社内AIガイドラインは、禁止事項を並べるだけでは現場で使われません。対象業務、扱う情報、AI出力の利用先、確認者を決め、日々の業務で判断できる短いルールとチェックリストにします。
1. 利用できるAIとアカウント
- 会社が利用を認めるAIサービスと契約プランを決める
- 個人アカウントと会社管理アカウントを分ける
- 管理者、利用者、承認者の権限とログ確認方法を決める
2. 入力する情報を3段階に分ける
- 入力可能: 公開済み情報、社内で利用を認めた情報
- 要承認: 未公開の社内情報、顧客に関係する情報
- 入力禁止: 個人情報、営業秘密、認証情報など会社が禁止した情報
個人情報を含むプロンプトを入力する場合は、利用目的の範囲や提供事業者による取扱いを確認する必要があります。参考: 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」
3. 著作権と生成物の利用範囲
- 他者の文章、画像、コードを入力してよい条件を決める
- 生成物の類似性、出典、利用規約を社外公開前に確認する
- 顧客向け成果物と社内下書きで確認レベルを分ける
著作権上の判断は利用場面ごとに異なります。参考: 文化庁「AIと著作権について」
4. ハルシネーションとファクトチェック
- AI出力を根拠そのものとして扱わない
- 数値、固有名詞、法令、引用は一次情報と照合する
- 顧客回答や社外公開では確認者と承認者を決める
5. 禁止用途と高リスク用途
- 採用、評価、与信、医療、法務など、誤りの影響が大きい用途を特定する
- AIだけで最終判断しない業務を明文化する
- 差別、有害情報、偽誤情報を確認する観点を設ける
6. 保存、削除、更新
- プロンプト、生成物、承認記録をどこまで保存するか決める
- 不要になったデータとアカウントの削除手順を決める
- 利用ツールや公的ガイドラインの更新に合わせ、定期的にルールを見直す
7. 問題が起きた時の報告
- 誤入力や誤公開を発見したら、まず利用・公開を止める
- 入力内容、出力、時刻、利用アカウントなどの証跡を保存する
- 責任者へ連絡し、影響範囲、削除、関係者への連絡、外部報告の要否を確認する
個人データの漏えい等では、内容により個人情報保護委員会への報告や本人通知が必要になります。参考: 個人情報保護委員会「漏えい等の対応とお役立ち資料」
研修と一緒に用意する成果物
- AI利用ルール案と入力データ分類表
- ファクトチェック・公開承認チェックリスト
- 著作権確認チェックリスト
- 事故・誤送信時の報告フロー
- 社内責任者・相談窓口一覧
全社共通の長い規程を最初に作るより、実際にAIを使う1業務を選び、担当者が判断できるルールを作ってリハーサルする方が定着しやすくなります。全体設計では、AI事業者ガイドラインも参照します。
注意: この記事は一般的な運用上の確認事項であり、個別の法的判断や業界規制への適合を保証するものではありません。契約、法令、業界固有の要件は弁護士その他の専門家へ確認してください。