生成AIの社内利用ルールを作るときの基本項目

生成AIを仕事で使う人が増えると、「何を入力してよいか」「回答を誰が確認するか」が人によって変わりやすくなります。長い規程を最初から作るより、迷ったときに止まって相談できる基本ルールを用意することが第一歩です。

結論：利用範囲・禁止情報・確認責任・相談先を明記する

小規模な組織の初期ルールでは、使ってよい目的とサービス、入力してはいけない情報、出力の確認方法、外部公開の承認、問題時の連絡先を決めます。利用者が読んで実際に判断できる短さを目指します。

国のガイドラインや法令は確認すべき土台ですが、自社の業務やデータに合わせた判断が必要です。法務、情報管理、人事など影響する担当者の確認を受けてください。

「業務効率化に使える」だけでは範囲が広すぎます。「公開済み情報から文章の構成案を作る」「架空の例で説明の練習をする」など、初めに認める用途を示します。

人事評価、契約判断、与信、医療、安全に関わる決定など、AIだけで行わない業務も書きます。禁止の理由と、代わりに使う正式な手順を添えると守りやすくなります。

サービス名だけでなく、会社契約か個人契約か、利用できる機能、管理者を記録します。同じサービスでもアカウントや設定によってデータの扱いが異なる可能性があります。

新しい機能、外部サービス連携、ブラウザー拡張などを追加する際の申請先も決めます。利用者が独自に業務データを接続しないよう明記します。

「機密情報は禁止」だけでは判断が分かれます。氏名、連絡先、顧客情報、認証情報、契約前の数字、未公開の人事情報、社内限定URLなど、自社で扱う例を挙げます。

匿名化すれば使える範囲がある場合は、置換方法と承認者を定めます。単に名前を消しただけで安全と判断せず、組み合わせによる特定も確認します。

AIの回答には誤りや架空の引用が含まれる可能性があります。数字、日付、固有名詞、引用、制度、料金は元資料や公式情報と照合する、と確認項目を示します。

社外へ出す文章、顧客対応、重要な社内判断には、誰の承認が必要かを決めます。AIを使った人が最終責任をAIへ移せないことも説明します。

何を記録するかは業務の影響に合わせます。重要な成果物では、使用目的、確認した資料、確認者、日付を残します。AIの会話リンクだけを正式記録にしないようにします。

誤送信、機密情報の入力、誤った内容の公開に気付いたとき、隠さず連絡できる窓口と初動を明記します。利用者個人を責めるだけでなく、影響を抑え、再発を防ぐ手順にします。

ルールを配布するだけでなく、公開可能な架空例を使って「入力してよいか」「どこを確認するか」を練習します。よくある質問と判断例を蓄積し、相談しやすくします。

サービス、法令、自社業務が変わるため、見直し日と責任者を決めます。事故が起きたときだけでなく、新しい用途を始める前にも更新します。版と適用日を付け、古いルールを使わないようにします。

初版は、次の項目を一枚にまとめられます。

詳細な手順や部門別の例は別紙にし、基本ルールから参照できるようにします。

生成AIの社内利用ルールは、利用範囲、承認サービス、入力禁止情報、確認責任、相談先を具体的に示します。短い初版から始め、教育と相談記録をもとに改善します。利用を止めるためだけでなく、安全に試せる境界を全員で共有するルールにしましょう。