生成AI導入フレームワーク｜中小企業が1業務から始める5ステップ

生成AIを仕事に取り入れたい。でも、どの仕事から始めて、どこまで任せればいいのか決められない。そんなときは、ツールの比較を先に広げないでください。1つの業務を選び、境目と合格の基準を決め、小さく試してから広げる。この順番に戻るのが有効です。

この記事では、中小企業・お店・個人事業主が導入を判断するための流れを、次の5ステップに整理します。

1. 解決したい業務の詰まりと、目指す成果を1つ決める
2. データ・権限・AIと人の役割に線を引く
3. 入力・出力・合格の基準を固定して、小さく試す
4. 時間・品質・リスクの3つの軸で測る
5. 続ける・直す・止めるを決めて、業務に組み込む

この5ステップは、この記事なりの枠組みです。IPA、総務省・経済産業省、NIST、個人情報保護委員会、AISI（AIセーフティ・インスティテュート）などが示す考え方を、中小企業が進めやすい順番に組み直しました。公的機関が名前を付けた公式の基準ではありません。法律・契約・個別のサービスの安全性を保証するものでもありません。

判断に迷うデータや業界ごとのルールは、利用規約を確かめ、必要に応じて専門家に相談することを前提にしてください。

生成AIの導入は、ツール選びから始めない

最初に決めるのは「どの製品を契約するか」ではありません。どの業務が、どう変わっていればいいかです。

製品から入ると、機能が多いほど良く見え、比べること自体が目的になりがちです。業務から入れば、必要な機能、入れるべき資料、人が確かめる範囲を絞り込めます。

IPAの「DX動向2026調査のポイント」によると、国内企業でAIの活用は広がっています。一方で、「期待どおり・期待以上」の効果は限られていると整理されています。使い道と効果の中心は、業務の効率化・スピードアップです。

ただし、この調査は大企業を中心とした国内企業の調査で、中小企業だけの成功率を示すものではありません。導入したかどうかではなく、自社の業務の成果を確かめる必要がある。その背景として受け止めるのが適切です。

出典：IPAの「DX動向2026調査のポイント」

この記事で使う5ステップの全体像

1周目のゴールは、全社に広げることではありません。1つの業務について、続けるか・直すか・止めるかを、根拠を持って判断できる状態です。

ステップ1｜解決したい業務の詰まりと成果を1つ決める

最初に選ぶのは、AIでできそうな仕事ではなく、良くしたい業務です。候補を次の4つで見比べると、最初の1件を選びやすくなります。

• 頻度：週に何度も起きて、試す回数を集められるか
• 型：手順や仕上がりの形が、ある程度決まっているか
• 確かめやすさ：人が短い時間で、良し悪しを判断できるか
• 失敗したときの影響：誤りを社外に出す前に気づけて、影響を小さく抑えられるか

下書きづくり、長い資料の要約、問い合わせの分類、決まった情報の整理は、最初の候補になりやすい仕事です。

反対に、次のような仕事は、最初の対象から外しておくほうが安全です。

• 重大な判断を伴う仕事
• 人の承認なしに送られる処理
• たくさんの個人情報・機密情報を扱う仕事
• 削除や決済のように、取り消しにくい操作

対象を決めたら、「誰の、どの作業を、何ができる状態に変えるか」を1文にします。たとえば「営業担当者の見積書づくりを、確認と数値の修正だけで終わる状態に変える」。あとで確かめられる形にします。「業務を効率化する」だけでは、うまくいったか判断できません。

今の数値も、1〜2個だけ記録します。作業時間、手戻りの回数、ミスの件数、次の工程を待つ時間など、今取れる値で構いません。大切なのは、あとで同じ定義で測り直せることです。

リクマ

機能一覧から選ぶと、できることが増えすぎて優先順位がぼやけます。「相手や現場の何を楽にするか」を一文にしてから、試す業務を決めると判断しやすくなります。

ステップ2｜データ・権限・AIと人の役割に線を引く

対象の業務が決まったら、次は「何を入れてよいか」と「どこまで任せるか」を決めます。ここがあいまいなままだと、結果が良く見えても、続けるかどうかを判断できません。

入力する前に確かめる6つの問い

対象の業務に合わせて、次の問いに答えられる状態で試しに進みます。1つでも答えが出なければ、先にその確認を済ませます。

1. 入れる目的：その情報を渡す目的ははっきりしているか。目的の外の情報まで含めていないか
2. 個人情報・機密情報の有無：利用目的、本人の同意が必要か、社内ルールの面から扱える情報か
3. 素材を渡す権利：他社が作った資料、買った素材、預かったデータなどを入れてよいか
4. 学習への利用・保存の設定：使う時点の契約・規約・設定で、入れた情報の扱いを説明できるか
5. 入力できる人の範囲：使う人、アカウント、アクセスの権限を、必要な範囲に絞れているか
6. 外への操作の有無：出てきたものが、メールの送信、システムの更新、削除、決済などにそのままつながらないか

