生成AI利用ガイドラインの作り方と注意点を解説
「社員がChatGPTなどの生成AIを使い始めたので、社内ルールを作りたい」
「でも、大企業のような何十ページものAI規程までは必要ない」
そんな中小企業も多いと思います。
生成AIの社内利用について何も決めていないと、
「顧客情報を入力してもいいの？」
「取引先からもらった資料を要約させて大丈夫？」
「AIで作った画像を会社のSNSに掲載していい？」
といった疑問を、社員一人ひとりが自己判断することになります。
そこで必要になるのが、
「会社として、生成AIをどのように使うのか」
を示す生成AI利用ガイドラインです。
今回は、中小企業でも導入しやすい簡易版のひな型を紹介しながら、その作り方と注意点を考えてみます。
そもそも「生成AI利用ガイドライン」とは？
生成AI利用ガイドラインとは、社員や役員などが仕事で生成AIを利用するときの社内ルールです。
難しく考える必要はありません。
たとえば、
「この情報はAIに入れてはいけません」
「AIの回答をそのままお客様に送ってはいけません」
「わからない場合は○○さんに確認してください」
といったルールを会社として共有するものです。
つまり、
生成AIを安心して使うための「社内交通ルール」
と考えるとわかりやすいでしょう。
道路に信号や速度制限があるから、自動車を便利に利用できます。
生成AIも同じです。
全面的に禁止するのではなく、
「ここまでは使ってよい」
「ここから先は確認が必要」
というルールを決めることで、社員も安心してAIを利用できます。
なぜ中小企業にも生成AI利用ガイドラインが必要なのか
「うちでは会社として生成AIを導入していないから必要ない」
と思う経営者もいるかもしれません。
しかし、社員個人がすでに生成AIを利用している可能性があります。
メールの下書き。
文章の校正。
企画のアイデア出し。
資料の要約。
Excelの使い方。
キャッチコピーの作成。
議事録の整理。
このような仕事で生成AIを利用するハードルは、かなり低くなっています。
つまり、
会社が導入を決める前に、現場ではAI利用が始まっている
ということがあり得ます。
だからこそ、最初に行うべきなのは「AIを禁止するかどうか」を決めることではありません。
まず、
「社員がどのように生成AIを使っているのか」
を聞いてみることです。
ガイドラインを作る前に「AI利用の棚卸し」をする
いきなり規程を書き始める必要はありません。
まず社員に簡単なヒアリングをしてみましょう。
「仕事で生成AIを使っていますか？」
「何の仕事に使っていますか？」
「どのサービスを使っていますか？」
「どんな情報を入力していますか？」
「AIが作ったものを、そのまま社外へ出すことはありますか？」
これだけでも、会社のAI利用の実態が見えてきます。
そして、
利用実態→リスク→必要なルール
という順番で考えます。
ルールを先に作るのではなく、
「実際の仕事を見てからルールを作る」
ことがポイントです。
中小企業向け「生成AI利用ガイドライン」簡易ひな型
ここからは、小規模・中小企業を想定した簡易版のひな型を紹介します。
そのまま完成版として使用するのではなく、自社の業務内容や扱う情報、利用するAIサービス、取引先との契約などに合わせて修正するための「たたき台」としてご覧ください。
生成AI利用ガイドライン（簡易版）
第1条 目的
本ガイドラインは、当社の役員および従業員等が業務において生成AIを適切かつ安全に利用し、業務の効率化および品質向上を図るとともに、情報漏えい、第三者の権利侵害その他のリスクを低減することを目的とします。
第2条 利用できる生成AI
業務で生成AIを利用する場合は、会社が利用を認めたサービスを使用するものとします。
会社が利用を認めていない生成AIを業務に使用する場合は、事前に所定の担当者へ確認するものとします。
第3条 入力してはいけない情報
生成AIには、会社が別途利用を認めた場合を除き、次の情報を入力しないものとします。
1．会社の営業秘密その他の機密情報
2．顧客、取引先、従業員等の個人情報
3．取引先等から秘密として提供された情報
4．契約上、第三者への提供等が制限されている情報
5．その他、会社が外部サービスへの入力に適さないと判断する情報
