生成AIを安全に使うために — 社内ガイドライン策定の5ステップ

「AIを業務に使いたいが、情報漏洩が怖い」。生成AIの導入を検討する企業から、真っ先に上がる懸念がこれです。

この懸念は正当なものです。実際に、従業員が顧客の個人情報をChatGPTに入力してしまったケースや、社外秘の数値データを貼り付けて要約させていたケースは報告されています。しかし「怖いから使わせない」という判断は、それはそれで別のリスクを生みます。競合がAIで業務効率を上げる中、自社だけが取り残される可能性があるからです。

必要なのは「禁止」ではなく「ルール」です。この記事では、社内のAI利用ガイドラインを策定するための5つのステップを、具体的なテンプレート付きで解説します。

ステップ1: 入力してよい情報とダメな情報を分類する

ガイドラインの出発点は、「何をAIに入力してよいか」を明確にすることです。多くの企業では、この線引きが曖昧なまま個人の判断に委ねられています。

情報を3段階に分類すると整理しやすくなります。

分類	定義	例	AIへの入力
公開情報	社外に公開済みの情報	製品カタログ、プレスリリース、Webサイト掲載情報	可
社内情報	社外秘だが個人を特定しない情報	社内マニュアル、業務フロー、会議の一般的な議題	条件付きで可
機密情報	漏洩時に重大な損害が生じる情報	顧客の個人情報、取引先の契約条件、未公表の財務データ	不可

この分類表を社内に掲示するだけで、従業員は判断に迷う場面が大幅に減ります。ポイントは、具体例を自社の業務に即して書くことです。「機密情報は入力しないでください」と言われても、何が機密かわからなければルールは機能しません。

ステップ2: 利用ツールと契約形態を決める

次に、会社として「どのAIツールを、どの契約形態で使うか」を決めます。

ここで重要なのは、無料版と有料版ではデータの取り扱いが異なる点です。たとえばChatGPTの場合、無料版では入力した内容がモデルの学習に使われる可能性がありますが、ChatGPT Team以上のビジネスプランでは学習に使われない設定になっています。

企業として利用する場合は、ビジネス向けプランの契約を強く推奨します。月額の費用は発生しますが、データ保護の観点では必須の投資です。

また、「会社が指定したツール以外は業務に使わない」というルールも合わせて設けてください。従業員が個人の判断で様々なAIツールを使い始めると、データがどこに流れているか管理できなくなります。

あわせて読みたい取引先から「貴社は生成AIを使っていますか」と聞かれた日 — AI利用確認書で問われる6項目と、中小企業の答え方

ステップ3: 出力の検証ルールを定める

AIの出力は、常に正確とは限りません。もっともらしい文章の中に、事実と異なる情報が混ざっていることがあります。いわゆる「ハルシネーション」と呼ばれる現象です。

このリスクに対処するため、「出力の検証ルール」を明文化してください。

社外向け文書の場合

• AIが出力した数値データは、必ず原典で事実確認を行う
• 固有名詞（人名・社名・製品名）は必ず手動で確認する
• 最終版は必ず人間がレビューしてから送信する

社内向け文書の場合

• 事実関係の確認は必要だが、文体の微調整は省略可
• 下書きとして利用し、最終的な判断は担当者が行う

すべての出力に同じレベルの検証を求めると、AI活用のメリットが薄れてしまいます。文書の用途や重要度に応じて、検証の粒度を分けることが現実的です。

ステップ4: 禁止事項を明文化する

「やってはいけないこと」をリスト化し、全従業員に周知します。曖昧にせず、具体的に書くことが重要です。

以下は、多くの企業に共通する禁止事項の例です。

• 顧客の氏名、住所、電話番号、メールアドレスなどの個人情報を入力しないこと
• 取引先との契約金額、仕入れ価格、未公表の売上データを入力しないこと
• 社員の評価情報、給与情報、健康情報を入力しないこと
• AIの出力をそのまま社外に送信しないこと（必ず人間が確認する）
• 会社が指定していないAIツールを業務目的で使用しないこと
• AIが生成した内容を、自分が作成したものとして偽らないこと

