中小企業の生成AI利用ルール10項目
「社員がChatGPTを仕事で使っているようなのですが、大丈夫でしょうか？」
中小企業の経営者から、このような相談が増えています。
生成AIはとても便利です。
メールの文章を考える。
会議資料を要約する。
企画のアイデアを出す。
文章を校正する。
キャッチコピーを考える。
表計算の方法を聞く。
こうした仕事なら、すでに生成AIを利用している社員がいても不思議ではありません。
問題は、
「会社が知らないところで使われているかもしれない」
ということです。
会社が生成AIを正式導入していなくても、社員個人が利用していれば、すでに「生成AIを業務利用している会社」になっている可能性があります。
だからこそ、
「AIは禁止！」
とする前に、
「仕事でAIを使うなら、最低限これだけは守りましょう」
という社内ルールを決めておくことが大切です。
今回は、中小企業が生成AIの社内利用について検討したい10項目を紹介します。
1 会社として利用を認める生成AIを決める
最初に確認したいのは、
「どの生成AIを仕事で使ってよいのか」
です。
生成AIサービスは数多く存在します。
社員がそれぞれ好きなサービスを自由に利用すると、会社として情報がどこで処理されているのか把握しにくくなります。
そこで、
「会社が認めたサービスだけ利用する」
「新しいAIサービスを利用する場合は事前に確認する」
など、基本的なルールを決めておく方法があります。
重要なのは、単に有名なサービスだから安全だと判断するのではなく、利用規約、プライバシーに関する条件、データの取扱い、会社の契約プランや設定などを確認することです。
生成AIは同じサービスでも、契約形態や設定などによってデータの扱いが異なる場合があります。
2 機密情報を入力してよいか決める
会社には、外部へ出してはいけない情報があります。
たとえば、
新商品の情報。
価格戦略。
営業資料。
取引条件。
社内会議の内容。
契約内容。
技術情報。
未公開の経営情報。
などです。
社員が、
「長い資料だからAIに要約してもらおう」
と考えて、そのまま入力することもあり得ます。
本人には情報を漏らしている意識がないかもしれません。
そこで社内ルールでは、
「どの情報を生成AIへ入力してはいけないのか」
を具体的に示すことが重要です。
単に、
「機密情報を入力してはならない」
だけでは、社員が何を機密情報と判断すればよいかわからない場合があります。
具体例を示したほうが、実際に使えるルールになります。
3 個人情報の入力ルールを決める
さらに注意したいのが個人情報です。
たとえば、
顧客の氏名。
住所。
電話番号。
メールアドレス。
従業員の情報。
採用応募者の情報。
問い合わせ内容。
などです。
生成AIに相談するとき、本人に悪意がなくても、
「このお客様への返信を考えてください」
と、問い合わせメールをそのままコピーしてしまうことがあります。
そこで、
個人を特定できる情報をそのまま入力しない
といった基本ルールを決めておくことが考えられます。
業務上、AIを利用する必要がある場合でも、情報を匿名化するなど、目的に応じた取扱いを検討します。
4 取引先から預かった情報を勝手に入力しない
自社の情報だけではありません。
むしろ注意したいのが、
「他社から預かっている情報」
です。
取引先から、
企画書。
原稿。
写真。
設計資料。
顧客データ。
未発表の商品情報。
などを受け取ることがあります。
社員がそれらを業務効率化のため生成AIへ入力した場合、取引先との秘密保持契約などが問題になる可能性があります。
つまり、
「会社の情報だから大丈夫か」
だけではなく、
「そもそも誰の情報なのか」
を確認する必要があります。
AI時代には、情報の所有者・提供者を意識することがますます重要になります。
5 他人の文章・画像などを安易に入力しない
生成AIでは、文章を要約したり、画像を加工したりすることもできます。
そこで注意したいのが著作権です。
たとえば、
他社の記事。
購入した写真。
取引先から受け取ったイラスト。
出版社の書籍。
有料のレポート。
などをAIへ入力してよいかという問題です。
インターネットで見ることができるからといって、自由にAIへ入力・利用できるとは限りません。
社内ルールとして、
「自分たちが自由に利用できる情報なのか確認する」
という意識を持ってもらうことが重要です。
6 AIの回答をそのまま信用しない
これはぜひ社内ルールに入れておきたい項目です。
生成AIは非常に自然な文章を作ります。
そのため、
「ここまで自信ありげに書いているのだから正しいだろう」
と思ってしまいがちです。
しかし、AIが出した情報が常に正しいとは限りません。
