生成AIを仕事で使う人が増えてきました。私たちは、研修やセミナーの講師、個別の会社への支援、公的な支援機関での個別相談など、さまざまな場で中小企業の方とお話ししています。場は違っても、ほぼ必ず出てくる質問があります。
「これ、会社で使っていいんでしょうか？」
この記事では、その問いに会社として答えを出すための、生成AIの社内ルールの作り方をご紹介します。
個人なら「まず使ってみる」。会社なら「まずルール」
個人で使うのであれば、まず触って、試してみるのがいちばんです。使ってみないと、何ができて何ができないのかはわかりません。
ところが、会社として使うとなると、順番が変わります。お客様の情報、取引先から預かった情報、社内の数字。会社には、個人の判断だけでは扱えない情報があります。社員それぞれが「たぶん大丈夫だろう」で使い始めると、会社は何が起きているのかを把握できません。
会社で使うなら、ルールづくりが先です。これは社員を縛るためではなく、安心して使える範囲をはっきりさせるためです。
ルールが無いと何が起きるか
禁止もしていないが、許可もしていない。この状態がいちばん困ります。
よくあるのは、次のような状況です。
- 慎重な人ほど「何かあったら困る」と使わない
- 気にしない人は、個人のアカウントで、会社が知らないAIを使っている
- 使っている人も、上司に言い出せずに黙っている
- 社長は「うちではまだ誰も使っていない」と思っている
使う人と使わない人に分かれ、どちらの状態も会社には見えていない。ルールが無いことの問題は、ここにあります。
最初に決めるのは「入れてはいけない情報」
ルールづくりは「入れてはいけないもの」から始めます。「入れてよいもの」を並べようとすると、きりがないからです。
考え方の出発点はシンプルです。生成AIに情報を入れることは、クラウドサービスにデータを預けることとほぼ同じです。すでにクラウドのメールやファイル共有を仕事で使っている会社なら、生成AIだけを特別に怖がる必要はありません。
そのうえで、線を引きます。私たちがよくお伝えしている目安は、「クラウドにも置かず、メールでも送らず、最重要の機密として保管しているものは、AIにも入れない」です。普段の扱いと同じ基準にそろえると、社員も迷いません。
個人情報や取引先から預かった情報は、もう一段の確認が必要です。法令や、取引先との契約（秘密保持の取り決めなど）で扱いが決まっているものは、その条件を満たせるかどうかで判断します。一律に禁止するのではなく、条件を確認して決める、という順番です。
線を引くのは経営者の仕事
どの情報を入れてよく、どの情報はいけないのか。この選別は、現場の担当者には決められません。
「この見積金額は入れていいのか」「このお客様の情報はどうか」。その判断には、取引先との関係や、会社として何を守るのかという考えが関わります。担当者に任せると、安全側に倒して「全部だめ」になるか、判断がつかずに止まってしまいます。
ここは経営者が「ここまではいい。ここからはだめ」と決める場面です。完璧な線でなくてかまいません。経営者が決めて示すことで、社員は初めて安心して使えるようになります。
使うAIを会社として決める
次によく出る質問が「どのAIを使えばいいですか？」です。ここも、社員それぞれの判断に任せないことをおすすめしています。
確認するのは2点です。
- 入力した内容が、AIの学習に使われる設定になっていないか
- 個人のアカウントではなく、会社として契約・管理できているか
学習に使わせない設定ができるか、法人向けのプランでどう扱われるかは、サービスごとに違い、変更されることもあります。契約の前に、各サービスの公式の説明で確かめてください。
各自が個人のアカウントでばらばらに使っている状態では、何を入れたのかを会社が確かめる手段がありません。「仕事で使うのはこのAI」と決めるだけで、管理はずっと楽になります。
出力の扱いを決める
生成AIの答えは、もっともらしく見えても、間違っていることがあります。そこで、出てきたものの扱いも決めておきます。
- そのまま社外に出さない。必ず人が読んで直す
- 数字・固有名詞・制度の内容は、元の資料で確かめる
- 出したものの責任は、AIではなく、使った人と会社にある
