AI PoCの期間設定｜審査込みで決める5つの見方【2026年10月】

結論: AI PoCの期間は、検証の日数だけで決めるものではなく、情報の分類・権限の設計・社内審査・検証・判断の5工程の日数を足して決めます。この記事では、期間を5工程に区切る方法、審査を検証より先に始める理由、延長と中止を開始前に決める判断表、審査前に集める情報のチェック表を書きます。

この記事は、AIのPoCを社内で稟議にかけようとしている中小企業の情シス・推進担当・経営者に向けて書いています。セキュリティ審査を通しながら、期間を何週間にするかを決めたい場面を想定しています。PoCをやること自体は決めた方が対象です。PoCの費用の中身はAI PoC 費用の記事、PoCの一般的な手順はPoCの進め方に書いたので、ここでは扱いません。

今日やることは1つです。自社の審査担当に「PoCで使う情報の分類と、その承認者は誰か」を1行で聞いてください。審査担当がいなければ情報管理の責任者に聞きます。それもいない小さな会社は、社長自身が決める前提で「誰が承認するか」を書き出します。この返事で、期間の最初の工程にどれだけかかるかが見えます。

AI PoCのセキュリティ審査とは｜期間設定で何が変わるか

セキュリティ審査とは、PoCで入力する情報・使う権限・残すログを、社内で承認してもらう手続きです。これを期間に入れ忘れると、検証が始まる前に予定が崩れます。

PoCは、本番に入れる前に小さな範囲で試す取り組みです。似た言葉にPoV（価値の検証）やMVP（最小限の製品）がありますが、本記事の対象はPoCだけです。違いはPoCの進め方にあります。PoCでもAIに実際の業務情報を入れる場面があり、入れる以上、本番と同じ種類の事故が起こり得ます。

東京都産業労働局の資料（運営: アデコ株式会社）は、2026年7月16日に公開された「フロンティアAI時代の生成AIセキュリティ」で、次のように述べています。

AI導入時は、入力してよい情報、接続ツールの権限、実行できる操作、ログ保存、出力の承認者を決めます。

この5つが、審査の対象です。それぞれ、次のようなことを指します。

• 接続ツールの権限: AIがつなぐ先と、読める・書ける範囲。例: 社内のファイルサーバーを読む
• 実行できる操作: AIにさせてよい動き。例: メールを自動で送る
• ログ保存: AIに何を入れ、何が出たかの記録をどこに、どれだけ残すか

同じ資料は、外部のAIに情報を入れる場面についても書いています。

本番コードや機密情報を外部AIへ入力する場合は、契約条件、データ保持、学習利用の有無を事前に確認します。

3語は、契約条件（＝使う条件が自社の決まりに合うか）、データ保持（＝入れた情報が相手側に残るか）、学習利用の有無（＝入れた内容がAIの改良に使われるか）の意味です。PoCの前に決めることは、検証の日数とは別にあります。ここで注意があります。この資料に「PoC」という語は出てきません。PoCの期間について、公的な目安は見つけられませんでした。この記事の期間の区切り方は、資料の5項目をPoCに当てはめた編集部の整理で、官公庁が定めた基準ではありません。

確かめ方は、PoCの計画書に「入力する情報の分類」「接続するツールの権限」「実行できる操作」「ログの保存先」「出力の承認者」の5行があるかを見ることです。1行でも空欄なら、期間の見積もりはまだ早い状態です。

PoCの期間を決める5工程｜検証だけでは足りない理由

PoCの期間は、情報の分類・権限と接続の設計・社内審査と契約確認・検証・判断と引き継ぎの5工程に分けて、それぞれ日数を置きます。検証だけで期間を決めると、前後の工程が予定の外に出て、あとから延長になります。

審査の申請書づくりは、工程③ではなく工程①から始めます。分類表と権限の一覧が、そのまま申請書の中身になるためです。

工程ごとに、誰が何を出し、どこで止まりやすいかを表にします。日数の数字は書いていません。出典のある一般的な日数が見つからないためで、代わりに自社で確かめる質問を置きました。

