生成AIの社内ルールはどう作る？禁止事項だけで終わらないガイドライン

1. 情報の名前ではなく中身で分類する

名前を消した資料でも、内容から個人や取引先が分かることがあります。公開情報、社内情報、機密情報を分け、『この資料は入れてよいか』を具体例で示します。

個人情報保護委員会は、生成AIサービスへの個人情報入力について注意を呼びかけています。利用目的や提供事業者による取り扱いの確認が必要です。匿名化も名前だけ消せば十分とは限らず、組み合わせで特定できる情報を含め、必要に応じて法務担当へ相談します。

参考：個人情報保護委員会：生成AIサービスの利用に関する注意喚起

2. 認めるサービスと設定を明確にする

社員が自由に選んだサービスと、会社が承認した環境は分けます。契約、設定、入力の扱いを確認し、利用できる環境を一覧にします。設定は定期的に確認してください。

サービスの仕様や契約は変わるため、規程に細かな設定名だけを書き込むより、確認責任者と更新手順を設けます。外部連携やファイル添付を使う場合は、通常のチャット入力とは別に、どのデータが送られるかを確認します。

3. 出力の責任と禁止例を具体化する

AIの回答は完成品とは限りません。数字、引用、契約に関わる文章などは確認が必要です。社外へ出す前に誰が見るかと、間違いがあったときの報告先を決めます。

禁止事項には理由と代替手順を添えます。たとえば顧客の個人情報を含む相談なら、抽象化した条件で下書きを作る、承認済み環境を使う、担当窓口へ相談するなどの手順を示します。例外が必要な場合の承認を記録できるようにします。

4. 短いルールを研修と相談で育てる

まずは読める長さのルールと、よくある質問を用意します。研修で実例を扱い、社員からの相談で不足を直します。見直し日と更新担当者を記載しましょう。

経済産業省のAI事業者ガイドラインには、組織のAI活用を検討するための資料が用意されています。自社の業務・契約・リスクに合わせて参照し、事故や仕様変更、利用範囲の拡大をきっかけに見直します。ルール違反を責めるだけでなく、迷いやすい設計を修正します。

参考：経済産業省：AI事業者ガイドライン 第1.2版