社内の生成AI利用ガイドラインの作り方

生成AIを業務で使う社員が増えるほど、「何を入力してよいか」「出力をそのまま使ってよいか」の判断が個人任せになります。判断がばらつけば、機密の漏えいや誤った出力の流用が起きます。社内ガイドラインは、この判断を会社として揃える共通のものさしです。本稿では、盛り込むべき項目、線引きの具体例、作り方の手順、運用までを、そのまま自社の草案に落とせる粒度で整理します。

なぜ社内にAIガイドラインが必要なのか

ルールがない状態では、AIを使うかどうかも、何を入力してよいかも、社員一人ひとりの解釈に委ねられます。慎重な人は萎縮して使わず、大胆な人は顧客名簿を平気で貼り付ける。組織としての利用水準が定まらないことが、最初の問題になります。

放置したときに起きる事故は、大きく三つです。一つ目は機密の漏えいで、個人情報や未公開情報が外部ツールへ流れる経路を指します。二つ目は出力の誤りで、AIが生んだ不正確な内容がそのまま社外文書に載る経路です。三つ目は無断利用で、会社の目が届かない場所で各自が勝手に使う状態を指します。

ガイドラインの役割は、禁止のリストを配ることではありません。安全に使える範囲を明示し、社員が迷わず正しく使える状態を作ることにあります。禁止だけを並べると、かえって無断利用を招きます。

ガイドラインに盛り込む5つの項目

実務で機能するガイドラインは、少なくとも次の5項目を備えます。心構えの列挙ではなく、社員がその場で判断できる具体性を持たせることが要点です。

• 使ってよい情報・ダメな情報の線引き：入力してよいデータと、入力してはいけないデータを具体例で示す
• 承認された利用窓口：会社が認めた業務用ツールと、個人アカウントの利用との違いを明記する
• 出力の確認責任：AIの回答を誰が確認し、どこまで人が最終責任を持つかを定める
• 禁止事項：契約・法令・守秘義務に触れる使い方を、理由とともに列挙する
• 相談先：判断に迷ったときに聞ける窓口と、問題が起きたときの報告先を示す

5つが欠けたガイドラインは、現場で「結局どうすればいいのか」という質問を生みます。とくに承認された利用窓口の指定は見落とされがちで、窓口がないまま「気をつけて使うこと」とだけ書くと、社員は手元の個人アカウントを使い続けます。

使ってよい情報・ダメな情報を具体例で線引きする

最も質問が集中するのが、入力してよい情報の線引きです。ここは機密度で判断します。守るべきデータを機密度で分ける考え方は社内データを安全に使うための、AIセキュリティ設計で詳しく扱っています。ガイドラインには、その分類を現場で使える具体例に落として載せます。

• 入力してよい例：公開済みの製品情報、すでに社外へ出している資料、個人や取引先が特定できない一般的な相談
• 条件つきで可の例：社内限定のマニュアルや議事録。承認された窓口に限り可、といった条件を添える
• 入力してはいけない例：個人情報、顧客名簿、未公開の財務・人事情報、契約書、パスワードなどの認証情報

原則は「迷ったら入力しない」に置きます。線上のケースは相談先に確認する運用にすれば、判断のばらつきを窓口へ集約できます。抽象的な「機密情報は入力しない」だけでは人によって解釈が割れるため、自社で実際に扱う書類名まで具体的に書くことが効きます。

出力の確認責任と禁止事項を明文化する

AIの出力には、事実の誤りや古い情報が混ざります。誰が確認するかを決めていないと、誤った内容が社外文書や意思決定にそのまま流れます。確認責任は、用途で段階を分けると運用しやすくなります。

• 社内メモや下書き：作成者本人が目視で確認すれば足りる
• 社外向けの文書・提案：作成者に加え、上長または担当部門が最終確認する
• 法務・税務・医療など専門判断を含む内容：AIは下調べと初稿までとし、最終判断は専門家に残す

禁止事項は、理由とセットで書くと守られます。理由の見えない禁止は形骸化しやすいためです。たとえば「顧客から預かったデータを外部ツールに入力しない」には守秘義務違反になり得るという理由を、「AIの生成物をそのまま契約書にしない」には内容の正確性を人が担保する必要があるという理由を添えます。

ガイドラインの作り方（4つの手順）

ゼロから完璧な文書を目指すと、公開されないまま止まります。次の手順で、短い版を早く配り、運用しながら育てるのが現実的です。

• 現状を把握する：社員がいま何のツールをどんな業務で使っているかを聞き取り、実態に合わせる
• 線引きと窓口を決める：機密度の分類、承認する業務用ツール、確認責任の段階を先に固める
• 短い版を作る：A4数枚に収め、具体例中心で書く。読まれない長文の規程集にしない
• 周知して運用に乗せる：配って終わりにせず、相談先と報告のルートまで併せて伝える

網羅より優先度で進めます。最初から全業務を対象にせず、影響の大きい使い方から書き始め、運用しながら追記します。実態を無視した理想の規程を先に作ると、現場の使い方と食い違い、守られないまま残ります。

禁止一辺倒にしない：運用でシャドーAIを防ぐ

利用を全面禁止にすると、多くの場合は逆効果になります。社員は自分の仕事を楽にするために個人アカウントで隠れて使い、会社の目が届かない場所で機密が外部へ流れます。この無断利用がシャドーAIです。禁止は利用を消すのではなく、見えなくするだけです。

防ぐ鍵は、安全に使える正規の窓口を用意し、そこに利用を集めることにあります。承認された業務用ツールを一つ定め、入力してよい情報の具体例と併せて示せば、社員はわざわざ隠れて使う理由がなくなります。禁止事項を並べるより、安全な使い方の見本を示すほうが定着します。

配って終わりにしないことも欠かせません。扱うデータや任せる業務が増えるたびに、線引きと窓口を見直します。運用で回すべきは次の二つです。

• 更新：新しいツールの採用や、ヒヤリハットの発生を機に内容を改訂し、改訂日を明記する
• 教育：入社時と定期の研修で具体例を共有し、判断に迷ったら相談先に聞く習慣を根づかせる

ルールが土台になり、その上で活用が組織に根づきます。定着の段階まで進む道筋はAI Native企業への移行と組織設計にまとめています。ガイドラインは、その共通ルールにあたります。

まとめ

社内の生成AIガイドラインは、禁止のリストではなく、安全に使える範囲を示す共通のものさしです。使ってよい情報の線引き、承認された窓口、出力の確認責任、禁止事項、相談先の5項目を具体例で固め、短い版を早く配って運用で育てます。禁止一辺倒を避け、正規の窓口に利用を集めることが、シャドーAIを防ぎます。当研究所では、こうした安全な活用ルールと、それを支える仕組みの設計から実装まで伴走します。まずは無料相談から、自社の現状に合った線引きの整理を始めてください。

※本稿は一般的なガイドライン設計の考え方の整理です。具体的な規程内容や、法令・契約上の要件は、自社の体制と顧客との取り決めに沿ってご確認ください。