生成AIの社内ルールがまだなく、社員が無料のChatGPTやGeminiを個人のアカウントで仕事に使い始めている会社に向けた記事です。会社として契約した生成AIはなく、ルールのひな形を探している、従業員20〜100名ほどの会社が前提です。生成AIの社内ルールは、ひな形を写して長い規程を作る前に、入れない情報、使ってよい道具、迷ったときの相談先の3つをA4で1枚に決めます。そうすれば、社員が守れる決まりになります。
この記事では、1枚に書く3つの中身と、つまずきやすい点、自社で決めるか外に頼むかの境目を説明します。今日できる確認は、部署の違う社員3人に生成AIの使い方を聞くことです。
| 要点 | 内容 |
|---|---|
| この記事の対象 | 生成AIについての社内の決まりがなく、会社として契約した生成AIもまだない会社。社員が個人のアカウントで無料のChatGPTやGeminiを仕事に使い始めていて、ひな形を探している経営者や総務の担当者 |
| 対象外 | すでに利用規程があり見直しだけをしたい会社、法務の部門があり規程を自社で整えられる会社、生成AIを自社の製品やサービスに組み込む会社 |
| 結論 | 生成AIの社内ルールは、ひな形を写して長い規程を作る前に、入れない情報、使ってよい道具、迷ったときの相談先の3つをA4で1枚に決めます。そうすれば、社員が守れる決まりになります |
生成AIの社内ルールがないまま、個人のアカウントで使われると起きること
生成AIの社内ルールがないと、何を入れてよいかの判断が社員一人ひとりに任され、会社には入れた内容が見えません。生成AIの社内ルールとは、仕事で生成AIを使うときに入れてよい情報と使ってよい道具を、会社として決めたものです。
たとえば、40名の会社で営業の社員が、お客様の名前と金額が入った見積を、個人のアカウントの生成AIに貼り付けたとします。文面を整えたかっただけで、本人に悪気はありません。会社には止める決まりがなく、総務の担当者はその事実を知らないままです。
個人のアカウントでは、入れた内容の扱いを決めるのは社員本人で、会社は決められません。個人のGoogleアカウントで使うGeminiアプリについて、Googleは、チャットの一部を人のレビュアー（会話を確認する担当者）が見ると説明しています。利用の記録は、生成AIの学習を含むサービスの改良にも使われます。この扱いを変える設定はありますが、変えられるのは社員本人で、会社からは変えられません。
個人情報保護委員会は2023年6月に、生成AIを使う事業者向けの注意喚起を出しています。本人の同意なく個人データを入力し、それが応答の出力以外の目的で扱われると、個人情報保護法に違反する可能性があるという内容です。入力する場合は、サービスを提供する事業者がその個人データを機械学習に使わないことなどを、十分に確かめるよう求めています。
JIPDECとITRの2024年1月の調査では、社員が各自で契約・登録した生成AIを使う企業のうち、利用の規定があったのは9.0%でした。会社で契約した生成AIを使う企業では68.6%です。従業員50名以上の企業を対象にした2年以上前の数字ですが、社員が各自で使い始めた会社の多くに、決まりがなかったことが分かります。
生成AIの社内ルールとして、A4で1枚に決める3つのこと
A4で1枚に決めるのは、入れない情報、使ってよい道具とアカウント、迷ったときの相談先の3つです。
| 決めること | 目安 |
|---|---|
| 入れない情報 | 自社の言葉で3〜5個。お客様の名前や連絡先、見積や契約の中身、社員の個人情報など |
| 使ってよい道具と、使うアカウント | 道具を名前で書く。個人のアカウントを認めるか、会社で契約したものだけにするかを決める |
| 迷ったときの相談先 | 1人。入れてよいか迷ったときと、入れてしまったときに聞く相手 |
A4で1枚、入れない情報は3〜5個という量は、公的な資料の決まりではなく、弊社の勧めです。相談先を1人に絞ることも同じです。1枚に収めるのは、社員が机の横に置き、迷った場面で読み返せる長さにするためです。
