RAGとは？生成AIが社内文書を検索して答える仕組みと注意点

RAG(ラグ)とは、Retrieval Augmented Generation(検索拡張生成)の略で、生成AIが質問に答える前に社内文書などの外部情報を検索し、その内容を参考にして回答を作る仕組みのことです。「RAG AI」と呼ぶときは、この仕組みを組み込んだ生成AIのサービスやシステムを指します。生成AIは学習済みの知識で答えるため、社内規定のような学習外の情報には答えられません。RAGはそこを検索で補います。ただし、検索対象の選び方でリスクも変わります。本記事では、仕組み、できること、ファインチューニングとの違い、サービスの選び方、導入前に確認したい情報の扱いまでを、IPA・総務省・経済産業省・文化庁などの公的資料に基づいて整理します。

目次

開く

閉じる

1. RAG(検索拡張生成)とは｜生成AIが社内文書を検索して答える仕組み
2. RAGの仕組み｜検索と生成の2段階と、事前のデータ準備
3. RAGでできること｜向いている業務と向かない業務
4. RAGのメリットと限界｜ハルシネーションはなくならない
5. RAGとファインチューニングの違い｜どちらを選ぶか
6. RAGを使えるサービスの選び方｜法人向けの比較ポイント
7. RAGを社内で使う前に確認したい4つのリスク｜情報の範囲・不正な指示・個人情報・著作権
8. RAG導入の進め方｜小さく試して広げる6つの手順
9. 導入後に見直したい3つのポイント｜文書の更新・検索範囲・回答の確認
10. よくある質問(FAQ)
11. まとめ
12. 参考文献

RAG(検索拡張生成)とは｜生成AIが社内文書を検索して答える仕組み

RAGとは、生成AIが質問に答える前に社内文書などを検索し、見つけた内容を参考にして回答を作る仕組みで、「検索拡張生成」とも呼ばれます。読み方は「ラグ」で、Retrieval Augmented Generationの頭文字です。

IPA(情報処理推進機構)の「AI利用者のためのセキュリティ豆知識」は、生成AIは学習済みの知識に基づいて回答を組み立てるため、特定の会社の社内規定のような学習外の情報には答えられないと説明しています。RAGは、生成AIが知らない情報を自分で検索して知識を補う仕組みで、使うことで自社の社内情報に即した回答を得られるようになります。

LLM・ChatGPTなどの生成AIとの違い

RAGは、生成AIのモデルそのものではなく、生成AIに外部の情報を渡して回答の材料を増やす仕組みです。AI事業者ガイドライン(第1.2版)は、生成AIを、文章・画像・プログラムなどを生成できるAIモデルにもとづくAIの総称と定義しています。また、推論の際には、利用者が入力するプロンプトに加えて、RAG等を介して外部知識を補完した情報も用いられると説明しています。LLM(大規模言語モデル)の基本は、LLMとは？生成AIとの違いと仕組み、業務で使う際の確認ポイントで整理しています。

比べる点	通常の生成AI	RAGを組み合わせた生成AI
回答の材料	学習済みの知識	学習済みの知識に加えて、検索で見つけた文書
社内規定やマニュアルへの質問	学習外の情報のため答えられない	検索対象にした文書に基づいて答えられる
最新の情報や社内の更新	学習した時点の知識に限られる	検索対象の文書を更新すれば反映できる
回答の根拠	どの情報から答えたのかを示しにくい	参照した文書を示す設計にできる(サービスによる)

RAGでできることは、検索対象にする文書で決まります。IPAも、検索対象のデータはセキュリティ面も考慮して決めるとしています。AIの性能だけでなく、何を参照させてよいかという社内の基準が成果を左右します。この基準づくりと全員への周知、理解の確認を仕組みにする選択肢として、eラーニング3サービスの役割の違いを整理します。

これらはRAGを作るサービスではなく、使う人の側の準備(ルールの周知、理解度の確認、ノウハウの教材化)を支える選択肢です。まず、情報の扱いの基礎を共通にする場面に向くOneComplianceから見ていきます。

