「生成AIを社内でどう扱うか」を決めないまま、現場だけが先に使い始めている——そうした状態の企業は少なくありません。ガイドラインは使わせないための文書ではなく、判断に迷ったときの拠りどころを用意するための文書です。ここでは社内規程に盛り込みたい9つの項目と、作ったあとに形骸化させない運用の工夫を整理します。
生成AIへの社内対応は「全面禁止」と「無策」の二極に振れがちですが、どちらも時間が経つほど扱いにくくなる傾向があります。
全面禁止にしても、業務で使いたい人が消えるわけではありません。個人のスマートフォンや無料版を使う——いわゆるシャドーITの形で利用が続くケースが多く見られます。会社は「誰が・どのツールに・どんな情報を入れたか」を把握できない状態に置かれ、事故が起きても報告が上がりにくくなります。
逆にルールがない場合は、判断が個人任せになります。顧客名を伏せて使う社員もいれば、見積書をそのまま貼り付ける社員もいる、というばらつきが生まれます。ガイドラインの目的は、この中間に「安心して使ってよい範囲」を線引きして示すことにあります。線がはっきりしているほど、現場は隠れずに相談してくれます。
① 適用範囲と対象者：まず「誰に適用されるのか」を明記します。正社員だけを想定して書くと、契約社員・派遣社員・業務委託先・役員が対象外と読めてしまいます。会社支給端末に限るのか私物端末も含むのかも書いておくと、解釈違いを減らせます。
② 利用を認めるツールの指定：使ってよいサービスを列挙する、いわゆるホワイトリスト方式が運用しやすい方法です。同じサービスでも無料版・個人向け有料版・法人向けプランで入力データの扱いが異なることがあるため、プラン単位まで書くと精度が上がります。「新しいツールを使いたいときはどこへ申請するか」も1行添えておきます。
③ 入力してよい情報・禁止する情報の区分：ガイドラインの中核です。ゼロか100かではなく、次のような段階で示すと現場が迷いにくくなります。
④ 出力物の取り扱いと検証義務：生成された文章や数値は下書きであり、事実確認の責任は利用者側に残る——この原則を明文化します。特に社外に出す文書や契約に関わる数値は、人による確認を経るプロセスを定めると安全側に倒せます。
⑤ 著作権・第三者権利への配慮：生成物が既存の著作物と似通う可能性はゼロにはできません。ロゴやデザインをそのまま社外公開物に使う場合は、確認の手順を挟む運用が無難です。入力側でも、第三者から受け取った資料を利用条件を確認せずに丸ごと入力するのは避けたいところです。迷う案件は法務・知財へ回す導線も書いておきます。
⑥ 個人情報の扱い：氏名・連絡先・応募者情報・顧客の問い合わせ内容を外部サービスに渡す行為は、社内規程と関連法令に照らした確認が必要になる場面があります。「原則として入力しない」「必要な場合は匿名化のうえ承認を得る」といった形で、例外の作り方まで書いておくと運用に耐えます。
⑦ ログ・監査：法人向けプランでは、管理者が利用状況や履歴を確認できる機能を備えることがあります。何を記録し、誰が閲覧でき、どのくらい保管するのかを決め、従業員にも事前に開示することが大切です。黙って監視すると、利用そのものが萎縮しやすくなります。
⑧ 違反時の取り扱い：就業規則や情報セキュリティ規程との関係を整理し、どれが適用されるのかを示します。ただし罰則を前面に出しすぎると事故時の報告が遅れます。「速やかに申告した場合は取り扱いを考慮する」といった書き方と、インシデント時の初動連絡先をセットで置くと実務で機能しやすくなります。
⑨ 改定手続き：生成AIの機能や各サービスの規約は変化が速い領域です。改定の主体、見直しの頻度、版数と改定履歴の残し方を書いておきます。ここが空欄だと、最初の一版が何年もそのまま残りがちです。
禁止事項を細かく列挙するほど、書かれていないケースで現場が止まります。列挙は補助にとどめ、根っこの原則を短い言葉で示すほうが長持ちしやすい傾向があります。たとえば次の問いを冒頭近くに置く方法があります。
この3つに引っかかったら止まって相談する、という形にしておくと、想定外の使い方が出てきても判断が効きます。社内のセキュリティ方針との整合についてはセキュリティの考え方のページで整理しています。
ガイドラインは、配布した時点ではまだ運用に載っていません。迷ったときに参照され、実態に合わせて直されて初めて機能します。
分量はA4で数枚程度に収め、詳細な手順やツール一覧は別紙へ切り出すと改定しやすくなります。最初から完璧を目指すより、八割の完成度で公開し、相談事例を集めて半年後に直すほうが実態に合いやすい進め方です。書き起こしが負担であれば、AI利用ガイドライン雛形ジェネレーターで下書きを作り、そこから社内事情を足し引きする方法もあります。
実態把握と、会社として使ってよいツールの提示を先に行う方法が現実的です。いきなり全面禁止を通知すると、利用が水面下に潜る可能性があります。「この範囲なら使ってよい」を示したうえで切り替えを促すほうが、統制しやすくなるケースが多く見られます。
規模にかかわらず、入力してよい情報の区分と利用を認めるツールだけでも文書にしておく意味はあります。少人数ならA4で1〜2枚の簡易版から始め、人が増えた段階で肉付けする形が取りやすい進め方です。
ガイドラインは判断のばらつきを減らす土台であり、それ単体で漏えいを防ぐ性質のものではありません。利用ツールの契約・設定の確認、権限管理、周知と教育といった実務とあわせて機能します。
ガイドラインづくりは、ルールを増やす作業というより、社内で共有できる判断基準を言葉にする作業です。進め方や社内合意の順番に迷う場合はAI導入のはじめ方もあわせてご覧ください。
本記事は一般的な考え方を整理した参考情報であり、特定製品の推奨や導入の成否・効果を保証するものではありません。実際の検討・判断は、自社のシステム仕様・社内規程・契約・関連法令に照らして専門家とご確認ください。