生成AIを社内で使わせたいが、何をどこまで禁止すべきか分からない。そのまま解禁すると顧客情報の入力が心配で、かといって全面禁止にすると現場が個人アカウントで隠れて使い始める。この板挟みを解消するのが社内ガイドラインです。
この記事では、生成AIの社内ガイドラインに盛り込む項目と、A4数枚から作って運用に乗せるまでの手順を整理しました。完璧な規程を作ることではなく、現場が判断に迷わない状態をつくることを目標にしています。
結論｜先に決めるのは3点だけ
生成AIのガイドラインは、次の3点を決めれば運用を開始できます。
- 入力してよい情報の線引き：顧客名や個人情報、未公開の数値を入れてよいかどうか
- 使ってよい業務の範囲：下書き作成は可、対外送付物の最終版は要確認、など
- 出力物の確認責任者：AIが作ったものを誰が確認して社外に出すのか
最初から数十ページの規程を目指す必要はありません。A4で3〜5枚のガイドラインを先に配り、現場から出た質問で追記していくほうが実態に合ったものになります。網羅性を追って公開が半年遅れる間に、現場は自己判断で使い始めてしまいます。
生成AI社内ガイドラインとは何を定める文書か
生成AI社内ガイドラインとは、社員が生成AIを業務で使う際の可否判断と手続きを定めた社内文書です。禁止事項を並べるための文書ではなく、現場が上司に確認しなくても判断できる基準を示すためのものです。
既存の規程との関係を整理しておくと重複を避けられます。
文書 | 役割 | 生成AIガイドラインとの関係 |
|---|---|---|
情報セキュリティ規程 | 情報の取扱区分と管理義務を定める | 入力可否の線引きはこの区分を流用する |
就業規則 | 服務規律・懲戒の根拠 | 違反時の扱いは就業規則側に紐づける |
生成AIガイドライン | ツールごとの利用可否と業務別の運用手順 | 上記2つの下位に置き、更新頻度を高くする |
ポイントは、更新頻度の違いで文書を分けることです。生成AIの前提は半年で変わるため、改定に稟議が必要な規程本体に細かい運用を書き込むと、実態と乖離したまま放置されます。
盛り込む8項目
ガイドラインに必要な項目は次の8つです。自社の状況で不要なものは省いて構いませんが、3と4は必須です。
- 目的と適用範囲：何のために定めるのか、対象は正社員のみか業務委託や派遣を含むか。
- 利用を許可するツールとプラン：会社が契約した法人プランのみ利用可とするのか、個人アカウントの業務利用を認めるのか。同じサービスでもプランによって入力データの扱いが異なるため、サービス名だけでなくプラン単位で書きます。
- 入力してよい情報・禁止する情報：ここが最重要です。「機密情報は入力しない」だけでは判断できないため、具体例で示します。例として、公開済みの自社資料は可、顧客名を含む議事録は匿名化して可、未公開の財務数値と個人情報は不可、といった粒度まで落とします。
- 出力物の確認責任と検証手順：AIの出力をそのまま社外に出さない、事実関係と数値は一次情報で確認する、確認者は当該業務の担当者とする、などを明記します。
- 著作権・第三者の権利への配慮：他社の文章や画像をそのまま入力しない、生成物が既存著作物に類似していないか確認する、といった注意です。判断が微妙な領域なので、迷った場合の相談先を併記します。
- 顧客・取引先への開示の考え方：納品物の制作に生成AIを使う場合、契約で禁止されていないかを確認する手順を入れます。業種によっては開示が前提になります。
- 申請・記録のルール：新しいツールを使いたい場合の申請先と、日常利用でどこまで記録を残すか。記録義務を重くすると使われなくなるため、原則は不要とし、対外成果物に使った場合のみ残す形が現実的です。
- 違反時の対応と相談窓口：想定外の事態が起きたときに、隠されるより先に報告される状態をつくることが目的です。罰則を強調するより窓口を明示するほうが機能します。
なお著作権や個人情報保護法の解釈が絡む部分は、最終的な文言を顧問弁護士や社内の法務担当に確認してください。この記事は一般的な実務上の整理であり、法的助言ではありません。
作成の5ステップ
ゼロから作る場合、次の順番が最短です。全体で2〜4週間を見込みます。
- 現状を把握する（3日）：すでに誰がどのツールを使っているかを匿名アンケートで確認します。ここを飛ばすと、実態と無関係な禁止事項を書いてしまいます。多くの場合、想定より使われています。
- 対象業務を棚卸しする（1週間）：部門ごとに「使わせたい業務」を3つずつ挙げてもらいます。この業務リストが、後の項目3・4を具体的に書くための材料になります。業務の選び方は生成AIを業務に導入する手順も参考にしてください。
- 草案を作る（3日）：8項目に沿ってA4で3〜5枚にまとめます。長さを競わないことが重要です。
- 現場レビューを回す（1週間）：各部門の実務担当者に、自分の業務で判断できるかを試してもらいます。「この場合はどうなるのか」という質問が出た箇所が、書き足すべき部分です。
- 周知して運用を開始する：配布だけでは読まれないため、短い説明会と質問受付の窓口をセットにします。研修と同時に実施すると定着が早くなります。
21人のAI社員を運用して分かったこと
CatalyDesignは一人会社ですが、社内業務を21人のAI社員に分担させて運用しています。その運用で効果があったのは、禁止事項を増やすことではなく、業務ごとに「誰が最終確認するか」を先に決めることでした。
確認者が決まっていれば、多少判断に迷う入力があっても事故が外に出ません。逆に禁止一覧だけを長くすると、リストに載っていないケースで手が止まるか、勝手に判断されるかのどちらかになります。ガイドラインを作るときは、禁止事項の網羅よりも確認責任の明確化に時間を割いてください。社内での定着支援はAI研修・人材育成で対応しています。
形骸化させない運用のコツ
ガイドラインは作った後の運用で価値が決まります。次の3点を仕組みにしておきます。
- 更新の担当者と頻度を決める：四半期ごとの見直しを既定にし、担当者を1名決めます。誰の担当でもない文書は必ず古くなります。
- 質問と回答を追記する：現場から来た質問とその回答を末尾に追記していく形式にすると、実務で使える文書に育ちます。
- 判断基準の形で書く：「このツールは禁止」ではなく「入力データが学習に使われない契約かどうかで判断する」と書けば、新しいツールが出ても対応できます。
よくある失敗
- 全面禁止にする：使用実態がなくなるわけではなく、個人アカウントでの利用が見えなくなるだけです。管理不能な状態になります。
- 他社の雛形をそのまま使う：自社の業務が題材になっていないため、現場が判断できず問い合わせが集中します。
- 網羅性を追って公開が遅れる：完成を待つ間に現場は自己判断で使い始めます。不完全でも早く出すほうが安全です。
- ツール名で列挙する：新しいサービスが出るたびに改定が必要になります。判断基準で書きます。
- 研修と切り離す：文書だけ配っても読まれません。使い方を教える場と同時に配ることで初めて機能します。
まとめ
- 先に決めるのは「入力してよい情報」「使ってよい業務」「出力物の確認責任者」の3点
- 盛り込む項目は8つ。うち入力可否の線引きと確認責任は必須
- A4で3〜5枚から始め、現場の質問で追記していく
- ツール名ではなく判断基準の形で書けば改定頻度を抑えられる
- 禁止事項の網羅よりも、業務ごとの確認責任を決めるほうが事故を防ぐ
ガイドラインの整備と社内での定着を並行して進めたい場合は、AIソリューションのページをご覧ください。業務の選定から運用ルールの整備までを一体で設計します。
