生成AIを使うなという指示は、もう現実的ではない。社員は個人のスマートフォンで使っている。会社が禁止しても、見えないところで使われるだけだ。
必要なのは禁止ではなく、線引きである。どこまでは使ってよく、どこからは駄目なのか。それを紙に落とす。
ただ、規程を作ろうとすると多くの会社が止まる。「法務に確認しないと」「他社の事例を集めてから」と検討が長引き、その間も無法状態が続く。
現実的な解は、A4で1〜2枚のルールを先に配ることだ。完璧な規程を半年かけて作るより、80点のルールを来週配るほうが安全になる。
社内規程の線引きに迷っている方へ — GenbaCompassではAI導入の無料相談（30分・オンライン）を行っている。自社でどこまで決めるべきかの整理から対応する。
生成AIの社内規程とは。何を定めるものか
生成AIの社内規程とは、従業員が業務で生成AIを利用する際の許可範囲・禁止事項・責任の所在を定めた社内ルールを指す。法令で作成が義務づけられているものではないが、情報漏洩と権利侵害のリスクを管理するために実務上必要とされる。
生成AIの情報漏洩とは、ChatGPTなどに入力した社内情報が自社の管理外に流出することを指す。顧客名簿を貼り付けたチャットが学習データに使われる、会話履歴が意図せず外部から参照できる状態になる、といった事象が該当する。
規程で押さえるべき論点は、突き詰めると5つしかない。
| 論点 | 決めること |
|---|---|
| ①入力 | 何を入力してよいか／禁止か |
| ②出力 | 生成物をどう扱うか、著作権の確認は誰がするか |
| ③ツール | どのツールを使ってよいか |
| ④責任 | 最終責任は誰が負うか |
| ⑤事故対応 | 問題が起きたら誰にいつ報告するか |
この5つが決まっていれば、規程としては機能する。逆に、これ以外の要素は後から足せばいい。
①入力の線引き｜禁止情報を具体名で書く
最も重要かつ、最も曖昧になりやすいのがここだ。
「機密情報の入力を禁止する」とだけ書いた規程は、ほぼ機能しない。何が機密かの判断を現場に丸投げしているからである。判断できないから、結局みんな自己流になる。
具体的な帳票名・情報種別で書く。製造業・建設業なら、たとえば次のように分ける。
入力禁止（そのまま貼らない）
- 顧客名・取引先名が特定できる情報
- 図面、仕様書、原価・見積の数値
- 個人情報（氏名、住所、電話番号、マイナンバー、健康情報）
- 未公開の技術情報、特許出願前の内容
- 契約書の全文
- 人事評価、給与、懲戒に関する情報
入力してよい
- 一般公開されている法令・規格の条文
- 社名・個人名を伏せた事象の記述
- 自分で書いた文章の推敲依頼
- 一般的な業務知識に関する質問
判断に迷ったら
- 「その内容が社外に出て困るか」で判断する
- 困るなら入力しない。迷ったら上長に確認する
この「迷ったら」の一行を入れておくと、現場が止まらない。
なお、固有名詞を伏せれば使えるケースは多い。「A社への納品物に不具合が発生」を「取引先への納品物に不具合が発生」と書き換えるだけで、相談できる範囲は大きく広がる。この置き換え方を教えるほうが、禁止事項を増やすより実用的だ。
②出力物の扱い｜そのまま出させない
生成AIの出力をそのまま社外に出すと、事故が起きる。
決めるべきは2点である。
人の確認を必須にするか 社外に出る文書（提案書、報告書、メール）は、必ず人が読んでから出す。社内メモや下書きは確認不要としてよい。この線引きを書いておく。
著作権・出典の確認 生成AIが出力した文章や画像が、既存の著作物に似ている可能性はゼロではない。社外公開物については、公開前に内容を確認する担当を決めておく。
もう一つ、実務上のポイントがある。生成AIが事実を誤ることを規程に明記しておくことだ。法令の条文番号、統計の数値、規格の要求事項は、生成AIの出力をそのまま信じてはいけない。一次情報で確認する、と一行入れておく。
③使ってよいツール｜私物アカウントの扱いを決める
会社が契約したツールだけを使わせるのか、個人アカウントの業務利用も認めるのか。ここを決めていない会社が多い。
判断基準は、入力したデータが学習に使われるかどうかである。法人向けプランでは学習に使わない設定が用意されていることが多い。無料プランは、提供元によって扱いが異なる。
実務的には次の形が現実的だ。
- 会社契約のツール：業務利用可
- 個人の無料アカウント：業務データの入力は禁止。一般的な調べ物は可
- 新しいツールを使いたい場合：事前に情報システム部門へ申請
「一律禁止」にすると隠れて使われる。使ってよい範囲を明示するほうが、結果的にリスクは下がる。
自社の線引きをどう決めるか迷ったら
禁止事項の粒度は、業種と扱う情報によって変わる。GenbaCompassでは30分のオンライン相談で、自社に必要な範囲の整理を一緒に行っている。売り込みはしない。
④責任の所在｜最終責任は利用者にあると書く
「AIが間違えた」は通用しない。生成AIを使って作成した文書の責任は、それを使った本人と承認者にある。この原則を明記しておく。
同時に、責任を明確にすると使われなくなるリスクもある。だから**「AIを使ったこと自体は責められない」**ことも併記したい。責められるのは、確認せずに出したことである。
