中小企業の生成AIルール、まず決める「15の論点」から

「生成AI、うちも使わせていいのか」——中小企業からよくいただく相談です。禁止すれば情報漏えいのリスクは下がるように見えますが、実際には現場が隠れて使う状態を生み、かえって把握できなくなります。かといって自由にすれば、機密の入力や権利侵害が起きかねません。必要なのは、使わせながら守るための社内ルールです。とはいえ、ゼロから条文を書くのは大変です。そこで、決めるべき論点を先に整理しておきます。

まず「決める15の論点」から

ルールづくりは、白紙に条文を書くのではなく、あらかじめ用意された論点に答えていくほうが速く、抜け漏れも減ります。適用範囲は誰までか、使ってよいツールをどう認めるか、どこまでの情報を入れてよいか、出力の確認責任は誰が持つか——こうした15の論点に「自社はどうするか」を決めていけば、そのまま自社版のルールになります。

入れてはいけない情報は、具体的に列挙する

いちばん大事なのが「入れてはいけない情報」の線引きです。抽象的な表現だけでは守れません。次のように具体的に列挙し、自社の実態に合わせて足し引きします。

個人情報およびマイナンバー
顧客から預かった資料およびその内容
未公表の財務情報・人事情報
ID・パスワードその他の認証情報
秘密保持契約（NDA）の対象となっている情報
自社の未公開の技術情報・ソースコード

AIに「決めさせない」仕事を決める

入力の線引きと同じくらい重要なのが、AIに判断を委ねない仕事を決めておくことです。人の処遇に関わる判断と、外に責任が及ぶ判断は、AIに任せません。

採用の合否判断／人事評価の決定
与信および取引可否の判断
医療・法律・税務に関する最終的な判断
事実確認をしないままの外部公開

「禁止」だけを並べない

禁止事項だけを並べた規程は、たいてい浸透しません。「これは使っていいのか分からない」となった現場は、黙って使うか、使うのをやめるかのどちらかになります。だからこそ、認める用途も明記してください。文章の下書き、要約、翻訳、議事録の整理、アイデア出し、調べものの下調べ、表計算やコードの補助——「使ってよいこと」を書くほうが、禁止だけを並べるより守られます。

事故は「責めない運用」で報告を上げる

どれだけ気をつけても、誤って機密を入力してしまうことはあります。大事なのは、そのときに報告が上がってくること。手順はシンプルにします。

あらかじめ決めた連絡先（1つ）へただちに報告する
入力した情報の範囲を特定する
該当する会話履歴を削除する

そして「報告したことを理由に不利益な取扱いはしない」と明記します。処分から入ると、次から報告が上がってこなくなります。

配って終わりにしない

ルールは、配った時点ではまだ何も変わっていません。守られる状態にするために、次の3つを決めておきます。

15分でも説明の場をつくる：「なぜ禁止するのか」を1つずつ話す。理由が分かっているルールしか守られません。
相談窓口を1つ決める：「これは入力してよいか」を聞ける先を名前で周知する。
見直したことを残す：見直しの日付と変えた箇所を1行ずつ記録する。この分野は変化が速く、放置すると1年で古くなります。

公開前に、8項目を確認する

最後に、ルールを公開する前のチェックです。就業規則・秘密保持契約と矛盾していないか、取引先との契約にAI利用を制限する条項がないか、認めるツールが「学習に使われない設定」になっているか、相談窓口の担当者に合意を得たか、説明の場を設定したか、次の見直し時期をカレンダーに入れたか——ここを確認してから配ります。