使ってよい・いけないを決める ― 生成AI利用ガイドラインの作り方

生成AIを社内に導入したとき、経営者が最初に直面する問いのひとつが「どこまで使わせてよいか」です。全面禁止にする組織、逆に何も言わずに現場任せにする組織、その両方を見てきましたが、どちらも結果的には問題を起こします。禁止すれば業務改善の機会を失い、放任すれば情報漏えいや品質トラブルのリスクが膨らみます。

必要なのは「禁止」でも「放任」でもなく、明確な線引きです。「これはよい、これはダメ、これは確認が必要」を文書化したものが生成AI利用ガイドラインです。このガイドラインがなければ、現場は萎縮して使わないか、勝手に使って問題を起こすかの二択に追い込まれます。本記事では、ガイドラインに何を盛り込み、どう作るかを意思決定者の視点で整理します。

ガイドラインがないと何が起きるか

「うちはまだガイドラインを作っていないが、特に問題は出ていない」という声をよく聞きます。しかし実態を確認すると、問題が表面化していないだけのことが多いのです。会社の管理が及ばないところで社員が個人契約したAIを使う行為、いわゆるシャドーAIが、静かに広がっているケースが少なくありません。個人のクレジットカードで有料プランを契約し、顧客情報を含む文書を入力してしまっているケースも珍しくありません。

一方、「何かあってからでは遅い」と過剰反応して全面禁止にすると、競合他社がAIで生産性を上げている間、自社の社員だけが手作業を続ける構図になります。ガイドラインを作るコストより、何も決めないコストのほうが、長期的にははるかに大きいのです。

ガイドラインに盛り込む5つの項目

過不足のないガイドラインには、次の5つの軸が必要です。これ以上増やすと読まれなくなり、これ以下では判断ができません。

第一は「使ってよい業務・使ってはいけない業務」の区分けです。文章の校正や議事録の要約はOK、契約書の最終判断やコンプライアンス判断はNGといった具体的な例示があれば、現場は迷いません。第二は「入力してよい情報の範囲」です。社名・個人名・顧客情報・非公開の財務情報など、どこまでが入力禁止かを明示します。第三は「出力の確認義務」、つまりAIが出した結果を誰がどう確認するかのルールです。誤情報や幻覚（ハルシネーション）への対処として、最終確認は人間が行うことを明記します。第四は「責任の所在」で、AIを使った業務で問題が起きたとき、最終的な責任は使用者（社員）と承認者にあることを確認します。第五は「推奨ツールと禁止ツール」で、会社として認可したサービスを明示し、それ以外の使用には事前申請を求める仕組みにします。

入力情報の区分けが最重要

5項目のなかで、実務上最も問題になりやすいのが「入力してよい情報の範囲」です。生成AIのリスクの多くは、入力段階で起きます。AIが何かを「漏らす」というより、社員が入力した情報がサービス側の学習データになったり、第三者にアクセスされたりする経路が問題です。

実用的な分け方は、「公開情報」「社内情報」「機密情報」の三層です。公開情報（プレスリリース、業界情報など）は原則OKとし、社内情報（業務プロセス、一般的な内部文書）は管理されたツールでのみ使用可、機密情報（顧客データ、個人情報、未公開財務情報、取引先の秘密情報）は原則入力禁止とします。この三層の区分けをガイドラインに落とし込むだけで、現場の判断がぐっと明確になります。

小さく作って運用しながら改訂する

ガイドラインを作る際に最もよくある失敗は、「完璧なものを作ろう」として半年かけて策定し、完成した頃には現場の状況が変わっている、というパターンです。生成AIの進化は速く、今日のルールが来年も通用するとは限りません。

推奨するのは「A4一枚で始める」アプローチです。最低限の禁止事項と推奨ツールだけを書いた一枚物をまず出し、現場から上がってくる「これはどう判断すればいい？」という問いを蓄積しながら、四半期ごとに見直す。法務部門や情報セキュリティ部門の確認は必要ですが、完璧を目指して動きを止めるより、小さく動かして育てるほうが実態に即したガイドラインになります。

