AIで社内ツールは作れた。問題は、それを会社に置けるかだった

「動くこと」と「会社に置いていいこと」は別問題だ。現場の人間がClaudeと対話しながら半年かけて社内ツールを完成させた。機能は一通り揃い、説明会を開こうとしたところ、DX部門による内容精査の指示が降りてきた。セキュリティ上の懸念があるという指摘である。その時点で、自分が気づいていなかった外部通信が3か所あることが判明する。郵便番号から住所を自動入力する機能が外部APIを使い、CDNからJavaScriptライブラリを読み込み、HTMLにWebフォントの外部読み込みが埋め込まれていた。どれも「便利だから」という理由で勝手に外を向いていた。ここが本当に怖いのは、単に「情報を取りに行く」だけの通信でも、相手側に記録が残るということだ。郵便番号から住所を調べた記録、アクセス時刻、会社のIPアドレス。それが積み上がれば業務の動き方そのものが見える。Webフォント読み込みだって、見た目のための通信に過ぎないが、画面を開くたびに会社からのアクセス情報が向こうに渡っている。実は海外では、Webフォント外部読み込みが個人情報保護違反と判断された判例もある。だから「実害はない」という自分の感覚は、承認プロセスでは通らない。1か所見つかれば終わらない問い続く。この通信は何を送っているのか、なぜそれなら許されるのか、他に同じものはないのか。だからコード全体を調べさせた。郵便番号は日本郵便の公開CSVで置き換え、ライブラリはHTMLに直貼り、フォントはシステムフォント指定に直す。技術的には大した作業ではないが、3か所あることすら自分では気づかなかった。これが本当に引っかかるところだ。AIが「便利に」組み込んでくれた機能が、実は企業コンプライアンスの爆弾になり得るということ。中小企業が現場のスキルでAIツールを開発するのは、今後ますます増える。だが「動くこと」と「会社に置いていいこと」は別問題である。外部通信の確認は開発途中ではなく、本番前に必ず第三者に見てもらう。さもないと見た目は正常に動いているのに、知らないところで会社の情報が流れ続けることになる。