先に結論
生成AIを社内で使い始める前に決めるのは、機能一覧ではない。入力禁止、確認者、保存、ログ、責任、止める条件の6つだ。導入前点検のチェックリストと、ガイドラインの参照の仕方を整理する。
生成AIを社内で使い始める前に決めたいのは、ツールの機能一覧ではない。入力禁止、確認者、保存、ログ、責任、止める条件の6つだ。ここが空のまま使い始めると、便利さの分だけ、情報の行き先と最終責任が追いにくくなる。
この記事でわかること:
- 導入前に埋める6項目
- 経済産業省・総務省のAI事業者ガイドライン、IPAの中小企業向けガイドラインをどう参照するか
- 小さく始めて止める条件
想定読者: 生成AIをこれから使う、あるいは個人利用が先行している中小企業の経営者・担当者。情報システム部門がなくても、6項目は埋められる。先に埋めるのは、禁止事項と確認者と止める条件だ。
この記事は、中小企業の導入前点検のための一般的な整理だ。法的助言ではない。契約、個人情報保護、業界規制、取引先との取り決めに関する判断は、自社の専門家や顧問に確認してほしい。チェックリストを埋めたことは、法令適合の証明にはならない。
なぜチェックリストが先か
生成AIは、入力した文章を外部サービスで処理することが多い。履歴書、顧客名、未公開の見積、契約条件をそのまま貼ると、社内の共有フォルダとは違う場所に情報が残る可能性がある。出力も、事実と異なる内容を自然な文章で出すことがある。速くなった分だけ、見直さないまま次の人へ渡すことも起きる。
だから、禁止事項と確認者と保存先を、使い方より先に一文で決める。社内ルールの項目の考え方は、生成AIの社内ルールの作り方にある。採用で候補者情報を扱う場合は、履歴書・面接記録の安全な扱いとセットで見てほしい。社外に出せない資料が中心なら、ローカルLLMの費用と現実も検討材料になる。情報を外に出さない構成を選ぶ場合でも、確認者・保存・責任は残る。構成が変わっても、人が見る場所と、止める条件は残す。
個人利用が先行している会社では、まず「いま誰が、何を貼っているか」を書き出す。禁止事項より先に実態が見えないと、ルールだけが空転する。書き出したあとで、残してよい用途と、止める用途を分ける。法人契約にする範囲の見方は、生成AIの法人プラン比較も参照してほしい。
導入前チェックリスト
次の6つを、担当名が入る形で埋める。空欄のまま「各自で気をつける」にしないことが目的だ。最初はA4一枚でも構わない。完璧な規程より、現場が迷ったときに開ける文面が先だ。
1. 入力禁止
入力してはいけない情報を、具体例で書く。顧客の個人情報、従業員の機微な情報、未公開の財務・契約、パスワード、取引先から預かった資料は、原則禁止にしやすい。公開済みの自社情報や、一般的な下書き相談は使える範囲にする。迷ったら入力しない、を原則にする。禁止だけ並べると現場は使わなくなるので、「ここまでは使ってよい」も同じ紙に書く。氏名を伏せても、少人数の会社では勤務先や案件名で本人が分かることがある。採用や顧客対応で使うなら、固有名詞の一般化まで入力禁止の隣に書く。
2. 確認者
AIの出力を、誰が、どの段階で見るかを決める。社外に出す文面、見積、採用関連、契約に触れる文は、本人以外の確認を置くと事故が減る。社内限りのメモは、本人確認でも始められる。確認者は役職名だけでなく、不在時の代理も書く。確認の目的は、事実の誤り、入れていけない情報の混入、対外約束になっていないか、だ。確認者が「見た」だけで、何を見たのか残っていないと、あとから追えない。社外に出すものは、確認した日付と対象ファイルが分かれば十分だ。
3. 保存
入力に使ったメモ、出力、採用した最終稿を、どこに置くかを決める。個人のチャット履歴や個人端末だけに残すと、退職や端末故障で追えない。会社が管理する場所を、保存先にする。保管期間と、不要になったデータの扱いも一文で残す。AIの作業場と、会社の記録は分ける。
4. ログ
誰が、どのツールを、何の目的で使ったかを、どこまで残すかを決める。全件の詳細ログは負担が大きいので、最初は利用ツール、用途、対象業務のメモからで構わない。あとからルールを見直す材料になる。アカウントの管理者と、退職時に止める手順も、ログの隣に書いておくと引き継げる。
