「会社としてはまだ決めていないが、社員はもう生成AIを使っている」。こうした会社は少なくありません。メールの下書きや資料の要約に使えば、仕事は確かに速くなります。一方で、取引先から預かった資料や顧客の情報を、そのまま入力してしまうおそれもあります。
本記事では、生成AIの社内ルールに入れておきたい項目と、使われるルールにするための作り方を整理します。
ルールがないまま使うと、何が問題か
- 個人情報：個人情報保護委員会は2023年6月の注意喚起で、事業者が個人情報を含むプロンプトを入力する場合は、利用目的の範囲内かを確かめること、入力したデータが応答の出力以外の目的（機械学習など）に使われないことを確認することなどを求めています。
- 取引先との約束：秘密保持契約や業務委託契約で預かった情報を外部のサービスに入力してよいかは、契約の文言によって変わります。
- 出力の扱い：AIの回答には誤りが含まれることがあります。確認しないまま社外に出せば、会社の信用に関わります。
社内ルールに入れておきたい6つの項目
- 使ってよいサービスと設定：会社として認めるサービスを決め、入力データが学習に使われない設定や法人向けプランを指定する
- 入力してよい情報の区分：「入力してよい／加工すればよい／入力しない」を情報の種類ごとに決める
- 使ってよい業務：下書き、要約、翻訳、アイデア出しなど、使ってよい場面を例示する
- 出力の確認：社外に出す前に、内容の正しさと、他人の権利を侵害していないかを人が確認する
- 相談先と見直し：迷ったときの相談先を決め、サービスの変化に合わせて定期的に見直す
- 違反したときの扱い：懲戒などにつなげる場合は、就業規則との整合を確かめる
「入力してよい情報」の区分の例
| 情報の種類 | 扱いの例 |
|---|---|
| 公開済みの情報（自社サイト、プレスリリースなど） | 入力してよい |
| 社内の一般的な資料（議事録の下書き、手順書など） | 指定したサービス・設定であれば入力してよい |
| 顧客・取引先の名前や数字を含む資料 | 名前や数字を伏せる加工をすれば入力してよい |
| 取引先から秘密保持契約で預かった資料 | 契約で認められている場合を除き、入力しない |
| 要配慮個人情報、未公表の重要情報 | 入力しない |
使われるルールにするための3つのコツ
- 禁止より「使ってよい場面」を先に書く：禁止事項ばかりのルールでは、社員は使うのをやめてしまいます。
- 規程とは別に1枚の説明資料を作る：規程を読み込む社員は多くありません。具体例を並べた1枚があると、現場で迷いにくくなります。
- 取引先との契約もあわせて見直す：社内のルールで入力を認めても、取引先との契約で禁じられていれば使えません。秘密保持契約や業務委託契約のひな形も確認しておきましょう。
Strategy＆Lawの「生成AI社内ルール整備パック」
弊社では、AI利用規程と情報の区分表を作る「ひな形プラン」（10万円・税別）と、利用実態のヒアリングから、取引先との契約ひな形の見直し、社員向けの説明会までを一式で整える「整備プラン」（30万円・税別）をご用意しています。代表自身が日々の業務で生成AIを使っており、現場で迷うポイントを踏まえたルールづくりをお手伝いします。
詳しくは生成AI社内ルール整備パックのページをご覧ください。
※ 本記事は一般的な内容をまとめたものです。個人情報の扱いについては、個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（令和5年6月2日）もあわせてご確認ください。