AIの安全診断、
「問題が見つからない」だけで安心しない
——結果を見る3つのポイント

AIの設定を診断して、「問題は見つかりませんでした」と出た。あるいは、担当者から「候補はありませんでした」と報告された。それなら、会社の資料を扱わせても大丈夫なのでしょうか。

まず見たいのは、調べた範囲、未確認の項目、次に確かめる人です。候補が出なかったことと、使っているAIの設定をすべて確認できたことは、同じではありません。自分では細かい設定が分からなくても、この三つなら担当者に聞けます。

今回は、HaruIroAIが開発中の診断アプリで実際に直した表示を例にします。公開前の説明用データによるテストで見つけた話で、お客様の事故や情報漏えいの事例ではありません。アプリは一般公開前のため、この記事からダウンロードはできません。

「候補なし」の横に、何が残っているか

診断で出る「候補」は、人が確認したい設定や処理のことです。すぐに危険と決まったわけではありません。反対に、候補が出なくても、ツールが理解できなかった設定や、読み取れなかったファイルが残っている場合があります。

たとえば、見積書の下書きをAIに任せている会社を考えます。あるパソコンの設定を調べても、別の担当者のパソコンや、ブラウザーから使っているAIの共有設定まで調べたとは限りません。「会社のAIは大丈夫」とまとめる前に、どの道具の、どの設定を見た結果なのかを確かめたいところです。

検査の方法にも限界があります。セキュリティの専門団体OWASPは、プログラムを実行せずに内容を調べる検査について、問題の見落としも、実際には問題でない箇所への指摘もあり得ると説明しています。これはAI製品すべての性能評価ではありませんが、検査結果をそのまま安全の証明にしない理由になります。

出典：OWASP「Static Code Analysis」Limitations（2026年9月18日再確認）。上の見積業務は説明のための架空例です。

自社の診断でも、表示を直しました

HaruIroAIの公開前テストでは、設定ファイルを読み取れた一方で、その中に判定できない設定が残る場合がありました。それなのに、画面の冒頭では「候補なし」が中心に見える状態でした。

ファイルを開けたことと、中身を判断できたことを一緒にしていたのが問題です。2026年9月17日の修正では、未確認の設定が残るときは、そのことを最初の見出しに出すようにしました。

新しい見出しは「候補は見つかりませんでしたが、調べられなかった対象があります」です。未確認の項目を見に行く必要があることを、先に伝えます。候補が出た場合や検査が中断した場合には、それぞれ別の案内を出しています。

これは表示の改善です。この変更で、すべての設定を検査できるようになったわけではありません。HaruIroAIでは、診断できる範囲を広げることと、分からない部分を隠さず伝えることを、両方必要な仕事として扱っています。

結果を見る3つのポイント

1．何を調べた結果か

報告書や結果画面で、対象のAI、パソコン、仕事用フォルダー、実行日を確認します。「AIを調べました」だけでは、どこまで見たか分かりません。詳しいファイル名を覚えるより、「受注担当が使っているAIも、この結果に含まれますか」と仕事の名前で聞く方が確かめやすいはずです。

ブラウザーのAI設定、実際に送った資料、社内の利用ルールは、設定ファイルの検査とは別に確認が必要な場合があります。手元の診断がそれらを含むかどうかは、結果に書かれた対象範囲と、提供元の説明で確かめてください。

2．何が未確認で、なぜ残ったか

「読み取れない」「対象外」「途中で終了」「未対応」といった表示を探します。未確認は、危険が見つかったという意味ではありません。ただ、安全だと判断する材料にもなりません。理由を分けると、次にすることが変わります。

特に、未対応の設定は、同じ診断をそのまま繰り返しても確認できません。また、読めない対象を外して表示が消えても、その対象を調べたことにはなりません。警告を消すことと、不明点を確かめることを分けておきます。

3．誰が、何を、次に確かめるか

候補が出たら、まず設定した人に根拠を見てもらいます。仕事に必要な設定かもしれないので、説明を読まずに全部止めるのは避けたいところです。分からない項目には、確認する担当者と次の確認日を付けます。社内で判断できなければ、提供元や、その分野を扱う専門家への相談事項として残します。

経営者が細かい設定をすべて理解する必要はありません。「どの仕事への影響があるか」「確認が済むまで何を任せるか」を担当者と決められれば、次の判断へ進めます。確認が済んでいない使い方に、取引先の資料を新たに渡すかどうかも、この時点で決めておきます。

担当者に渡せる確認メモ

結果画面だけが届いたときは、次のメモを添えて聞いてみてください。専門的な言葉を調べるところから始めなくても、どこが分かっていないかを整理できます。

AIの診断結果について、次の3点を教えてください。

1．何を調べましたか？
使った診断ツール・版・実行日：
対象のAI・パソコン・担当業務：
確認した範囲：

2．未確認の部分はありますか？
対象外・読み取れない・未対応・中断の有無：
残った項目と、その理由：

3．次に誰が、何を確認しますか？
見つかった候補と根拠（なければ「候補なし」）：
確認する人・確認方法・次の確認日：
確認が済むまで任せる仕事／任せない仕事：

設定を変更した場合：変更点と再確認の結果を追記してください。

このメモは社内で使うものです。当社へ送る必要はありません。結果に認証用の文字列や顧客情報が含まれていても、そのままメールや別のAIへ貼り付けず、確認に必要な項目だけ共有してください。

設定や追加機能を変えたら、以前の結果がそのまま当てはまるとは限りません。変更点に合う方法で確かめ直し、前の結果と区別して残します。診断で候補が出なかった部分も、「いつ、どの範囲を見たか」とセットで記録しておけば、後から判断を振り返れます。

診断を、仕事の決まりにつなげる

HaruIroAIは、候補の件数だけを減らすことをゴールにしません。どの仕事をAIに任せ、どこに人の確認を残すか。その判断に使える結果を返すことを重視しています。

まだAIに任せる範囲を決めていない場合は、会社の資料をAIにどこまで見せるかから整理できます。送信前の確認を決めたい場合は、AIが作った見積もりを送る前の確認票も使えます。今回のメモは、それらの決まりを設けたあとに、診断結果を読み違えないためのものです。

「受注の下書きには使いたいが、取引先へ送るところは人が見たい」。そうした仕事ごとの任せ方と実装・定着を相談したいときは、はるいろAI活用支援をご覧ください。