あるクライアントの管理部門の方から、こんな相談を受けたことがあります。「現場が勝手にChatGPTを使い始めていて、正直どこまで許していいのか分からない。禁止するのも違う気がするし、放っておくのも怖い」。

生成AIの社内ルールとは、従業員がAIを業務で使うときに、どんな情報を入力してよいか、どの業務に使ってよいか、出力物をどう扱うか、問題が起きたら誰に相談するかを定めた取り決めのことです。目的は利用を縛ることではなく、安心して使える範囲をはっきりさせることにあります。禁止一辺倒でも野放しでもなく、線引きを共有することが出発点になります。

なぜ社内ルールが必要なのか

生成AIは、使い方を誤ると情報漏えいや権利侵害につながります。代表的なのが、機密情報や個人情報をそのままAIに入力してしまうケースです。入力した内容がAI提供側の学習に使われたり、意図せず外部に残ったりする可能性を、多くの従業員は意識していません。

現場でよく見かけるのは、便利さが先に立って利用が広がり、ルールが後追いになっている状態です。禁止していないから使う、けれど何をどこまでやってよいかは誰も知らない。この曖昧な状態が一番危うい状態です。ルールがあれば、従業員は迷わず判断でき、管理側も「想定外の使い方」を減らせます。

AIをどの業務に取り入れるかという全体の方針については、中小企業のAI導入の進め方でも触れています。社内ルールは、その導入方針を安全に回すための土台にあたります。

ルールに盛り込むべき項目

盛り込む内容は業種や扱う情報によって変わりますが、最低限おさえておきたい項目は次のように整理できます。

  • 入力してよい情報の範囲：顧客の個人情報、未公開の経営情報、取引先から預かった機密などは入力しない。公開情報や社内で作成中の一般的な文章は可、といった線引きを具体的に示します
  • 利用してよい業務の範囲：文章の下書き、要約、アイデア出し、翻訳などは推奨、といった形で用途を例示します。逆に、最終判断や対外的な意思決定をAIの出力だけで行わないことも明記します
  • 出力物の扱い：AIの回答は必ず人が確認してから使う。事実確認をしないまま社外に出さない。生成物に誤りが含まれる前提で扱うことを共有します
  • 権利・著作権への配慮：既存の作品や他社の文章を無断で模倣させない。生成した画像や文章が第三者の権利を侵害していないか確認します
  • 相談窓口と責任の所在：判断に迷ったとき、トラブルが起きたときに相談する担当や部署を決めておきます

項目を並べただけの規程は読まれません。「なぜその線引きなのか」を一言添えると、現場が納得して守りやすくなります。

策定の手順

ゼロから完璧なルールを作ろうとすると、いつまでも公開できません。実務では、たたき台を早く出して運用しながら直していく進め方が現実的です。

まず、自社で生成AIをどの業務に使いたいか、どんな情報を扱うかを洗い出します。次に、後述する公的ガイドラインのひな形を土台にして、自社の実態に合う形へ調整します。全社に配る前に、実際に使っている現場の数人に目を通してもらうと、机上では気づけない抜けが見つかります。

公開後も、AIの機能や関連する法制度は変わり続けます。半年から一年に一度は見直す前提で運用することをおすすめします。一度決めて終わりにすると、実態とルールが少しずつずれていきます。

参考にできる公的ガイドライン

社内ルールはゼロから書く必要はありません。国内には、そのまま土台に使える公的な資料が公開されています。

日本ディープラーニング協会（JDLA）は「生成AIの利用ガイドライン」のひな形を公開しています。組織が自社の目的に合わせて追記・修正して使うことを想定した内容で、条項のみの版と簡易解説付きの版があります。まず全体像をつかむのに向いています。

総務省と経済産業省がまとめた「AI事業者ガイドライン」は、AIを開発する側・提供する側・利用する側の三者に分けて、必要な取り組みの基本的な考え方を示しています。自社が「利用する側」としてどう振る舞うべきかを確認できます。

より実務寄りの資料としては、情報処理推進機構（IPA）が2024年7月に公開した「テキスト生成AIの導入・運用ガイドライン」があります。導入から運用までの流れに沿って、押さえるべき論点が整理されています。

個人情報の扱いについては、個人情報保護委員会が生成AIサービスの利用に関する注意喚起を出しています。個人情報を入力する際の注意点は、社内ルールにそのまま反映しておきたい部分です。

よくある失敗

一つ目は、禁止事項だけを並べてしまうことです。「あれもだめ、これもだめ」では現場が萎縮し、結局はルールを見ずにこっそり使う人が出ます。「ここまでは安心して使ってよい」という許可の範囲をセットで示すほうが機能します。

二つ目は、一度作って放置することです。生成AIの機能は短い周期で変わります。半年前には想定していなかった使い方が当たり前になっていることもあります。運用しながら更新する前提を、はじめから組み込んでおくことが望ましいです。

三つ目は、ルールを配って終わりにすることです。読んで理解してもらう機会がなければ、文書は形だけのものになります。AIとの付き合い方を判断する力、いわゆるAIリテラシーを高める取り組みと合わせて進めると、ルールが実際の行動につながりやすくなります。生成AI自体の基礎を共有したい場合は、生成AIとは何かもあわせて活用できます。

まず線引きを共有することから

生成AIの社内ルールは、利用を止めるためのものではなく、安心して使える範囲を全員で共有するためのものです。完璧な規程を最初から目指すより、公的ガイドラインを土台にたたき台を早く出し、運用しながら育てていく進め方が現実的です。線引きがはっきりすれば、現場は迷いなく使え、管理側も想定外を減らせます。

参考文献