①の「情報の分類表」は、3行あれば始められます。

③の「承認の記録」は、あとで見返せる形なら足ります。社長や責任者のメール返信でも、稟議書でも構いません。審査の仕組みがまだない会社は、このメール1通を最小の審査にします。

体制は、最低でも4つの役割を名前で埋めます。

兼任で構いません。社長1人と数名の会社なら、1人が2役、3役を持つ形でも、空欄を作らないことが条件です。

期間を人に伝えるときは、1つの日数ではなく幅で書き、前提を添えます。たとえば「審査が差し戻しなしで通る場合の最短」と「1回差し戻された場合の最長」の2本です。前提が書かれていない日数は、あとで根拠を聞かれて崩れます。

「結局何週間か」を自社で出す手順は、次のとおりです。

1. 5工程それぞれに、担当者と出すものを書く
2. 各工程の日数を、担当者に聞いて幅で置く
3. 検証の前に審査待ちを、検証のあとに判断の日を置いて、合計する

数字を置くときに使える出典付きの数字は、本番に触れない当社の診断の2週間だけです。③の「審査にどれだけかかるか」は、この記事では数字を書けません。自社の審査担当に聞くのが確実です。聞くときは、申請から結果までの日数と、不備があった場合の差し戻しにかかる日数を分けて聞いてください。

5工程のうち、期間の見積もりから漏れやすいのは①と⑤です。①は「PoCを始める前の準備」と見なされ、⑤は「終わったあとの話」と見なされるためです。どちらも、PoCの予定表の中に日付を置きます。

一般の会社なら、①は情報の棚卸しに近い作業です。製造業なら図面や顧客名簿、士業なら顧問先の資料のように、現場が当たり前に扱っている情報から先に拾います。拾い漏れは審査のやり直しになります。現場の担当者と短い時間を取り、普段AIに貼り付けたくなる情報を声に出して挙げてもらうと、拾い漏れが減ります。

審査を検証の前に始める理由と、並行できる範囲

審査は、検証が始まる前に申請します。待ち時間を検証の準備に使えるためです。審査と並行できる作業と、できない作業ははっきり分かれます。

審査待ちで検証が止まる構造は単純です。外部AIに実データ（＝本物の業務情報）を入れる作業は、契約条件・データ保持・学習利用の有無が確認できるまで始められません。東京都産業労働局の資料も、本番コードや機密情報を外部AIへ入力する場合は、この3点を事前に確認するとしています。検証を始めても、承認が出るまで実データは入れられず、PoCの期間だけが過ぎていきます。

審査の待ち時間にできる作業と、できない作業を分けると、次のとおりです。

PoCの予定表で「外部AIに実データを入れる日」に印を付け、その日より前の行に承認の記録があるかを見てください。なければ、その日付は動きます。

もう1つの選択肢は、PoCの前に本番に触れない段階を挟むことです。当社のAI適用診断は、業務を見て適用の可否と範囲を整理するサービスです。条件は、2週間・本番非接続（＝実際に使っているシステムにはつながない）・現場同席です。診断の期間の考え方はAI適用診断の期間に書きました。診断のあとにPoCや本番に進むときの条件は、AI適用診断の本番接続を見てください。

期間の目安と費用の見方｜相場と診断との違い

PoCの期間と費用は、当社が複数の資料から集めた相場では100〜500万円・1〜3ヶ月が一例です。ただし、この相場に審査の日数が含まれているかは分かりません。

この数字は、AI受託開発のPoCについて、当社が調べた相場の一例です（確度は中。複数の資料をもとにした目安として見てください）。審査の日数や、社内側の準備の日数が内訳に入っているかは出典から読み取れません。相場の「1〜3ヶ月」を、そのまま自社の期間にしないでください。見積を受け取ったら、次の質問を添えて返します。

PoCの見積書について、次の3点をご確認ください。
1. 見積の期間には、弊社の情報分類・権限の設計・社内審査の日数は含まれていますか。
2. 外部AIに実データを入れる開始日は、何を条件に決まりますか（承認の記録、契約条件の確認など）。
3. 上限日数に達した場合、延長するか止めるかは、誰がいつ判断する想定ですか。