社内文書を生成AIに参照させる場面では、個人情報や機密情報を検索対象に入れてよいかの判断が、人によってぶれやすくなります。情報セキュリティ、個人情報、著作権(AIに関する著作権を含む)の基礎を、全員が同じ内容で学ぶ場合の一例が、OneCompliance(ワンコンプライアンス)です。コンプライアンス研修に特化したeラーニングプラットフォームで、法務・労務・情報領域の研修コンテンツを提供し、ダッシュボードと自動リマインダーで受講管理の手間を抑えられます。商品ページで確認できるのはコンプライアンス領域の内容で、RAGの作り方を教えるコースではない点には注意が必要です。費用は人数に応じた課金体系のため、料金はプランによって異なります。詳しくは資料や公式サイトで確認してください。

社内に法務専任担当や教育専任担当がおらず、社内のみでの実施が困難

OneCompliance 導入事例(株式会社プリメディカ。導入の背景・課題として掲載) 出典：公式サイト

RAGの仕組み｜検索と生成の2段階と、事前のデータ準備

RAGの仕組みは、質問に関連する文書を探す「検索」と、見つけた内容を踏まえて回答を作る「生成」の2段階で、事前に文書を検索しやすい形へ整えておく準備が必要です。

回答までの流れ

IPAの用語集は、RAGを、AIが知らないことを社内メールサーバ等の外部接続システム上で検索し、プロンプトの一部に取り込んで参考にする仕組みと説明しています。また、検索結果は一般にはユーザーから見えないとしています。つまり、AIがどの文書を材料にしたのかは、サービスの画面に根拠が表示されない限り、利用者にはわかりません。回答までの流れを、人とシステムの役割に分けると次のとおりです。

段階	やること	主な担当
1. データの準備	検索の対象にする文書を決め、検索に使える形に変換し、適切な長さに分けて登録する	人(情報システム・各部門)
2. 検索	利用者の質問に関連しそうな文書の部分を探し出す	システム
3. 生成	見つけた部分と質問をまとめて生成AIに渡し、回答を作らせる	生成AI
4. 確認	回答と、参照元の文書が合っているかを確かめる	人

事前準備｜文書を検索しやすい形にする

一般には、PDFや表計算、文書ファイルなどの元データをテキストに直し、適切な長さのまとまり(チャンク)に分けます。そのうえで、文章の意味の近さを計算できる数値の並び(ベクトル)に変換し、専用のデータベースに登録します。分け方や元の文書の形式によって検索のしやすさが変わるため、元の文書の整理が回答の質に直結します。表や図で構造化された文書は、段落で書かれた文書より、検索で見つけにくい場合があります。

検索方式の違い

• キーワード検索：質問に含まれる語句と一致する文書を探す。一般に、固有名詞や型番に強い一方、言い換えに弱いとされる
• ベクトル検索：意味の近さで文書を探す。一般に、言い換えに強い一方、固有名詞の取りこぼしが起きうるとされる
• 併用：両方を組み合わせて検索する。使われている方式はサービスによって異なる

どの方式が使われているか、検索結果をどう並べ替えているかは、サービスの仕様に左右されます。導入前に、資料や担当者への質問で確認する項目になります。

RAGでできること｜向いている業務と向かない業務

RAGでできることは、社内規定・マニュアル・FAQなど、参照元が決まっている文書に基づく質問応答で、問い合わせ対応や社内ヘルプデスクなどに向いています。

総務省の令和8年版 情報通信白書によると、2025年度の調査で、日本企業の86.4%が何らかの業務で生成AIを利用していると回答しました。業務の種類別では、議事録・メール作成補助が約7割、営業・販売が約6割、社内ヘルプデスクが約5割でした。社内ヘルプデスクのように、社内規定や手順書に基づいて答える場面は、RAGで参照元を持たせる使い方と相性がよい領域です。ただし、白書の数字は生成AI全般の活用状況で、RAGの導入率を示すものではありません。

