公立学校・教育委員会における生成AI活用ガイド：制度・安全・個人情報・委託・停止・監査の留意点

この記事の目的と対象読者

本稿は、公立学校および教育委員会で、議事録作成、文書下書き、会議記録の整理、問い合わせ分類、既存公開資料の要約などの業務に生成AIを補助的に活用する際の制度的・安全的な留意点を、文部科学省や個人情報保護委員会の公的一次資料に基づいて整理した実務ガイドです。導入検討者、管理職、情報セキュリティ担当者、個人情報保護担当者が対象です。

本稿では、生成AIを「文案作成、検索、要約、照合、確認候補の補助」に限定する前提で、運用ルール、委託契約、監査、停止手順、事故対応の実務的チェックポイントを示します。最終判断や高リスクな取扱いは必ず人の責任者が行うことを前提にしてください。

適用範囲の明確化：どの業務をAIに任せられるか

生成AIは補助ツールとして有効な領域と、使うべきではない領域があります。制度的留意点を踏まえ、まず適用範囲を明確にします。

• 適応が想定される補助業務：議事録の音声→テキスト化、議事要点の候補抽出、定型連絡文の初稿作成、既存公開資料の要約、問い合わせの一次分類（個人情報を含まない一般問合せ）、公表資料の全文検索・要点抽出。
• 原則としてAIが単独で結論を出してはいけない業務：成績・評価・進級・不利益な判断、出欠・健康・特別支援の最終判断、いじめ・虐待等の対応判断、緊急時の安全対応、保護者への同意取得に関する判断。

文部科学省のガイドラインに沿って、生成AIはあくまで教職員等が検証できる補助に限定し、生成物の最終確認は人が行ってください。

個人情報・教育データの取扱いと留意事項

教育現場で取り扱うデータは多くが個人情報に該当します。利用目的、必要性、最小化、保存期間、権限管理、委託・第三者提供、削除・漏えい対応を明確にし、文書化しておくことが必須です。

• 利用目的の明確化：AIに投入するデータは利用目的を明確に定め、その目的の範囲内でのみ用いること。目的外利用を禁止します。
• 最小化と匿名化：AIに投入するデータは可能な限り最小化し、識別可能性を下げるために匿名化・仮名化を検討してください。匿名化が困難な場合は、社内ルールで使用可否を判断する責任者を定めます。
• 権限管理：AIにアクセスできるアカウントやログの範囲を限定し、役割ベースで権限を付与・管理します。
• 委託と第三者提供：外部サービス・クラウドを利用する際は、委託契約で取り扱えるデータ範囲、再委託の可否、データ保持方針、削除要請手順、監査権限を明記します。
• 保存・削除の方針：学内規程に基づき、原則として必要最小限の保持期間を定め、不要になったデータは速やかに削除する運用を定めます。
• 漏えい時の対応：個人情報保護委員会の指針を参照し、漏えい発覚時の初動（影響範囲の把握、影響者への通知、関係機関への報告）と内部連絡フローを整備します。

最終的に、児童生徒の氏名・成績・出欠・健康・障害・家庭状況等の入力可否や第三者提供は、個人情報保護の責任者が判断してください。AIへの個人データ投入は原則的に慎重に扱います。

調達・契約（委託）で必須の条項と監査手順

外部ベンダーやクラウドを利用する場合、契約書に盛り込むべき最低限の項目と、契約後の監査ポイントを示します。

• 契約で明示すべき項目：

  • データの取扱範囲（どのデータをどの目的で扱うか）
  • 再委託の可否と再委託先の管理方法
  • データ所在（国内外サーバの有無）と越境移転の可否
  • データ削除・返却の手順と期限
  • セキュリティ要件（暗号化、アクセス制御、ログ保存）
  • インシデント発生時の通知義務と報告期限
  • 監査権（文書・システムへのアクセス、第三者監査の受け入れ）
  • サービス停止・解除の条件とデータの扱い
  • 保証範囲と責任分配（損害賠償、補償の範囲）

• 監査・検証の実務：

  • 定期的なログレビュー（誰がいつどのデータを投入したか）
  • インシデント対応記録の確認
  • 期日を区切った第三者セキュリティ評価（必要に応じて）
  • 委託先の体制変更や再委託発生時の再評価

契約上は、教育委員会・学校側が被管理者として義務を維持できる仕組みを優先してください。委託先の説明責任を明確にすることが重要です。

運用ルール、職責分担、ワークフロー設計

実務で混乱しないため、運用ルールと責任分担を明確にすることが不可欠です。利用申請から検証、公開までのワークフローを定めます。

• 役割例と責務（組織ごとに調整）：

  • 導入承認者（教育委員会または学校管理職）：対象業務・許容誤り・利用停止基準の承認
  • 個人情報保護責任者：データ取扱い可否の最終判断、委託契約の確認
  • 情報セキュリティ担当：技術的要件の審査、ログとアクセス制御の設定
  • 業務担当教職員：AI出力の検証、最終決定と保護者対応
  • ベンダー：技術的運用・障害対応、監査対応

• ワークフローの例：

  1. 利用申請（業務担当が申請書を作成）
  2. 事前評価（情報・個人情報担当がリスク評価）
  3. パイロット運用（限定範囲・限定ユーザーで試行）
  4. 運用監視（ログ収集、定期レビュー）
  5. 本格運用／拡張または停止

• 検証ルール：

  • AIが生成した文書は必ず教職員が目視・原典照合して承認する
  • 問い合わせ分類でエスカレーションする閾値を明確化する
  • 学術的な解釈や教育的判断を伴う部分はAIに頼らず人が最終判断する

