中小企業の市民開発をどう管理する？AIで社員が作る業務ツールのメリットとリスク
AIやノーコードで社員が業務ツールを作る「市民開発」。中小企業が禁止せずに推進するためのメリット、リスク、最低限の管理ルールを解説します。
こんにちは、meguliの平岡です。今回は、社員がAIやノーコードで業務ツールを作り始めたとき、経営者や管理者がどう向き合えばいいのかというテーマです。
生成AIやノーコードツールの普及により、エンジニアではない社員が自分で業務ツールを作る「市民開発」が広がっています。現場の課題を素早く解決できる一方で、データの分断やAPIキーの管理不備、権限設定の不足といったリスクもあります。
結論から言えば、市民開発は一律に禁止するのではなく、最低限のルールとセキュリティ教育をセットにして推進することが重要です。自由に作る力と、安全に運用する責任を同時に渡すことが、経営者や管理者に求められます。
この記事でわかること
- 市民開発が中小企業でも自然に起こる理由がわかります
- 放置した場合に起きる4つのリスクを具体的に把握できます
- APIキー・権限管理・プロンプトインジェクションで最低限見るべき点がわかります
- 禁止せずに進めるための管理ルールを、どこから作ればいいか判断できます
こんな方におすすめです
- 社員が勝手にAIツールを作り始めて、止めるべきか迷っている経営者の方
- 情シス担当がいない中で、セキュリティの線引きを決める必要がある管理者の方
- 現場の改善スピードを落とさずにリスクを抑えたい方
市民開発とは？AI時代に広がる現場主導のツール作り
市民開発とは、プログラミングの専門家ではない現場の社員が、自分の業務で使うアプリケーションやツールを作ることです。以前は専門知識がなければ難しい取り組みでしたが、現在は生成AIやノーコード、ローコードと呼ばれるツールによって、専門のエンジニアでなくても業務ツールを作りやすくなっています。
市民開発は大企業だけのものではありません。人手が足りない中小企業では、現場が自ら業務上の不便を解消しようとする動きが自然に起こりやすいと考えられます。現場の担当者が課題を最もよく理解しているため、外部に開発を依頼するよりも、実際のニーズに近いツールが生まれる可能性があります。
市民開発のメリットは「現場に合ったものを速く作れる」こと
市民開発の大きなメリットは、現場のニーズに合ったツールをスピーディーに作れることです。実際に、営業担当者が顧客リードを評価するアプリを作ったり、業務アナリストがチームで使うHTMLダッシュボードを作ったり、財務担当者がデータの照合ツールを作ったりする事例が紹介されています。
入社して間もないインターンが、既存のプロセスより優れたデータクリーンアップ用のスクリプトを作ったという例もあります。こうした事例からは、現場の人が自分の業務をよく理解しているからこそ、具体的な課題に対応したツールを作れることが分かります。
また、社員が自分のために作ったツールは、本人が本当に必要としている機能を形にしたものです。システム開発では、要件定義の会議や資料作成を重ねても、完成したものが現場の期待とずれることがあります。市民開発では、作る人と使う人が同じであるため、このミスマッチを減らしやすくなります。
作成までのスピードが速いだけでなく、社員が自ら課題解決に関わることで、業務への関与やエンゲージメントが高まる可能性もあります。
市民開発を放置すると起きる4つのリスク
市民開発にはメリットがある一方、ルールなく放置すると問題が起きます。紹介されている主なリスクは、次の4つです。
- データの分断：ツールごとに顧客リストなどを持つことで、同じ会社名の表記がばらばらになり、データがサイロ化する
- 重複：別のチームが似た問題を解決する、互換性のないツールをそれぞれ作ってしまう
- セキュリティ：秘密鍵がコードに残ったり、データベースが誰でも見られる状態になったりする
- 孤児ツール：作成者の異動や退職後に、誰もメンテナンスできないツールが残る
こうした問題は、作成するツールが増えるほど表面化しやすくなります。個々のツールが便利に動いていても、会社全体で見たときにデータや運用がばらばらになれば、後から整理する負担が大きくなります。
中小企業では「野良ツール化」より前に共有されない問題がある
中小企業の現場では、野良ツールが問題になる段階よりも前に、そもそも作ったツールが共有されないという課題もあります。社員が自分の業務を楽にするためにAIでツールを作っても、それはあくまで自分のためのものです。そのため、他の社員に共有したり、全社で使える形にしたりする発想に至らないケースがあります。
結果として、便利なツールが作成者のパソコンの中だけで使われ、会社全体の資産にならないことがあります。これはセキュリティや保守の問題以前に、せっかくの業務改善の成果が個人の中に閉じてしまっている状態です。
市民開発を会社の力に変えるには、作って終わりにせず、どのような課題を解決したのか、誰が使えるのか、今後誰が管理するのかを共有する仕組みが必要です。
APIキーの個人利用に注意する
