Tier 2 以下しか存在しない状態にする。

こうすることで、「ナレッジベースの中にあるものはAIに渡してよい」というシンプルなルールが成立します。ファイルを開いて中身を確認しなくても、どこに保存されているかで判断できる。

分類する前と後で何が変わったか

分類を導入する前は、AIに何かを任せるたびに「この範囲に、見せてはいけないものが混ざっていないか」という漠然とした引っかかりがありました。この引っかかりがあるかぎり、AIの利用範囲は広がりませんでした。

分類を導入した後は、判断が不要になりました。ナレッジベースにあるファイルはすべて Tier 2 以下なので、何も考えずにAIに渡せる。顧客情報を扱う必要があるときは、クラウドストレージの限定フォルダから直接作業し、AIには渡さない。

整理したことでAIを「使えなくなった」のではなく、「安心して使える範囲が明確になった」。これが最大の変化でした。

整理の過程で気づいたこと

実際に整理を進める中で、いくつかの発見がありました。

1つ目は、「機密」の定義が曖昧だったこと。 契約書が機密なのは明らかですが、「顧客との打ち合わせメモに書かれた担当者の名前」は機密なのか。「提案書に書いた概算金額」はどうか。基準を作る過程で、こうしたグレーゾーンを一つずつ判断する必要がありました。迷ったら一段上の Tier（より機密度が高い方）として扱う、というルールにしています。

2つ目は、整理は一度で終わらないということ。 最初に分類を作っても、新しい業務が増えれば新しい種類のデータが生まれます。定期的に見直す仕組み（月次で棚卸しする等）がないと、徐々に分類が崩れていきます。

3つ目は、1名でもこの仕組みは必要だったということ。 「1人しかいないのに分類なんて大げさでは」と思うかもしれません。しかし1名だからこそ、自分以外に判断してくれる人がいない。判断のたびに立ち止まらないためには、仕組みにしておく方が結局は速い。

まず1時間でできる「棚卸しチェックリスト」

ここまで読んで、「うちもやらないと」と感じた方へ。完璧な分類を作る前に、まず1時間で以下をやってみてください。

□ 1. データの所在を書き出す（15分）

自社で使っているデータの保存先をすべて書き出します。ファイルサーバー、Google Drive、OneDrive、Dropbox、メール、チャットツール、個人のPC。「ここにもあった」が出てくるはずです。

□ 2. 各保存先の中身をざっと確認する（20分）

トップレベルのフォルダを開いて、「ここには何が入っているか」を把握します。全ファイルを開く必要はなく、フォルダ名とファイル名から推測する程度で十分です。

□ 3. 「これが外部に出たらまずい」ファイルに印をつける（15分）

契約書、顧客リスト、財務資料、パスワードが書かれたファイル——見つけたら印をつけます。この段階では分類基準を作らなくて構いません。「まずいもの」と「そうでないもの」を大まかに分けるだけです。

□ 4. 印をつけたファイルが「誰でもアクセスできる状態」になっていないか確認する（10分）

Google Drive の共有設定やファイルサーバーのアクセス権限を確認します。「リンクを知っている人全員」で共有されている機密ファイルが見つかったら、それは今すぐ直すべきリスクです。

この4つを1時間でやるだけで、「うちのデータ管理は今どういう状態か」の全体像が見えます。全体像が見えれば、次に何をすべきかも見えてきます。

「AI以前の話」こそ、AI導入の最短ルート

フォルダ整理、権限設定、データ分類——これらは「AIの話」ではありません。むしろ「AI以前の話」です。

しかし、AI導入で成果を出している企業は、この「AI以前の話」を先に片付けています。PwCの調査（2025年、5カ国比較）では、AIで高い効果を出している企業の共通点として**「強固なガバナンス整備」**が挙げられています。ガバナンスとは、ここでは「データの扱い方のルールが整備されていること」です。

逆に、成果が出ていない企業は「AIを業務効率化ツールとして断片的に使っている」だけで、データの整理やルール作りが後回しになっている。

地味で目立たない作業ですが、これを先にやるかどうかが、AI導入が「使ってみたけど効果がなかった」で終わるか、「業務の一部として定着した」になるかの分かれ目です。

---

hamon では「AI業務診断」として、御社のデータの所在・分類状況・権限設定を一緒に確認し、AIを安全に使い始めるための整理計画を報告書にまとめるサービスを提供しています。

「どこから手をつけていいか分からない」という方は、まずはお気軽にご相談ください。

お問い合わせはこちら →