- コラム
生成AIを仕事で使いたいけれど、「どのサービスなら使えるのか」「顧客情報を入力してよいのか」「出力を誰が確認するのか」が曖昧で、社内展開が進まないことがあります。ルールは利用を一律に止めるためではなく、目的や情報の種類に応じて、安心して使える範囲と確認方法を共有するために作ります。
この記事では、小規模な組織でも検討しやすい社内ルールの作り方を、利用目的、許可するツール、入力情報の区分、出力確認、相談・報告体制の順に紹介します。公的ガイドラインやひな形をそのまま社内規程とせず、自社の情報管理規程や契約、業務に合わせて調整してください。
最初に「誰が、何の業務で、どんな成果物を作るために使うか」を具体化します。議事録の要約、文章のたたき台、公開情報の調査では、必要な入力情報や確認の重さが異なります。「業務で生成AIを使う」とだけ定めると、利用者が自分のケースを判断できず、結局ルールが使われなくなりがちです。
まず、候補となる業務をいくつか挙げ、期待する用途、利用者、扱う情報、出力を使う相手を整理します。続いて、試行を認める業務と、追加確認が必要な業務を分けます。顧客対応や採用、金額・契約の判断など、人の権利や重要な意思決定に影響する用途は、出力の確認者や利用条件を慎重に検討しましょう。
総務省・経済産業省のAI事業者ガイドライン（第1.2版）は、AIの開発者・提供者・利用者などの役割を踏まえた指針です。自社の社員向けルールへ落とし込む際は、ガイドラインの対象や前提を確かめ、利用するサービスと業務に合う項目を選びます。
「生成AIを使ってよいか」だけでなく、許可するサービスと入力できる情報をセットで決めます。会社が契約・管理するサービスと、社員が個人で登録したサービスでは、管理者設定や契約条件が異なることがあります。ツール名、利用可能なアカウント、利用目的、禁止される使い方、問い合わせ先を一覧にすると、現場が確認しやすくなります。
入力情報は、社内の情報分類規程があればそれを使います。まだ分類がない場合は、少なくとも次のように仮分けし、正式な区分は情報管理の責任者と決めてください。
この分類は一般的な検討例であり、法令上の一律な区分を示すものではありません。個人情報の取扱いや契約上の制約は、情報の内容と利用目的に応じて担当部署へ確認します。個人名を伏せても、他の情報と組み合わせて本人が分かる場合がある点にも注意が必要です。
運用表には「ツール名／利用目的／入力してよい情報／禁止事項／出力確認の要否／管理窓口／見直し日」を並べ、判断例も添えます。例えば、公開済みの製品ページを要約する用途は利用可、顧客から届いた未加工の相談文を入力する用途は担当者確認まで保留、という形です。これは一般的な例であり、実際の可否はサービスの利用条件と自社規程に合わせて判断します。「可・要確認・不可」の例を示すと、抽象的な注意事項を日々の作業に結び付けやすくなります。
サービスごとの説明ページや契約条件を参照し、保存期間、入力内容の利用目的、削除方法を確認します。まだ確認できていない項目は「未確認」と残し、確認担当者と期限を決めてください。条件変更に気づけるよう、問い合わせ先と見直し時期も記載しておきます。
周知後は、社員から寄せられた質問を記録し、判断例や説明で不足している点を補います。ルールを更新した場合は、古い資料との差し替えと変更内容の共有まで行いましょう。
生成AIの出力をそのまま正解として扱わず、業務で使う前に担当者が確認します。確認の深さは、成果物が社内メモなのか、顧客への回答なのか、重要な判断の材料なのかで変わります。社外へ出す文章や数値・制度・製品仕様を含む内容は、一次資料や責任部署に照らして、事実、条件、引用、個人情報の有無を確認しましょう。
社内ルールには「確認する」とだけ書くのではなく、誰が何を確認するかを示します。例えば、営業資料は担当者が価格・仕様を確認し、法令や社内規程の説明は所管部署が確認する、といった役割分担です。出力を採用しない場合や判断に迷う場合の相談先も明記します。
デジタル庁の利活用ルールひな形も、利用目的や利用条件を理解すること、入力内容を確認すること、出力を業務に使う際に人が判断することなどを示しています。ただし、同資料は行政機関向けの例です。民間企業が使う場合は、そのまま適用するのではなく、自社の規程や契約条件に合わせて読み替えてください。
ルールを作っても、例外時の行動が分からなければ現場では使いにくいものです。入力してよいか判断できない情報、出力に誤りや偏りが見つかった場合、意図しない情報を入力した可能性がある場合など、場面ごとの相談先と初動を決めておきます。
事故の疑いがあるときに、利用者がログを消したり、自分だけで原因を調査したりしないよう、報告先と初動を短く書きます。実際の対応手順は既存の情報セキュリティ・個人情報保護のインシデント手順と整合させてください。
最初から完璧な規程を目指すより、対象を絞った試行で運用上の疑問を集めます。公開情報を使う文章の下書きなど、影響範囲を限定しやすい業務から始め、利用者が迷った点、確認に時間がかかった点、ルールに書かれていない例外を記録します。試行の前に、対象者、期間、使うツール、入力禁止情報、成果物の確認者を共有しておきましょう。
見直しのタイミングは、定期日だけでなく、利用サービスの契約・機能が変わったとき、対象業務が広がったとき、インシデントや重大な誤りが起きたときにも設定します。改訂履歴には、変更内容、理由、承認者、周知日を残すと、古い版が現場に残るのを防ぎやすくなります。
IPAの「テキスト生成AIの導入・運用ガイドライン」は、導入、運用、リスク管理を分けて検討する材料になります。資料を参考にする際は公開日や対象範囲を確かめ、現在のサービス条件や自社の状況に合うかを担当部署が確認してください。
Q. 社内ルールには何を書けばよいですか？
A. 利用目的、許可するサービス、入力できる情報、出力の確認方法、相談先、問題発生時の連絡先、見直し担当を基本項目として整理します。自社の情報管理規程や契約に応じて具体化してください。
Q. 公的なひな形をそのまま使ってもよいですか？
A. ひな形は検討漏れを防ぐ参考になりますが、対象組織や前提条件が異なることがあります。適用範囲を確認し、自社の業務、利用するサービス、既存規程と照らして調整してください。
Q. 個人情報は匿名化すれば入力できますか？
A. 匿名化したつもりでも、他の情報との組み合わせで個人を識別できる場合があります。入力の可否は一律に決めず、利用目的、サービスの条件、社内規程を担当部署に確認し、判断できない場合は入力を控えます。
生成AIの社内利用ルールは、利用を止めるためだけのものではありません。業務の目的、許可するツール、入力情報の範囲、出力確認、相談・報告体制をそろえ、社員が迷ったときに取る行動を共有するものです。
公的ガイドラインやひな形を出発点にしながら、自社の情報管理担当・法務担当などと確認して運用可能な形に整えましょう。個別の法的判断が必要な場合は、一般的な記事やひな形だけで結論を出さず、専門担当者へ相談してください。