＊判断に迷う場合は、入力する前に担当者へ確認してください。
第4条 第三者の著作物等の入力
第三者が著作権その他の権利を有する文章、画像、写真、イラスト、動画、音楽、資料等を生成AIに入力または利用する場合は、その利用が認められているかを確認するものとします。
権利関係が不明な場合は、自己判断で利用せず担当者へ確認してください。
第5条 生成AIの回答の確認
生成AIが出力した文章、数値、情報その他の内容は、必ずしも正確であるとは限りません。
重要な情報については、信頼できる資料、公式情報その他適切な方法により確認するものとします。
特に、法律、税務、医療、安全性、契約、統計その他判断への影響が大きい事項については、生成AIの回答のみを根拠として最終判断を行わないものとします。
第6条 AI生成物の社外利用
生成AIによって作成した文章、画像、動画その他の成果物をホームページ、SNS、広告、顧客向け資料その他社外へ公開・提供する場合は、公開・提供前に人間による確認を行うものとします。
確認にあたっては、少なくとも次の事項に注意します。
1．内容に事実誤認がないか
2．第三者の著作権、商標その他の権利を侵害するおそれがないか
3．差別的、不適切または会社の信用を損なう表現がないか
4．機密情報や個人情報が含まれていないか
5．会社の方針や目的に適合しているか
第7条 契約・法的判断への利用
生成AIは、契約書の要約、論点整理、文章作成等の補助として利用することができます。
ただし、重要な契約や法律上の問題について、生成AIの回答のみを根拠として最終判断を行わないものとします。
必要に応じて社内担当者または適切な専門家へ確認するものとします。
第8条 アカウント管理
業務で生成AIを利用する場合は、会社が指定するアカウントおよび利用方法があるときは、それに従うものとします。
会社の業務情報を個人用アカウントで取り扱う場合については、会社が定める情報管理ルールに従うものとします。
パスワードその他の認証情報を第三者と不適切に共有してはなりません。
第9条 事故・問題が発生した場合
生成AIの利用に関連して、
情報を誤って入力した。
機密情報を入力した可能性がある。
不適切な生成物を公開した。
第三者から権利侵害等の指摘を受けた。
その他問題が発生した、またはその可能性に気づいた場合は、速やかに会社の担当者へ報告するものとします。
問題を自己判断で隠したり、放置したりしないことを原則とします。
第10条 相談
生成AIの利用について、本ガイドラインで判断できない場合または利用してよいか迷う場合は、事前に会社の担当者へ相談するものとします。
第11条 見直し
生成AIに関する技術、サービス、法令、社会状況、会社の利用状況等は変化するため、本ガイドラインは必要に応じて見直すものとします。
以上
このひな型を「そのまま使う」のはおすすめしない
ここまで読んで、
「これをコピーして社内に配れば完成だ」
と思われたのではないですか？（笑）
しかし、ここがこの記事で一番お伝えしたいところです。
ひな型は「完成品」ではありません。
なぜなら、会社によって仕事の内容が違うからです。
たとえば広告会社と建設会社では、AIへ入力する情報が違います。
出版社と飲食店でも違います。
Web制作会社と介護事業者でも、守るべき情報や著作物の扱いが異なります。
したがって、
「他社のルールをコピーする」のではなく、「自社の仕事に合わせてルールを作る」
ことが大切です。
特にカスタマイズしたい5つのポイント
ひな型を自社用に変更するときは、特に次の5点を確認してみてください。
1．どの生成AIを使えるのか
会社として利用を認める生成AIを決めます。
ただし、サービス名だけを規程本文へ大量に書くと、サービスの追加・変更のたびに規程を直す必要があります。
そこで、
「会社が別途指定する生成AI」
として、利用可能サービスの一覧を別紙にする方法も考えられます。
2．絶対に入力してはいけない情報は何か
「機密情報」という言葉だけでは、社員が判断できないことがあります。
そこで自社の具体例を示します。
たとえば、
「発売前の商品情報」
「顧客名簿」
「取引先からNDA付きで受領した資料」
「社外秘と表示された会議資料」
などです。
社員が見てすぐ判断できる言葉にする