難しい話ではありません。新人が作った資料を上司が確認してから出すのと同じ流れを、AIにも当てはめるだけです。
私たち中小企業なら、まずA4一枚から
大企業には、何十ページもある生成AIの利用規程があります。同じものを中小企業が作ろうとすると、作るだけで力尽きてしまい、できあがっても読まれません。
私たち中小企業なら、まずはA4一枚から始めましょう。決めるのは次の5つです。それぞれに記入例を添えます（架空の会社を想定した例です。自社の仕事に合わせて書き換えてください）。
入れてはいけない情報
「機密情報は入力禁止」とだけ書いても、何が機密なのかは人によって受け取り方が違います。現場の人がすぐ判断できる言葉で書きます。
記入例
- お客様の氏名・住所・電話番号・メールアドレス
- 取引先名がわかる形の見積金額・仕入価格
- 未発表の新商品・新サービスの内容
- 社員の給与・評価・健康に関する情報
- 金庫や鍵付きの棚で保管している書類の内容
使ってよいAI
記入例
- 仕事で使うのは、会社が契約した○○（サービス名）だけ
- 会社が発行したアカウントでログインする。個人のアカウントは使わない
- 新しいAIを試したいときは、先に△△（担当者名）へ相談する
出力の確認
記入例
- お客様に出す文書は、送る前に必ず自分で読み直す
- 金額・日付・人名・社名・制度の名前は、元の資料と照らし合わせる
- AIが作った文章や画像をそのまま広告・ホームページに使うときは、上長に見せてから
困ったときの相談先
記入例
- 「これは入れていいか」と迷ったら、入れる前に△△へ聞く
- 入れてはいけない情報を入れてしまったときは、すぐ△△へ報告する。責めないので、隠さないこと
見直しの時期
記入例
- 半年に一度、社長と△△で見直す
- 相談が多かった内容は、そのつど「入れてはいけない情報」の例に足す
A4一枚はスタート地点です
ここまでの5つは、あくまで出発点です。これで十分、というものではありません。
使い始めると、一枚では足りない場面が出てきます。部署によって扱う情報が違う。お客様から「AIを使っていますか」と聞かれる。AIに任せる仕事の範囲が広がる。そのたびに、ルールを書き足していきます。
その意味で、相談先と見直しの時期を最初から決めておくことが大切です。ルールに書いていない場面は必ず出てきます。そのとき聞ける人がいて、聞かれた内容が次のルールになる。この流れができている会社は、ルールが形だけになりません。
研修のあとに、使ってみて困ったことを持ち寄る場をつくることも有効です。詳しくは「中小企業の生成AI研修の組み立て方」でご紹介しています。
自社に合ったガイドラインは、業務の整理から
A4一枚の次の段階は、自社の仕事に合わせたガイドラインです。インターネットで見つけたひな形の社名を書き換えただけでは、現場で使えるものにはなりません。会社ごとに、仕事の流れも、扱う情報も違うからです。
必要なのは、自社の業務を一度整理することです。
- 受注から納品、請求まで、仕事はどう流れているか
- どの場面で、誰が、どんな情報を扱っているか
- そのうち、AIに任せると効果が大きいのはどこか。任せてはいけないのはどこか
普段あたりまえにやっている仕事ほど、言葉になっていません。それを聞き取り、流れとして書き出し、言葉にする。そのうえで初めて、「この業務のこの場面では、この情報までは入れてよい」という、その会社に合ったガイドラインが作れます。
これは、私たち中小企業診断士が得意とするところです。経営と現場の両方を見て業務の流れを整理し、言葉にして、その会社に合ったルールに落とし込む。AIの使い方だけでなく、仕事そのものの見直しにつながることも少なくありません。
まとめ
個人で使うなら、まず試してみる。会社で使うなら、まずルールを決める。そして、何を入れてよいかの線は、経営者が引く。
最初の一歩は、A4一枚からで構いません。入れてはいけない情報、使うAI、出力の確認、相談先、見直しの時期。この5つから始めて、使いながら自社に合ったものに育てていってください。
私たちは、セミナーや研修だけでなく、個別の会社に入って、業務の整理からガイドラインづくり、現場での活用までを一緒に進める支援を行っています。「うちの会社なら何を決めればいいか」から、お気軽にご相談ください。