生成AIの社内利用ルール｜判断表と運用手順

生成AIの社内ルールは、「個人情報を入れない」という禁止事項だけでは運用できません。
担当者が知りたいのは、目の前のメールや資料を、今使っているサービスに入力してよいかどうかです。

中小企業では、最初に対象業務を絞り、利用する契約・入力する情報・出力の使い道をひと組で決めると、現場が判断しやすくなります。
この記事では、社内ルールの記入表と、メール・資料作成・社内FAQの3つの判断演習を用意しました。
表と演習は運用を検討するための当社作成例です。特定企業の導入実績や、法令への適合を保証する規程ではありません。

使いたい業務からルールの対象を決める

利用者と目的を具体的に書く

「全社員が業務に活用できる」とだけ書くと、広告の下書きから採用判断まで、性質の異なる作業が同じ扱いになります。
最初のルールでは、誰が、何を材料に、どこまで作り、誰が確認するかを決めます。

例えば「広報担当者が公開済みの商品情報からSNS投稿案を作り、広報責任者が確認して投稿する」という単位です。
文章の作成を許可しても、自動投稿や顧客への自動送信まで許可したことにはしません。

導入する業務自体が決まっていない場合は、小規模事業者のAI活用・導入前の5ステップで、試す作業と確認者を先に整理してください。

サービス名だけでなく契約と機能を指定する

同じ名称のサービスでも、個人用アカウント、組織の契約、API、外部連携では確認すべき条件が変わります。
「有料だから安全」「会社で使っているから法人契約」とは判断せず、実際の契約と管理画面を確認します。

例えばAnthropicの公式案内は、Claude for Work・APIなどの商用製品と、Free・Pro・Maxなどの消費者向け製品を分けて説明しています。
社内の許可リストにも、製品名に加えて契約区分と対象アカウントを残す必要があります。出典：Anthropicのデータ利用に関する説明

上表は確認観点です。すべてのサービスに同じ設定や削除機能があるわけではありません。
管理画面の設定だけで判断せず、利用規約やデータ取扱条件とあわせて確認します。

入力する情報を業務別に判断する

公開情報と機密情報を分け、必要な部分だけ使う

入力前に「その資料を持っているか」ではなく、「そのサービスで処理してよいか」を確認します。
社内で閲覧できる資料でも、外部サービスへの入力や別部署への共有まで許可されているとは限りません。

以下は初期運用で使う判断表の例です。
「保留」は永久に禁止する意味ではなく、管理者が条件を確認するまで入力しない扱いです。

総務省・経済産業省の「AI事業者ガイドライン」第1.2版は、AI利用者に対し、個人情報や機密情報の不適切な入力への注意、利用条件の遵守、出力のリスクを理解した利用を求めています。
本記事の判断表は、その観点を日々の業務に落とし込むための提案です。出典：AI事業者ガイドライン第1.2版、第5部

名前を消しても、入力可とは限らない

氏名を「Aさん」に置き換えても、案件名、日付、役職、取引条件の組み合わせで相手が分かる場合があります。
また、個人名がなくても、未公開の価格や契約内容は残ります。
名前を消す作業と、入力してよいかの判断を分けてください。

個人情報保護委員会は、個人情報を入力する際の利用目的の確認や、個人データが応答の生成以外に使われる場合の注意を示しています。
本人の同意なく入力し、別目的で扱われる場合には法に違反する可能性があるため、機械学習への利用等を十分に確認するよう求めています。出典：生成AIサービスの利用に関する注意喚起

現場担当者だけで法的判断を完結させる運用にはしません。
個人情報や秘密保持の判断が必要なら、社内の責任者や専門家へ確認し、許可された範囲を記録します。

実務では、原文を伏せ字だらけにするより、「納期変更を伝える丁寧な文面が必要」といった一般的な条件に置き換え、氏名・日付・金額は確認後に人が補う方法も検討できます。
それでも事情から相手が分かるなら、条件をさらに抽象化するか、入力を止めます。

出力の確認と公開責任を決める

事実・数値・権利を別々に確認する

生成された文章が読みやすくても、内容の確認が終わったことにはなりません。
何を根拠に、誰が照合するのかを決めておくと、「AIがそう答えた」で確認が止まるのを防げます。

文化庁の「AIと著作権に関するチェックリスト＆ガイダンス」は、生成AIの利用に伴う著作権のリスクを減らすための確認事項を示しています。
出力が既存作品に似ていないかの確認や、利用過程の記録も検討対象です。チェック項目を満たしたことだけで、あらゆる利用の適法性が保証されるわけではありません。出典：文化庁のチェックリスト＆ガイダンス

社外に出す人と、承認する人を決める

初期運用では、AIは案を作り、人が最終確認して送信・公開する流れから始めます。
担当者が確認できない分野や、誤りの影響が大きい判断は、その担当者だけに任せない設計にします。

例えば一般的なお知らせは広報責任者、顧客の契約条件に触れる回答は案件責任者、と確認先を分けます。
小規模な会社で作成者と確認者が同じになる場合も、元資料との照合項目と、代表者等への相談が必要な条件を残してください。

個人の採否や評価など、人に大きな影響が及ぶ用途は、通常の文章下書きと同じ許可に含めません。
ガイドライン第5部も、個人・集団の評価にAI出力を使う場面で、人間の合理的な判断や説明を重視しています。必要な体制を別途検討する用途として扱います。

迷う場合と問題発生時の窓口を作る

例外の相談は、情報を入力する前に行う

「判断に迷ったら上司に聞く」だけでは、上司も根拠を持って答えられないことがあります。
相談先を決め、その担当が契約管理者や情報管理の責任者へつなげられるようにします。
不在時の連絡先も用意し、返事がないときは入力を保留する扱いにします。

