AI を使うときの社内ルールは、3つの線引きから決める

社員が ChatGPT などの生成 AI を使い始めると、経営者や管理部門からは「情報が漏れないか」⁠という心配が出てきます。かといって全面的に禁止すると、使いたい人が個人のアカウントで隠れて使う、という状態になりかねません。

ルールの目的は、使わせないことではなく、安心して使える範囲を明確にすることです。この記事では、ルールを決めるための3つの線引きと、文書にまとめるときのコツを説明します。

線引き1：入力してよい情報と、いけない情報

最初に決めるのは、AI に入力する情報の範囲です。情報を3段階くらいに分けると、現場で判断しやすくなります。

• 入力してよい：公開済みの情報、一般的な文章の下書き、自分の考えを整理するためのメモ
• 条件付きで入力してよい：社内の資料で、個人名・取引先名・金額などを伏せたもの
• 入力してはいけない：個人情報（従業員・顧客）、取引先との契約内容、未公開の経営情報、パスワードや鍵

迷うものは、「入力してはいけない」側に倒しておくのが安全です。また、「名前を伏せれば入力してよい」⁠という条件を付ける場合は、伏せ方の具体例（「A社」「担当者B」⁠のように置き換える）⁠も示します。

線引き2：使ってよいサービスの範囲

次に、どのサービスを使ってよいかを決めます。サービスによって、入力した内容がどう扱われるかが異なります。確認する点は、次のとおりです。

• 入力内容が、サービスの改善（学習）⁠に使われるか。使われない設定にできるか
• 契約（法人向けのプランなど）⁠によって、扱いが変わるか
• データを保管する期間と、削除の方法
• 管理者が、利用状況を把握したり、利用者を管理したりできるか

これらは、各サービスの利用規約や公式の説明に書かれています。仕様は更新されるため、ルールを決める時点の最新の公式情報で確認し、確認した日付を記録しておきます。会社として契約したサービスだけを使ってよいことにして、個人契約のサービスは業務に使わない、と決める会社もあります。

線引き3：出力の確認と、責任の所在

3つ目は、AI が出した内容の扱いです。生成 AI は、事実と異なる内容をもっともらしく書くことがあります。そこで、次を決めておきます。

• 社外に出す文書は、必ず人が内容を確認してから出す
• 数字、固有名詞、法令・制度の記載は、一次情報（公式の資料）⁠で確認する
• 確認した人が、その文書の責任者になる（AI のせいにしない）
• 外部に公開する文章や画像に AI を使った場合の扱い（表示するか、著作権の確認をどうするか）

ルール文書にまとめるときのコツ

線引きが決まったら、A4⁠で1〜2枚の文書にまとめます。長いと読まれません。構成の例は次のとおりです。

1. 目的：安心して使うためのルールであること
2. 使ってよいサービスの一覧
3. 入力してよい・いけない情報（上の3段階と具体例）
4. 出力を使うときの確認
5. 困ったときの相談先（担当者名または窓口）

加えて、次の運用を決めておきます。

• 年に1回、または利用するサービスが変わったときに、見直す
• 研修の場でルールを説明し、事例で確認する
• 事故が起きた場合の連絡先と、最初にやること（利用の停止、上長への報告）

なお、個人情報の扱いや、業種ごとの規制（士業、医療、金融など）⁠がある場合は、ルールの作成にあたって、弁護士や所管の団体、公式のガイドラインで確認してください。この記事は一般的な考え方であり、法的な助言ではありません。

ルールは、現場の実情と合っていないと守られません。文書を確定する前に、実際に AI を使っている社員の何人かに読んでもらい、「この場面では、どう判断すればよいか」⁠を聞いてください。ルールの文面で判断に迷うところが出てきたら、具体例を足して直します。

また、禁止事項を増やしすぎないことも大切です。禁止が多いと、ルールの存在そのものが使うことへの心理的な障壁になります。守るべき最低限の線を明確にし、その内側は自由に試してよい、と伝える書き方のほうが、使う人にも管理する側にも負担が少なくなります。

Renode にできること

Renode では、お客様の業務に合わせた AI 利用ルールの案づくりと、研修でのルールの説明、運用開始後の見直しの相談を承っています。法的な確認が必要な部分は、専門家への相談を前提に整理します。