禁止事項はA4で1枚にまとまる量が理想です。長すぎるリストは読まれません。本当に重大なリスクに絞って、簡潔に記述してください。

ステップ5: 運用開始後の見直しサイクルを決める

ガイドラインは「作って終わり」ではありません。AI技術は急速に進化しており、半年前のルールが現状に合わなくなることは珍しくありません。

見直しのサイクルとして、以下の頻度を推奨します。

• 四半期に1回: ガイドライン全体の見直し。新しいツールの追加、禁止事項の更新
• インシデント発生時: 問題が起きたら即座にルールを修正し、全社に周知
• 新ツール導入時: 新しいAIツールを採用する際は、事前にリスク評価を実施

また、従業員からのフィードバックを受け付ける窓口を設けることも大切です。「このケースはどう判断すればいいですか？」という現場の疑問は、ガイドラインの改善にとって貴重な情報源です。

まとめ

生成AIのガイドライン策定は、5つのステップで進められます。入力情報の分類、ツールと契約の決定、出力の検証ルール、禁止事項の明文化、そして見直しサイクルの設定です。

完璧なガイドラインを最初から作ろうとする必要はありません。まずは最低限のルールを定めて使い始め、運用しながら改善していくのが現実的なアプローチです。重要なのは、ルールが「ない」状態を放置しないことです。

えらびの道のAI研修では、スキル教育だけでなく、こうしたガイドラインの策定支援もプログラムに含まれています。「自社に合ったルールをどう作ればいいかわからない」という場合は、お気軽にご相談ください。

社内ルールづくりまで、えらびの道でお手伝いできること

合同会社えらびの道は、大分県の中小企業向けに生成AIの業務活用研修を行っています。とはいえ研修専門の会社ではなく、普段はシステムの受託開発と自社サービスの運用をしています。生成AIはその現場で毎日使っている道具なので、どこまでなら安全に任せられるかを、実務の感覚でお話しできます。

研修では、貴社が実際に扱っている書類をそのまま題材にします。市販のひな形ではなく、手元の見積書や顧客リスト、社内マニュアルを見ながら、入力してよい情報の分類、社内で使うツールと契約形態、出力を人が確認する範囲を一緒に決めていきます。ガイドラインの草案まで、その場で形にすることを目指しています。

進め方としては、事前のヒアリングに伺うのも当日に立つのも代表の喜多です。現場で聞いた話が、そのままルールの中身になります。大分市の人材育成応援事業などを使う場合は、申請書類の作成もお手伝いします。

何を禁止事項にすべきか、まだ整理できていない段階でも構いません。えらびの道では、オンラインで30分ほどの相談をお受けしています。費用はかかりませんので、まずは現在の困りごとをお聞かせください。

よくある質問

従業員が数人の小さな会社でも、AIのガイドラインは必要ですか？

人数が少ない会社ほど、判断が個人任せになりやすいのが実情です。基準がないままだと、一人の操作で情報が外に出てしまいます。入力してよい情報の分類と禁止事項を紙一枚にまとめるだけでも機能しますので、規模に関わらず先に決めておくことをおすすめします。

社員が誤って機密情報をAIに入力してしまった場合、どうすればいいですか？

大切なのは、誰にいつ報告するかを事前に決めておくことです。報告が上がらないまま放置される状態が一番のリスクになります。起きてしまった後は、入力した内容と影響の範囲を確認したうえで、同じことが繰り返されないようルールを直し、全社に周知してください。

既存の情報セキュリティ規程とは別に、AI専用のガイドラインを作るべきですか？

どちらでも構いませんが、既存の規程があるなら、そこに追記するほうが管理は楽になります。文書を分けると、改訂のたびに内容がずれていくためです。ただし分類表と禁止事項だけは、現場がすぐ見られるよう別に一枚で掲示しておくと実用的です。