1つ目の入れない情報は、自社の言葉で書きます。総務省と経済産業省のAI事業者ガイドライン（第1.2版）は、仕事でAIを使う会社に、個人情報や機密情報を不適切に入力しないよう注意を求めています。日本ディープラーニング協会（JDLA）が公開しているひな形も、個人情報、秘密を守る約束で他社から預かった情報、自社の機密情報は入力しないよう求めています。
ただし「機密情報」と書いただけでは、社員は手元の見積がそれに当たるかを判断できません。「お客様の名前と連絡先」「見積と契約書の中身」「社員の住所や連絡先」のように、社員が毎日使っている言葉に直します。
2つ目の道具は名前で書き、使うアカウントも決めます。JDLAのひな形の解説も、使ってよいサービスを特定して並べる方式を勧めています。会社で契約した生成AIがまだない御社でも、1枚を書くのに、契約する道具が決まるのを待つ必要はありません。それまでのあいだ個人のアカウントを認めるなら、道具を名前で書き、1つ目で決めた情報を入れないことを条件にします。
アカウントまで決めるのは、個人のアカウントで使うか会社の契約で使うかで、入れた内容の扱いが変わる道具があるためです。Geminiがその例です。
Googleは、会社が契約するGoogle Workspaceの対象エディションで使うGeminiについて、次のように説明しています。入れた内容は人にレビューされず、許可なく会社のドメインの外で生成AIの学習に使われることもありません。個人のアカウントで使うGeminiには、こうした契約上の扱いがありません。
個人のアカウントを認める場合、情報を守る手立ては、1つ目で決めた情報を入れないことだけになります。ChatGPTなどほかの道具は、入れた内容が機械学習に使われないかを、道具ごとに公式の説明で確かめます。
個人のアカウントでの扱いは、Google「Geminiアプリのプライバシー ハブ」に説明があります。会社の契約での扱いは、Google「Google Workspaceの生成AIに関するプライバシー ハブ」を見てください。
3つ目の相談先は、部署の名前ではなく、担当する1人の名前を書きます。JDLAのひな形にも、対象外の道具を使いたいときなどの問い合わせ先を書く欄があります。入れてしまったときに知らせる相手も同じ人にすると、社員は黙って使い続けずに済み、会社も事実をつかめます。
この3つは、最初の1枚に書くことです。公的なひな形や指針は、AIの答えに誤りが含まれること、著作権などほかの人の権利のことも取り上げています。この2つは、1枚を配ったあとに足す項目です。
生成AIの社内ルールづくりでつまずきやすい3つの点
つまずくのは、ひな形をそのまま配ること、禁止だけを決めること、配ったきりにすることの3つです。
1つ目は、ひな形をそのまま配った結果、項目が多く自社の言葉でもないために、社員が読まないことです。JDLAのひな形は6つの項目でできていて、入力の注意が6類型、生成物の注意が5項目あります。ひな形の前文は、組織の性質や業務の内容に応じて、加筆や修正をして使うものだと説明しています。ひな形は、1枚を作るときに抜けがないかを確かめる材料として使います。
2つ目は、禁止だけを決めた結果、社員の使い方が会社から見えなくなることです。たとえば「生成AIは使用禁止」とだけ知らせたとします。便利さを知っている社員は、個人のアカウントで黙って使い続け、迷ってもだれにも聞けません。使ってよい道具と相談先を合わせて書けば、社員は決まりの中で使えます。
3つ目は、配ったきりにした結果、決まりが新しく入った人に伝わらず、新しい道具にも合わなくなることです。IPAのサイトで公開されている資料は、決まりの内容を定期的に知らせ、教育を続けることが重要だと書いています。AI事業者ガイドラインも、AIに関わる人が必要な知識を持てるようにする取組を求めています。1枚は入社の日に渡し、新しい道具を使いたい人が出たら書き直します。
関連記事：生成AIの社内研修は操作説明より先に、部署ごとに使う業務を1つ決める
社内ルールを自社で決めるか、頼むかの境目
自社で決められるのは、社員がどの道具を何に使っているかを把握できていて、3つを決められる人がいる場合です。経営者か総務の担当者が1枚を書き、朝礼や会議で読み合わせれば始められます。
