まずは下の記入表で、利用条件と確認する担当者を整理しましょう。各項目の考え方は、後半の8項目で確認できます。
総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」は、AIのリスクと便益を踏まえ、環境・リスク分析、目標設定、運用、評価、改善を繰り返す考え方を示しています。同ガイドラインは非拘束的なソフトローであり、すべての企業へ同じ規則を求めるものではありません。自社の業務と扱う情報に合わせて設計することが前提です。経済産業省「AI事業者ガイドライン」
自社のルールを記入するひな形
社内確認用の記入欄です。空欄のまま「利用可」と判断せず、担当者が内容を確定します。
横にスクロールできます
| 項目 | 自社で記入する内容 |
|---|---|
| 利用できるサービス・アカウント | ＿＿＿＿＿＿（管理者：＿＿＿＿） |
| 入力禁止・条件付き情報 | ＿＿＿＿＿＿（例外の承認者：＿＿＿＿） |
| 出力を確認する人・確認項目 | ＿＿＿＿＿＿ |
| 迷ったとき・事故時の相談先 | ＿＿＿＿＿＿（連絡方法：＿＿＿＿） |
| 規程の適用範囲・更新日 | ＿＿＿＿＿＿ |
ひな形をコピーするだけでは不十分
同じ生成AIでも、公開情報から文章案を作る場合と、顧客データを使って評価や判断を行う場合ではリスクが異なります。まず「誰が」「どのサービスで」「どの情報を使い」「何を生成し」「誰に提供するか」を整理します。
そのうえで、経営、現場、情報システム、情報セキュリティ、法務・個人情報保護の担当範囲を決めます。最終責任者、相談窓口、例外利用の承認者も明記しておくと、現場が迷ったときに判断を止めずに済みます。
ガイドラインで決める8項目
1．目的と適用範囲
業務効率化、企画支援、文章作成など、利用目的を明記します。対象者には社員だけでなく、役員、派遣社員、業務委託先を含めるかも定めます。
2．利用できる生成AIサービス
会社が承認したサービスとアカウント種別を一覧化します。利用規約、入力データの取扱い、保存期間、学習利用の有無などを確認し、未承認サービスの業務利用についても扱いを決めます。
3．入力してよい情報
情報を「入力禁止」「条件付きで入力可能」「入力可能」に分けます。営業秘密、未公開情報、顧客情報、個人データ、契約で利用が制限された資料などは、具体例を示すと判断しやすくなります。
個人情報保護委員会は、本人の同意を得ずに個人データを入力し、そのデータが回答以外の目的で取り扱われる場合、個人情報保護法に違反する可能性があると注意喚起しています。サービス側が機械学習に利用しないことなどの確認が必要です。個人情報保護委員会の注意喚起
4．出力内容の確認方法
生成内容を事実として扱わず、根拠、最新性、計算、引用元を人が確認します。採用、人事評価、与信など個人へ大きな影響を与える判断では、AIだけで結論を出さず、人による合理的な判断と説明手順を設けます。
5．著作権・公平性への配慮
既存作品との類似、第三者の商標・肖像、差別的な表現、入力内容に含まれる偏りを確認します。文化庁は、AI生成物の利用段階でも、既存著作物との類似性や依拠性を個別に検討する必要があると整理しています。文化庁「AIと著作権について」
6．社外公開と記録
対外資料、広告、契約文書など、公開前に承認が必要な成果物を定めます。影響が大きい用途では、利用サービス、作成日、参照資料、確認者などを記録できるようにします。
7．事故発生時の報告
情報の誤入力、不適切な公開、権利侵害の疑い、誤った判断への利用が判明した場合の連絡先と初動を決めます。利用停止、事実確認、関係部門への共有、再発防止までを一連の手順にします。
8．教育と定期更新
規則を配布するだけでなく、具体的な業務場面を使って判断方法を学ぶ機会を設けます。サービスの規約変更、新機能、事故、法制度や公的ガイドラインの更新を契機に、社内ルールも見直します。
個別リスクを詳しく確認する
ガイドラインの骨格を決めた後は、事故につながりやすい3つの論点を個別に確認します。
- 入力とデータ管理：企業が生成AIで情報漏えいを防ぐ7つの対策
- 出力の事実確認：生成AIのハルシネーション対策
- 公開・納品前の権利確認：生成AIと著作権
小さく運用し、実態に合わせて更新する
最初から全社共通の詳細な規則を完成させる必要はありません。利用頻度が高く、影響を管理しやすい業務から試行し、現場から集まった質問やヒヤリ事例を反映します。
「問い合わせが多い項目」「例外申請が集中する業務」「確認漏れが起きた工程」を見れば、規則が曖昧な場所を把握できます。ガイドラインを固定文書ではなく、利用実態に合わせて更新する運用ルールとして扱うことが大切です。
GenUpのAIスキルアップ研修では、生成AIの基礎、リスク、プロンプト、実務活用を段階的に学べます。資格取得をご希望の場合は、対象コースと取得条件をご確認ください。社内ルールと従業員教育をあわせて整備したい企業は、講座内容をご確認いただくか、お問い合わせからご相談ください。
よくある質問
Q1．小規模な会社でもガイドラインは必要ですか？
人数だけでなく、利用目的と扱う情報のリスクで判断します。短い文書でも、承認サービス、入力禁止情報、出力確認、相談先は明確にしておくと運用しやすくなります。
Q2．「機密情報を入力しない」だけで十分ですか？
十分ではありません。生成結果の誤り、偏り、著作権、個人への評価、社外公開など、出力と利用方法にもリスクがあります。
Q3．どのくらいの頻度で見直すべきですか？
一律の頻度はありません。定期確認に加え、サービスの規約変更、新機能の導入、インシデント、公的ガイドラインの改訂があった際に見直せる体制を整えます。