ことがポイントです。
3．誰がAI生成物を確認するのか
「人間が確認する」と書くだけでは、
「誰が？」
という問題が残ります。
作成した本人が確認するのか。
上司が確認するのか。
広報担当者が確認するのか。
重要な内容だけ専門家へ確認するのか。
会社の規模に合わせて決めます。
4．迷ったとき誰に聞くのか
これは小さな会社ほど重要です。
「担当部署へ相談する」
と書いても、そもそも法務部や情報システム部がない会社もあります。
その場合、
「代表取締役」
「総務担当者」
「AI利用管理担当者」
など、実際に相談できる人を決めておきます。
必要に応じて、外部の専門職を相談先として組み込む方法もあります。
5．取引先との契約に違反しないか
ここは見落とされやすいポイントです。
会社の生成AI利用ガイドラインでは、
「このAIは利用可能」
となっていたとします。
しかし取引先との秘密保持契約や業務委託契約では、情報の外部サービスへの入力等について別の制限が設けられているかもしれません。
その場合、
「社内ルールではOKなのに、契約上はNG」
ということが起こり得ます。
そこで生成AI利用ガイドラインを作る際には、
秘密保持契約書（NDA）。
業務委託契約書。
個人情報に関する契約。
著作権に関する契約。
情報セキュリティ規程。
などとの整合性も確認する必要があります。
「禁止事項」だけのガイドラインにしない
生成AIのリスクを考えていくと、
「あれも禁止」
「これも禁止」
となりがちです。
しかし、禁止事項ばかりのガイドラインを作ると、社員が生成AIを使わなくなるか、逆に会社に言わず使うようになる可能性も考えられます。
そこで、
「禁止すること」と「安心して使ってよいこと」の両方を書く
ことが重要です。
たとえば、
一般公開されている情報を整理する。
自分で作った文章を読みやすくする。
アイデア出しの補助に使う。
社外秘を含まない文章の構成案を作る。
といった低リスクの利用について、会社として認める範囲を示すことも考えられます。
社員にとって、
「何をしてはいけないか」
だけではなく、
「何なら安心して使えるのか」
がわかるガイドラインにすることが大切です。
「AIに入力禁止」と書けば情報漏えいを防げるのか
ルールを作っただけでは十分ではありません。
社員が、
「なぜ入力してはいけないのか」
を理解していなければ、形だけのルールになってしまいます。
たとえば、
「顧客から来た長いメールをAIに要約してもらった」
という社員がいたとします。
本人は仕事を効率化しようとしただけかもしれません。
そこで、
「禁止だからダメ」
で終わらせるのではなく、
「そのメールにはお客様の氏名や取引情報が入っているから、そのまま外部のAIサービスへ入力する前に確認が必要なんですよ」
と説明する。
ルールと教育をセットにすることが重要です。
生成AI利用ガイドラインは「社員との対話の道具」
私は、生成AI利用ガイドラインにはもう一つ大切な役割があると考えています。
それは、
社員とAIについて話すきっかけを作ること
です。
ガイドラインを一方的にメールで送って、
「今日から守ってください」
だけでは、なかなか定着しません。
むしろ短い社内ミーティングを開いて、
「みんな、仕事でAIを何に使っている？」
「こんな使い方は便利だった」
「この情報を入れていいのか迷った」
と話してみる。
すると、経営者が知らなかったAIの使い方が見つかるかもしれません。
逆に、社員から便利な活用方法を教えてもらえることもあります。
生成AIのルール作りは、
会社がAIをどう使っていくかを社員と一緒に考える機会
にもなるのです。
A4用紙1～2枚から始めてもよい
大企業向けのAIガイドラインを見ると、非常に細かく書かれているものがあります。
しかし、中小企業が最初から同じものを作る必要はありません。
社員10人の会社と社員1万人の会社では、必要なルールが違います。
最初は、
「入力してはいけない情報」
「利用できるAI」
「AIの回答をそのまま信用しない」
「外部公開前に人間が確認する」
「迷ったら誰に相談する」
といった基本事項をA4用紙1～2枚にまとめるところから始めてもよいでしょう。
そして実際に使いながら、
「このルールも必要だね」
と追加していく。