現場が守れる粒度に落とす

ガイドラインの失敗でよくあるもうひとつのパターンは、法律文書のように細かくなりすぎて誰も読まない、というものです。特に経営リスクを過剰に意識した結果、「〇〇の場合を除き、×△のケースにおいては……」と条件が重なり、現場が自分の業務に当てはめられなくなります。

守れないルールは存在しないのと同じです。ガイドラインは「誰でも30秒で自分の行動に当てはめられる」レベルの粒度を目標にしてください。判断が難しいケースは「事前に上長または〇〇部門に確認」という逃げ道を用意し、日常的なケースはルールを見なくても動けるシンプルさを保ちます。

経営が旗を振ることの意味

ガイドラインの内容と同じくらい重要なのが、誰が出すかです。情報システム部門が独自に作ったルールと、経営トップの名前で出たルールでは、現場の受け止め方がまったく違います。「会社として取り組む」というメッセージが込められたガイドラインは、「これを守れ」という規制であると同時に、「使いなさい」という推奨でもあります。

実際の支援現場で効果的だったのは、ガイドライン公表と同時に経営トップが自らAIを使った事例を共有するパターンです。「私もこう使っている」という一言が、現場の心理的ハードルを下げる力は、どんな丁寧な説明文よりも大きいのです。旗を振るのは経営の仕事です。

ガイドライン公表後にやること

ガイドラインを出したあとが、実は本番です。公表しただけでは現場に届きません。全社への周知は当然として、特に重要なのは「問い合わせ窓口の設置」です。判断に迷ったとき、気軽に確認できる場所がなければ、現場は「怖いから使わない」か「黙って使う」かに分かれます。

窓口への問い合わせを蓄積することで、ガイドラインの抜け漏れが自然と見えてきます。四半期ごとの見直しには、この問い合わせ記録が最良の材料になります。ガイドラインは「作って終わり」の文書ではなく、組織のAI活用と一緒に育て続けるものです。

ガイドライン整備チェックリスト

使ってよい業務・使ってはいけない業務が具体例つきで明示されている
入力してよい情報の範囲が三層（公開・社内・機密）で区分されている
AIの出力を最終確認する責任者・手順が定義されている
問題発生時の責任の所在が明記されている
会社として認可したツールと、申請が必要なツールが区分されている
問い合わせ窓口と定期改訂のサイクルが決まっている

よくある質問

Q. 法的に義務づけられたガイドラインはあるのか？
現時点で、企業に生成AI利用ガイドラインの策定を義務づける法律は日本には存在しません。ただし個人情報保護法、秘密情報管理、労働安全衛生など既存の法令との整合は必要です。また、取引先との契約に情報管理条項がある場合は、AIへの入力が契約違反になりうるため確認が必要です。

Q. 小規模な会社でも必要か？
社員数にかかわらず、生成AIを使い始めた組織であれば必要です。むしろ小規模組織ほど、個人の判断がそのままリスクに直結するため、最低限の線引きを共有しておくことが重要です。A4一枚から始めれば、策定の負担も大きくありません。

Q. 既存の情報セキュリティポリシーで代替できないか？
既存ポリシーに生成AI特有の記述（入力情報の扱い、ハルシネーションへの対処、ツールの認可など）がない場合は、別途補足が必要です。既存ポリシーの改訂でカバーするか、生成AI専用の附則を加える形が現実的です。

Q. 外部の専門家に依頼すべきか？
初版は社内で作るほうが、現場の実態に即した内容になります。法務・情シス・現場部門の三者で草案を作り、専門家にはレビューを依頼する形が効率的です。策定そのものより、運用と改訂の仕組みを設計することに外部知見を活用するほうが価値が出やすいです。

まとめ

生成AI利用ガイドラインは「規制のための文書」ではありません。現場が安心してAIを使えるようにするための、経営からの許可証です。禁止と放任の二択から抜け出し、「線引き」を示すことで初めて、組織全体のAI活用が動き出します。

A4一枚で始め、問い合わせを集め、四半期ごとに育てる。この繰り返しが、実態に即したガイドラインを生みます。そして何より、経営トップが旗を振ること。ガイドラインを出すと同時に「私たちはAIを活用する会社だ」と宣言することが、最初の最も重要な一手です。