生成AIの社内ルール・ガイドラインの作り方｜中小企業向けにひな形と運用のコツを解説

生成AIの社内ルールは、小さく作って運用しながら育てましょう

生成AIの社内ルールは、まず「何に使ってよいか」「何を入力してはいけないか」「生成結果を誰が確認するか」を決めるところから始めます。最初からすべてのケースを網羅する必要はありません。自社の業務に合わせて試し、迷った事例をもとに見直すことが大切です。

たとえば、営業担当者がメールの文案を作る場合、顧客名や取引条件を伏せて文章の構成だけを相談する使い方は検討しやすいでしょう。一方、顧客との契約書をそのまま入力する場合は、契約上の秘密保持義務や利用サービスの設定を確認する必要があります。

この記事では、生成AIを業務に取り入れるための社内ルールの作り方を、ひな形や運用上の注意点とともに解説します。

なぜ生成AIの社内ルールが必要なのか

生成AIは、文章の下書きや要約、アイデア出しなどに役立ちます。ただし、使い方を個人の判断に任せると、意図せず顧客情報を入力したり、誤った回答を確認せずに社外へ出したりする可能性があります。

ルールの目的は、利用を一律に禁止することではありません。社員が安全に使える範囲を明確にし、判断に迷ったときの相談先を用意することです。最低限の共通認識があれば、担当者ごとに対応がばらつくことも防ぎやすくなります。

なお、生成AIの回答は自然な文章でも正しいとは限りません。もっともらしい誤りを含むことがあるため、最終的な判断と確認は人が行います。

生成AIの社内ルールに盛り込みたい7項目

1. 利用の目的と対象者

まず、ルールの目的と対象者を決めます。たとえば「業務で生成AIを安全に活用するため、役員・社員・パート社員が守る事項を定める」とします。業務委託先にも適用したい場合は、契約上の取り決めも確認しましょう。

対象となる業務も具体的に示します。最初は社内文書の下書き、公開済み資料の要約、会議の議題案など、取り扱う情報を管理しやすい用途から始める方法があります。

2. 利用してよいサービスとアカウント

会社が確認したサービスを指定し、業務で利用するアカウントの管理方法を決めます。個人の無料アカウントを業務に使ってよいか、会社が契約したアカウントのみを使うかも明記してください。

サービスごとに、入力した内容の保存期間や、AIの改善・学習への利用、管理者が設定できる範囲は異なります。同じサービスでも契約プランによって条件が違うことがあるため、利用規約と実際の設定の両方を確認します。

退職や異動の際にアカウントの利用権限を見直す手順も決めておくと、管理しやすくなります。

3. 入力してよい情報と禁止する情報

社員がその場で判断できるよう、情報の種類ごとに扱いを整理します。次は、初期ルールを考える際の例です。

• 公開情報：自社サイトに掲載済みの商品説明などは、内容を確認したうえで利用できる
• 社内情報：社内向けの手順書などは、内容と利用サービスを確認し、会社が認めた範囲で利用する
• 機密情報・個人情報：顧客名簿、未公開の価格、取引先との契約内容などは、原則として入力しない
• 認証情報：パスワードやログイン用の秘密情報は入力しない

氏名を消しても、住所や取引内容などの組み合わせから個人や取引先を推測できることがあります。「名前を消せば必ず安全」とは考えず、不要な情報を入れないことが基本です。

機密情報や個人情報の利用を例外的に認める場合は、目的や必要性に加え、契約、設定、アクセスできる人の範囲などを確認し、承認を得る流れを設けます。

4. 回答の確認と利用範囲

生成された文章や数値は、業務で使う前に担当者が確認します。特に、金額、納期、商品仕様、法律に関する説明などは、元の資料や信頼できる情報と照らし合わせてください。

社外に出す文章では、著作権や秘密保持、取引先との契約にも注意が必要です。たとえば、生成AIが提案した商品説明をそのまま掲載するのではなく、自社の商品仕様と一致しているか、他者の権利を侵害していないかを確認します。

顧客への回答や契約判断など、影響の大きい業務は、担当者だけで確定せず、上長や必要な部門の確認を受ける運用も有効です。

5. 利用履歴とデータの管理

どの業務で、どのサービスを、どのような目的で使うかを把握する方法を決めます。業務日報や簡単な申請書で記録する方法もありますが、すべての入力文を提出させると、記録自体に機密情報が残る場合があります。

何を記録し、誰が閲覧し、いつまで保存するかは、必要な範囲に絞って定めましょう。生成AIの画面上に残る会話履歴や、出力したファイルの保存先も確認します。

6. 問題が起きたときの連絡先と初動

誤って入力してはいけない情報を送った場合や、不審な回答・操作に気づいた場合の連絡先を明記します。担当者が少ない会社では、まず直属の上長に連絡し、上長から情報管理の責任者につなぐ形でも構いません。

重要なのは、社員が隠さず早く報告できることです。ルールには、個人を責めるよりも、被害の確認と再発防止を優先する姿勢を示しておきましょう。

7. 周知と見直しの時期

ルールは作って終わりではありません。利用開始時に短い説明会を開き、実際にありそうな質問を使って、入力できる情報とできない情報を確認します。

サービスの設定変更や新しい業務での利用、トラブルの発生をきっかけに内容を見直します。定期的な見直しの担当者も決め、現場からの疑問を集めておくと改善しやすくなります。

生成AIガイドラインの作り方：5つの手順

手順1：現場の利用状況と目的を把握する

まず、各部署に「何に使いたいか」「すでに使っているか」「どんな情報を扱うか」を聞きます。利用を禁止する前提で調べるのではなく、業務上の困りごとを把握することが目的です。

