生成AIの社内利用ルールの作り方と、そのまま使えるひな形

ルールがない会社で起きていること

生成AIの利用を禁止も許可もしていない会社では、たいてい、社員の一部が個人のアカウントで使っています。メールの下書き、議事録の要約、見積書の文面づくりなど、業務の効率が上がるので、使うこと自体は止まりません。

問題になるのは次のような使い方です。

• 顧客名や取引金額が入った文書を、そのまま貼り付けて要約させる
• 個人向けの無料プランで、入力内容がサービスの改善(学習)に使われる設定のまま使う
• AI が作った文章や数字を、確認せずに顧客に送る

禁止しても、私物のスマホで使われれば会社からは見えません。禁止するより、使ってよい範囲と使い方を決めて、会社が把握できるアカウントに寄せる方が、情報が外に出る量は減ります。

決めておく6つのこと

1. 使ってよいサービス

会社として使ってよいサービスを名指しで決めます。「生成AIは利用可」とだけ書くと、規約の分からない無名のサービスまで含まれてしまいます。

選ぶときに確認するのは、利用規約とプライバシーポリシーの次の点です。

• 入力した内容をモデルの学習に使うか、使わない設定ができるか
• 入力内容がどれくらいの期間保存されるか
• 法人向けのプランがあり、管理者が利用者を管理できるか

Google Workspace や Microsoft 365 を契約している会社なら、その契約に含まれる生成AIの機能や、同じ管理画面で管理できる法人向けプランから検討すると、アカウントの管理を一か所にまとめられます。

2. 入力してはいけない情報

ルールの中心はここです。少人数の会社では、細かい区分を作るより、具体例を並べた方が守られます。

• 顧客や取引先の個人情報(氏名、住所、電話番号、メールアドレス、顧客番号)
• 社員の個人情報(給与、評価、健康状態、家族の情報)
• 取引先から秘密として預かった情報(契約書、図面、未公開の製品情報)
• 自社の未公開の情報(決算前の数字、M&A や人事の予定)
• パスワード、API キー、サーバーの設定ファイル

どうしても使いたい場合は、固有名詞を「A社」「Bさん」に置き換え、金額を伏せてから入力する、という方法を例として示しておきます。

個人情報を AI サービスに入力することは、個人情報保護法との関係でも問題になり得ます。個人情報保護委員会は2023年6月に、生成AIサービスの利用について、事業者と利用者それぞれへの注意喚起を公表しています。

3. 学習に使わせない設定

個人向けのプランでは、入力内容を学習に使う設定が初期値になっているサービスがあります。多くの場合、設定画面にこれをオフにする項目があります。法人向けプランは、契約上、入力内容を学習に使わないとしているものが一般的です。

ルールには「使用前に学習利用の設定をオフにする」と書き、設定画面のどこにあるかを社内向けに画面の画像付きで示しておきます。サービス側の画面や規約は変わるので、半年に1回は確認します。

4. 会社管理のアカウント

業務で使うときは、会社のメールアドレスで作ったアカウント、または会社が契約した法人プランのアカウントに限ります。個人のアカウントで業務に使うと、退職するときに会話の履歴ごと持ち出され、会社からは止められません。

会社管理のアカウントにしておけば、退職時に停止でき、管理者が利用状況を確認できるプランもあります。アカウントは、退職時に止める一覧(棚卸し表)にも載せておきます。手順は退職・異動した人のアカウントを止める手順にあります。

5. 出力を人が確認する

生成AIは、もっともらしい誤りを書きます。存在しない法令の条文、架空の判例、計算の合わない合計金額、実在しない製品の型番などが、自然な文章の中に混ざります。

ルールでは、AI の出力を社外に出す前に、担当者が内容を確認することを義務にします。特に、数字、日付、法令や規格の名前、人名と社名は、元の資料で照合します。確認した人が、その内容に責任を持つという扱いにしておきます。

6. 著作権と、他人の権利

AI が作った文章や画像が、既存の作品とよく似ていることがあります。文化庁の文化審議会著作権分科会法制度小委員会が2024年3月にまとめた「AIと著作権に関する考え方について」では、生成物が既存の著作物と似ていて、それをもとに作られたと認められる場合は、人が作った場合と同じく著作権侵害になり得るという考え方が示されています。

