生成AIを業務に入れる前に決めておくべき社内ルール｜ブログ

この記事で分かること 生成AIを業務に入れる前に、最初に決めておくべき3つのルール 「入力してよい情報」を社員が迷わず判断できるようにする線引きの作り方 運用しながら足していけばよいルールと、参考にできる公的な資料 AIを組み込んだシステムや導入支援を業者に頼むときに確認したいこと 「AIを入れろ」と言われたら、まず何から始める？ 「うちもそろそろ生成AIを使えるようにしてほしい」。経営層からこう頼まれて、何から手を付ければよいのか迷っている担当者の方も多いのではないでしょうか。 ツールの契約自体はすぐにできます。困るのは、「社員に何をどこまで使わせてよいのか」を決める部分です。禁止事項を並べた分厚い規程を作ろうとすると、いつまでも使い始められません。逆に何も決めずに始めると、後から問題が見つかったときに誰も判断できなくなります。 この記事では、システム開発の現場で実際に生成AIを活用している開発会社の立場から、導入前に決めておきたい社内ルールを整理します。 結論: 最初に決めるのは3つだけ 最初から完璧な規程を作る必要はありません。まずは次の3つを決めておけば、大きな事故を防ぎながら使い始めやすくなります。 使ってよいツールと契約プラン: 会社として認めるサービスを決め、それ以外は業務で使わない 入力してよい情報の線引き: 「入れてよい」「入れない」に分け、具体例を添える 出力を確かめる人と範囲: AIが作ったものを、誰がどこまで確認してから使うかを決める ルールがないまま使い始めると何が起きるか ルールを決めずに使い始めると、次のようなことが起こりやすくなります。 社員がそれぞれ個人のアカウントで無料のサービスを使い、会社として誰が何に使っているか分からなくなる お客様の名前や見積もりの金額を、そのまま入力してしまう AIが作った文章を確認せずに、お客様への資料やWebサイトに載せてしまう どれも、社員に悪気があるわけではありません。「何を入れてはいけないか」「誰が確認するか」を知らされていないだけです。ルールの目的は社員を縛ることではなく、迷わず使える状態を作ることにあります。 決めること1: 使ってよいツールと契約プラン 最初に、会社として認めるサービスと契約プランを決めます。ここで確認したいのが、入力した内容がAIの学習に使われるかどうかです。 学習利用とは: サービスの提供会社が、利用者の入力した内容をAIの性能向上のための材料として使うことです。 個人情報保護委員会は、生成AIサービスでは入力された個人情報が機械学習に利用されることがあるとして、利用規約やプライバシーポリシー等を十分に確認するよう注意喚起しています（個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」）。学習に使われるかどうか、使わない設定にできるかどうかはサービスや契約プランによって異なります。契約前に、規約の該当箇所を確認しておきましょう。 あわせて、会社のアカウントで使うことも決めておきます。社員が退職したときに利用を止められ、誰が使っているかを把握できるからです。当社でも業務ツールとして Google Workspace を導入し、組み込まれた生成AIの Gemini を議事録作成や資料の要約に使っています（【導入レポート】Google Workspaceがやってきた！）。 決めること2: 入力してよい情報の線引き ルールの中心になるのが、AIに入力してよい情報の線引きです。「機密情報は入力しない」とだけ書いても、何が機密情報に当たるのか社員は判断に迷います。そこで、「入れてよい情報」と「入れない情報」に分けて、それぞれに具体例を添えるのがおすすめです。 | 区分 | 例 | |---|---| | 入れてよい | 公開済みのWebサイトの文章、一般的な調べもの、社外秘でない文章の言い回しの相談 | | 入れない | お客様の個人情報、パスワード、契約書や見積書の原本、公開前の新商品の情報 | 個人情報とは: 氏名や生年月日など、特定の個人を識別できる情報のことです。ほかの情報と組み合わせて個人が分かるものも含まれます。 個人情報保護委員会は、事業者が本人の同意なく個人データを含むプロンプトを入力し、それが応答の出力以外の目的で扱われる場合は、個人情報保護法に違反する可能性があると示しています。そのうえで、入力する場合はサービス提供者がその個人データを機械学習に利用しないこと等を十分に確認するよう求めています（同注意喚起）。 