中小企業の生成AI利用ルールをA4一枚で作る方法

生成AIを社内で使い始めると、「何を入力してよいか」「どこまで人が確認するか」が担当者ごとに違ってきます。分厚い規程を作っても、入力欄を開いたときに思い出せなければ役に立ちません。

最初のルールは、A4一枚で構いません。いちばん上に機密情報の入力禁止を書き、利用できる仕事、人が確認する内容、困ったときの連絡先までを一枚に収めます。そのまま社内で検討できるひな型も、本文内に用意しました。

3分で分かる結論｜最初の一行は「機密情報を入力しない」

A4一枚へ入れる項目は次の6つです。

ルール作りの目的は、AIの利用を止めることではありません。入力してよい情報と、人が責任を持つ範囲を明確にし、現場が迷わず使えるようにすることです。

1. 入力禁止情報を、自社の言葉で書く

IPAの「AIセキュリティの最小チェック」は、クラウドAIへ営業秘密を入力しないよう注意を促しています。クラウド型のAIは入力内容をサービス提供者へ送信します。保存や学習への利用条件はサービスによって異なるため、利用規約と管理設定の確認が必要です。

入力禁止欄には、次のように具体例を書きます。

• 顧客名、住所、電話番号、メールアドレス、顔写真
• 未公開の商品、価格、キャンペーン、事業計画
• 契約書、見積書、請求書、議事録、社内チャット
• パスワード、APIキー、二要素認証コード
• 取引先から秘密として預かった文章、画像、データ
• 管理画面や顧客台帳のスクリーンショット

会社によって、機密情報の範囲は違います。飲食店なら予約台帳、制作会社なら公開前のデザイン、士業なら相談内容など、現場で使う名称へ置き換えてください。

個人情報保護委員会は、生成AIへ個人データを入力する場合、サービス提供者がその情報を機械学習へ利用しないことなどを十分に確認するよう注意喚起しています。「名前を消したから必ず安全」と決めつけず、他の情報と組み合わせて本人を特定できないかも確認します。

入力前の一問

入力欄の近くに、次の一文を掲示します。

この文章・画像・ファイルを、社外のサービスへ送ってよいですか？

答えに迷う場合は、入力せず、ルールの管理者へ確認します。この一問が、長い禁止事項より実務で役立つことがあります。

2. 利用できるAIと用途を限定する

社内ルールには、製品名を延々と並べる必要はありません。次の表を埋めます。

用途は、実際の業務から3つ程度で始めます。何でも許可すると確認が曖昧になり、何も許可しないと個人利用が見えない場所へ移る恐れがあります。

3. AIの出力を、誰が確認するか決める

生成AIは、もっともらしい誤りを含む回答を返すことがあります。IPAも、AIの回答が誤る可能性を前提に、人が事実確認する必要があると案内しています。

確認責任は「利用者が注意する」と書くだけでは足りません。用途ごとに確認者を決めます。

外部へ出す内容は、原則として作成者以外が確認します。1人で運営する事業の場合も、公開前に時間を置いて読み直す、公式資料と照合するなど、生成直後の判断だけに頼らない手順を決めます。

4. アカウントと保存場所を決める

共有アカウントは、誰が何を入力したか分かりにくくなります。退職者が引き続きアクセスできる問題も起きます。できる限り本人ごとの会社アカウントを使い、パスワードは共有しません。

最低限、次を決めます。

• 利用者の追加・停止を担当する人
• 二要素認証を必須にするか
• 会話履歴や学習利用の設定を確認する人
• プロンプトと出力を保存する場所
• 保存する期間
• 顧客案件でAIを使った記録を残すか

すべての会話を無期限に保存するのが正解とは限りません。入力禁止情報を入れないことを前提に、業務上の説明に必要な記録だけを、会社が管理できる場所へ残します。

5. 入力ミスが起きたときの連絡先を書く

ルールの末尾に、連絡先と初動を書きます。

1. それ以上の入力・共有を止める
2. 入力したサービス、時刻、情報の種類を記録する
3. 社内の連絡先へすぐ報告する
4. 会話削除やアカウント設定を、管理者の指示で確認する
5. 顧客・取引先・専門家への連絡要否を責任者が判断する

報告した人を責める運用にすると、事故が隠れます。入力ミスを早く共有した方が対応しやすいことを、ルールと社内説明の両方で伝えます。

6. A4一枚のひな型

以下をコピーし、角括弧の中を自社向けに書き換えてください。専門的な規程の代わりではなく、最初の運用ルールとして使うひな型です。

生成AI利用ルール　版：[年月日]　管理者：[氏名・部署]

1. 入力してはいけない情報
顧客の個人情報、未公開情報、契約書・見積書、パスワード・APIキー、取引先から預かった秘密情報は入力しません。迷ったら入力前に管理者へ確認します。

2. 利用できるAIと用途
会社が承認した[サービス名]を、会社アカウントで使います。利用できる用途は[アイデア整理／公開済み情報の要約／文章の下書き]です。

3. 人による確認
AIの出力はそのまま外部へ公開・送信しません。事実、価格、日付、個人情報、権利関係を[確認者]が確認します。契約・人事・経営判断をAIだけで決めません。

4. アカウント
パスワードを共有しません。二要素認証を[必須／推奨]とし、利用者の追加・停止は[担当者]が管理します。

5. 保存と記録
業務で必要なプロンプト、出力、確認結果を[保存場所]へ[保存期間]保存します。禁止情報は記録目的でも入力しません。

6. 間違って入力したとき
それ以上の利用を止め、サービス名、時刻、入力内容の種類を記録し、すぐに[連絡先]へ報告します。

A4に収まらない場合は、説明を小さな文字で詰め込むのではなく、本文を「禁止」「許可」「確認」「報告」の4つへ絞ります。詳しい設定手順やサービス別ルールは別紙に分けます。

7. 30日使ってから改訂する

初版を作ったら、1か月後に次を確認します。

• 入力してよいか迷った情報は何だったか
• 実際に使った用途と、使わなかった用途は何か
• 確認に時間がかかった出力は何か
• 新しいAIサービスを個人で使っていないか
• 入力ミスやヒヤリとした場面があったか
• 管理者と連絡先が今も正しいか

実際の迷いをルールへ戻すと、自社の業務に合った一枚になります。製品の規約や機能も変わるため、日付と版番号は必ず更新します。

まとめ｜禁止事項より、迷ったときの行動まで書く

生成AI利用ルールの出発点は、機密情報を入力しないことです。ただし、禁止の一文だけでは現場は動けません。自社で扱う具体例、利用できる用途、人による確認、連絡先までをA4一枚へまとめます。

最初から完成版を目指す必要はありません。1か月使い、実際に迷った場面を追加してください。短くても更新されるルールの方が、読まれない規程より実務に残ります。

AI導入・実務活用支援では、会社の業務と扱う情報を確認し、無理なく守れる利用ルールと使い方を一緒に整理します。生成AIを導入したものの、社内ルールが曖昧な場合はご相談ください。