社内の生成AI利用ルールの作り方｜禁止事項だけで終わらない運用の決め方

社員から「この顧客情報をAIに入れてよいか」と聞かれたとき、禁止事項だけでは使える環境や相談先を案内できません。社内ルールを整える総務・情報管理担当者に向けて、利用アカウント、入力情報、出力確認者、迷ったときの相談先を一枚にまとめる方法を示します。案内メールの一業務で使えるかを試すひな形です。個別の法令や契約への適合は、それぞれの条件で確認してください。

最初に、利用を認める環境を明確にする

会社として認めるサービス名、アカウントの管理者、使える機能を整理します。同じサービスでも契約や設定によって情報の扱いが変わることがあるため、「有料だから大丈夫」と一括で判断しません。会社管理のアカウントと私用アカウントも区別します。

ファイルのアップロード、外部連携、会話の共有など、文章を入力する以外の機能も確認対象です。設定を変えたときに誰が再確認するかを決め、社員には実際に使える環境への入口を案内します。社内ルールを読んでもログイン先が分からない状態を避けます。

入力情報は、具体例と判断先をセットで示す

この表は分類の例であり、情報の利用可否を一律に決める表ではありません。氏名だけを消しても、部署や日程、具体的な相談内容から本人を推測できる場合があります。匿名化したつもりの資料も、必要な情報だけに絞れるかを確認します。

個人情報保護委員会は、生成AIサービスへの個人情報入力に関する注意喚起を公表しています。個人データの扱いは社内の判断だけで完結させず、個人情報保護委員会の注意喚起と利用サービスの条件を確認する入口をルールに含めます。

出力を使う場面ごとに、確認する人を決める

AIが出した文章を社内のメモに使う場合と、顧客へ送る場合では、確認の範囲が違います。案内メールなら日時・宛先・申込方法、営業資料なら商品仕様・価格・比較表現、採用や契約に関わる文章なら担当部門の確認が必要です。確認者が決まらない仕事は、先に運用を整えます。

• 内部のたたき台：作成者が原資料との一致を確認する。
• 顧客への送信：業務の責任者が約束する内容を確認する。
• Web公開：根拠、権利、表現を公開担当が確認する。
• 判断が難しい案件：専門の担当者へ戻し、AIだけで決めない。

案内メールで、ルールが使えるかを試す

例えば、公開済みイベントの案内メールを作るとします。認めたアカウントを使い、公開済みの日時と申込先だけを入力する。参加者名簿は渡さず、出力した本文を担当者が確認してから送る。この流れを一回たどると、ルールに不足がないかを確かめられます。

試行中に「締切が未確定」「個別の参加条件がある」などの例外が出たら、推測で穴を埋めず担当者へ確認します。ルールの文章だけで全部を解決しようとせず、判断先が機能するかまで試すことが大切です。

一枚の社内ルールの記入例

以下は「公開済みのイベント案内から、メールの下書きを作る」業務に限った架空の記入例です。サービス名、承認者、相談先を自社の実名に置き換え、確認日と版番号を付けて配布します。

「入力しないもの」は、この業務での社内判断です。全サービス・全契約に共通する法的な禁止事項という意味ではありません。管理者への相談時には、使いたい情報、必要な理由、利用環境、公開先をセットで伝えると判断しやすくなります。

社員に配る前に、境界の例を試す

• 公開ページの開催日時を使う：承認された環境なら、この例の入力範囲内。
• 参加者ごとに宛名を変えたい：名簿の入力が必要になるため、その場で使わず相談する。
• 最新料金が公開資料と違う：文章を整える前に、案内責任者へ正しい原資料を確認する。

個人情報の扱いは、個人情報保護委員会の注意喚起リーフレットも確認してください。入力情報の学習利用の有無だけでなく、利用目的や提供の条件も確認対象になります。

導入後に集めるのは、違反だけでなく「迷った場面」

入力できる情報が分からず使えなかった、確認に時間がかかった、どの担当者へ相談するか分からなかった。こうした場面を集めると、ルールが業務を支えているか分かります。変更点を短く案内し、必要な業務だけ演習し直します。