「うちもAIのルールを作らないと」——そう思ったまま、半年が過ぎていないだろうか。
AIガバナンスの話をすると、多くの担当者が同じところでつまずく。「必要なのは分かった。で、具体的に何を書けばいいのか」だ。
前回まで、AIガバナンスの3階層と、なぜ今それが急務なのかを整理してきた。今回はその実践編として、社内のAI利用ルールに何を書けばいいのかを具体的にまとめる。記事の最後には、そのまま使えるテンプレートも用意した。
→ AIガバナンスとは何か——大手銀行の導入から中小企業が学ぶ3つの階層
目次
1. 立派なルールほど、誰も読まない
最初に、遠回りに見えて一番大事な話をする。AI利用ルールで失敗する典型は、「立派すぎる文書を作ること」だ。
ネットで拾ったテンプレートを元に、20ページの「生成AI利用規程」を作る。用語定義があり、法令の引用があり、罰則規定まである。完成した瞬間は達成感がある。でも、その文書を最後まで読む従業員は、まずいない。
以前、ISMSが「やってる感」で空回りする話を書いたが、AI利用ルールもまったく同じ道をたどる。作ることが目的になった瞬間、そのルールは機能しなくなる。
目指すべきは、A4で1〜2枚。従業員が3分で読めて、迷ったときに思い出せる分量だ。中小企業なら、それで十分に機能する。
では、その1〜2枚に何を書くか。必要な要素は4つに絞れる。
① 目的と基本方針：なぜAIを使うのか、会社としてどういうスタンスか。数行でいい。
② 入力してよい情報・ダメな情報：最重要項目。ここが曖昧だと事故が起きる。
③ 使ってよいツール：どのAIサービスを、どのプランで使うか。
④ 出力の確認ルール：AIが出したものを、誰がどう確認してから使うか。
逆に言えば、これ以外は「あったら望ましい」程度のものだ。罰則規定も、詳細な用語定義も、最初から要らない。まず4つを埋めて配る。足りないと分かったら足せばいい。
3. 最重要は「入れていい情報・ダメな情報」の線引き
4つのうち、最も重要なのが入力情報の線引きだ。実際の情報漏洩リスクは、ほぼここに集中している。
ポイントは、「機密情報は入力しないこと」といった抽象的な書き方をしないこと。この一文だけでは、現場は何が機密かを判断できない。「顧客名は？」「社内の売上数字は？」「求人の応募者情報は？」——迷った末に、結局それぞれの判断で入力してしまう。
だから、具体的に列挙する。たとえばこうだ。
入力してはいけない情報の例
・顧客・取引先の氏名、連絡先、住所などの個人情報
・従業員の人事情報、評価、給与に関する情報
・未公開の財務情報、経営数値
・取引先との契約書、見積書などの機密文書
・システムのパスワード、APIキー、認証情報
入力してよい情報の例
・公開済みの自社情報（ウェブサイトに載っている内容）
・一般的な調査、下調べ
・固有名詞を伏せた相談、文章の推敲
大事なのは、「ダメなもの」だけでなく「使ってよいもの」も書くことだ。禁止事項だけ並べると、現場は萎縮してAIを使わなくなる。それでは本末転倒だ。「ここまでは自由に使っていい」という許可の範囲を明示することで、安心してアクセルを踏める。
4. 使ってよいツールを決める
次に、使うツールを決める。ここで最重要なのが、入力データがAIの学習に使われない設定になっているかだ。
多くのAIサービスは、法人向けプランや設定変更によって「入力データを学習に使わない」ことを明示している。業務で使うなら、この条件を満たすものを選ぶのが大前提になる。無料版を業務で使わない、というルール一つでもリスクは大きく下がる。
そして、もう一つ書いておきたいのが「シャドーAI」への対処だ。会社が把握しないまま、従業員が個人アカウントでAIを使っている状態を指す。禁止するだけでは水面下に潜るだけなので、「使いたいツールがあれば申請してほしい」という窓口をセットで用意するのが現実的だ。
→ 中小企業の生成AI利用ガイドライン——今日から始められる5つのアクション
5. 出力をどう確認するか
4つ目の要素が、出力の確認ルールだ。AIの回答は完璧ではない。事実と異なる内容がもっともらしく生成されることもある。
ルールとしては、シンプルに2点でいい。
① AIの出力をそのまま外部に出さない——顧客へのメール、公開資料、契約に関わる文書は、必ず人間が確認してから使う。
② 事実・数値は裏取りする——AIが挙げた法令名、統計、固有名詞は、一次情報で確認する。
特に、AIが自ら操作を実行する「AIエージェント」的な使い方が広がると、この確認プロセスの重要性はさらに増す。重要な判断や外部への操作の前には、人間の承認を挟む。この一線だけは、規模を問わず守っておきたい。
→ なぜ今、AIガバナンスが急務なのか——「行動するAI」の時代に問われる備え
6. 作った後——運用に乗せるための3つのコツ
ルールは作って終わりではない。むしろそこからが本番だ。現場で機能させるための3つのコツを書いておく。
① 配って終わりにせず、5分でいいから説明する
朝礼でも定例会でもいい。「なぜこのルールがあるのか」を口頭で一度説明するだけで、浸透度がまったく変わる。文書を配布しただけでは読まれない。
② 相談窓口を明記する
「これは入力していいのか」と迷ったとき、誰に聞けばいいかを書いておく。判断に迷う場面は必ず出てくるので、聞ける先があることが安全弁になる。
③ 半年に一度は見直す
AIの進化は速い。半年前に書いたルールが、実態と合わなくなることは普通にある。見直しの時期をあらかじめ決めておくと、放置されずに済む。
7. テンプレートを用意した
ここまでの内容を反映した、A4で2枚程度の「社内AI利用ルール」テンプレートを用意した。Wordファイルなので、自社の状況に合わせて書き換えて使ってほしい。
テンプレートには、以下の項目が含まれている。
・目的と基本方針
・入力してはいけない情報／入力してよい情報の具体例
・利用が認められるツールと申請の手順
・出力の確認ルール
・相談窓口と見直しの時期
そのまま使えるように書いてあるが、自社の実態に合わせて必ず調整してほしい。特に「入力してはいけない情報」は、業種によって重要度が変わる。医療や金融なら、より厳しい線引きが必要になる。
A4一枚から始めればいい
社内のAI利用ルールは、完璧である必要はない。むしろ「不完全でもいいから、今ある」ことの方が価値がある。
立派な規程を半年かけて作っている間にも、従業員は今日もAIを使っている。ルールがない状態で使われ続けることの方が、よほどリスクが大きい。
A4一枚でいい。4つの要素だけでいい。まず配って、運用しながら育てる——AI利用ルールは、そういう作り方が一番うまくいく。前回書いたAIガバナンスの3階層で言えば、これは「運用ルール」の層にあたる。ここが埋まれば、あとは日々の統制を回していくだけだ。
関連記事
・AIガバナンスとは何か——大手銀行の導入から中小企業が学ぶ3つの階層
本記事の上位概念となるAIガバナンスの全体像。
・なぜ今、AIガバナンスが急務なのか——「行動するAI」の時代に問われる備え
なぜ今ルール整備を急ぐ必要があるのか、その時代背景。
・中小企業の生成AI利用ガイドライン——今日から始められる5つのアクション
ルール作りの前段階として取り組める5つのアクション。
コメント