この記事の対象

社内で生成AIの利用ルールを作る立場になった方を想定しています。専任の担当者でなくても、「詳しそうだから」と任されることがあります。

当サイトの記事では「勤務先のルールを確認してください」と繰り返し書いてきました。この記事は、そのルールを作る側の話です。

なお、具体的な法令要件には踏み込みません。 業種・規模・扱う情報で結論が変わるため、個人情報や機密情報、著作物の扱いは自社の法務・情報管理の担当と確認してください。

禁止するだけのルールは機能しない

最初に決めておきたい方針です。「原則禁止」は、一見安全に見えて逆効果になりがちです。

理由は単純で、業務が楽になる手段があれば、個人の判断で使われるからです。しかも禁止されていれば、見えないところで使われます。何が起きているか把握できない状態が、 最もリスクの高い状態です。

範囲を決めて許可し、使っていることが見える状態にする方が、結果的に管理しやすくなります。

最初に決める3つ

網羅的なルールを最初から作ろうとすると、完成しないまま時間が過ぎます。次の3つだけ決めれば運用を始められます。

1. 入れてはいけない情報

最も重要です。具体的に列挙してください。抽象的な「機密情報」では判断できません。

  • 顧客・取引先の名称、担当者名、連絡先
  • 未公開の数値(売上、見積、原価、計画)
  • 個人情報(従業員・顧客)
  • 契約条件、未公表の決定事項
  • パスワード、認証情報、システムの接続情報

あわせて、渡さずに相談する方法も示すと実用的です。固有名詞を伏せる、実際の値をダミーに置き換える、といった具体例を添えてください(ExcelをAIで自動化する方法でも同じ考え方を扱っています)。

2. 出力を確認する義務と、その範囲

「確認すること」とだけ書いても実行されません。何を確認するかまで決めてください。

固有名詞・数値・日付・出典・規定は誤りが出やすく、文章の構成や言い回しは問題になりにくい——という切り分けが実務的です(詳細はAIの出力をどう確認するか)。

社外に出すもの・記録として残るものは確認を必須にする、といった線引きを添えると、 現場が判断できるようになります。

3. 迷ったときの相談先

これが最も効きます。すべての場面を事前に列挙することは不可能だからです。

「判断に迷ったら〇〇に聞く」と一行あるだけで、グレーな判断が現場任せにならなくなります。窓口は部署名だけでなく、連絡方法まで書いてください。

ゼロから作らない

多くの会社には、秘密保持・情報管理・外部サービス利用に関する規程が既にあります。生成AIのルールは、その延長として書く方が早く、矛盾も起きません。

  • 既存の情報管理規程ですでに禁止されていることを再確認する
  • 生成AI特有の論点(出力の確認、学習への利用、著作物の扱い)だけを足す
  • 既存規程と用語を揃える(同じことを別の言葉で書かない)

許可するツールをどう決めるか

会社として契約したものを基本とし、それ以外は申請してもらう形が現実的です。

ここで重要なのは、申請への返答期限を明示することです。

申請から◯営業日以内に可否を回答します

これがないと、返答を待てない人が申請せずに使い始めます。例外を潰すのではなく、申請という形に変えるのが狙いです。

個人契約のアカウントを業務に使ってよいかも、明確にしておいてください。曖昧なままだと、最も判断がぶれる部分になります。

入力が学習に使われるかを確認する

見落とされやすい論点です。サービスやプランによって、入力した内容が今後の学習に使われるか どうかが異なります。 設定で切り替えられる場合もあります。

  • 会社として契約しているサービスがどういう扱いになっているかを確認する
  • 設定で変更できる場合は、誰がその設定を管理するかを決めておく
  • 個人契約のアカウントを業務に使う場合の扱いを明記する

ここはサービス側の条件が変わることがあるため、ルールに「◯年◯月時点」と書き添え、 見直しのたびに確認してください。詳細は各サービスの公式の案内で確認するのが確実です。

違反が起きたときの扱いを決めておく

処分の話ではなく、報告しやすくするために決めておきます。

「入れてはいけない情報を入れてしまった」と気づいたとき、報告すると不利になると思われると、 隠されます。隠されると対処が遅れ、被害が大きくなります。

  • すぐ報告する窓口を書いておく(相談先と同じでも構いません)
  • 報告があった場合にまず何をするかを決めておく(影響範囲の確認など)
  • 報告したこと自体を責めない方針を明記する

「困ったら早く言ってほしい」という姿勢が伝わっているかどうかで、実際に上がってくる情報の量が変わります。

守られるルールの条件

作ったルールが機能するかは、内容よりも形式で決まる部分が大きいです。

条件 理由
1枚に収まる 長いと読まれません。詳細は別紙へ
具体例がある 「入力してよい例/ダメな例」の対比が最も伝わります
相談先が書いてある 判断を現場に押し付けない
更新される 古いルールは守られなくなります

特に2つ目です。抽象的な原則を並べるより、実際の業務で起きそうな例を数行並べる方が、 はるかに守られます。

作ったあとにやること

作って共有フォルダに置いて終わり——これが最もよくある失敗です。初めての違反が起きたときに、ルールの存在が知られる、という状態になります。

  • 全体への説明(一度だけでなく、入社時・異動時にも)
  • OK/NG例の1枚ものを配る
  • 質問が来たら追記する(実際に迷った点こそルールに書くべき内容です)

見直しの前提を書いておく

ツールも法令も変わります。ルールに日付と次回見直し時期を入れてください。

「◯年◯月時点」「半年ごとに見直す」と書いてあるだけで、古い可能性がある前提で読まれるようになります。日付のないルールは、 古くなったときに誰も気づけません。

決めすぎない

最後に、やりすぎの弊害にも触れておきます。

細かく決めるほど、例外を都度判断する必要が増え、運用が止まります。また、細かすぎるルールは読まれず、結果として守られません。

3つの基本(入れてはいけない情報・確認の義務・相談先)を守り、 残りは相談先で吸収する——この形が、小さく始めて続けるには現実的です。

まとめ

  • 禁止だけのルールは機能しない。見えない利用が最も危険
  • まず決めるのは入れてはいけない情報・出力の確認義務・迷ったときの相談先の3つ
  • 既存の情報管理規程の延長として書く。ゼロから作らない
  • 許可ツールは申請制にし、返答期限を明示する
  • 守られる条件は1枚・具体例・相談先・更新
  • 日付と見直し時期を必ず書く
  • 決めすぎず、残りは相談先で吸収する

ルールの目的は、使わせないことではなく、安心して使える範囲をはっきりさせることです。そこがぶれなければ、細部は運用しながら直していけます。