これらのルールは文書化し、職員向けに分かりやすい手順書・チェックリストとして配布してください。

導入前のリスク評価とパイロット運用の設計

導入前にリスク評価を行い、スモールスタートで検証することが重要です。評価は技術的・組織的・法的観点を含めて行います。

• リスク評価の主な観点：

  • データの感度（個人情報の有無、特に児童生徒情報）
  • 出力の誤りが業務に与える影響の大きさ
  • サービスの可用性・継続性リスク
  • ベンダーの信用度と再委託リスク
  • 透明性・説明可能性の有無

• パイロット運用の留意点：

  • 専用のテストデータセットを用意し、本番データの直接投入を避ける
  • 想定される誤りパターンを洗い出し、誤り発生時の業務影響を検証する
  • 運用停止条件（重大な誤出力、セキュリティインシデント等）を事前に定義する
  • 利用者からのフィードバックを定期的に収集し、改善に反映する

評価結果は文書化して関係者で共有し、導入可否・範囲を明確化してください。

事故発生時の対応と利用停止の手順

インシデント対応は迅速かつ記録を残すことが重要です。個人情報保護委員会の指針に基づき、連絡体制と対応フローを整備します。

• 初動対応：

  • 事実確認と影響範囲の暫定把握
  • 該当サービスの隔離・一時停止（必要に応じて）
  • 影響者の特定（児童生徒・保護者・職員等）
  • 内部関係者への報告（責任者、情報セキュリティ、個人情報保護担当）

• 通知と報告：

  • 個人情報が漏えいした場合は、関係法令とガイドラインに沿って関係者・監督機関へ報告する手順を用意
  • 保護者等への通知文は原稿案を事前に準備し、法務・個人情報担当者が最終確認する

• 証跡保全と再発防止：

  • ログ・通信記録等の証跡を保存し、原因調査を実施
  • 再発防止策の策定と実施、関係者への周知

利用停止は、技術的理由だけでなく、制度的・倫理的理由で行うことがあります。停止決定は管理職や個人情報保護責任者が行ってください。

監査と継続的評価で運用を改善する

導入後は定期的な監査と評価を行い、利用状況とリスクを継続的に管理します。

• 監査の項目例：

  • データ投入ログと利用履歴の確認
  • 出力検証の記録の有無と運用遵守状況
  • 委託先のセキュリティ対応状況
  • インシデント履歴と対応状況
  • 職員への教育・周知の実施状況

• 継続的評価のポイント：

  • 定期的に業務影響評価を更新し、許容誤りや対象業務の見直しを行う
  • ベンダー更新やモデル更新時は再評価を実施する
  • 第三者評価を活用し、透明性を担保する

監査結果は関係機関へ報告し、必要な改善を計画的に実施してください。

実務で使えるチェックリスト（簡易表）

この表をベースに各校・委員会ごとに細かい運用ルールを作成してください。

よくある質問（FAQ）

Q1. AIに児童生徒の氏名や成績を入力してもよいですか？

原則として慎重な取り扱いが必要です。氏名や成績等の個人情報をAIに投入するかどうかは、利用目的の明確化、必要性の検証、匿名化・仮名化の可能性、個人情報保護責任者の判断、委託契約の内容を踏まえて決めてください。最終判断は責任者が行い、保護者への説明や同意が必要な場合は適切に手続きを行ってください。

Q2. AIが作成した議事録や文書はそのまま配布してよいですか？

いいえ。AIが生成した文書は必ず教職員等が原文や原資料と照合し、事実と表現の確認を行ってから配布してください。誤った記述や解釈の混入、個人情報の不適切な記載がないかを確認するのは人の責任です。

Q3. インシデントが発生した場合、どのように対応すればよいですか？

まずは影響範囲の暫定把握とサービスの隔離・一時停止を行い、内部の報告ラインに沿って情報セキュリティ担当者と個人情報保護担当者に連絡してください。必要に応じて関係機関への報告や、影響を受ける保護者等への通知を行います。詳細は個人情報保護委員会の指針に従って対応してください。

まとめと実務上の最重要点

• 生成AIは文案作成、検索、要約、照合、確認候補の補助に限定して運用すること。
• 児童生徒に関わる高リスクな判断（成績評価、進路決定、出欠・健康の最終判断、いじめ・虐待対応等）は、AI出力のみで決めず、資格・権限を持つ教職員等の最終判断を必ず残すこと。
• 個人情報の取扱い、委託契約、監査、停止手順、事故対応を事前に整備し、文書化して関係者で共有すること。
• パイロット運用で実務上の運用負荷や誤りパターンを把握し、透明性を確保した上で段階的に運用範囲を決めること。

AIは業務の補助ツールとして有用ですが、制度的・倫理的責任は学校・教育委員会にあります。文部科学省や個人情報保護委員会の公的ガイダンスを参照して、慎重かつ透明な運用を進めてください。

参考資料

• 文部科学省：初等中等教育段階における生成AIの利活用に関するガイドライン（Ver.2.0）
  • https://www.mext.go.jp/a_menu/other/mext_02412.html
• 文部科学省：教育データの利活用に係る留意事項（第4版・公立学校編）
  • https://www.mext.go.jp/a_menu/other/data_00007.htm
• 文部科学省：教育データの利活用に関する有識者会議
  • https://www.mext.go.jp/b_menu/shingi/chousa/shotou/158/index.html
• 個人情報保護委員会：学校における個人情報の漏えい等事案を踏まえた個人情報の取扱いに関する留意点
  • https://www.ppc.go.jp/news/press/2025/250625_houdo