費用の内訳はAI PoC 費用の記事にまとめています。ここでは費用表は作りません。

PoCを決めた方が診断を挟むかどうかを比べられるよう、2つを並べます。診断は、必ず選ぶものではなく、選択肢の1つです。

診断で範囲を絞ってからPoCに入ると、PoCの期間のうち①②の工程が短くなる場合があります。ただし、短くなる日数は案件ごとに違うため、この記事では数字を書きません。

診断を挟むかどうかは、次の基準で決めます。次のどれかに当てはまるなら、挟む価値があります。扱う情報の範囲がまだ決まらない。本番のシステムに触れる想定がある。審査の窓口がない。3つとも当てはまらないなら、PoCにそのまま進んで構いません。

診断を入れた場合と入れない場合の2通りで、PoCの工程表を書いてみてください。①②の行が実際に短くなるかを見ます。短くならないなら、診断を挟む理由は「本番に触れずに範囲を絞れること」だけになります。

延びる・止めるの判断表｜開始前に決めておく基準

PoCを続けるか、延長するか、止めるかは、開始前に決めた「評価指標・上限日数・承認者」で判断します。始めてから基準を作ると、延長が重なり、試作だけが続く状態になります。

試作を繰り返すだけで本番に進まず、費用だけがかさむ状態を「PoC貧乏」と呼ぶことがあります。避けるには、開始前に次の3つを文書にします。

• 評価指標（＝成功と言える基準）: 何がどこまで達成できたら「効いた」と言うか。たとえば「作業時間が3割減る」のように書く（この3割は書き方の例で、仮置きの数字）。AIの答えを見る業務なら、次の2つの角度を分けて決める。間違いの少なさ（出した答えのうち正しかった割合）と、見落としの少なさ（拾うべきもののうち実際に拾えた割合）である。請求書の読み取りなら、「読み違えた請求書が少ないか」と「読み取れなかった請求書が少ないか」で見る
• 上限日数: 延長を含めて、何日で判断するか
• 承認者: 続ける・延長する・止めるを決める人

PoCが本番に進まず終わる原因は、一般には次の3つに分けられます（編集部の整理）。どれも、開始前の文書で防げます。

1. 目的が曖昧: 何のためのPoCかが人によって違う。評価指標で防ぐ
2. 本番と条件が違う: 試した環境や情報が本番と違い、結果が使えない。①の分類表と②の権限の一覧で防ぐ
3. 現場と承認者が不在: 結果を使う人と決める人が途中で抜ける。体制の表で防ぐ

判断の流れを図にします。

図の分岐を、表にして状況別に整理します。基準の数値は書きません。自社の評価指標と上限日数に置き換えて使ってください。

「続ける」と決めたあと、全社に広げる前に、次の点を確認します。PoCで許した情報と権限の範囲を、本番でも同じにするか。ログの保存先と期間を、本番の規模で足りる形にするか。出力の承認者を、本番の担当者に引き継ぐか。広げる範囲が大きいほど、もう一度審査が要ります。本番に進む条件はAI適用診断の本番接続も参考になります。

「検証の中の原因」で延長しない点は、迷いやすいところです。AIの精度が足りないときに日数を足しても、同じ条件で試す限り結果は変わりません。条件を変えるなら、別の計画として承認者の判断を取り直します。

確かめ方は、PoCの計画書に「上限日数」と「承認者の名前」が書いてあるかを見ることです。書いてなければ、始める前に書きます。この2行があるだけで、延長の相談が「いつまでに誰が決めるか」の話になります。

審査前に集める情報のチェック表

審査の申請を出す前に、5項目に契約関係の3項目を足した8項目を集めます。ここが埋まっていると、審査の差し戻しが減り、期間の②③が読みやすくなります。

東京都産業労働局の資料の5要素（入力してよい情報、接続ツールの権限、実行できる操作、ログ保存、出力の承認者）に、外部AIを使う場合の契約条件・データ保持・学習利用の有無を足しました。

