生成AIの社内ルールを作るときの論点

生成AIの社内ルールを作ろうとすると、多くの場合「禁止事項リスト」ができあがります。顧客情報の入力禁止、機密情報の入力禁止、成果物のそのままの利用禁止。間違ってはいないのですが、この形式のルールは現場で参照されません。

理由は単純で、禁止事項だけでは「では何ができるのか」が分からないからです。判断できない現場は、使わなくなるか、ルールを見ずに使うかのどちらかに向かいます。どちらも当初の目的から外れます。

このページでは、運用できるルールにするための3つの論点を整理します。法的な助言ではなく、社内で合意を取るための論点整理です。

論点1: 入力してよい情報の線引き

最も重要で、最も後回しにされやすい論点です。「機密情報は入力しない」とだけ書かれたルールは、現場では機能しません。何が機密情報にあたるかの判断が、担当者ごとに違うからです。

実務的なのは、抽象的な区分ではなく、具体例で示すことです。たとえば次のような形です。

• 入力してよい：公開済みの自社情報、一般的な業務知識、社名や個人名を伏せた相談内容
• 確認が必要：社内の未公開資料、取引先とのやり取りの内容
• 入力しない：顧客の個人情報、契約金額や条件、未公表の人事・財務情報

区分の数は3つ程度に抑えるのが実用的です。細かく分けるほど、現場は覚えられなくなります。

もう一つの工夫は、「伏せれば使える」ケースを明示することです。実務で多いのは、相談内容そのものは一般的なのに、固有名詞が含まれているために判断に迷う場面です。社名や担当者名を置き換えれば入力してよい、というルールがあるだけで、使える範囲が大きく広がります。

論点2: 成果物の確認責任を明記する

生成AIの出力には、事実と異なる内容が含まれることがあります。この前提をルールに書き、確認の責任が誰にあるかを明記します。

書き方として有効なのは、「生成AIの出力は下書きであり、提出物としての責任は作成者が負う」という一文です。これがあると、確認をせずに提出したときの責任の所在が明確になります。逆にこれがないと、問題が起きたときに「AIが出したものだから」という説明が出てきてしまい、再発防止が難しくなります。

社外に出る文書については、確認の手順まで決めておくと安全です。数字と固有名詞は必ず一次情報と照合する、引用や出典は元の資料を確認する、といった具体的な手順です。

論点3: 例外の申請先を決める

ルールを作ると、必ず「この場合はどうするか」という状況が出てきます。このとき相談先が決まっていないと、現場は自己判断するか、諦めるかになります。

決めておくのは、相談先の部署または担当者、回答までの目安時間、そして判断が例外的に認められた場合の記録方法です。記録が残ると、同じ相談が繰り返されたときにルール本体を更新する材料になります。ルールは一度作って終わりではなく、例外の蓄積で育てるものだと考えると運用しやすくなります。

ツールごとの設定も確認する

ルールの文書とは別に、実際に使うサービス側の設定確認が必要です。入力したデータの扱いはサービスとプランによって異なる場合があります。特に業務で使う場合は、次の点を公式の規約とヘルプで確認してください。

• 入力データが学習に使われるかどうか、設定で変更できるか
• データの保存場所と保存期間、削除の手段
• 管理者がアカウントと利用状況を把握できるか
• 無料プランと有料プランで取り扱いが異なるか

会議の録音を扱うツールでは、この確認がさらに重要になります。詳細はAI議事録ツールを社内で使う前に確認する項目で整理しています。

作る順番の目安

現場で使われるルールにするには、順番があります。まず、実際に使う部門を1つ選び、その部門の業務でどう使いたいかを聞きます。次に、その用途に必要な線引きを決めます。そのうえで文書化し、運用しながら例外を集めて更新します。

逆に、情報管理の観点だけで先に完成版を作ると、現場の用途と合わないルールになりがちです。作成段階から使う側の担当者を入れておくと、この齟齬を減らせます。

なお、社員の理解度に差がある状態でルールだけ配っても定着しません。使い方の教育と組み合わせる場合は、法人で生成AI研修を検討するとき、比較の前に決めておくことも参考にしてください。

本ページは一般的な論点の整理であり、法令の解釈や個別の可否についての判断は含みません。実際のルール策定にあたっては、社内規程および法務部門の判断に従ってください。当サイトは法的な助言を行いません。