個人情報保護委員会は、個人情報を含む入力について注意を呼びかけています。利用目的の範囲や、提供する会社がAIの学習に使うかなどを、確かめる必要があるという内容です。

「一律に入力禁止」とも、「法人向けなら安全」とも決めつけないでください。目的、同意、契約、設定、保存、アクセスの権限を、1つずつ確かめます。この注意喚起は2023年の文書です。サービスの契約や設定は変わるので、使う時点の最新の情報を必ず確かめ直してください。

出典：個人情報保護委員会の注意喚起

素材の権利も、別に確かめます。文化庁の「AIと著作権について」が示すように、次の3つは分けて考えます。

• 入れる素材を渡してよいか
• 生成したものが、今ある作品と不当に似ていないか
• 公開の前に何を確かめるか

個別のケースが法律に合っているかを、この記事だけで判断することはできません。

出典：文化庁の「AIと著作権について」

AIと人の役割を、出てくるものごとに分ける

最初は、AIに案を出させ、人が事実の確認と最後の判断を持つ形が扱いやすいです。ただし、すべての業務に同じ分担が当てはまるわけではありません。

総務省・経済産業省のAI事業者ガイドライン第1.2版は、便利さとリスクを一体で考えるよう示しています。使う側にも、人間中心、安全性、プライバシー、セキュリティ、透明性、説明責任などの観点を挙げています。

これは自主的な取り組みの参考で、すべての中小企業に一律の法的な義務を課すものではありません。それでも、「責任を持つ人と確認の基準を決めてから使う」という実務の原則は役立ちます。

出典：総務省・経済産業省のAI事業者ガイドライン第1.2版

送信、更新、削除、決済、権限の変更のように外に作用する操作は、下書きの手伝いより強い管理が必要です。

AISIのAIエージェント（自分で操作まで行うAI）についての評価の観点は、次のことを重視しています。動きを見られること、制御できること、必要な範囲の権限、操作の履歴、人が割って入り止められること。

これは主に作る側・提供する側向けの観点です。でも使う側でも、「最初は、人の承認をはさまない自動の実行を作らない」という安全寄りの運用に活かせます。この承認の関門は、この記事の実務上の提案で、AISIが直接求めている義務ではありません。

ステップ3｜入力・出力・合格の基準を固定して小さく試す

試す条件が毎回変わると、良い結果も悪い結果も、原因が分かりません。少なくとも次の6つを、試すためのセットとして固定します。

• 入れる資料：毎回どの資料を渡すか
• 指示：何をしてほしいか、どんな条件を守るか
• 出てくる形：文字数、見出し、箇条書き、表の構成など
• 合格の条件：何を満たせば使えるとするか
• 確かめる担当：誰が、どの基準で確かめるか
• 差し戻す条件：何が起きたら作り直し、手作業に戻すか

合格の条件は、「品質が高いこと」のような言葉にしないでください。その場で「はい／いいえ」で判定できる言葉にします。たとえば「金額と数量が元のデータと一致している」「指定した3つの項目をすべて含む」「禁止した情報を含まない」です。満たさなければ差し戻すと先に決めておくと、試している間の判断がぶれにくくなります。

期間は、2週間〜1か月が目安です。ただし、これは公的な一律の基準ではありません。判断に足りる回数を集めるための、この記事の目安です。あまり起きない業務は、日数を固定せず、同じ条件で何回か試せるまで延ばしてください。

期待どおりでないときは、いったん手作業に戻す選択肢を残します。人が「合格の形」を説明できないうちは、AIに任せる範囲も直しにくいからです。直すなら、入れる資料、指示、出てくる形、役割の分担など、変える場所を一度に1つに絞ります。

Nutritsも、合格の形を先に用意して試したことがあります。2026年8月、専門的な報告書をつくる会社の依頼で、報告書をAIで作る検証をしました。進め方は次の3段階です。