総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」でも、AIを業務で利用する事業者が取り組む事項として、個人情報や機密情報を不適切に入力しないよう注意を払うことが挙げられています（経済産業省「AI事業者ガイドライン」）。 表の例は、自社の業務で実際に扱う書類に置き換えてください。迷ったときに誰へ相談すればよいかも、表の下に書いておくと判断が速くなります。 決めること3: 出力を確かめる人と範囲 生成AIは、もっともらしい文章を作るのが得意な一方で、事実と異なる内容を出力することがあります。 ハルシネーションとは: AIが事実と異なる内容を、もっともらしく出力してしまう現象のことです。 そのため、「AIが作ったものを誰がどこまで確かめてから使うか」を決めておきます。すべてを同じ重さで確認する必要はありません。使い道によって分けると、運用の負担を抑えられます。 社内向けのメモや下書き: 使う本人が読み直せばよい お客様に送る文書や社外に公開する文章: 本人に加えて、上長や担当部署が確認する 数字・法令・製品の仕様など事実を述べる部分: 元の資料や公式の情報で裏付けを取る 当社の開発でも、AIが作った仕様書やプログラムはエンジニアが内容を確かめ、最終的な判断は人が行っています。この考え方は「AI駆動開発のリアルと「人間の目」で守る品質・安全性」で紹介しています。 運用しながら足していくルール 3つのルールで使い始めたら、実際の使われ方を見ながら次のルールを足していきます。 著作権の扱い: AIで作った画像や文章を社外に出す前に、既存の作品と似ていないかを確認する。文化庁の資料では、プロンプトに既存の作品の題名やキャラクター名を入れると、その作品をもとにしたと判断されやすくなるとされています。また、生成に使ったプロンプトなどを確認できる状態にしておくよう努めることが望ましいとされています（文化庁「AIと著作権に関するチェックリスト＆ガイダンス」） 相談窓口: 判断に迷ったときや、誤って入力してしまったときの連絡先を決める 見直しの時期: サービスの規約や機能は変わるため、半年に1回など見直す時期を決めておく ガイドラインをまとめて読むなら、AI事業者ガイドラインの「AI利用者に関する事項」が出発点になります。何に使えるかを考えたい場合は「生成AIのビジネス(業務）活用シーンとは？」も参考にしてください。 発注時に業者へ確認すべき質問 社内のチャットボットなど、AIを組み込んだシステムの開発や導入支援を業者に頼むときは、次の点を確認しておきましょう。社内ルールと食い違わないかを判断する材料になります。 入力した内容は、AIサービスの提供会社の学習に使われますか。使われない設定にできますか 入力した内容や会話の履歴は、どこに、どのくらいの期間保存されますか 個人情報や社外秘の情報を誤って入力しないための仕組みはありますか AIの回答が誤っていた場合に、利用者が気付ける工夫はありますか 利用するAIサービスの規約が変わったときに、知らせてもらえますか 開発会社の選び方については、「【システム開発×生成AI】AI時代のシステム開発とは？発注担当者が知っておきたい最新事情」で、AIの使い方や品質の担保の観点から紹介しています。 まとめ 生成AIの社内ルールは、最初から完璧に作る必要はありません。 使ってよいツールと契約プランを決め、会社のアカウントで使う 入れてよい情報と入れない情報を分け、自社の書類で具体例を示す AIが作ったものを誰がどこまで確かめるかを、使い道ごとに決める この3つを決めて使い始め、著作権の扱いや見直しの時期は運用しながら足していきましょう。ルールは社員を縛るためではなく、迷わず安心して使える状態を作るためのものです。 リヴァイトでは、システム開発に加えて、AI導入の支援も行っています。生成AIの社内ルールづくりや、業務への取り入れ方についても、「まずは相談だけしてみたい」という段階からお受けしています。何から決めればよいか分からないという方も、どうぞお気軽にお問い合わせください。 関連記事 【システム開発×生成AI】AI時代のシステム開発とは？発注担当者が知っておきたい最新事情 9月11日にHPリニューアル予定！AI駆動開発のリアルと「人間の目」で守る品質・安全性 生成AIのビジネス(業務）活用シーンとは？ 【導入レポート】Google Workspaceがやってきた！