「この資料、AIに入れていいですか」。現場の従業員からこう聞かれたとき、その場で即答できる会社は多くありません。AI利用ガイドラインを整備した会社でも、いざ個別の資料を前にすると判断が揺れ、結局は「念のためやめておこう」か「たぶん大丈夫だろう」という個人の感覚に委ねられているのが実情です。
即答できないのは、担当者の勉強不足が原因ではありません。そもそも「どの情報がどれくらい重要で、どこまで社外に持ち出してよいのか」を定めた情報分類が社内に存在しないからです。本コラムでは、AI活用の土台となる情報分類のつくり方を、経営の視点から整理します。
なぜAI利用ガイドラインだけでは足りないのか
多くの会社のAI利用ガイドラインには、「機密情報をAIに入力しないこと」という一文が入っています。一見まっとうなルールですが、実はこのままでは機能しません。何が機密情報なのかが社内で定義されていなければ、従業員には判断のしようがないからです。
顧客名簿が機密であることは誰でも分かります。では、社内会議の議事録はどうでしょうか。公開前の新製品の企画書は。取引先とのメールの下書きは。こうした境界線上の情報ほど日常業務で頻繁に扱われ、そして判断基準がないほど行動はばらつきます。慎重な人はAIをまったく使えなくなり、大胆な人は何でも入力してしまう。ルールはあるのに、統制が取れていない状態です。
実際、海外の大手企業でも、ルールがありながら従業員が業務効率のために機密性の高い情報を外部のAIに入力してしまった事例が報じられています（本シリーズのAIインシデント事例の回で詳しく取り上げました）。「機密を入れるな」というルールだけでは、現場の一つひとつの判断までは支えられないことを、こうした事例は示しています。必要なのはルールの唱和ではなく、判断の物差しを現場に渡すことです。
線引きの欠如には、漏えいとは別のコストもあることに注意が必要です。「入れてよいか分からないから使わない」という萎縮は、目に見えない生産性の損失として静かに積み上がります。競合他社が議事録の要約や資料の下書きにAIを使いこなしている間、自社の従業員が手作業を続けているとしたら、それは安全の対価というより、線引きを怠った代償です。
実務的な情報分類のかたち
情報分類と聞くと大がかりな取り組みに感じるかもしれませんが、実務で機能する分類は驚くほどシンプルです。多くの会社で使われているのは、公開・社内限り・秘・極秘といった3〜4段階の区分です。
AI時代のポイントは、この各段階に「AIに入れてよいか」「どのAIならよいか」を対応づけることです。たとえば次のような整理になります。
- 公開情報(ウェブサイト掲載内容など): どのAIに入力してもよい
- 社内限り(議事録・社内資料など): 入力データが学習に利用されない契約の法人向けAIに限り可
- 秘・極秘(顧客情報・人事情報・未公開の経営情報など): 原則としてAIへの入力は不可
「どのAIならよいか」という軸が重要なのは、AIサービスによって契約条件が大きく異なるからです。個人向けの無料サービスでは入力内容がAIの学習に使われる場合がある一方、法人契約では学習に利用されないことが契約で保証されるのが一般的です。同じAIでも、契約形態によって「渡してよいデータ」の範囲は変わります。また、段階の数を増やしすぎないことも大切です。現場が迷わず数秒で判断できてこそ、分類は機能します。
なお、社内の重要度による分類とは別に、法令や契約による制約も忘れてはいけません。個人情報は個人情報保護法の、取引先から預かった情報は秘密保持契約(NDA=互いの秘密を守り合う契約)の縛りを受けます。2023年にはイタリアのデータ保護当局がChatGPTを一時利用停止処分にした(のちに条件付きで解除)ように、個人データの扱いは各国の規制当局も注視しています。自社にとっては「社内限り」程度の資料でも、他社から預かった情報であれば勝手にAIへ渡せない、という判断は普通にあり得ます。分類表には「個人情報・預かり情報は一段厳しく扱う」という注記を添えておくとよいでしょう。
既存の枠組みとの接続 ― ゼロから作らなくてよい
ISMS(情報セキュリティマネジメントシステム)の認証を取得している会社であれば、情報分類はすでに存在しているはずです。その場合にやるべきことは、新しい仕組みの構築ではなく、既存の分類表に「AI利用の可否」という列を一つ足すことです。検討は半日もあれば形になり、既存の教育や監査の仕組みにそのまま乗せられます。
一方、分類をまだ持っていない会社は、完璧を目指さないことが成功の鍵です。最初から精緻な4段階の体系を作ろうとすると、定義の議論だけで数か月かかり、現場に届く頃には誰も覚えていない代物になりがちです。まずは「社外に出してよい情報か、いけない情報か」の2段階で十分です。運用の中で判断に迷うケースが積み上がってきた段階で区分を増やすほうが、結果として早く定着します。
また、ISMSほど整った枠組みがなくても、文書管理規程や個人情報の取扱いルールなど、情報の扱いを定めた社内規程はたいていの会社に何かしら存在します。AIのために新しいルールを別建てで増やすのではなく、いまある規程に「AIの列」を足す。この発想が、現場の負担と学習コストを最小にします。
分類を機能させる運用 ― 表を作って終わりにしない
分類表は、作った瞬間がゴールではなくスタートです。機能させるには三つの運用がセットで必要になります。
第一に、文書にラベルを付ける習慣です。分類表がどれほど立派でも、目の前の資料がどの区分なのか分からなければ意味がありません。ファイル名や文書のヘッダーに「社内限り」と記す、保存フォルダを区分ごとに分けるといった、日常業務に埋め込まれた仕掛けが要ります。第二に、迷ったときの相談先です。境界線上の判断を現場に丸投げすると、分類は形骸化します。「迷ったらここに聞く」という窓口を一つ決めておくだけで、判断の質は大きく変わります。第三に、定期的な見直しです。事業内容もAIサービスの契約条件も変わり続けるため、少なくとも年に一度は、分類表とAI利用可否の対応を点検する機会を設けてください。
相談窓口に寄せられた質問は、そのまま社内のFAQ(よくある質問と回答をまとめたもの)として蓄積するのがおすすめです。「議事録は要約に使ってよいか」「取引先名を伏せ字にすれば入力してよいか」といった問答が10件も溜まれば、それは机上の分類表よりもはるかに実践的な、自社専用の判断集になります。
経営としての初動 ― 一つの問いから始める
経営としての第一歩は、シンプルな問いを社内に投げることです。「うちの会社に情報分類はあるか。それはAI利用を想定した内容になっているか」。この一問への答えで、自社の現在地が分かります。分類がなければ2段階からの整備を、分類があればAI列の追加を指示する。それだけで取り組みは動き出します。
全社一斉の展開を急ぐ必要はありません。まずはAI利用が活発な部門を一つ選んで試行し、現場が迷いやすい点を拾ってから広げるほうが確実です。前回取り上げたシャドーAIは、「何を入れてよいか分からない」という現場の不安と表裏の関係にあります。線引きが明確になれば、従業員は安心してAIを使え、会社は安心して使わせることができます。次回は、ルールを整えた後の課題であるAI利用の可視化を取り上げます。
DSB Consultingでは、情報分類の設計からAI利用ルールへの落とし込み、現場に定着させる運用づくりまでを一貫して支援しています。自社の線引きがこのままでよいか確認したい方は、無料相談をご利用ください。