• 目標となる見本の報告書を参照して作る
• 正解のPDFと作ったPDFを比べ、差を反映する
• 見本のない別のデータでも、同じように作れるかを確かめる

見本の報告書が、そのまま合格の形になりました。最後の段階では、見本に合わせられただけで終わらせず、別のデータでも作れるかを見ています。

リクマ

制作・運用では、期待に届かない自動化をいったん手作業へ戻したことがあります。人が合格パターンをつかんでから型にすると、改善点を見つけやすくなります。

ステップ4｜時間・品質・リスクの3つの軸で測る

「AIで作る時間」だけが短くなっても、人の確認や手戻りが増えれば、業務全体は良くなっていません。試した結果は、次の3つの軸で、導入の前と同じ定義で比べます。

時間

取りかかってから、使える仕上がりになるまでの合計の時間を見ます。AIの処理の時間だけでなく、待ち時間、人が確かめる時間、手戻りにかかった時間も含めます。

AIの処理の時間も、軽く見ないほうが安全です。先ほどの報告書の検証では、AIの処理に約20時間かかりました。きちんと測った数字ではなく、感覚での時間です。

そこでNutritsは、納品のときに次の3つをセットで伝える方針にしました。

• 時間がかかった理由
• 今回の解消法
• 次回の再発防止

品質

1回目で合格した率、修正の回数、必須項目の抜け、事実の誤り、指定した形を守れているかを記録します。「使える」の定義は業務ごとに違うので、一律の点数ではなく、ステップ3で決めた合格の条件に照らします。

リスク

次のようなことが起きたかを記録します。問題が起きなかった回も、「リスクの出来事が0件だった」という情報になります。

• 禁止した情報の入力
• 事実の誤り
• 権利の侵害のおそれ
• 誤った送信・誤った更新
• 権限を超えた操作
• 記録（ログ）の不足

活動の量と、事業の成果も混ぜないでください。作った数、実行した数、相手の反応、最後の成果は、別の指標です。たとえば、作った数が増えても次の工程で止まっていれば、成果が出たとは言えません。

リクマ

自動化が動いた回数だけでは、業務成果を誤認しがちです。作成・実行・反応・最終成果を分け、どこで止まっているかまで見える指標にするのが大切です。

NISTのAI RMF Coreは、AIのリスク管理の枠組みです。Govern（統治）、Map（把握）、Measure（測定）、Manage（管理）の4つの機能で、AIのリスクを続けて扱う考え方を示しています。

この記事の5ステップは、その決まった手順ではありません。AI RMF 1.0は改訂中で、日本の企業への義務でも、唯一の正解でもありません。自社の測り方を組み立てるときの、参考の枠として使うのがいいでしょう。

出典：NISTのAI RMF Core

ステップ5｜続ける・直す・止めるを決めて業務に組み込む

試したあとは、最初から用意しておいた3つの結論のどれかに進みます。始めたからといって、「続ける」だけを正解にしないことが大切です。

3つの判断を、同じ重さで用意する

• 続ける：合格の基準を満たす結果をくり返し出せていて、リスクの出来事も許せる範囲に収まっている
• 直す：入れる資料、参照する資料、出てくる形、確認、権限のどこを直すべきかが分かっている
• 止める：確認の負担が便利さを上回る。重大な誤りを抑えられない。必要なデータの保護や権限の管理ができない

「直す」なら、一度に変える場所を1つに絞って、もう一度試します。

Nutritsにも、直してから先へ進めた例があります。2026年9月、住まい関連の事業者向けに、AIでデモを作りました。過去のLINEのやり取りを読み直すと、要件の抜けが見つかりました。そこで作り直し、その後、導入OKをもらっています。

「続ける」なら、次のことを手順書に残します。担当、手順、入れてよい情報、確かめる基準、うまくいかなかったときに手作業に戻す方法です。一度うまくいっただけで全社に広げず、資料や確かめ方が近い、となりの業務を1つずつ広げてください。

デジタル庁の生成AI調達・利活用ガイドライン第2.0版は、政府機関向けの文書です。民間の中小企業に直接当てはまる義務ではありません。それでも、業務に組み込むときの見直しの項目として参考になります。プライバシー、知的財産、セキュリティ、説明できるか、データの品質、確かめられるか、という考え方です。

出典：デジタル庁の生成AI調達・利活用ガイドライン第2.0版

迷わず始めるための30日の行動案

30日という期間も、効果を約束するものではなく、進め方の一例です。試した回数が足りなければ、週の区切りにこだわらず記録を続けます。

1週目｜候補を1つに絞り、今の状態を測る

• 候補の業務を3〜5件書き出し、頻度・型・確かめやすさ・失敗したときの影響で1つを選ぶ
• 成果を「誰の、どの作業を、何ができる状態に変えるか」の1文にする
• 今の時間、修正、待ち、ミスのうち、取れる値を記録する

