生成AI利用ガイドラインの作り方と5つの決め事
生成AIの社内ルールは、決め事を5つに絞れば1〜2週間で初版を作れます。章立てのひな形付きで作り方を整理します。
「禁止」も「放置」も一番高くつく
生成AIのルールを相談されるとき、状況はだいたい2つに分かれます。「怖いので全面禁止にしている」か、「特に決めずに各自が使っている」かです。
どちらもコストが高い選択です。
全面禁止: 業務効率の差がつくうえ、従業員が個人スマホや私用アカウントで隠れて使う「シャドーAI」を生みます。禁止は統制が効いているように見えて、実際は一番統制が効かない状態です
放置: 機密情報の入力、学習利用がオンのままの個人アカウント利用、部署ごとにバラバラのサービス契約が静かに進行します
つまり、どちらの場合も出口は同じで「条件を決めて使わせる」ことになります。その条件を文書にしたものが利用ガイドラインです。
立派な文書はいらない。決めるのは5つ
ガイドラインと聞くと数十ページの規程集を想像しがちですが、最初からそれを目指すと完成しません。実務で機能させるために決めるべきことは、次の5つに絞れます。
それぞれ補足します。
1. 使ってよいサービスを名指しで決める
「生成AIの利用は慎重に」のような抽象的な表現は機能しません。ChatGPT、Claude、Gemini、Copilotなど、サービス名と契約形態(個人プランか法人プランか)まで名指しで決めます。
業務利用は、入力データがデフォルトで学習に使われない法人プランに寄せるのが原則です。個人プランを許可する場合は、後述の標準設定とセットにします。
2. 入力してよい情報は「3分類」で線を引く
入力禁止の線引きは、細かくしすぎると現場が覚えられません。3分類程度が実用的です。
入力禁止: 個人情報(顧客・従業員)、NDA対象の取引先情報、未発表の経営情報
条件付きで可: 社内文書(法人プランかつ学習オフ設定のサービスのみ)
自由に可: 公開情報、一般的な質問、固有名詞を除いた相談
大事なのは、禁止の理由を添えることです。「なぜだめか」が伝わらないルールは形骸化します。
3. 標準設定を「入社時セットアップ」に組み込む
学習利用のオプトアウトなど、アカウント作成時に必ず入れる設定を手順書にします。各サービスの設定手順は別記事にまとめています。
Claude: 「Claudeのオプトアウト設定手順。「最大5年保持」を知らずに使わない」
判断の前提となる学習利用の仕組み: 「Claudeに入力した情報は学習される？企業が確認すべき3つの判断軸」
設定は「本人任せ」にせず、情シスがキッティング手順に組み込むのが確実です。
4. 成果物の扱いは「社外に出るか」で分ける
AIの出力を社内メモに使うのと、顧客への納品物や公開記事に使うのでは、リスクが違います。社外に出るものは人間の確認を必須にする、というシンプルな線引きで十分です。
著作権・ハルシネーション(誤った内容の生成)への注意も、この項目に含めます。
5. 窓口がないルールは守られない
「機密を貼ってしまったかもしれない」と気づいた従業員が、報告先を知らなければ黙って流します。事故報告の窓口と「報告しても責めない」方針を明記することが、実は5つの中で一番効きます。
新しいAIサービスを使いたいときの申請ルートも、ここで決めておきます。申請が面倒だと、また隠れて使われます。
ひな形: 章立てはこれで足りる
初版の章立ての例です。A4で3〜5枚に収まる分量を目安にします。
目的と適用範囲(誰が・どの業務で)
利用を認めるサービス一覧と契約形態
入力情報の3分類(禁止・条件付き・自由)
アカウントの標準設定
成果物の取り扱い(社外に出す場合の確認)
事故時の報告と相談窓口
改訂履歴(見直しは半年ごと)
政府の「AI事業者ガイドライン」(経済産業省・総務省)にも、AIを利用する企業向けの整理があります。自社ルールを作る際の裏付けとして、目的や体制の章で参照しておくと、取引先への説明にも使えます。
作って終わりにしない3つの運用
ガイドラインは配布しただけでは読まれません。
研修とセットで出す: 初版公開時に30分でよいので説明会を開き、「なぜこの線引きか」を口頭で伝える
半年ごとに見直す: サービスのポリシーや料金は頻繁に変わります。改訂日を最初から決めておく
統制ツールで補う: ルールだけで縛らず、SSOやアクセス制御で「守りやすい環境」を作る。考え方は「シャドーAIを防ぎながらClaudeを解禁する。情シスの統制設計」に書きました
まとめ
全面禁止も放置も、行き着く先は「条件を決めて使わせる」しかない
決め事は5つ: 使ってよいサービス、入力の線引き、標準設定、成果物の扱い、窓口
入力の線引きは3分類(禁止・条件付き・自由)+理由の明記
初版はA4で3〜5枚。半年ごとの見直しを最初から予定に入れる
一番効くのは「報告しても責めない」窓口の明記
生成AIの社内ルール整備を相談したい方へ
TodoONadaでは、生成AI導入を含むシステム開発や、社内ルール整備について相談を受け付けています。ご相談内容に応じて、次の作業範囲を整理します。
ガイドライン初版の策定支援(ひな形をベースに自社事情を反映)
オプトアウト設定・法人プラン移行の設定代行
従業員向けのセキュリティ研修
「何から手を付ければいいか分からない」段階からご相談いただけます。お問い合わせはこちら。