特に、
法律。
税務。
医療。
製品仕様。
統計。
取引先に関する情報。
など、間違いが大きな問題につながる情報については注意が必要です。
そこで、
「AIの回答は参考情報であり、重要な内容は必ず確認する」
というルールを作ります。
AIに仕事を任せるのではなく、
AIに下調べをしてもらい、人間が判断する。
この関係が大切です。
7 AIが作った文章・画像をそのまま外部公開しない
生成AIで文章が完成すると、そのまま会社のホームページやSNSへ掲載したくなります。
しかし、一度立ち止まる必要があります。
内容は正しいか。
他社の商品名などを誤っていないか。
第三者を傷つける表現はないか。
著作権や商標などの問題はないか。
会社の方針と合っているか。
こうした点を確認します。
そこで、
「生成AIで作ったものを外部へ公開するときは、人間が最終確認する」
というルールを決めておくとよいでしょう。
AIは作成者ではなく、
優秀な下書き担当者
くらいに考えると、使いやすくなります。
8 契約書や法律文書をAIだけで判断しない
生成AIは契約書の要約や文章作成もできます。
これは非常に便利です。
しかし、
「AIが問題ないと言ったから契約する」
という使い方には注意が必要です。
契約書では、文章そのものだけでなく、
実際の取引内容。
当事者の立場。
過去の経緯。
誰がどのリスクを負うのか。
何が起きたとき困るのか。
といった背景まで考える必要があります。
AIを、
「この条文をわかりやすく説明して」
「確認すべき論点を挙げて」
といった補助に利用することと、
最終的な法的判断をAI任せにすること
は別です。
重要な契約については、必要に応じて適切な専門職へ相談するというルールも大切です。
9 社員個人のアカウント利用について決める
見落とされやすいのが、アカウントです。
会社の仕事なのに、社員個人の生成AIアカウントを使っているケースも考えられます。
すると退職や異動の際、
「会社の情報が個人アカウント側に残っている」
といった問題が起きる可能性があります。
そこで、
業務利用では会社指定アカウントを使うのか。
個人アカウントの利用を認めるのか。
保存したデータをどう管理するのか。
退職時にどうするのか。
などを検討しておきます。
これはAIだけの問題ではなく、クラウドサービス全般に共通する情報管理の問題でもあります。
10 「迷ったら相談する」というルールを作る
最後は、とてもシンプルです。
「わからなかったら勝手に判断しない」
というルールです。
生成AIは変化が速いため、あらゆるケースを社内規程に書くことは難しいでしょう。
そこで、
「この資料をAIに入れていいのかな？」
「この画像をAIで加工して大丈夫かな？」
「このAIサービスを仕事で使っていいのかな？」
と迷った場合に、相談できる人を決めておきます。
大企業なら法務部や情報システム部があります。
しかし中小企業には、そのような部署がないことも珍しくありません。
だからこそ、
社長。
管理担当者。
AI利用の担当者。
外部の専門職。
など、
「迷ったときの相談先」
を決めておくだけでも大きな意味があります。
中小企業の生成AI利用ルール10項目
ここまでを簡単なチェックリストにしてみましょう。
□ 1．業務で利用できる生成AIサービスを決めている
□ 2．入力してはいけない機密情報を決めている
□ 3．個人情報の入力ルールを決めている
□ 4．取引先から預かった情報の取扱いを決めている
□ 5．第三者の文章・画像などをAIで利用するときのルールがある
□ 6．AIの回答について事実確認を行う
□ 7．AI生成物を外部公開する前に人間が確認する
□ 8．重要な契約や法律問題をAIだけで判断しない
□ 9．業務用・個人用アカウントの使い分けを決めている
□ 10．迷ったときの相談先を決めている
いくつチェックが入りましたか？
すべて完璧である必要はありません。
むしろ重要なのは、
「会社として一度も話し合ったことがない」状態から抜け出すこと
です。
立派な「生成AI利用規程」を最初から作る必要はない
中小企業の経営者からすると、
「AIガイドラインを作りましょう」
と言われても、
「また社内規程が増えるのか」
と思うかもしれません。
私は、最初から何十ページもの規程を作る必要はないと考えています。
たとえば最初はA4用紙1～2枚でもよいでしょう。
「この情報は入れない」
「このAIなら使ってよい」
「外に出す前に確認する」
「迷ったら○○さんに聞く」
という基本ルールを社員で共有する。
そして、実際にAIを使いながら必要なルールを追加していく。
「小さく作って、使いながら育てる」
という考え方です。
生成AI自体が急速に変化している以上、最初から完璧な規程を作ろうとするより現実的です。
