社内のAI利用ルールの作り方

生成AIの社内ルールを作ろうとすると、多くの場合は禁止事項の一覧ができあがります。顧客情報を入力しない、個人情報を入力しない、機密情報を入力しない。書いてあることは正しいのですが、この形の文書はほぼ守られません。

理由は単純で、読んだ人が知りたいことが書かれていないからです。現場が知りたいのは「では何なら使っていいのか」であり、それが書かれていなければ各自の解釈で判断することになります。ここでは、実際に守られるルールの作り方を手順として示します。

手順1: 対象と目的を決める

最初に決めるのは、誰に向けた文書かです。正社員だけを想定して書くと、業務委託や副業のメンバー、インターンに渡せる形になりません。実務では、こうした立場の人が最も判断に迷います。

目的も一文で書いておきます。「生成AIを安全に業務で活用するため」といった趣旨で構いませんが、禁止が目的ではないことを最初に示す意味があります。この一文があるかどうかで、読み手の受け取り方が変わります。

範囲も明示します。業務で使うすべての生成AIサービスが対象なのか、社内利用に限るのか、自社プロダクトへの組み込みは別扱いなのか。組み込み開発は設計上の判断が多く含まれるため、社内利用のルールとは分けたほうが実用的です。

手順2: 使ってよい範囲を具体例で書く

ここがこの文書の中心です。抽象的な許可ではなく、社内で実際に起きている業務の名前で書きます。

• 議事メモの整形と要約（自分が書いたメモに限る）
• 公開済みの文章の誤字確認、言い回しの調整
• 一般的な技術的質問、調べものの取っかかり
• ダミーデータに置き換えた状態での不具合の相談
• 社外向け文章のたたき台づくり（人が確認してから送る）
• 表計算の数式や定型コードの生成

この一覧が具体的であるほど、載っていない用途について相談が来るようになります。逆に「業務効率化の範囲で利用可」といった書き方をすると、何でも入ると解釈され、相談が来なくなります。相談が来ない状態は、守られている状態とは違います。

想定例として、営業のメンバーが提案書の下書きにAIを使いたいと考えた場面があります。一覧に「社外向け文章のたたき台づくり」とあれば、そのまま進められます。一覧になければ、判断に迷って相談するか、黙って使うかのどちらかです。一覧の具体性が、この分かれ道を決めます。

手順3: 入力してはいけないものを書く

禁止の側は、データの区分で書きます。「機密情報」といった抽象語ではなく、自社で実際に扱っている資料の名前を使います。

本番データベースの中身、顧客からの問い合わせ本文、氏名や連絡先を含む一覧、取引先から預かった資料、未公開の事業計画、採用の選考記録、APIキーやパスワード。自社の実態に合わせて並べ替えてください。

ここで併せて書くのは、代わりの手段です。「顧客データは入力しない。分析が必要な場合はダミーデータに置き換えるか、担当者に相談すること」という形にすると、禁止が行き止まりになりません。代わりの手段が示されていない禁止は、抜け道を探す動機になります。データ区分の詳しい作り方は別の記事で扱っています。

手順4: 承認と相談の経路を決める

判断に迷ったときに誰に聞くかを、名前か役割で書きます。「上長に相談」では、上長も判断できないことがあります。窓口を一つに決めておくほうが、判断の一貫性が保てます。

決めるのは三点です。新しいAIサービスを使いたいときの申請先。入力してよいか迷ったときの相談先。誤った出力が外に出てしまったときの報告先。この三つは別の人でも構いませんが、文書に書かれていることが重要です。

アカウントの扱いも併せて決めます。法人契約のアカウントを使うこと、個人の無料アカウントで業務を行わないこと、退職や契約終了時にアカウントを停止すること。これはセキュリティの基本項目と同じ扱いになります。

手順5: 一枚に収めて配る

分量は意識して抑えてください。目安として、A4で一枚から二枚です。長い文書は読まれず、読まれない文書は守られません。

配り方も決めます。入社時と業務委託契約時に渡す。社内の共有ドキュメントの分かりやすい場所に置く。更新したら全員に通知する。この三つを決めておけば、「知らなかった」という状況を減らせます。

説明の機会も一度設けることをおすすめします。文書を読むだけでは、なぜその線引きなのかが伝わりません。三十分の説明で、禁止の理由と相談の歓迎を伝えるほうが、文書を厳密にするより効果があります。

手順6: 使われ方を見て見直す

作った時点が完成ではありません。半年を目安に、次の点を確認します。

相談として上がってきた事例を、許可の一覧か禁止の一覧に追記できないか。使っているサービスが増えていないか。許可の範囲が狭すぎて、現場が困っていないか。実際に起きたヒヤリとした事例はないか。

見直しで最も効果があるのは、相談事例の追記です。誰かが迷った論点は他の人も迷います。事例をルールに戻していくことで、文書が現場の実態に近づきます。

守られないルールを見つけたときは、違反として扱う前に理由を確認してください。多くの場合、ルールが業務に合っていないか、代わりの手段がないかのどちらかです。ルール側を直すほうが、結果として安全になります。

許可から書くと運用が回る

ここまでの手順は、一つの考え方に集約されます。ルールの役割は行動を止めることではなく、判断を揃えることです。使ってよい範囲が具体的に示されていれば、現場は迷わず動けますし、範囲外のことは相談してくれます。

少人数の組織ほど、この文書の費用対効果は高くなります。一枚の文書を作る手間で、個別の判断に使う時間と、判断のばらつきから生じるリスクの両方が減るためです。AI活用開発や開発チーム体制構築・内製化支援で、ルールの整備を含めて相談したい方はお問い合わせください。

本記事は一般的な情報であり、個別の事案は専門家・所管官庁にご確認ください。