相談には、業務の目的、サービスと契約、情報の種類、必要な機能、出力の共有先を添えます。
相談用の全社チャットに機密資料そのものを貼るのではなく、種類と目的を伝え、必要に応じて権限を限定した場所で資料を確認します。

例外の許可は「この資料・この業務・この契約・この期間」という範囲で記録します。
一度認めた案件を、別の顧客情報や別サービスの許可に広げないこともルールに含めます。

誤入力や誤送信があったときの初動を決める

間違って入力した場合は、同じ操作や共有を止め、決めた窓口へ速やかに連絡します。
担当者を責める運用にすると報告が遅れるため、「分かった時点で知らせる」ことを優先します。

履歴を消すだけで対応完了とは判断しません。
サービス側の保存状況や共有先の状態は別に確認が必要です。個人情報等の事故に該当するか、報告が必要かは責任者が事実を確認して判断します。

3つの業務演習でルールを試す

以下は架空の練習問題です。実際の顧客情報をAIに送るテストではありません。
担当者が「使ってよい」「条件を変えて使う」「保留して相談する」を、理由とともに説明できるかを確認します。

演習1：顧客メールへの返信案を作る

状況は、顧客から納期短縮の相談が届き、担当者がメール全文を個人アカウントのAIへ貼ろうとしている場面です。
署名には氏名・電話番号があり、本文には未公開の価格と契約条件もあります。

判断例は「そのまま入力しない」です。
会社が許可した契約かを確認したうえで、顧客の原文を使わず、一般化した条件から返信の型を作る方法を検討します。名前を消すだけでは、価格や契約条件の問題が残ります。
最終的な納期や回答内容は案件責任者が確認し、人が送信します。

演習2：公開情報から営業資料を作る

状況は、自社の公開済み商品ページを材料に、社内で承認済みのサービスで説明資料の下書きを作る場面です。
営業担当者が事実関係を確認してから使う予定ですが、AIの案には元ページにない導入実績が追加されました。

判断例は「許可された範囲の下書き作成は進め、根拠のない実績は採用しない」です。
公開情報であっても最新版を使い、元資料にない数字・実績・保証表現を取り除きます。
第三者の写真や文章を追加する場合は、その素材の利用条件も別に確認します。

演習3：社内FAQの検索対象を増やす

状況は、社員向けFAQの精度を上げるため、既存の総務手順に加えて、人事評価表を同じ検索対象へ入れようとしている場面です。
AIサービス自体は承認済みですが、評価表を見られる人は限られています。

判断例は「追加を保留する」です。
サービスを許可したことと、すべての資料を登録してよいことは別です。利用者ごとの閲覧権限、検索結果に出る範囲、参照元の表示、文書の更新・削除方法を確認します。
一般社員の権限で見えてはいけない内容が出ないかを、実データの登録前に非機密のサンプルで確かめます。

3つの演習で答えが割れたら、社員の理解不足だけを原因にせず、ルールのどこが曖昧だったかを確認します。
許可する契約が不明なのか、情報の区分が不明なのか、承認者が不明なのかを分けて直します。

自社ルールの記入表と見直し方

適用範囲・承認者・確認日を一枚にまとめる

次の表を、自社の文書や管理表へ転記して使えます。
会社全体の方針に加え、業務ごとに1枚作ると、許可の範囲を追いやすくなります。
空欄のままでも運用を開始できる表ではなく、決まっていない項目を見つけるための記入票です。

記録のために、すべての入力情報を別の場所へ複製する必要はありません。
機密性に応じて記録範囲と閲覧権限を決め、確認した出典・承認・修正点を追えるようにします。

定期確認に加え、変更があったときに見直す

次回確認日を設定するだけでなく、契約変更、新機能の追加、外部連携、対象資料の追加、事故の発生を見直しのきっかけにします。
承認者が変わったときや、担当者の異動・退職があったときも、アカウントと権限を確認します。

まず一つの業務で演習を行い、誰が何を確認したかを残してから対象を広げます。
利用回数だけでなく、判断に迷った場面、確認にかかった負担、修正した出力を見れば、ルールの改善点が見つかります。

よくある質問

個人名を消せば入力してよいですか

氏名の削除だけでは判断できません。
ほかの記載から相手が分かる場合や、契約上の秘密が残る場合があります。情報の内容、利用目的、サービスの契約、社内方針を合わせて確認してください。

法人プランなら制限なく使えますか

使える情報や機能を無条件に広げることはできません。
法人向けであることと、自社の顧客情報・機密資料をその用途で処理できることは別です。外部連携や共有機能も、最初の許可に含まれるかを確認します。

専任の情報システム担当者がいない場合はどうしますか

代表者や管理部門など、利用範囲を決める責任者を明確にします。
日常の質問を受ける人と、契約・個人情報・権利の判断を支援する相談先を分けても構いません。判断できる人がいない業務を、現場の自己判断で許可しないことが出発点です。

最初の一業務で、判断できるルールを作る

社内ルールを整える最初の作業は、禁止事項を増やすことではありません。
対象業務を一つ選び、利用環境、入力情報、確認者、相談先を記入表に埋めることです。

そのうえで3つの演習を使い、担当者が理由を説明できるかを確認しましょう。
説明が分かれる箇所を直してから、同じ考え方を別の業務へ広げます。

アセントウェブのAI顧問の支援内容では、継続的なAI活用に関する相談先を確認できます。
個別の法律問題は専門家に確認しながら、現場で使える業務手順を整えることが大切です。