どの情報を入れてはいけないかの詳しい整理は、中小企業の生成AIセキュリティにあります。利用ルールそのものを作る手順はAI利用ガイドラインを見てください。この記事では、期間に響く確認項目だけを扱います。

審査担当や外部AIの提供元に、そのまま送れる質問テンプレを置きます。

AIのPoCを予定しています。審査のために、次の点を教えてください。
1. PoCで入力する情報は、次の分類を想定しています: （公開／社内限り／機密のどれか）
2. 接続したいツールと、AIに許したい操作（読み取りのみ／書き込みあり）は次のとおりです: （記入）
3. ログの保存先と保存期間の条件を教えてください。
4. 出力の承認者は次の担当を想定しています: （記入）
5. 外部AIを使う場合、契約条件・データ保持・学習利用の有無を教えてください。
6. 申請から結果までの通常の日数と、不備があった場合の差し戻しの流れを教えてください。

確かめ方は、8項目のうち空欄がいくつあるかを数えることです。空欄が1つでもあれば、申請を出す前に埋めます。返事が曖昧な項目は、その工程の日数に余裕を持たせます。返事が来ない項目は、期間の見積もりから外せません。

期間を決めても延びる場合｜この記事が言えないこと

5工程に区切って期間を決めても、延びることはあります。5工程は予定の分け方です。延びたときに原因を探す軸は別にあり、情報・権限・契約・体制の4つです。

正直に書いておきます。審査にかかる日数や検証にかかる日数について、出典のある公的資料は見つかりませんでした。当社のPoCの実施件数や、PoCにかかった実績の日数も、この記事では書きません。規模別の期間と費用の表、他社の公開事例の成果の数字も、確かめられる出典がないため載せていません。見積や事例を見るときは、規模・扱う情報・審査の有無が自社と近いかを先に確かめてください。この記事の5工程と判断表は、実績ではなく編集部の整理です。発注側が要求してよい条件として示しています。

4つのうち、編集部の整理では、体制が最も見落とされやすい原因です。承認者の名前と判断日が決まっていないと、他の3つが解決しても最後の判断で止まります。情報・権限・契約は、集めるべき項目が前の節の表にあります。体制は、人の名前で決まる問題なので、表にしにくく、後回しになりがちです。

延びそうだと気づいた日に、4つの分類のどれが原因かを1行で書いてください。1行で書けなければ、原因がまだ分かっていません。そのまま延長せず、原因を特定する作業を先に予定に入れます。

業種ごとの読み替え｜情報の分類で迷う場面

5工程は業種を問わず使えますが、①の「どの情報が機密か」は業種で変わります。ここでは例を挙げて、迷う場面を読み替えます。

• 製造業: 図面・原価・取引先の仕様書が機密になりやすい。PoCは、公開された仕様書や、社外に出してよい範囲の作業手順から始めると、①が短くなる場面があります
• 士業・事務所: 顧問先の資料と個人情報が中心です。PoCの対象を、社内の手順書や過去の自社文書に限ると、審査の論点が絞れます
• 人材・営業: 候補者や顧客の個人情報を扱います。氏名や連絡先を伏せた形でPoCを組めるかを、①で先に決めます

どの業種でも、迷ったら「その情報が社外に出ても困らないか」を現場の担当者に聞きます。困ると答えた情報は、PoCの最初の範囲から外します。線を引く最終判断は承認者です。範囲を狭くして始め、判断のあとに広げる方が、審査は通りやすくなります。

①の分類表に、業種に固有の情報（図面・顧問先資料・候補者情報など）が行として入っているかを見てください。一般的な「機密」「社内限り」の2行だけでは、現場が迷います。

早見表｜期間を決める前の確認

期間を決める前に、次の表で自社の答えを確かめます。左の項目に「良い答え」が返らなければ、期間の見積もりはまだ早い状態です。

NGが3つ以上ある場合は、PoCの前に診断のような本番に触れない段階を挟む案も比べてください。この「3つ以上」は目安で、編集部の整理です。公的な基準ではありません。その場合はAI適用診断の期間を見て、診断の2週間を先に入れる案を検討します。