2週目｜境目と合格の基準を決めて試す

• 入れてよいか、AIと人の役割、出てくる形、合格の条件、確かめる担当を決める
• 影響の小さい実際のデータか、安全な確認用のデータで、少ない回数を試す
• 指示や出てくる形の、はっきりした不具合を直す

3週目｜同じ条件でくり返し、3つの軸で記録する

• 条件を毎回変えずに、試す回数を重ねる
• 時間・品質・リスクを、1件ずつ記録する
• 改善案はメモにとどめ、試している間に変える要素を増やさない

4週目｜続ける・直す・止めるを決める

• 記録と合格の基準を照らし合わせ、判断の理由を残す
• 続ける場合だけ、担当・手順・入れる条件・確認・戻し方を手順にする
• 次に広げる、となりの業務を1つ選ぶ

始める前の10問チェックリスト

点数をつけるための表ではありません。1つでも決まっていない項目があれば、それを決めてから試すためのチェックリストです。

1. 解決したい業務の詰まりを、1文で言えるか
2. AIを使ったあとに変えたい成果を、1つ選べているか
3. 今の時間・品質・リスクを、同じ定義で測れるか
4. 入れる資料と、出てくる形をそろえられるか
5. 入れてよい情報と、禁止する情報を分けたか
6. AIが受け持つ範囲と、人が最後の責任を持つ範囲を決めたか
7. 出てきたものの合格の条件を、「はい／いいえ」で判定できるか
8. 確かめる担当と、差し戻す条件を決めたか
9. 外への操作がある場合、権限・履歴・承認・止め方を設計したか
10. 試したあとに「続ける・直す・止める」を決める日を置いたか

ツール選びは、業務の設計のあとにする

業務、入れる範囲、合格の基準を決めてから、候補のツールを次の質問で比べます。サービスの料金や機能は変わりやすいので、この記事では優劣は決めません。

契約・データについての質問

• 入れたデータはどの目的で扱われ、学習に使われることを契約や設定で止められるか
• 保存の期間、消す方法、保存の場所を確かめられるか
• 管理者が、使う人と権限を必要な範囲に制御できるか
• 規約やプライバシーポリシーの変更に気づく方法があるか

品質・運用についての質問

• 出てきたものの根拠や参照元を確かめられるか
• 使った履歴や、外への操作の履歴を確かめられるか
• モデルや機能が更新されたあと、もう一度テストできるか
• おかしいときに人が止めて、手作業に戻せるか

よくある質問

最初に選びやすい業務は何ですか？

頻度があり、入力と出力をそろえやすく、人が良し悪しを判断しやすく、誤りの影響を小さく抑えやすい業務です。下書き、要約、分類、決まった情報の整理などを候補にし、業務への影響と確かめ方を見て1つに絞ります。

個人情報は生成AIに一切入力できないのですか？

一律に禁止とも、一律に問題ないとも言えません。利用目的、本人の同意が必要か、答えを返す以外の使われ方、学習への利用、規約や設定などを確かめる必要があります。判断が難しければ、個人情報を含まない資料で試せないかを考え、必要に応じて専門家に相談してください。

何週間試せば、導入の効果を判断できますか？

2週間〜1か月は、同じ条件で試す回数を集めるための目安です。公的な一律の基準ではありません。業務の頻度に合わせて、結果のばらつきが見えるだけの件数がそろうまで、期間を調整します。

AIエージェントも同じ手順で導入できますか？

5ステップの順番は使えます。ただし、送信・更新・削除・決済など外に作用する操作がある場合は、管理を強めます。必要最小限の権限、操作の履歴、人の承認、割って入り止める方法を足してください。取り消しにくい操作を、人の承認なしに実行させないところから始めます。

まとめ｜1つの業務を選び、測ってから広げる

生成AIの導入は、製品選びや全社への展開から始める必要はありません。

1. 成果に近い業務を1つ選ぶ
2. 入れてよい情報と、任せる範囲に線を引く
3. 合格の基準を決めて、小さく試す
4. 時間・品質・リスクで測る
5. 続ける・直す・止めるを決め、再現できるものだけを、となりの業務に広げる

出典・参考情報

• IPA「DX動向2026調査のポイント」（2026年7月16日公表）
• 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（2026年3月31日公表）
• NIST AI RMF Core と Generative AI Profile
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023年6月2日公表）
• 文化庁「AIと著作権について」
• AISI「AIセーフティに関する評価観点ガイド 第1.20版」（2026年7月7日公表）
• デジタル庁「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン 第2.0版」（2026年6月12日公開）