RAGが向いている業務の例

業務	RAGの役割	確認したい点
社内問い合わせ(就業規則・経費精算・システム操作)	規程やマニュアルを検索して回答の材料にする	規程の改定が反映されるまでの流れ。古い版が残っていないか
顧客対応・サポート(FAQ・製品マニュアル)	FAQや手順書から該当箇所を探して、回答案を作る	誤回答がお客様に直接届かない確認の手順
営業・提案(過去の提案書・製品資料)	過去資料から関連する内容を探して、下書きの材料にする	他社の秘密情報や個人情報が混ざらないか
規程・ガイドラインの照会	社内外のルールを検索し、該当する条項を示す	最終判断は人が、原文で確かめる

RAGが向かない業務もある

AI事業者ガイドライン(第1.2版)は、RAGを活用した場合には生成AIによる回答の収束が加速する可能性が高いため、コンテンツの多様性や独創性を必要とする業務では、RAGの活用が適切ではない場合もあると注意しています。新しい企画やキャッチコピーのように、参照元に答えがない業務は、RAGに向かない場合があります。また、参照できる文書が整っていない業務や、文書化されていないノウハウが中心の業務は、先に文書を整える必要があります。

RAGのメリットと限界｜ハルシネーションはなくならない

RAGのメリットは、社内の最新情報に基づく回答と、根拠の確認がしやすくなる点ですが、ハルシネーション(もっともらしい誤回答)がなくなるわけではありません。

RAGのメリット

• 社内の情報を回答に反映できる：社内規定のような学習外の情報に基づく回答を得られる
• 情報の更新が比較的しやすい：検索対象の文書を更新すれば反映できる。モデルの追加学習を前提にしない分、運用の選択肢が広がる
• 根拠を確認しやすくできる：AI事業者ガイドライン(第1.2版)は、RAGの活用等により、ハルシネーションの抑制や出力過程・根拠の透明性向上等が期待されていると記載している
• 回答を社内の基準にそろえやすい：参照元を限定することで、人によって回答がぶれにくくなる

RAGの限界と注意点

• 元の文書が古い、または誤っていれば、回答も誤る
• 検索で目的の文書が見つからなければ、関係のない内容をもとに答えることがある
• IPAは、生成AIが出鱈目を答えるハルシネーションを防ぎきる方法は、まだ分かっていないと説明している。RAGでも誤回答のリスクは残る
• 回答の確認を人が省くと、AIの出力を鵜呑みにしてしまう。ガイドラインは、自動化バイアスなどAIに過度に依存するリスクへの対策として、AIの欠点を含む特性を理解できるトレーニングを受けることや、人が承認する理由・根拠を自分で考えてから承認することを挙げている

ハルシネーションの仕組みと防止策は、AIの幻覚(ハルシネーション)とは？仕組み・原因・防止策と業務のチェック体制で詳しく整理しています。

最後の点は、RAGの運用で人の側が担う部分です。RAGは回答の質を上げる手段ですが、回答を確認する人の側の理解が伴わなければ、効果は安定しません。自社の回答の確認手順を、人が変わっても同じ形で伝えられるようにしておく場面の一例が、Smart Boardingです。社員研修・OJT・eラーニングを1つのシステムで行えるプラットフォームで、社内独自の教育内容を学習プログラムにでき、いつでも何度でも学習と復習ができることを特徴にしています。メンバー・管理職・経営層の3階層でプログラムを作れ、学習の進捗も管理できます。自社の教育内容の学習プログラム化には一定の手間がかかり、電話・メール相談や教育プログラム設計の支援を受けられるのはサポートプラスのプランです。料金はプランによって異なるため、資料や公式サイトで確認してください。

紙ベースで配布していた社内マニュアルをSmart Boardingにアップロードすることで、資料配布の手間や工数が大幅に削減できました

Smart Boarding 導入事例(株式会社ミツハシ) 出典：導入事例ページ

RAGとファインチューニングの違い｜どちらを選ぶか

RAGは回答のたびに外部の文書を検索して参照させる方法で、ファインチューニングは学習済みのモデルに追加の学習をさせてモデル自体を調整する方法です。

AI事業者ガイドライン(第1.2版)は、学習を、データを用いてAIモデルのパラメータを決定または改善するプロセスと定義しています。そして、特定の用途に適応させるための追加の学習(事後学習)の主な手法として、ファインチューニングなどを挙げています。これに対しRAGは、モデルのパラメータを変えずに、推論の際に外部の知識を補う方法です。違いを整理すると次のとおりです。