市民開発で特に注意したいのが、個人がAPIキーを取得し、複数のツールに組み込んでしまうケースです。APIキーは、特定のAIサービスなどを外部から利用するための「合鍵」のようなものです。
会社が組織として社員にAPIキーを無造作に配布することは通常考えにくい一方、個人が自分のアカウントでキーを取得し、作成したツールで使い始める可能性はあります。市民開発ではエンジニアではない社員もAIを扱うため、セキュリティへの意識や知識が十分でない場合があります。
悪意がなくても、APIキーをチャットなどに貼り付けて共有してしまうことは起こり得ます。APIキーを利用する場合は、個人の判断に任せず、会社が管理方法と申請手順を定めることが重要です。
便利なツールほど権限管理を確認する
市民開発で作ったツールを複数人で使う場合は、権限管理が適切に設定されているかを確認する必要があります。例えば顧客管理ツールで、アクセスした人が誰でもすべての顧客情報を見られる設計になっていれば、役職や部署によって情報を制限すべき業務では問題になります。
便利だからという理由だけで、セキュリティが十分でないツールを全社に配布してはいけません。採用前に、誰がアクセスできるのか、どの情報を閲覧できるのか、部署や役職による制限があるのかを確認するルールを設けましょう。
市民開発を推進する場合でも、作成者だけでなく、管理者や関係部署がセキュリティ面を確認する機会をつくることが大切です。
AIツールではプロンプトインジェクションにも注意する
AIを組み込んだツールでは、プロンプトインジェクションと呼ばれる攻撃にも注意が必要です。例えば、市民開発者が作ったツールに「自由にWeb検索してよい」という権限を与えたとします。
そのツールがWebページを検索した際、アクセス先に悪意のある指示が仕込まれていると、AIがその指示を読み込む可能性があります。その結果、ユーザーが意図していないにもかかわらず、社内の機密情報を外部に送信するような動作につながるおそれがあります。
市民開発によってAIを使ったツールが増えるほど、どの権限を与えるのか、外部情報をどう扱うのか、機密情報を入力してよいのかといった基本的なセキュリティ対策を確認する必要があります。
中小企業が始めやすい市民開発の管理方法
大規模なデータ基盤や中央管理のインフラを整える方法もありますが、中小企業が最初から取り組むにはハードルが高い場合があります。まずは、現実的に実行しやすい最低限のルールから始めることが重要です。
- 市民開発そのものは禁止せず、業務改善につながる取り組みとして認める
- APIキーを使う場合は、管理者に申請し、許可を得る
- 作成したツールを個人だけで抱え込まず、共有する場を設ける
- 全社利用や本格運用の前に、セキュリティ面を確認する
- ツールの作成者だけに依存せず、管理者や引き継ぎ先を明確にする
最初から複雑な制度を作る必要はありません。APIキーの申請やツールの共有など、事故につながりやすい部分からルール化するだけでも、無秩序な運用を抑えられます。
自由と責任をセットにして市民開発を推進する
市民開発を止めるべきか、自由に任せるべきかという問いに対して、弊社は一律に禁止するのではなく、責任を伴う形で推進することが重要だと考えます。社員が自ら考えてツールを作る力は、これからの会社の競争力につながる可能性があります。
ただし、自由だけを渡すのでは不十分です。便利な道具を使えるようにするなら、安全な使い方も同時に教える必要があります。APIキー、権限管理、データの扱い、外部サービスとの接続など、最低限のセキュリティの作法をセットで伝えましょう。
市民開発をリスクとして恐れるだけでなく、現場の知恵を業務改善につなげる機会として捉え、会社として適切に管理していくことが大切です。
まとめ：市民開発は禁止ではなく、ルール付きで会社の力にする
- 市民開発とは、エンジニアではない社員がAIやノーコードなどで業務ツールを作ること
- 現場のニーズに合ったツールを速く作れることが大きなメリット
- 放置すると、データの分断、重複、セキュリティ、孤児ツール化が起きる
- 中小企業では、作ったツールが共有されず個人の中に閉じる問題もある
- APIキーの個人利用、権限管理の不備、プロンプトインジェクションに注意する
- 市民開発を禁止せず、最低限のルールとセキュリティ教育をセットにして推進する
市民開発は、社員の自発的な業務改善を会社の資産へ変えていく取り組みです。重要なのは、自由に作らせるか止めるかの二択ではありません。作ることを認めたうえで、安全に共有し、継続的に管理できる環境を整えることです。
参考記事について
今回の内容のもとになった記事は、動画の概要欄から確認できます。市民開発の事例や管理の考え方に関心がある方は、あわせてご覧ください。
市民開発の管理を動画で確認する
市民開発のメリットやリスク、APIキーや権限管理の注意点については、動画でも解説しています。中小企業でAI活用や業務効率化を進めたい方は、ぜひご覧ください。
また、当社では中小企業のDX・AX推進の支援をしておりますので、社内ガイドラインを構築したいなど、AIに関するお悩みがありましたらいつでもご連絡頂けたらと思います。
動画はこちらです：