次のどれかに当てはまるときは、外に頼んだほうが早く進みます。
- だれが、どの道具を、何に使っているか分からない
- すでにお客様の情報を、個人のアカウントの生成AIに入れてしまった
- 1枚を書いたあと、会社で契約する道具をどれにするか決められない
使い方が分からないまま1枚を書くと、入れない情報が実際の業務とずれます。すでに入れてしまった場合は、だれが、いつ、何を入れたかの整理が先です。契約する道具の選び方は、1枚を書いたあとにご相談ください。
弊社は、社内の使い方の聞き取り、入れない情報を含む決まりづくり、社員向けのセミナーまで引き受けます。会社で契約する生成AIの選び方もご相談いただけます。弊社が扱う法人向けAIチャット「HBM Assistant」も、その選択肢の1つです。
「社員が個人のアカウントで何を入れているか、把握できていない」「ひな形を見つけたが、自社に合わせてどこを直せばよいか分からない」「ルールを作っても、守られるか自信がない」といったご相談を、弊社で受け付けています。社内でのAIの使い方を決めるセミナーと、法人向けAIチャット「HBM Assistant」の導入は、弊社にご相談いただけます。
今日できる確認は、部署の違う3人に生成AIの使い方を聞くこと
今日できる確認は、部署の違う3人に、仕事で生成AIを使っているか、どのアカウントで使っているか、何を入れたかを聞くことです。5分ほどで済みます。責める場ではないと先に伝えると、実際の使い方を聞けます。
| 確認の結果 | 次の一手 |
|---|---|
| 聞いた3人は使っていない | 3つを決めて1枚にし、全員に知らせてから使い始めます |
| 個人のアカウントで使っている人がいる | 3つを決めて1枚にし、全員に知らせます |
| お客様の名前や見積を入れていた | 入れた内容の整理からご相談ください。弊社が引き受けます |
| 聞いても実態がつかめない | 社内の使い方の聞き取りからご相談ください |
生成AIの社内ルールは、ひな形を写して長い規程を作ることから始めません。入れない情報、使ってよい道具、迷ったときの相談先の3つをA4で1枚に決めれば、社員が守れる決まりになります。3人から聞いた使い方をもとに、御社の1枚を書きます。
よくある質問
生成AIの社内ルールは、入れない情報、使ってよい道具、相談先の3つを決めれば十分ですか？
十分ではありません。3つは、最初の1枚に書くことです。公的なひな形や指針は、AIの答えに誤りが含まれること、著作権などほかの人の権利のことも取り上げています。1枚を配って社員が使い始めたら、この2つを足します。
生成AIの利用を、社内ルールで全面的に禁止してもよいですか？
禁止だけを決めることは勧めません。社員が個人のアカウントで黙って使い続けると、会社から使い方が見えなくなります。使ってよい道具と相談先を合わせて決めます。
無料相談のご案内
弊社はGoogle Workspaceの導入支援・保守サポートを行っており、中小企業のAI活用をご相談いただいてきました。御社の業務に合わせてご提案します。
強引な営業は一切いたしません。まずはお気軽にご連絡ください。
※オンライン相談にも対応しております。
出典
- 日本ディープラーニング協会 生成AIの利用ガイドライン
- 個人情報保護委員会 生成AIサービスの利用に関する注意喚起等について（令和5年6月2日）
- 経済産業省 AI事業者ガイドライン（第1.2版）
- IPA 産業サイバーセキュリティセンター 中核人材育成プログラム 卒業プロジェクト「テキスト生成AIの導入・運用ガイドライン」
- Google Geminiアプリのプライバシー ハブ
- Google Google Workspaceの生成AIに関するプライバシー ハブ
- JIPDEC・ITR 企業IT利活用動向調査2024 結果発表
本記事は公開日時点の情報です。料金や機能の最新情報は、各公式ページをご確認ください。制度の最新情報は、各省庁の発表をご確認ください。個別の判断は、税理士や社会保険労務士などの専門家にご相談ください。