比べる点	RAG	ファインチューニング	プロンプトに資料を貼る
仕組み	質問のたびに文書を検索し、回答の材料に加える	学習済みモデルに追加の学習を行い、応答の傾向を調整する	利用者が必要な文書を毎回入力欄に貼る
情報の更新	検索対象の文書を更新すれば反映できる	反映するには追加の学習が必要	貼り直すたびに最新になる(手作業)
向く場面	社内規定・マニュアルなど、参照元が決まった質問応答	文体・出力形式・専門用語など、モデルの振る舞いを寄せたい場合	少量の文書を一時的に参照させたい場合
注意点	元データの品質、検索範囲、権限管理	学習用データの用意と、追加学習の手間	入力してよい情報の確認と、手作業の負担

どちらか一方を選ぶ関係とは限らず、組み合わせて使う場合もあります。ガイドラインにおける追加学習の位置づけや、モデルの種類ごとの違いは、AIモデルの仕組みとRAG・ファインチューニングの違いを整理した記事で詳しく解説しています。

RAGを使えるサービスの選び方｜法人向けの比較ポイント

RAGを使えるサービスは、自社で作り込むか既存のサービスを使うかでタイプが分かれ、回答の根拠表示、検索範囲の制御、入力データの扱いなどを確認して比べます。

ChatGPTなどの生成AIサービスの中には、文書を読み込ませたり検索結果を参照させたりする機能を持つものもあります。機能の範囲はサービスや契約プランで異なるため、各サービスの公式情報で確認してください。

サービスのタイプ

• 社内問い合わせ(ヘルプデスク)に特化したタイプ：社内規程やマニュアルへの質問対応が中心
• 顧客対応・問い合わせ対応を支援するタイプ：FAQやマニュアルを元に、回答案の作成を支援する
• 汎用の生成AIチャットに社内文書を参照させる機能を持つタイプ：文書の読み込みや検索の機能を組み合わせて使う
• ノーコードや開発基盤で、自社用のRAGを組み立てるタイプ：組み立ての自由度がある分、設計と運用の負担も大きくなる

ここでは、特定のサービス名や順位は示しません。対応範囲や機能はサービスごとに大きく異なり、更新も続くため、各社の最新の資料で確認してください。

比較の観点

観点	確認すること	確認が必要な理由
回答の根拠表示	回答と一緒に、参照した文書や該当箇所が示されるか	検索結果は一般にはユーザーから見えない(IPA)。根拠を人が確かめるために必要
検索範囲と権限	検索できる文書の範囲を絞れるか。利用者の権限に応じて制限できるか	IPAは、RAGによる検索範囲を適切に制限することを選択肢として挙げている
入力データの扱い	入力した内容が、サービス提供事業者の機械学習に使われないか	個人情報保護委員会は、個人データを含むプロンプトを入力する場合に、機械学習に利用しないこと等の確認を求めている
精度の調整	回答の精度を、利用者側で調整・評価できるか	誤回答の原因が、文書か、検索か、生成かを切り分けるために必要
既存の保管先との連携	社内の共有ストレージや文書管理と連携して、文書を取り込めるか	文書の更新が自動で反映されないと、古い版が残る
運用の負担	文書の追加・削除・更新を、誰がどの手順で行うか	導入後の運用担当と工数が決まっていないと、定着しない

費用の考え方

RAGを使えるサービスの料金は、利用人数、文書の量、使う機能、契約形態によって異なります。定価で比べられないため、複数のサービスから見積もりや資料を取り寄せ、同じ条件で比べることが現実的です。料金の具体額は、各社の資料や公式サイトで確認してください。

