経営者が研修前に決める生成AI利用ルール｜最低限の6項目

結論

研修を始める前に経営者が決めるべき生成AI利用ルールは、数多くあるように見えて、実際には限られます。利用を許可するツールの範囲、入力してはいけない情報、出力の検証と責任の所在、機密や個人情報の扱い、例外承認の窓口、違反時の対応方針という6項目に絞れます。完璧な社内規程を書き上げる必要はなく、この6項目それぞれに初期スタンス（既定値）を決めて短く明文化すれば、その状態で研修は開始できます。

どちらの極端に寄せても、別の副作用が生じます。全面禁止に寄せれば活用も社員の学習も止まり、未整備のまま放任すれば入力起因の情報リスクと、使ってよいか分からない現場の萎縮が残ります。だからこそ、経営者が各項目の既定値を先に決め、それを研修で全社の共通理解に変える順序が、情報管理と活用推進を両立させる現実的な進め方になります。

なぜ研修前に生成AI利用ルールを決めるのか

ルールを決めずに研修へ進むと、逆向きの二つのリスクが同時に残ります。一つは、何を入力してよいか曖昧なまま社員が生成AIを使い始め、個人情報や未公開情報が外部サービスへ渡ってしまう情報リスクです。個人情報保護委員会は、生成AIサービスに個人データを含むプロンプトを入力し、それが応答の出力以外の目的で扱われる場合には個人情報保護法に違反する可能性があるとして、提供事業者が入力データを機械学習に利用しないことを確認するよう注意喚起しています（個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」）。

もう一つは、使ってよいのか分からず社員が萎縮し、個人の判断でこっそり使うか（シャドー利用）、あるいは一切使わなくなる停滞です。禁止に寄せすぎても同じ停滞が起きます。全面禁止は情報リスクを一見下げますが、社員がAIに触れる機会を奪うため、組織にAI活用の経験が積み上がりません。

経営者が引くべき線は、この二つのリスクの間にあります。総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」も、AIの便益とリスクの双方を踏まえ、事業者が自主的に取るべき行動をリスクの大きさに応じて整理しています（AI事業者ガイドライン｜総務省・経済産業省）。

どの項目を研修前に決めるかは、先に基準で絞ります。研修前に必須とみなすのは、次の3条件をすべて満たすルールだけです。

この3基準で選ぶと、研修前に決めるルールは6項目に定まります。運用手順の細部やツールごとの設定は、この基準を満たさないため、研修後の整備に回して構いません。

研修前に決める生成AI利用ルールの項目セット

6項目は、順番に片づける手順ではなく、並列の意思決定領域です。次の表で各項目の決める内容と推奨初期スタンス（既定値）を対にして示し、判断条件と明文化の完了基準は各項目の解説でそろえます。

表の既定値は、情報管理へ寄せた出発点です。自社の事業内容やすでにある規程に合わせて、項目単位で許容側へ緩めたり、制限側へ強めたりして調整します。

利用を許可するツールの範囲

決めるのは、業務で使ってよい生成AIサービスと、その契約形態です。既定値は、会社が契約し管理する法人向けサービスに限定し、社員が個人契約した無料版・個人向けプランで業務データを扱うことを認めない形です。法人向けの契約では、入力データを学習に使わない設定やデータ保持期間を会社側で管理できる場合があり、条件を確認・統制しやすくなります。ただし学習利用の有無や保持期間はプランと設定で異なるため、契約時に個別に確認します。

許容側へ緩めてよいのは、機密情報を扱わない用途（一般的な文章の下書き、公開情報の要約など）に限る、といった条件を付けられる場合です。逆に、扱う情報の機微性が高い部門では、使えるサービスをさらに絞る判断が働きます。

明文化できたと言えるのは、業務利用を認めるサービス名と契約形態の一覧を、全社員が参照できる文書に載せた状態です。「一覧にないサービスは申請が必要」と一言添えれば、範囲の線引きが完了します。

入力してはいけない情報

プロンプトに入れてはならない情報の区分を決め、既定値は禁止側に置きます。個人情報、取引先から預かった非公開情報、自社の未公開の経営情報（未発表の財務・人事・M&A・技術情報など）は、入力を認めません。いずれも外部サービスへ渡れば回収が難しく、最初から対象外にしておくのが妥当です。

「入力してよい情報」と「使ってよいツール・用途」の線引きは、次の二軸で判断できます。

たとえば公開情報を法人向けサービスで要約する用途は許容しやすく、特定個人の情報を設定未確認のサービスへ入れる用途は禁止側に置きます。入力禁止の情報区分を具体例つきで示し、迷ったときの相談先を併記した文書を用意できれば、この項目は決めたと言えます。

出力の検証と責任の所在

決めるのは、生成物を業務で使う前の確認義務と、最終的に責任を負う役割です。既定値としては、AIの出力を完成物ではなく下書きとして扱います。事実の正誤、法令や権利関係、社外へ出す可否は利用者本人が確認し、業務利用の最終責任は担当者とその上長が負います。生成AIは事実と異なる内容をもっともらしく示すことがあり、確認を挟まないまま使うと、誤りがそのまま社外へ出かねません。