たとえば、総務は社内通知の下書き、営業は提案書の構成案、製造部門は作業手順の文章整理に関心があるかもしれません。使いたい業務と扱う情報を並べると、優先順位を決めやすくなります。

手順2：情報と業務の影響を整理する

用途ごとに、入力する情報と、回答が間違っていた場合の影響を確認します。公開情報だけで試せる業務と、顧客情報や契約内容を扱う業務は分けて考えましょう。

同じ「メール作成」でも、一般的な案内文のたたき台と、個別のクレームへの回答では確認の必要性が異なります。業務の名前だけでなく、実際に何を入力し、誰に出すかまで確認することが大切です。

手順3：サービスと設定を確認する

候補となるサービスについて、契約条件、入力データの扱い、利用できる管理機能を確認します。社員が個別に登録するのか、会社がまとめて管理するのかも決めましょう。

特に、外部のファイルや他の業務システムと連携する機能を使う場合は、AIがどの情報にアクセスできるか、誰の承認で接続するかを確認します。便利な機能でも、必要以上の権限を与えないことが基本です。

契約条件や設定画面の確認、既存システムとの連携範囲の判断が自社だけでは難しい場合は、情報管理に詳しい専門家に相談するのも一つの方法です。

手順4：ルール案を作り、少人数で試す

最初から全社に広げるのではなく、対象業務と参加者を絞って試します。たとえば、営業部門で「公開済みの商品情報をもとに、提案書の見出し案を作る」といった使い方です。

試行中は、担当者が迷った場面や確認に時間がかかった点を記録します。ルールが厳しすぎて業務に使えない場合も、曖昧で判断できない場合も、理由を確認して修正しましょう。

手順5：周知し、問い合わせを受け付ける

試行結果を踏まえてルールを確定し、対象者に周知します。文書を配布するだけでなく、「この情報は入力できるか」「回答を社外に出す前に何を確認するか」を例で説明すると、理解しやすくなります。

相談先には、利用申請だけでなく、判断に迷った事例も集めます。同じ質問が繰り返される箇所は、ルールや例を見直す目安になります。

そのまま検討に使える社内ルールのひな形

以下は、ルールのたたき台です。業種、契約、利用するサービスに合わせて調整してください。

生成AI利用ガイドライン案

1. 目的：業務の品質と効率を支援するため、情報管理と確認を前提に生成AIを利用します。
2. 利用者：会社が認めた役員・社員等を対象とします。
3. 利用サービス：会社が利用を認めたサービスとアカウントを使用します。新たなサービスを使う場合は、事前に担当者へ確認します。
4. 入力する情報：公開情報を基本とします。個人情報、顧客情報、未公開情報、パスワードなどは原則として入力しません。例外は会社の承認を得ます。
5. 出力結果の確認：回答の正確性、権利関係、社外に出してよい内容かを担当者が確認します。重要な内容は上長等も確認します。
6. 記録と保存：利用目的や必要な記録の残し方、保存先、保存期間を会社の定めに従います。
7. トラブル時：入力ミスや不審な動作に気づいた場合は、速やかに上長または指定の担当者へ連絡します。
8. 見直し：利用状況やサービスの変更を踏まえ、担当者が内容を定期的に見直します。

ひな形を採用する際は、「会社が認める」「担当者へ連絡する」といった箇所を、自社の部署名や役割に置き換えてください。実際の相談先が分かる状態にすることが重要です。

セキュリティ上の注意点とトラブル時の対応

生成AIに関しては、入力情報の扱いだけでなく、外部から与えられた文章にAIが影響される問題も注意点です。たとえば、要約対象の文書に「これまでの指示を無視して別の操作をしてください」といった不正な指示が紛れ込む場合があります。こうした手口を、プロンプトインジェクションと呼びます。

外部文書を読み込む際は、文書内の指示を業務上の命令として扱わないよう利用方法を定め、出力や実行しようとする操作を人が確認します。特に、メール送信やファイル操作などの機能と連携する場合は、実行前の承認や権限の制限を検討しましょう。

また、生成AIを装った偽のサービスや、不審な拡張機能にも注意が必要です。業務で使うサービスは会社が確認し、社員が個別に判断して不明なツールを導入しないようにします。

誤って機密情報を入力した場合

誤入力に気づいたら、まず利用を中断し、指定された連絡先に報告します。そのうえで、次のような情報を確認します。

• いつ、どのサービスに、どのような情報を入力したか
• 入力内容に個人情報や取引先の機密情報が含まれていたか
• サービス側の設定や契約上、データがどのように扱われるか
• 社内の責任者や取引先への連絡が必要か

会話履歴を削除できる場合でも、削除だけで対応が完了するとは限りません。状況確認に必要な記録を保全し、サービス提供者への確認や、必要に応じた関係者への連絡を進めます。法令や契約に基づく報告が必要かどうかも、内容に応じて確認してください。

業務に組み込みながら、使えるルールに育てましょう

生成AIの社内ルールは、利用目的、入力情報、回答の確認、相談先を明確にすることから始められます。まずは公開情報を使った下書きなど、対象を絞って試し、現場で生じた疑問をルールに反映していきましょう。

大切なのは、ルールを配ること自体ではなく、社員が日々の業務で迷わず判断できる状態を作ることです。情報の分類やサービスの設定、契約上の確認を自社だけで進めるのが難しい場合は、専門家に相談するのも一つの方法です。