社内ルールでは、次の2点を定めておけば足ります。

• 特定の作家や作品、他社のロゴや商品名を指定して似たものを作らせない
• 広告、Web サイト、商品パッケージなど社外に出す画像や文章は、類似するものがないかを確認してから使う

国のガイドラインとの関係

総務省と経済産業省は、2024年4月に「AI事業者ガイドライン(第1.0版)」を公表し、2025年3月の第1.1版など、その後も改訂を続けています。AI を開発する事業者、提供する事業者、利用する事業者のそれぞれに求められる取り組みをまとめたもので、生成AIを業務で使う会社は「AI利用者」にあたります。

中小企業の社内ルールに、このガイドラインの全項目を反映する必要はありません。ただ、取引先から AI の利用方針を聞かれたときに、ガイドラインの利用者向けの項目を参考にした、と説明できると話が早くなります。

そのまま使えるひな形

以下は、従業員数十人までの会社を想定したひな形です。サービス名と担当者名を自社のものに置き換えて使ってください。

生成AI利用規程

第1条(目的)
この規程は、当社の業務における生成AIの利用について、情報の漏えいと誤った情報の発信を防ぐために必要な事項を定める。

第2条(対象)
この規程は、役員、従業員、派遣社員、業務委託先で当社の業務に従事する者に適用する。

第3条(利用できるサービス)
1 業務で利用できる生成AIサービスは、別表に掲げるものに限る。
2 別表にないサービスを利用したい者は、管理責任者に申請し、許可を得る。

第4条(アカウント)
1 業務での利用は、会社のメールアドレスで登録したアカウント、または会社が契約したアカウントに限る。
2 個人で登録したアカウントを業務に利用してはならない。
3 退職または異動の際、管理責任者はアカウントを停止または変更する。

第5条(設定)
入力内容をサービスの学習に利用する設定がある場合は、利用開始前にこれを無効にする。

第6条(入力してはならない情報)
次の情報は入力してはならない。ただし、氏名等を伏せ、特定の個人や取引先が分からない形に加工した場合はこの限りでない。
(1)顧客、取引先、従業員の個人情報
(2)取引先から秘密として開示された情報
(3)公表前の当社の経営情報、財務情報、人事情報
(4)パスワード、認証情報、システムの設定情報

第7条(出力の確認)
1 生成AIの出力を社外に提供し、または業務上の判断に用いる場合は、利用者が内容の正確性を確認する。
2 数値、日付、法令名、固有名詞は、元の資料と照合する。
3 確認した利用者は、その内容について責任を負う。

第8条(権利の尊重)
1 特定の著作物、他者の商標、実在の人物に似せた生成を指示してはならない。
2 生成物を広告その他社外に公開する場合は、既存の著作物等との類似がないことを確認する。

第9条(事故の報告)
第6条の情報を誤って入力した場合、または生成物の利用で問題が生じた場合は、直ちに管理責任者に報告する。

第10条(管理責任者)
この規程の管理責任者は、○○部の○○とする。管理責任者は、別表を少なくとも年1回見直す。

附則
この規程は、20○○年○月○日から施行する。

別表(利用できるサービス)
サービス名 / プラン / 用途の制限 / 登録日

第9条は、隠さずに報告できる雰囲気を作るための条文です。入力してしまったことを責めるより、早く知ってサービス側の履歴を削除する方が被害は小さくなります。報告した人を処分の対象にしないことも、運用の中で示しておくと機能します。

作った後の運用

規程を作っただけでは、半年もすると誰も読まなくなります。次の3つを決めておくと続きます。

• 入社時の説明資料に1ページで入れる
• 別表を年1回見直し、新しいサービスの申請を受け付ける
• 入力禁止の情報の具体例を、社内の実際の書類名(顧客台帳、見積書など)で書き換える

自社の生成AIの使い方にどこまで備えがあるかは、生成AI利用の自己診断の設問で確認できます。

確認に使えるツール

• 生成AI利用の自己診断: 社内での生成AIの使い方とルールを設問で点検します
• 顧客データの自己診断: 顧客情報の扱いを点検します
• 組織の自己診断: アカウント管理を含む社内の体制を点検します