RAGを社内で使う前に確認したい4つのリスク｜情報の範囲・不正な指示・個人情報・著作権

RAGを社内で使う前には、検索対象に入れる情報の範囲、文書に紛れ込む不正な指示、個人情報、著作権の4点を、公的機関の資料をもとに確認しておく必要があります。

なお、以下は公的機関の資料の整理であり、法的助言ではありません。個別の判断は、法務担当や専門家にご相談ください。

1. 検索対象に入れる情報の範囲を決める

IPAは、どのデータをRAGの検索対象にするかは、セキュリティ面も考慮して決めるとしています。社内の文書をまとめて取り込むと、本来は閲覧権限が限られている資料(人事情報、経営会議の資料など)まで、質問した人に回答として返ってしまうおそれがあります。部署や役職ごとの権限をRAGの側でも再現できるか、できない場合は検索対象から外すか、利用者を絞るかを決めておく必要があります。

2. 文書に紛れ込む不正な指示に注意する(間接プロンプトインジェクション)

IPAは、RAG検索では様々なデータがチャットAIのプロンプトに取り込まれるため、メールのような外部由来のデータが検索されると、不正な指示を含む攻撃メールも取り込まれ、チャットAIの不正動作を引き起こす可能性があると注意しています。社内文書と不正メールの両方が同時に取り込まれた場合には、社内情報が社外に流出する可能性もあります。IPAは、チャットAIの不正プロンプト対策はまだ不完全だとして、RAGによる検索範囲を適切に制限することを検討するよう求めています。また、利用者ではない第三者が、RAG等を通じてプロンプトに混ぜ込んだ不正な指示で行う攻撃を、間接プロンプトインジェクションと呼んでいます。

3. 個人情報を含む文書の扱い

個人情報保護委員会は、生成AIサービスの利用に関する注意喚起等(令和5年6月2日)で、個人情報取扱事業者が生成AIサービスに個人情報を含むプロンプトを入力する場合は、特定された利用目的を達成するために必要な範囲内かを十分に確認することを求めています。また、あらかじめ本人の同意を得ずに個人データを含むプロンプトを入力し、応答結果の出力以外の目的で取り扱われる場合は、個人情報保護法の規定に違反する可能性があるとして、サービス提供事業者が個人データを機械学習に利用しないこと等を確認するよう求めています。RAGの検索対象に顧客名簿や問い合わせ履歴を入れる場合も、この確認が必要です。

4. 他人の著作物を含む文書の扱い

文化庁の「AIと著作権に関する考え方について」(令和6年3月15日)には、検索拡張生成(RAG)等についての項があります。RAGの実装では、データベースに含まれる著作物の内容をベクトルに変換したデータベースを作成する際に、著作物の複製等が生じ得るとしています。データに著作物が含まれていても、回答の生成に際して、その創作的表現を出力することを目的としない場合は、著作権法第30条の4が適用され得ると考えられるとしています。一方、創作的表現の全部または一部を出力することを目的とする場合は、同条は適用されないと考えられるとしています。さらに、回答の生成に際して既存の著作物を利用することについては、第47条の5第1項の適用が考えられるものの、軽微利用の程度を超える場合は、原則として著作権者の許諾が必要になると整理しています。社外の資料や記事を丸ごと検索対象にして、回答に引用させる使い方は、特に注意が必要です。生成AIの著作権の全体像は、AIの著作権｜生成AI時代の権利と実務対応も参照してください。

ルールを決めたあとの課題｜周知と理解度の確認

総務省の令和8年版情報通信白書によると、日本企業が生成AIのリスク対策として行っている取組で、最も多かったのは全社的な指針やガイドラインの整備(41.1%)でした(白書の該当ページ)。指針を整えたあとは、その内容が従業員に伝わり、判断に使われているかを確かめることが次の課題になります。ルールを配るだけでは、読まれたか、理解されたかはわかりません。

ルールの理解度をテストで確かめ、結果を記録する場面の一例が、SAKU-SAKU Testingです。CBTの技術を活かしたテスト機能が充実したeラーニングプラットフォームで、既存の問題と自社オリジナルの設問を1つのテストにまとめられ、受講状況をダッシュボードで自動的にグラフ化します。マルチデバイスに対応し、移動時間などのすき間時間にも受講できます。AIを使ったリモート監視機能などは有償オプションで、日本国内仕様のため海外での利用はサポート対象外です。料金はプランによって異なるため、資料や公式サイトで確認してください。

