生成AIの社内利用ルールをつくるときに押さえたい5つの論点

生成AIの業務利用は、もはや「使うかどうか」ではなく「どう安全に使うか」を考える段階に入りました。一方で、ルールがないまま個人が勝手にAIサービスを使う**「シャドーAI」**は、情報漏えいの温床になります。

この記事では、生成AIの社内利用ルールを作るときに押さえておきたい5つの論点を整理します。

論点1：何のためのルールかを明確にする

ルールの目的が「リスクをなくすこと」だけだと、結果として全面禁止に近づきます。そして禁止されると、利用は見えないところに潜ってしまいます。

おすすめは、**「安全に使える道を用意して、そこに誘導する」**ことを目的にすることです。会社として認めたサービスと使い方を示し、それ以外のサービスを使う理由をなくしていきます。

論点2：入力してよい情報を区分する

最も重要なのが、AIに入力してよい情報の線引きです。既存の情報分類（公開・社外秘・極秘など）に合わせて、サービスごとに入力できる範囲を決めると、現場にも伝わりやすくなります。

情報の区分	例	会社が契約したサービス	個人向けの無料サービス
公開情報	公開済みのプレスリリース	○	○
社内限定	社内マニュアル、議事録	○	×
機密情報	顧客の個人情報、未発表の財務情報	条件付き（個別承認など）	×

判断の材料として、各サービスについて少なくとも次の点を確認しておきます。

• 入力したデータがモデルの学習に使われるか、使われないよう設定できるか
• データの保存期間と保存場所
• 管理者による利用状況の把握（監査ログ、SSO連携など）ができるか

論点3：出力の扱いと責任を決める

生成AIの出力には、誤り（ハルシネーション）や、第三者の権利を侵害する内容が含まれることがあります。

• 社外に出す文書・コード・画像は、人が内容を確認したうえで使う
• 生成AIで作ったコードも、通常どおりレビューと脆弱性チェックを行う
• 重要な数字・固有名詞・法令の内容は、一次情報で裏付けを取る

「最終的な責任は使った人（と承認した人）にある」ことを明記しておくと、確認の重要性が伝わりやすくなります。

論点4：AIエージェントや業務システムへの組み込みも対象にする

チャット型のサービスだけでなく、業務システムに組み込まれたAI機能や、メール・ファイル・社内システムを操作するAIエージェントもルールの対象に含めます。これらは個人の利用ルールだけでは管理しきれないため、次のような手続きを別に決めておくと安心です。

• 導入前のリスク評価（扱うデータ、権限、外部との接続）
• 責任者の明確化と、定期的な見直し
• 停止手順やインシデント発生時の連絡体制

論点5：ルールは「育てる」前提で運用する

生成AIのサービスや機能は数か月単位で変わります。最初から完璧なルールを目指すより、まず最低限のルールを出し、定期的に見直すほうが現実的です。

• 見直しの頻度（例：四半期ごと）と担当部署を決める
• 現場からの質問や「このサービスを使いたい」という申請の窓口を作る
• 年1回以上、具体例を使った研修を行う

国内では経済産業省・総務省による「AI事業者ガイドライン」が公表されており、AIを開発する事業者だけでなく、AIを利用する事業者が取り組むべき事項も示されています。社内ルールを作るときの参考資料として活用できます。

まとめ

生成AIの社内ルールは、入力してよい情報の線引きと、安全に使える公式の手段を用意することが中心になります。禁止で抑え込むのではなく、使い方を示して見える場所で使ってもらう。そのうえで運用しながら見直していくことが、シャドーAIを減らし、AI活用の効果を最大にする近道です。