生成AIの社内ルールを作る手順｜中小企業向けChatGPT利用ルールの決め方
「社員がChatGPTを使っているらしいが、会社として何も決めていない」。中小企業からよく伺うお悩みです。生成AIの社内ルールは、長い規程を作る必要はありません。入力してよい情報と禁止する情報、使うツール、出力の確認手順、この三つを決めるだけでも、大きな事故は防げます。この記事では、Microsoft 365 Copilotの導入に携わった経験から、中小企業がルールを作る手順と、ひな形の章立て、定着のための運用をご紹介します。
ルールがないまま使われると何が起きるか
生成AIは、禁止しても使われます。便利だからです。ルールがない状態で起きやすいのは、次のようなことです。
- 顧客の氏名や取引内容を含む文章を、個人契約の無料サービスに入力してしまう
- 契約書や見積書の原文をそのまま貼り付けて要約させる
- 生成された文章の誤りに気づかず、お客様への案内にそのまま使う
- 誰がどのサービスを使っているか会社が把握できず、退職後も社用情報が残る
- 「使ってよいのか分からない」ために、使えば楽になる業務で使われない
無料で提供される生成AIサービスには、入力した内容がサービス改善のための学習に使われる設定のものがあります。設定や契約プランによって扱いは異なりますので、利用するサービスの公式ドキュメントで最新情報を確認してください。ルールの目的は、使わせないことではなく、「ここまでは安心して使える」と社員に示すことです。
ルールで決めるべき項目
入力してよい情報と、禁止する情報
最も重要な項目です。「機密情報は入力しない」とだけ書いても、何が機密か判断できなければ守れません。具体例で示します。
- 禁止: 顧客・取引先の個人情報、社員の個人情報、未公開の財務情報、契約書や提案書の原文、パスワードや接続情報
- 条件付き: 社内の手順書や規程（会社が契約し、学習に使われない設定のサービスに限る）
- 可: 一般に公開されている情報、固有名詞を取り除いた文章、文章の表現を整えるための下書き
士業事務所のように、お客様の情報そのものが業務の中心である場合は、禁止の範囲を広めに取り、匿名化の手順をあわせて決めます。
利用するツール
会社として使ってよいサービスを指定します。個人契約のアカウントで業務情報を扱うことは禁止します。Microsoft 365を契約している会社であれば、職場のアカウントで利用できる生成AI機能から始めるのが、管理のしやすさの面で現実的です。
出力の確認手順
生成AIの文章には、もっともらしい誤りが含まれます。「人が確認してから使う」ことをルールに書き、特に次の場面では確認者を明確にします。
- お客様へ送る文書やメール
- 法令や契約に関わる内容
- 数値や日付を含む内容
教育と相談窓口
ルールは配るだけでは守られません。説明会や短い動画で趣旨を伝え、「これは入力してよいか」を気軽に聞ける窓口を決めます。
ひな形の章立て
A4で二枚程度に収まる構成をおすすめします。長い規程は読まれません。
- 目的（なぜルールを作るのか、禁止ではなく安全に使うためであること）
- 対象者と対象ツール（全社員、会社が認めたサービスの一覧）
- 入力してよい情報・禁止する情報（具体例つき）
- 利用の手順（職場アカウントの利用、個人アカウントの禁止）
- 出力の確認（人が確認すること、確認者を決める場面）
- 禁止事項（他者の著作物の無断入力、業務外利用など）
- 困ったときの相談先と、事故が起きたときの報告先
- 改定の方法（半年ごとに見直す、など）
一度に完璧を目指す必要はありません。「現時点の版」として配り、運用しながら直していく前提で作ります。
定着のための運用
ルールを作っただけで終わる会社と、使われる会社の違いは、作った後にあります。
- 使いどころを一緒に示す: 禁止事項だけでなく、「議事録の下書き」「メール文面の整え」など、すぐに試せる活用例を添える
- 小さく始める: 一つの部署や数名で試し、困った点をルールに反映してから全社へ広げる
- 相談を歓迎する: 「これは大丈夫か」という質問が集まるほど、ルールは実態に近づく
- 定期的に見直す: サービスの機能や契約条件は変わります。半年に一度は、ルールと利用状況を確認する
- 事故を責めない: 誤って入力したときに報告しやすい雰囲気がなければ、問題は隠れます
ルールづくりから定着までの進め方は、DX・業務改善・AI活用支援でもご紹介しています。
Copilotなど業務ツールとの関係
Microsoft 365 Copilotのように、業務ツールに組み込まれた生成AIは、使う人がアクセスできる社内のファイルやメールをもとに回答を作ります。これは便利である一方、社内の共有設定が緩いままだと、本来見えるべきでない情報が回答に含まれるおそれがあります。
そのため、業務ツールの生成AI機能を使う場合は、利用ルールと同時に、ファイルの共有設定やアクセス権の見直しが必要です。「誰が、どのフォルダを見られるか」を整えることは、生成AIの導入準備であると同時に、セキュリティ対策そのものでもあります。進め方はMicrosoft 365 導入・運用支援で詳しくご紹介しています。
汎用の生成AIサービスと業務ツールの生成AI機能では、情報の扱いや管理のしかたが異なります。ルールの中で、どちらにどの決まりが当てはまるかを分けて書いておくと、社員が迷いません。
よくある質問
社員数が少ない会社でも、文書にしたルールが必要ですか？
必要です。人数が少なくても、口頭の了解は人によって解釈が違います。A4一枚でも、文書にして全員が同じものを見ている状態を作ることが大切です。
いったん全面禁止にしてから、ルールを作るほうが安全ではありませんか？
全面禁止は、個人のスマートフォンなど会社の目が届かない場所での利用を増やすことがあります。まず「使ってよい範囲」を小さく決めて示し、広げていくほうが、結果として安全です。
ルールの原案を作る時間がとれません。
既存の章立てをもとに、自社の業務に合わせて具体例を埋めていく形であれば、原案は短期間で作れます。社内に情シスがいない場合は、外部の情シス顧問が原案づくりと説明会を支援する方法もあります。
まとめ
生成AIの社内ルールは、入力してよい情報と禁止する情報、使うツール、出力の確認手順を具体的に決めることが中心です。A4二枚程度の章立てで「現時点の版」を作り、小さく試しながら見直していきます。業務ツールの生成AI機能を使う場合は、共有設定やアクセス権の見直しを同時に進めます。ルールの目的は、使わせないことではなく、社員が安心して使える範囲を示すことです。