RAG導入の進め方｜小さく試して広げる6つの手順

RAGの導入は、目的を決め、元になる文書を整え、検索範囲と権限を決めて小さく試し、回答を確認しながら広げる順で進めると、手戻りを抑えられます。

1. 目的と対象業務を1つに絞る：社内問い合わせなど、参照元の文書が決まっている業務から始める
2. 元になる文書を棚卸しする：保管場所、版、更新担当を確認し、同じ内容の文書が複数ある場合は最新版を1つに決める
3. 検索対象と権限を決める：入れてよい情報(個人情報・機密・第三者の著作物の扱い)と、見られる人の範囲を決める
4. 小さく試す：少人数・少数の質問で、回答と参照元が合っているかを人が確かめる
5. 利用ルールを周知し、理解度を確かめる：入力・参照してよい情報、回答を確認する手順を文書にして、全員に伝える
6. 運用しながら見直す：文書の更新、誤回答の報告、検索の結果を定期的に点検して、対象を広げるかを決める

1から3は、AIを動かす前の準備で、人の手間がかかる部分です。5は、準備したルールを現場に定着させる手順で、担当者の手作業で配布と確認を続けると負担が大きくなります。自社の準備がどこまで進んでいるかを、次のチェックで確かめてください。

導入後に見直したい3つのポイント｜文書の更新・検索範囲・回答の確認

RAGの運用で見直したい点は、元の文書の更新、検索範囲、回答の確認の3つで、このうち2つは公的資料に注意点が示されています。

見直す点	起きること	対策の方向(出典)
元の文書の更新	古い規程や改定前のマニュアルが残り、古い内容で回答する	文書の更新担当と、改定時に検索対象の文書を差し替える手順を決める(RAGは検索した文書を回答の材料にするため、元の文書が古ければ回答も古くなる)
検索範囲	外部由来の文書や、権限の異なる文書が混ざり、不正な指示や情報の流出につながる	RAGによる検索範囲を適切に制限する(IPA「AI利用者のためのセキュリティ豆知識」)
回答の確認	回答を確かめずに使い、誤りが業務に広がる	人が承認する理由・根拠を自分で考えてから承認する。AIの特性を理解できるトレーニングを受ける(AI事業者ガイドライン第1.2版の脚注)

3つとも、仕組みを作るだけでなく、人が決まった手順で運用し続けることが前提です。特に3つ目の回答の確認は、AIの特性を理解する教育と、理解度の確認を組み合わせて続ける必要があります。担当者が交代しても同じ水準を保てるよう、ルールと確認の手順を教材と受講管理の形で残しておくと、運用が属人化しにくくなります。

AI事業者ガイドラインの全体像や、AIを業務に使う際の役割分担は、経済産業省のAI事業者ガイドラインのページで確認できます。AIが自律的に手順を進めるAIエージェントとの関係は、AIエージェントとは｜生成AI・RPAとの違いと導入5ステップを参照してください。

よくある質問(FAQ)

Q1. RAG AIとは、AIの何のことですか？(RAGとはどういう意味ですか)

A. RAG(検索拡張生成)とは、生成AIが回答する前に社内文書などの外部情報を検索し、その内容を参考にして回答を作る仕組みのことです。「RAG AI」と呼ぶ場合は、この仕組みを組み込んだ生成AIのサービスやシステムを指します。IPAは、生成AIが知らない情報を自分で検索して知識を補う仕組みと説明しています。

Q2. 生成AI(LLM・ChatGPT)とRAGは何が違いますか？

A. 生成AIとは、文章、画像、プログラムなどを生成できるAIモデルにもとづくAIの総称です(AI事業者ガイドライン第1.2版の用語の定義)。LLMやChatGPTのような生成AIは、学習済みの知識で回答します。RAGは生成AIのモデルそのものではなく、検索した情報を渡して回答の材料を増やす仕組みで、生成AIと組み合わせて使います。