この2つをセットで書くと、現場が萎縮しない。
⑤事故対応｜報告フローを1行で書く
情報漏洩や権利侵害が疑われる事態が起きたとき、誰にいつ報告するか。ここが決まっていないと、担当者が隠す。
書くのは3点だけでよい。
- 報告先 — 部署名と、できれば連絡先
- 報告の期限 — 「気づいた時点で直ちに」
- 報告した人を責めない — この一行が実効性を左右する
3番目がないと報告は上がってこない。早期に把握できれば被害は小さく収まる。
生成AI社内規程の構成案（A4二枚）
そのまま骨子として使える構成を示す。
1. 目的
生成AIの業務利用における情報漏洩・権利侵害を防ぎ、
安全に活用することを目的とする。
2. 適用範囲
全従業員（派遣・業務委託を含む）の業務利用に適用する。
3. 利用してよいツール
・会社契約：〇〇（業務利用可）
・個人アカウント：業務データの入力を禁止
・新規ツール利用は情報システム部門へ事前申請
4. 入力してはならない情報
（具体的な帳票名・情報種別で列挙）
判断に迷う場合は上長に確認する。
5. 出力物の取り扱い
・社外に出る文書は必ず人が確認する
・法令、数値、規格要求事項は一次情報で確認する
・社外公開物は公開前に〇〇部が確認する
6. 責任
生成AIを用いて作成した文書の責任は、作成者と承認者が負う。
生成AIを利用したこと自体を理由に責任を問うことはない。
7. 事故発生時の対応
情報漏洩等が疑われる場合、気づいた時点で直ちに〇〇部へ報告する。
報告したことを理由に不利益な取り扱いはしない。
8. 改定
本規程は運用状況に応じて随時見直す。
制定日：YYYY年MM月DD日
社名や部署名を入れれば、そのまま配布できる分量である。
規程を作った後にやること
規程は配って終わりではない。3つだけ実施したい。
1. 具体例を5個添える 「これはOK」「これはNG」の実例を、自社の業務で5個作る。抽象的なルールより、実例のほうが伝わる。
2. 相談窓口を明示する 判断に迷ったときの相談先を決め、周知する。窓口がないと、現場は自己判断するか使わなくなるかのどちらかになる。
3. 半年後に見直す 生成AIのサービス仕様は変わる。制定時に「随時見直す」と書いておき、実際に見直す。
ガイドライン策定と研修をセットで実施した企業では、使ってよい範囲が明確になることで利用率が上がり、同時に機密情報の入力インシデントを予防できたとされる。禁止するより、線を引いて使わせるほうが安全になる。
よくある質問
Q: 生成AIの社内規程は法律で義務づけられていますか。
A: 生成AI専用の規程作成を直接義務づける法律は現時点で存在しない。ただし個人情報保護法上の安全管理措置や、営業秘密の管理といった観点から、実務上は何らかのルール整備が求められる。詳細は自社の顧問弁護士等に確認してほしい。
Q: 規程はどれくらいの分量で作ればいいですか。
A: A4で1〜2枚が現実的である。分量が多いと読まれず、読まれない規程は機能しない。目的・適用範囲・入力禁止情報・出力物の扱い・責任・事故対応の6項目が入っていれば、初版としては十分だ。運用しながら追記していく形が実務的である。
Q: 個人の無料アカウントの業務利用は禁止すべきですか。
A: 業務データの入力は禁止し、一般的な調べ物は許可する形が現実的である。全面禁止にすると隠れて使われ、かえって把握できなくなる。判断基準は、入力データが学習に使われる可能性があるかどうかに置くとよい。
Q: 入力禁止情報はどこまで細かく書くべきですか。
A: 自社で実際に使っている帳票名・情報種別まで具体的に書く。「機密情報」といった抽象的な記載だけでは、現場が判断できず機能しない。まず10項目程度を列挙し、運用中に出てきた判断事例を追加していく形がよい。
本記事は一般的な参考情報であり、法的な助言を提供するものではありません。個人情報保護法・不正競争防止法・著作権法等の解釈や、自社規程の法的妥当性については、弁護士等の専門家にご確認ください。記載内容は執筆時点の情報に基づきます。
まとめ
生成AIの社内規程は、完璧を目指さず早く配ることが要点である。
- 決めるべき論点は5つ：入力・出力・ツール・責任・事故対応
- 入力禁止情報は具体的な帳票名で書く。「機密情報」では機能しない
- 固有名詞を伏せる書き換え方を教えるほうが、禁止を増やすより実用的
- 個人アカウントの全面禁止は隠れた利用を生む。線引きして使わせる
- 事故報告は「報告した人を責めない」の一行で実効性が決まる
- A4二枚の初版を来週配り、半年後に見直す
半年かけて完璧な規程を作る間も、リスクは発生し続けている。
現場改善に役立つ関連アプリ
規程を整えたら、次は実際の業務に落とす段階になる。GenbaCompassでは現場業務に特化したAIツールを提供している。
| アプリ名 | 概要 | こんな課題に |
|---|---|---|
| AnzenAI | 安全書類・KY・リスクアセスメントをAIで作成 | 安全書類の作成負担が重い |
| WhyTrace Plus | なぜなぜ分析・FMEAをAIがガイド | 是正処置の質を安定させたい |
| know-howAI | ベテランの判断基準をAIで継承 | 熟練者の退職が近い |
| SysDock | レガシーシステムの棚卸しと可視化 | 既存システムを把握したい |
関連記事
