社員が使い始めた生成AI。先に決める3つと、後でいい6つ

ルール文書を先に作ると、だいたい使われなくなる

研修に入った会社で、何度か同じことが起きています。分量のあるガイドラインを配った直後から、社員がAIを開かなくなる。

理由は、社員がサボっているからではありません。判定できないからです。

ガイドラインには「顧客情報を入力しない」「機密情報を入力しない」と書いてあります。もっともな内容です。ところが社員の机の上にあるのは「顧客情報」という名前の書類ではありません。注文書、図面、原価表、日報。 これが「顧客情報」に当たるのかどうか、読んだだけでは分かりません。

判定できないとき、社員は安全側を選びます。つまり使いません。禁止していないのに使われない状態ができあがります。

もう1つ、書かれていないことがあります。どのサービスを使えばいいのか。 ガイドラインは「生成AIを利用する際は」と主語をぼかしたまま書かれていることが多く、社員は自分で選ぶか、選べずにやめるかのどちらかになります。

先に決める3つ

順番に決めれば、1時間で終わります。

①使ってよいサービスを1つに決める

複数を許すと、確認しなければならない規約と設定が増えます。サービスごとにデータの扱いが違うため、3つ許せば3つ分を追い続けることになります。情報システム担当がいない会社で、これは続きません。

1つに絞ってください。 選ぶ基準は機能ではなく、次の2つです。

1. 法人向けの契約が用意されているか
2. 管理者が、誰がどれだけ使っているかを確認できるか

法人向けの契約があるものとしては、ChatGPT（OpenAI）、Claude（Anthropic）、Gemini（Google）、Microsoft Copilot あたりが候補になります。どれを選ぶかより、1つに絞ること自体が効きます。 社員から見て「会社が使えと言っているのはこれ」が1つに決まっていれば、判断の回数が減ります。

あわせて決めることがあります。個人のアカウントを業務に使わせない。 個人契約のままだと、退職時にやり取りの履歴ごと持ち出されますし、会社側は中身を確認できません。会社として契約してください。

②無料版を業務で使わない

入力した内容がAIの学習に使われるかどうかは、サービスとプランと設定の組み合わせで変わります。 「無料だから危険」「有料だから安全」と一律に言うことはできません。

そのうえで、業務では無料版を使わないことを勧めます。理由は、無料版には法人としての契約関係がなく、条件が変わったときに会社へ通知される経路が無いからです。

では何を確認するのか。確認する場所を決めておいてください。

• 使うサービスの公式ドキュメントの「データの取り扱い」「学習への利用」に関する項目
• 契約前に1回読み、その後は年1回読み直す

ここは、記事や人づてで判断しないところです。条件は変わります。

法律の側からも線が引かれています。個人情報保護委員会は2023年6月2日の注意喚起で、本人の同意を得ずに個人データを含む指示文を入力し、そのデータが応答の出力以外の目的で扱われる場合、個人情報保護法違反となる可能性があるとしています。「うちは小さい会社だから」で外れる話ではありません。

③入れてはいけない情報を、帳票の名前で書く

3つ目が一番大事です。分類名で書かない。実物の名前で書いてください。

「個人情報」ではなく「従業員名簿」。「機密情報」ではなく「原価表」。社員が机の上で見ているものと同じ言葉にすると、判定に迷いがなくなります。

帳票別の判定表

自社に合わせて書き換える前提の、たたき台です。

入れない

• 注文書・発注書
• 原価表・仕入単価表
• 従業員名簿、給与明細、健康診断の結果
• 設計図面、仕様書（特に取引先から預かったもの）
• 契約書、覚書
• ID・パスワード・APIキー

社名と数字を消せば入れてよい

• 会議の議事録
• クレームや不具合の記録
• 提案書の下書き
• 日報・作業報告

そのまま入れてよい

• 公開済みのカタログやパンフレットの文章
• 自社サイトに載せている文章
• 求人票の下書き
• 社内向けの案内文
• 言い回しを整えたいだけの一般的な文章

判定に迷ったときの目安を1つ渡しておきます。その紙を、取引先の応接室に置き忘れて困るかどうか。 困るなら入れない。この基準は覚えやすく、現場でそのまま使えます。

ただし、「社名を消せば安全」は万能ではありません。 滋賀県内で1社しか扱っていない加工や、特定の現場でしか起きない不具合は、社名を消しても相手が分かります。中間のグループは、消して終わりではなく、消したうえで読み直してください。

後でいい6つ

一般的なガイドラインのひな形には、目的、対象範囲、入力禁止情報、利用ルール、出力の確認、責任、相談窓口、教育、改定といった項目が並びます。

このうち先に決めたのは、実質的に「入力禁止情報」と「利用ルール」の一部だけです。残る6つ、つまり目的、対象範囲、責任、相談窓口、教育、改定は後回しでかまいません。運用が始まる前は、書いても中身が決まらないからです。

例外が1つあります。相談窓口だけは、今日、名前を決めてください。 「情報システム担当」のような役割名ではなく、実名で。社員が「これは入れていいですか」と聞ける相手が1人いるかどうかで、その後の広がり方が変わります。

配ったあと、守られるかどうかを分けるもの

ルールは配って終わりになりがちです。残るかどうかは、次の3つで決まります。

1枚か、2枚以上か。 2枚目は読まれません。1枚に収まらないなら、内容ではなく項目を減らしてください。

紙がどこにあるか。 「共有フォルダのどこか」は、存在しないのと同じです。各自のパソコンのデスクトップに置くか、印刷して机に貼るところまでやってください。

最初の1か月、管理職が使って見せたか。 これが一番効きます。部長が会議の案内文をAIで作って「これ、AIに書かせた」と言う。それだけで、聞いていた社員は試します。逆に管理職が触らない会社では広がりません。

もう1つ、実際に起きた失敗を書いておきます。ある会社で、会議の要約をAIに作らせ、確認せずにそのまま配りました。 決定事項の書き方が発言者の意図とずれていて、後から訂正することになった。以降、誰もAIの出力を信用しなくなりました。

だから、AIの出力は下書き扱いにしてください。当社がAI業務支援で必ず入れているのも、この一行です。

このルールで防げないこと

3つあります。

個人のスマートフォンで、個人のアカウントを使うこと。 会社のルールは届きません。防ぐ手段は無く、できるのは「なぜ会社の契約を使ってほしいのか」を説明することだけです。

AIが事実と違う内容をもっともらしく書くこと。 これはルールでは防げません。出力を確認する手順でしか防げません。誰が、何を見て確認するのかを、業務ごとに決める必要があります。

取引先との契約に触れるかどうかの判断。 秘密保持契約の中に、第三者のサービスへの情報提供を制限する条項が入っていることがあります。該当するかどうかは契約書を読まないと分からず、そこから先は弁護士の領域です。当社は契約書の解釈を行いません。

まとめ

自社でよく使う帳票を5つ書き出して、「入れない」「消してから入れる」「そのまま入れてよい」の3つに振り分けてください。5つ振り分けられれば、社員が判定に使える紙の骨格ができます。

当社のAI業務診断では、業務の棚卸しから始めて、この振り分けと確認手順の作成までを行っています。時間がかかっている業務をお知らせください。