生成AIは、自治体の業務効率化や住民サービス向上に資する可能性が大きく、自治体が生成AIを活用する場面は急速に広がっていると思います。本誌でも「自治体におけるAIの活用」（2024年６月号）、「業務効率と仕事の質を上げるAI活用」（2025年７月号）と特集を組み、生成AIの活用事例を取り上げています。ただし、行政という性質上、民間以上に慎重な導入検討や運用が必要です。実務で起こる可能性があるリスクも踏まえて、注意すべきポイントを整理しました。

　また、独立行政法人情報処理推進機構（IPA）が発表した「情報セキュリティ10大脅威 2026［組織］」では、「AIの利用をめぐるサイバーリスク」が初選出されました。この「AIの利用をめぐるサイバーリスク」としては、利用者のAIの不十分な理解による情報漏えいや著作権侵害といった問題、また、悪意ある人物によるAIの悪用によるサイバー攻撃などが挙げられています。上位にランクインした背景には多岐にわたるリスクの存在が考えられますので、生成AIの活用に向けては、このようなリスクを把握する必要があります。

　「便利そうだから使う」ではなく、業務効率化・住民サービス向上など、目的を明確にした導入が必要です。事前検証を実施し、どのような生成AIの機能が業務に必要かを検討することで、無駄な導入を避けることができます。

　住民基本台帳、税情報、福祉データなど、自治体が扱う情報は極めてセンシティブです。例えば、外部の生成AIサービスに入力すると情報が外部に送信される可能性があるため、個人情報や機密情報は入力しない、もしくはどのレベルまでの機密情報は入力可とするかといった運用ルールが必須です。また、職員の誤入力を防ぐため、入力ガイドラインの整備や入力フィルタリングの設定も重要です。

　ハルシネーションとは、生成AIが事実ではない情報や存在しない情報をもっともらしく生成してしまう現象です。「幻覚」や「幻影」を意味します。現状では生成AIが事実と異なる情報を生成することは避けられません。そのため、生成AIが作成したアウトプットを行政文書・住民向け案内に使う場合は、複数名で内容確認をするといった対応が必要と思われます。

　生成AIは、上記のとおりハルシネーション、つまり「もっともらしい誤り」を生成することがあるため、法令解釈・行政処分・審査判断などの自治体のコア業務を生成AIに任せるのは難しいと思われます。あくまでも「補助ツール」として利用し、そのアウトプットに関する最終判断は必ず職員が行うといった対応が必要と思われます。

　生成AIが生成した文章や画像でも、学習元の著作物に類似するケースがあり得ます。そのため、住民向け広報物などに使う場合は、著作権リスクを理解した上で利用する必要があります。また、他者の著作物を入力して要約させる場合も、著作権法上の扱いに注意する必要があります。

　生成AIのアウトプットには偏り（バイアス）が含まれる可能性があります。このバイアスは、生成AIが学習データや設計の偏りにより、特定の人やグループに対して不公平・差別的な判断を下すというものです。行政として利用する場合、そのアウトプットについて、説明責任を果たす必要があります。また、住民に対して「生成AIをどの範囲で使っているか」を明示することが必要な場合もあります。

　例えば、生成AIによる自動応答を導入する場合、誤案内が住民の不利益につながる可能性があります。住民問い合わせ対応では、生成AIの回答と人間オペレーターの切り替え基準を明確にするといった対応が必要になる場合もあります。

　生成AIの特性、リスク、適切な使い方を理解していないと誤用が発生します。そのため、研修やガイドライン整備により、職員全体の生成AIに関するリテラシーを底上げすることが大切です。

　外部の生成AIサービスを使う場合、データがどこに保存されるか、どのように扱われるかを確認する必要があります。現在、庁内ネットワークと切り離した利用環境を整える自治体も増えているようです。また、監査に備えて、利用ログを残し、どの職員が何を生成したか追跡できる体制が望ましいと思われます。

　注意すべきポイントを挙げましたが、それぞれへの対策として次の内容が考えられます。

　前項（1）の「事前検証」（PoC：Proof of Concept）が該当します。PoCとは、概念実証と訳され、新技術などが実際に機能するか、期待通りの結果が得られるか等を本格導入前に小規模で試して検証する作業です。例えば、既存の法令や制度の説明文を生成AIに作成させて、既存の説明文とどの程度合っているか、また、ハルシネーションが発生していないか等を確認するといった作業になります。

　「事前検証」（PoC）の結果を踏まえて、ルール（規程、ガイドライン、運用ルール等）を作成します。例えば、機密情報の取扱いとして、「自治体機密性3C情報の利用は禁止とし、自治体機密性２情報までの利用に限る。」といったルール作成が考えられます。その他、アウトプットのチェック体制は、複数名で実施する等もあるかと思います。

　ルールを作った後、周知することが必要です。また、そのルールについての研修や教育を実施し、職員にそのルールを定着させる活動も必要です。

　職員がルールに沿った利用を行うことも重要ですが、ルールに沿って利用されているかといったチェックも必要となります。「利用ログ」のチェックや「生成AIのアウトプットを職員が確認しているか」、また「著作権違反がないか確認しているか」といったチェックも必要になる場合もあるかもしれません。

　上記（1）～（4）を含めたPDCAのイメージは図のようになります。PDCAは１年に１回サイクルを回す場合もありますが、生成AIの進化を考えるとより短いサイクルで回すことが求められるかもしれません。

図　PDCAのイメージ

　なお、総務省「自治体におけるAI活用・導入ガイドブック〈導入手順編〉」では、自治体におけるAI導入手順として、実際に自治体においてAI導入を進めていく際の具体的な手順がステップごとに紹介されています。総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」では、クラウドサービスに関する留意点等が記載されています。また、こちらのガイドブック、ガイドラインには、自治体機密性情報の整理なども記載されていますので、改めてご確認いただけますと幸いです。

　生成AIは活用方法次第では、業務効率化や住民サービス向上に役立つことは間違いありません。ただし、使い方を間違えると、大きな損害が発生する可能性があります。特に対外的な文章や広報物に著作権法違反や不公平な表現といったものがあった場合、取り返しがつかない事態になるかもしれません。生成AIがあればすぐに業務効率化につながると安易に考え、ルールもなく使用することが最大のリスクではないかと思います。

　事前検討（PoCによる検証）⇒ルール作り⇒ルール周知⇒ルールに沿った利用という手順を踏んだ上で生成AIを利用するといった点にもご留意の上、生成AI活用をご検討いただければと思います。

 

【出典・参考文献】
■ 総務省「自治体におけるAI活用・導入ガイドブック〈導入手順編〉（第４版）」の公表
https://www.soumu.go.jp/menu_news/s-news/01gyosei04_02000155.html
■ 総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン（令和７年３月版）」
https://www.soumu.go.jp/main_content/001000932.pdf
■ 独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」
https://www.ipa.go.jp/security/10threats/10threats2026.html