AI利用ルールは「社員を監視するため」のものではない
ここも大切です。
社内ルールというと、
「禁止事項を増やすもの」
と思われがちです。
しかし、生成AIの社内ルールは社員を縛るためだけのものではありません。
むしろ、
「ここまでなら安心してAIを使ってよい」
と社員に伝える意味があります。
何もルールがなければ、
AIに詳しい社員は自己判断でどんどん使う。
慎重な社員は怖くてまったく使わない。
という差が生まれます。
ルールがあれば、
「この範囲なら使っていいんだ」
と全員が共通認識を持つことができます。
つまり生成AI利用ルールには、
リスク管理とAI活用促進という二つの役割
があるのです。
就業規則だけでなく「契約書」との整合性も確認する
さらに企業として考えたいのが、社内ルールと外部契約との関係です。
会社では、
「この生成AIなら利用してよい」
というルールになっていたとします。
しかし、取引先との秘密保持契約では外部サービスへの情報提供について厳しい条件が付いているかもしれません。
その場合、
社内ルールではOKでも、取引先との契約上は問題になる
ということがあります。
そこで、
「生成AI利用ガイドライン」
だけを見るのではなく、
秘密保持契約書。
業務委託契約書。
個人情報に関する取決め。
著作権に関する契約。
などとの整合性も確認する必要があります。
生成AI時代の法務は、
「社内ルール」と「社外との契約」をセットで考える
ことがポイントになります。
「AI利用ルールを作って終わり」にしない
生成AIの世界は非常に速いスピードで変化しています。
新しいサービスが登場します。
機能も変わります。
利用規約やデータの取扱いも変更されることがあります。
社員の使い方も変わっていくでしょう。
そのため、一度ガイドラインを作ったから10年間そのまま、という運用には向きません。
たとえば、
半年に一度。
新しいAIを会社で導入するとき。
問題が発生したとき。
取引先からAI利用について条件を示されたとき。
などに見直す仕組みを作っておくとよいでしょう。
AI利用規程は、
「完成させる文書」ではなく「育てていく文書」
と考えたほうが実態に合っています。
「AIを使うな」ではなく「安心して使える会社」に
生成AIにはリスクがあります。
しかし、大きな可能性もあります。
特に人手の限られる中小企業にとって、
文章作成。
情報整理。
アイデア出し。
資料作成。
業務の効率化。
などにAIを活用できるメリットは小さくありません。
だからこそ、
「危ないから全面禁止」
でも、
「便利だから自由に使ってよい」
でもなく、
「会社として安全に使える範囲を決める」
ことが重要です。
まずは難しく考えず、社員に聞いてみてはいかがでしょうか。
「仕事で生成AIを使っている人はいますか？」
おそらく、そこから会社のAI利用の実態が見えてきます。
そして、
「何に使っているの？」
「どんな情報を入力しているの？」
「困っていることはない？」
と聞いてみる。
生成AI利用ルール作りの第一歩は、規程を書くことではありません。
実際にAIを使っている人の話を聞くことです。
そのうえで、
会社として守るべき情報。
社員が安心してAIを使える範囲。
取引先との約束。
著作権や契約上の問題。
を整理していく。
生成AI時代に必要なのは、AIを恐れる会社ではなく、
AIについてきちんと話し合える会社
です。
中小企業の生成AI利用ルール・契約書について
当事務所では、法律とデジタル技術の知識を活かし、中小企業の皆さまが新しい技術を安心して事業に取り入れるための法務を考えています。
生成AIについても、「禁止事項を並べるだけの規程」ではなく、まず会社の業務やAIの利用状況をお聞きし、
「何を守る必要があるのか」
「どこまでならAIを使えるのか」
「取引先との契約と矛盾していないか」
を整理することが大切だと考えています。
「社員が生成AIを使っているが、ルールがない」
「簡単な生成AI利用ガイドラインを作りたい」
「秘密保持契約や業務委託契約も一緒に見直したい」
「AIと著作権について社内でどう決めればよいかわからない」
このような場合は、まず現在の利用状況を整理するところから始めてみてはいかがでしょうか。
あなたの会社と地域の法務コンシェルジュ
として、難しい法律やデジタルの問題をできるだけわかりやすく整理し、会社が安心して次の一歩を踏み出すためのお手伝いをしたいと考えています。
※本記事は一般的な情報提供を目的としたもので、個別案件についての法的判断を示すものではありません。具体的な契約、紛争、法的判断等については、内容に応じて弁護士その他の適切な専門職への相談が必要となる場合があります。