今すぐPoCの期間を決めなくていい会社と、この記事に含まれないこと

次のどれかに当てはまる会社は、今すぐ期間を決めなくて構いません。

• 社内の稟議がまだ先の会社: 申請の時期が決まってから、5工程の日数を置けば足ります。先に分類表だけ作っておくと、稟議が早く進みます
• 扱う情報が公開情報だけ: 機密を入れないなら、審査の工程は軽くなります。①②③の日数は小さく見積もれます
• すでに審査の枠組みがある: 申請先・承認者・基準が決まっている会社は、その枠組みに沿って日数を置けば足ります

この記事で扱わないことは、次のとおりです。

• PoCの費用の内訳: 内訳の読み方はAI PoC 費用の記事にあります
• PoC支援会社の選び方: 発注先の比べ方はAI PoC支援会社の選び方にあります
• 入れてはいけない情報の一覧: 生成AIに入力しない情報の整理は中小企業の生成AIセキュリティにあります

Summary in English

まとめ｜期間は「検証の長さ」でなく「審査や判断で止まる工程の日数」まで足して決める

PoCの期間は、検証の長さではなく、審査や判断で止まりやすい工程の日数を先に置いて決めます。

• 期間は、情報の分類・権限と接続の設計・社内審査と契約確認・検証・判断と引き継ぎの5工程に区切る（編集部の整理）
• 審査は検証より先に申請する。データ整理と評価指標の決定は並行でき、外部AIへの実データの入力は審査のあとにする
• 公的資料にPoC期間の目安は見つからなかった。当社の相場調査の1〜3ヶ月（目安）は、審査の日数が含まれるか分からない
• 延長と中止は、開始前に評価指標・上限日数・承認者を文書にして決める。延長してよいのは、原因が検証の外にあり、上限日数の範囲内のときだけ
• 範囲を絞りたいときは、2週間・本番非接続の診断を前に挟む選択肢がある

次のアクションは、今日・今週・今月のどれか1つからで構いません。

• 今日: 審査担当（いなければ責任者、社長自身でも可）に「PoCで使う情報の分類と承認者」を1行で聞く
• 今週: 早見表の7項目に自社の答えを書き、NGの項目を洗い出す
• 今月: 5工程の予定表に日付を置き、上限日数と承認者をPoCの計画書に書く

審査の窓口づくりやPoCの区切り方で迷う場合は、当社の無料相談で現状を聞かせてください。

次に読む

• PoCの手順を全体で押さえたい → PoCの進め方｜4段階の手順と費用相場・失敗パターンまで
• PoCの費用の内訳を知りたい → AI PoC 費用｜内訳・5つの変動要因と抑える3つの方法
• 本番に触れない2週間の診断を知りたい → AI適用診断の期間｜2週間の案内と日程を決める前の確認点
• 入力してはいけない情報を整理したい → 中小企業の生成AIセキュリティ｜入力してはいけない情報と設計の3原則

更新履歴

• 2026-10-09: 初版公開。東京都産業労働局の公開資料と、当社の診断条件を反映
• 次回更新予定: 2026年11月（東京都資料の更新と、PoC期間に関する公的資料の追加の有無を再確認）

本記事は2026年10月9日時点の東京都産業労働局の公開資料と当社の事業情報・相場調査に基づきます（公開日: 2026年10月9日）。PoCの期間と審査の手順は、自社の審査担当・情報管理の責任者・契約先に確認してください。

参考・出典

• 東京都産業労働局（運営: アデコ株式会社）「フロンティアAI時代の生成AIセキュリティ～ 防御に使うAIと、悪用されるAIエージェントへの備え ～」 https://cybersecurity-taisaku.metro.tokyo.lg.jp/know_more/2026-%E3%83%AC%E3%83%99%E3%83%AB3-3/（参照日: 2026年10月9日）
• 当社調査: AI Expert事業ファクトシート（AI適用診断の条件・料金）、2026年10月9日確認
• 当社調査: AI受託開発・PoCの相場調査、2026年10月9日確認