生成AI利用ガイドラインは、
「一度作って完成する規程」ではなく、「使いながら育てる規程」
と考えると取り組みやすくなります。
ガイドラインは定期的に見直す
生成AIは変化が非常に速い分野です。
新しいサービスが登場します。
サービスの機能も変わります。
会社での利用方法も変わります。
法令や公的なガイドライン、社会的な考え方も変化していく可能性があります。
そこで、
半年に一度。
新しいAIサービスを導入するとき。
AIに関するトラブルが発生したとき。
重要な取引先からAI利用条件を提示されたとき。
など、見直すタイミングを決めておくとよいでしょう。
生成AIガイドラインと契約書はセットで考える
ここまで社内ルールについて説明してきました。
しかし会社のAIルールだけを整備しても、十分とは限りません。
会社の外には、
取引先。
外注先。
フリーランス。
Web制作会社。
デザイナー。
ライター。
システム会社。
などがいらっしゃいます。
社員には、
「顧客情報をAIへ入力しない」
というルールを設けていても、外注先との契約ではAI利用について何も決めていない。
これでは会社全体のルールとして一貫しません。
そこで、
社内には「生成AI利用ガイドライン」
社外との取引には「AI利用を考慮した契約書」
という二つの視点が必要になります。
さらに秘密保持契約や著作権に関する契約も確認する。
ここまで整理すると、生成AIに関する会社の法務が「点」ではなく「線」になります。
ひな型は「答え」ではなく「話し合いのスタート」
今回、中小企業向けの生成AI利用ガイドラインの簡易ひな型を紹介しました。
しかし、最も重要なのは文章そのものではありません。
会社によって、
扱う情報。
社員数。
取引先。
AIの使い方。
著作物。
セキュリティ環境。
が違います。
だからこそ、
「ネットで見つけたひな型をそのまま使う」のではなく、「自社ではどうするか」を考える
ことが必要です。
まず社員に、
「仕事で生成AIを使っていますか？」
と聞いてみる。
そして、
「何に使っているの？」
「どんな情報を入れているの？」
「どんなところが便利？」
「何か迷ったことはある？」
と話を聞く。
そこから会社に必要なルールが見えてきます。
生成AI利用ガイドラインとは、
AIを禁止するための書類ではありません。
会社と社員が、
「AIをどのように安全に、そして上手に仕事へ取り入れていくか」
を共有するためのルールです。
生成AI時代だからこそ、技術だけではなく、
「人の話を聞き、会社に合ったルールを作ること」
が重要になると思います。
自社用の生成AI利用ガイドラインを作りたい方へ
当事務所では、「ひな型を渡して終わり」ではなく、まず会社で生成AIがどのように使われているのかをお聞きするところから考えます。
たとえば、
「社員がすでにChatGPTなどを使っている」
「会社としてAI利用ルールを作りたい」
「A4用紙1～2枚程度の簡単なガイドラインから始めたい」
「業務委託契約やNDAもAIに対応しているか確認したい」
「著作権のある画像や文章をAIでどう扱えばよいかわからない」
といった場合です。
まず、
①現在のAI利用状況を聞く
②守るべき情報・著作物を整理する
③会社として認めるAI利用を決める
④社内ガイドラインへ落とし込む
⑤必要に応じて契約書との整合性を確認する
という順番で整理すると、会社に合ったルールを作りやすくなります。
大切なのは、立派な規程を作ることではありません。
社員が読んで、理解して、実際に守れるルールを作ること。
法律とデジタル技術の両面から、難しいことをできるだけわかりやすく整理する。
「あなたの会社と地域の法務コンシェルジュ」として、中小企業の皆さまが生成AIを安心して活用するためのお手伝いをしたいと考えています。
※本記事および掲載したひな型は、一般的な情報提供を目的としたものです。個別企業にそのまま適用できることを保証するものではありません。実際の利用にあたっては、自社の業務内容、利用するAIサービスの最新の利用規約・データ取扱条件、個人情報の取扱い、取引先との契約、著作権その他の権利関係等に応じた検討が必要です。具体的な紛争や法的判断を伴う事項については、内容に応じて弁護士その他の適切な専門職へご相談ください。