活用を止めないために、確認の重さは用途で変えて構いません。社内メモや着想出しは軽い確認で足り、顧客提出物や契約・数値を含む文書には二重確認を課す、といった段階付けが現実的です。責任の所在をAIやツール提供元へ帰することはできないため、人の役割として明記します。

「出力は下書き」という原則、用途別の確認手順、最終責任者の役割を一枚にまとめられれば、この項目は決めたと判断できます。

機密・個人情報の扱い

機密区分ごとに、入力してよいか、使うなら加工が要るかを決めます。既定値は、機密情報と個人情報は原則入力禁止とし、どうしても題材に必要な場合は個人や取引先を特定できない形へ加工（匿名化・マスキング）してから使うことです。個人データを含むプロンプトの入力では、利用目的の範囲内であることや、提供事業者が学習に使わないことの確認が求められる場面があります（前掲・個人情報保護委員会の注意喚起）。

既存の個人情報保護方針や情報セキュリティ規程がある場合は、それらと矛盾しない形で生成AIの扱いを追記するのが早道です。新しい規程を一から起こすより、既存の機密区分に「生成AIへの入力可否」を対応づける発想のほうが、現場の混乱を避けられます。

機密区分ごとの入力可否と加工の要否を、既存規程との対応が分かる形で示せた時点で、明文化は完了です。

例外承認の窓口

決めるのは、対象外のツールを使いたい、禁止した用途を試したいといった申請を、誰に出し、誰が可否を判断し、どう記録するかです。既定値は、申請窓口と承認者を一つに定め、申請内容と可否を記録に残します。承認者が分散すると基準がぶれ、記録が残らないと同じ判断を繰り返すことになります。

承認者の置き方は、体制の成熟度で選べます。ルールが固まっていない当初は、判断を経営直轄に置くと基準を一貫させやすく、運用が安定してからは情報システム部門やDX推進部門へ委任すると、経営の負荷を下げられます。どちらの置き方でも、承認の記録が次のルール改定の材料になります。

申請の出し先・承認者・記録の残し方を一つに定め、社員が迷わず申請先にたどり着ける状態にできれば十分です。

違反時の対応方針

ルール違反やヒヤリハットが起きたときの初動と、その扱い方を決めます。既定値としては、発覚時にまず被害の拡大を止め、是正と再発防止を優先します。悪質でも故意でもない限りは、罰則より学習機会として扱います。研修を始めたばかりの段階で罰則を前面に出すと、社員が失敗やヒヤリハットを隠し、リスクがかえって見えなくなります。

もちろん、意図的な情報持ち出しのような悪質な違反には、既存の就業規則や情報セキュリティ規程に沿った対応が要ります。初期の対応方針では、通常のうっかりと悪質な違反を分け、前者は是正と共有へ、後者は既存規程へとつなぐ道筋を決めておくと運用しやすくなります。

発覚時の初動（誰に報告し、まず何をするか）と、是正を優先する原則を社内へ周知できれば、この項目は決めたことになります。

「決めた」と言える状態の確認

6項目を決めたと言えるのは、頭のなかで方針が固まったときではなく、他者に示せる文書になったときです。ゼロから条文を起こす必要はなく、公開されている利用ガイドラインのひな形（JDLA『生成AIの利用ガイドライン』など）を下敷きに、自社の既定値へ置き換える進め方もあります。各項目を明文化できたかは、次の6点で確認できます。

• 業務で使ってよいサービスと契約形態の一覧を、全社員が参照できる場所に掲示。
• 入力してはいけない情報の区分を、具体例と相談先つきで明文化。
• 「出力は下書き」という確認原則、用途別の確認手順、最終責任者の役割を文書化。
• 機密・個人情報の入力可否と加工の要否を、既存規程との対応が分かる形で明記。
• 例外申請の窓口・承認者・記録方法を一つに定義。
• 違反・ヒヤリハット発覚時の初動と、是正を優先する原則を周知。

法人AI研修で決めたルールを共通理解に変える

ルールを決めて明文化しても、文書のままでは現場は動きません。社員一人ひとりが「この情報は入力してよいか」「この出力はそのまま使ってよいか」を自分で判断できて初めて、ルールは機能します。決めた既定値を全社員の共通の判断基準に変える場が、研修です。

当社の法人AI研修では、入門段階にあたるAIリテラシー研修で、生成AIの得意・不得意、情報の扱い方、社内で使うときの判断基準を全社員でそろえます。対象には、利用ルールをそろえたい管理部門も含みます。決めた入力ルールや出力の確認原則を、抽象的な条文としてではなく、社員が日々の業務で使える判断の形にして共有できます。

セキュリティ面では、扱うデータの範囲と利用するAIサービスを、貴社のセキュリティポリシーに合わせて設計します。機密データを使わない題材設計も可能なため、ルールを固めきる前でも研修に着手できます。「全社ルール、禁止事項、活用範囲が曖昧」という相談には、安全なプロンプト設計と情報入力ルールを含む活用ガイドを、研修のなかで形にして応えることもできます。