5. 責任
公開・送付・提出を承認した人が、その成果物の責任を持つ、と書いておく。「AIが出した」では、対外的な説明にならない。経営者、部門長、担当のどこで止めるかを先に決める。責任分界は、現場を縛るためではなく、確認してよい範囲をはっきりさせるために要る。
6. 止める条件
使い続けてよい条件と、止める条件をセットにする。例えば、入力禁止の情報が貼られた、確認者を通さず社外に出した、サービス設定が分からない、担当が不在でログが追えない、取引先から利用制限の連絡があった、などだ。止めたあとの連絡先も一つにする。止める判断を個人の気分にしないことが、チェックリストの役割だ。止めたあとも、入力済みの履歴が個人アカウントに残っていないか、確認者と保存先を見る。使えなくなったツールのアカウントを誰が止めるかも、ここに書く。
ガイドラインの参照の仕方
判断の参考として、経済産業省・総務省「AI事業者ガイドライン」第1.2版、IPA「中小企業の情報セキュリティ対策ガイドライン」に目を通しておくと、自社チェックの抜けを減らせる。前者は、AIを使う事業者がガバナンスやリスクをどう考えるかの整理だ。後者は、中小企業が情報を守るときの基本対策の見取り図だ。どちらも、入力してよい範囲、人の確認、事故が起きたときの備えを考える材料になる。
どちらも、自社規程の代わりにはならない。業種や契約で求められる水準は違うため、ガイドラインを読んだうえで、自社の禁止事項と確認者を書き下ろす。この記事の紹介は概要にとどめ、条文の解釈や法令適合の判断は専門家に確認してほしい。繰り返しになるが、法的助言ではない。ガイドラインの見出しを社内ルールに写すだけでは、入力禁止の具体例は埋まらない。自社が扱う情報の種類に落としてから使う。
小さく始めるときの使い方
チェックリストは、最初から全業務にかけなくても使える。
- 対象業務を一つに絞る（例: 公開情報の要約、社内向け下書き）
- その業務について6項目を埋める
- 短い期間使い、入力禁止の例外が欲しくなった箇所だけ議論する
- 例外を認めるなら、確認者と保存先を同時に増やす
- 例外を認めないなら、止める条件に戻す
経営者自身が先に使う進め方は、経営者のAIの始め方と揃えると、現場へ広げるときの説明が楽だ。トップが禁止事項を使っていないと、現場だけが自己判断で進む。経営者が先に、公開情報の要約や社内下書きだけを使い、6項目が空でないことを確認してから広げる。
チェックリストは、一度埋めたら終わりではない。使うツールが変わったとき、採用や顧客対応に対象を広げたとき、担当が変わったときに見返す。見直しの日付と、次に見る人だけでも書いておくと、属人化しにくい。見返すときは、止める条件に触れていないかも一緒に確認する。
まとめ
導入前に埋めるのは、機能一覧ではない。入力禁止、確認者、保存、ログ、責任、止める条件の6つだ。ガイドラインは参考であり、自社規程の代わりにも、法令適合の証明にもならない。この記事は法的助言ではない。小さく始め、例外を認めるなら確認者と保存先を同時に増やす。
入力範囲と確認体制を、導入前に整理しませんか
生成AIの入力範囲と確認体制を、導入前に整理したい場合はご連絡ください。禁止事項、確認者、止める条件から話せます。
よくある質問
Q1: 小さな会社でもここまで必要ですか？
分量は少なくて構わない。入力禁止、確認者、止める条件の3つだけでも、個人判断のばらつきは減る。少人数ほど、情報が個人端末に偏りやすい。
Q2: 無料の生成AIは使ってはいけませんか？
一律禁止とまでは言い切れない。ただし、入力データの扱いがプランで違うことがある。会社として使ってよいツールと、入れてはいけない情報を指定してから使う。
Q3: ガイドラインを守れば十分ですか？
参考にはなるが、自社の契約や業種規制を満たす保証にはならない。この記事も法的助言ではない。最終的な文言は専門家に確認してほしい。
Q4: 事故が起きたら何を見ますか？
入力した内容、使ったツール、確認者、保存先、対外に出した成果物だ。ログと責任が空だと、あとから追跡できない。止める条件に沿って利用を止め、窓口へ共有する。