Q3. 法人向けの生成AIサービスは、どう比べればよいですか？

A. 料金や機能の数だけでなく、回答の根拠(参照元)が表示されるか、検索できる文書の範囲や権限を制御できるか、入力した情報が機械学習に使われないか、既存の文書の保管先と連携できるか、運用の負担はどうか、の5点を比べます。個人データを入力する場合は、サービス提供事業者が機械学習に利用しないこと等を確認するよう、個人情報保護委員会が注意喚起しています。

Q4. RAGとファインチューニングは何が違いますか？

A. RAGは、回答のたびに外部の文書を検索して参照させる方法で、元の文書を更新すれば内容を反映できます。ファインチューニングは、学習済みのモデルに追加の学習を行い、モデル自体を調整する方法です。社内規定やマニュアルのように参照元が決まっている質問応答にはRAGが向き、文体や出力形式を寄せたい場合はファインチューニングが検討されます。

Q5. RAGを使えば、ハルシネーションはなくなりますか？

A. なくなるわけではありません。RAGは根拠となる文書を参照させることで、誤回答の抑制が期待される方法です。ただしIPAは、生成AIが誤った内容を答えるハルシネーションを防ぎきる方法はまだ分かっていないと説明しています。元の文書が古い、検索で別の文書が選ばれるといった場合も誤りの原因になるため、重要な判断では人が参照元を確認してください。

Q6. 社内文書をRAGに使うとき、入れてはいけない情報はありますか？

A. 一律の禁止リストがあるわけではなく、検索対象にする情報の範囲は、セキュリティ面も考慮して決める必要があります(IPA)。個人情報を含む場合は利用目的の範囲内かを、第三者の著作物を含む場合は著作権法上の扱いを確認します。判断に迷う場合は、法務担当や専門家に相談してください。

まとめ

RAGは、生成AIが社内文書などを検索して参考にし、回答を作る仕組みです。社内の情報に即した回答や根拠の確認がしやすくなる一方、ハルシネーションはなくならず、検索対象の情報の扱いによってリスクも変わります。押さえておきたいのは次の5つです。

1. RAGは、生成AIに外部の情報を渡して回答の材料を増やす仕組みで、モデルそのものではない
2. 向いているのは、参照元が決まった質問応答。独創性が求められる業務には向かない場合がある
3. 検索対象の範囲、不正な指示の混入、個人情報、著作権を、公的資料をもとに事前に確認する
4. 回答は人が参照元と照らして確かめる。RAGでもハルシネーションは残る
5. ルールの周知、理解度の確認、社内ノウハウの教材化を仕組みにするなら、eラーニングの資料を請求して比較する

RAGの成果は、AIの性能だけでなく、元になる文書の整備と、使う人のルール理解で決まります。まず小さな業務で試し、回答と参照元を確かめながら、検索範囲とルールを整えて広げていくことが、安全に使い続けるための現実的な進め方です。導入の検討では、ルール教育と理解度の確認を担当者の手作業に頼り続けない仕組みも、あわせて考えてみてください。

参考文献

• IPA「AI利用者のためのセキュリティ豆知識」(2026年3月) https://www.ipa.go.jp/digital/ai/security/rcu1hd0000009h9u-att/1-1.pdf
• 総務省・経済産業省「AI事業者ガイドライン(第1.2版)」(令和8年3月31日)掲載ページ https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html
• 総務省「AI事業者ガイドライン(第1.2版)」本編PDF https://www.soumu.go.jp/main_content/001064279.pdf
• 文化庁「AIと著作権に関する考え方について」(令和6年3月15日) https://www.bunka.go.jp/seisaku/bunkashingikai/chosakuken/pdf/94037901_01.pdf
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」(令和5年6月2日) https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/
• 総務省「令和8年版 情報通信白書」生成AIの業務利用状況 https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r08/html/nd121130.html
• 総務省「令和8年版 情報通信白書」生成AIの活用に関して懸念されるリスクと対策 https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r08/html/nd121140.html