SBIホールディングスは2026年6月2日、Anthropicとの間で、生成AIプラットフォーム「Claude」を活用した全社的なAIトランスフォーメーションを推進することに合意したと発表した。発表文では、日本の金融グループとして初めての取り組みであること、Claude、生成AI、金融AIエージェントがキーワードとして示されている。

このニュースを「大企業がClaudeを入れた」で終わらせると、自社の意思決定にはつながらない。金融・保険・士業・不動産・医療関連のように機密性の高い情報を扱う企業にとって重要なのは、どのAIを使うかより先に、誰が、どの情報を、どの目的で、どこまでAIに触らせるかを決めることである。

生成AIの社内利用ルール全体は生成AIの社内導入ガバナンスで扱っている。本記事では、金融レベルの厳しさが求められる会社向けに、全社展開前の設計項目へ絞って整理する。

結論：全社展開の前に決めるべきことは「便利な使い方」ではなく「止め方」

金融業の生成AI導入では、最初にユースケースを増やしすぎると管理不能になる。先に決めるべきなのは、次の5項目である。

設計項目決めること
利用範囲営業資料、社内FAQ、議事録、コード生成など、どこから許可するか
入力禁止情報顧客情報、口座・契約情報、未公開情報、営業秘密をどう扱うか
権限部門、役職、業務ごとに使えるAI機能を分けるか
ログ誰が、いつ、何を入力し、どの出力を使ったかを残すか
停止条件誤回答、情報漏えい疑い、異常利用が起きたとき誰が止めるか

生成AIは、利用が広がるほど「便利だったから使った」が増える。だからこそ、LLMセキュリティ readiness 診断のように、導入前に情報分類とログ要件を確認しておく必要がある。

金融・士業で危ない生成AI導入パターン

1. 部門ごとに別々のAIを契約する

営業部はChatGPT、開発部はClaude、管理部は別のAI議事録ツール、という形で導入が進むと、入力データの管理先が散らばる。結果として、どのサービスにどの情報が入ったのかを追えなくなる。

2. 「個人情報を入れない」だけで済ませる

金融・士業では、個人情報だけがリスクではない。未公開の契約条件、与信判断、顧客の相談内容、提案前の見積、社内の投資判断も機密情報になり得る。

3. 出力レビューを現場任せにする

AIが作った文章を誰が確認するかを決めないまま使うと、誤った説明、過剰な断定、法務・税務・金融商品の誤案内につながる。顧客向け文書、契約関連、投資判断に関わる領域では、人間の確認を必須にするべきである。

4. ログがない状態で本番利用する

問題が起きたときに「誰が何を入力したか」「AIの出力をどこに使ったか」が追えないと、調査も再発防止もできない。生成AIの本番利用では、ログ取得と保管方針を最初に設計する。

全社展開前チェックリスト

#チェック項目未対応なら起きること
1AI利用ポリシーがある部門ごとの勝手利用が増える
2入力禁止情報を定義している顧客情報や営業秘密が混入する
3利用サービスを棚卸ししているシャドーAIを把握できない
4権限と部門を分けている不要な人が機密文書を扱える
5出力の確認責任者がいる誤情報が顧客向け文書に入る
6ログを取得しているインシデント時に追跡できない
7停止・通報フローがある異常利用を止められない
8定期教育をしているルールが形骸化する

このチェックは、単なるコンプライアンス資料ではない。AI導入の見積・要件定義にも直結する。AI導入を外部に発注する場合は、AI開発発注の失敗図鑑とあわせて、要件にログ、権限、監査、教育を含めるべきである。

GXOならどう設計するか

GXOでは、金融・士業・中堅企業の生成AI導入を、次の順番で設計する。

  1. AI利用棚卸し：既に使われているAIサービス、部署、用途を洗い出す
  2. 情報分類：入力禁止、条件付き利用、利用可の3段階に分ける
  3. ユースケース選定：最初に許可する業務を3つ以内に絞る
  4. 権限設計：部門・役職・業務ごとに利用範囲を分ける
  5. ログ設計：入力、出力、参照データ、承認履歴を残す
  6. 運用設計：誤回答、漏えい疑い、外部共有時の対応を決める
  7. 教育：禁止例とOK例をセットで周知する

導入を急ぐほど、最初の設計が薄くなる。特に金融業では、PoC段階からAIガバナンス / LLMOps相談につなげ、実証実験と統制設計を同時に進めたい。

よくある質問

Q1. ClaudeやChatGPTを禁止すれば安全ですか

禁止だけでは不十分である。現場が便利さを知っている場合、会社が禁止しても個人アカウントで使われる可能性がある。安全な使い道、禁止する入力、承認が必要な用途を明確にしたほうが統制しやすい。

Q2. 金融業で生成AIを使うならオンプレミスが必須ですか

一律に必須とは言えない。扱うデータ、接続先、監査要件、契約条件によって変わる。重要なのは、どのデータが外部サービスへ送られるのか、学習利用されない設定か、ログと権限をどう管理するかである。

Q3. 最初のユースケースは何がよいですか

社内FAQ、規程検索、議事録要約、営業資料の下書きなど、顧客判断や契約判断を直接左右しない領域から始めるのが現実的である。顧客向け回答や契約文書は、レビュー体制が整ってから扱う。

参考情報

  • SBIホールディングス「SBIグループ、日本の金融グループとして初めて、Anthropicと共同でAIトランスフォーメーションを全面推進」：https://www.sbigroup.co.jp/news/2026/0602_16373.html
  • IPA「AI利用者のための脅威と対策」：https://www.ipa.go.jp/digital/ai/security/ai_security_tips.html

金融・士業向けの生成AIルール、先に設計しませんか

GXOでは、生成AIの利用範囲、入力禁止情報、権限、ログ、停止条件を整理し、社内展開できる形に落とし込みます。既に現場でAI利用が始まっている段階でも相談可能です。

生成AIガバナンスを相談する

※ 初回相談では、現状のAI利用棚卸しとリスク確認を優先します。