会社で生成AIを使う前に決めるべきルール

禁止するのではなく、安全に使える範囲を決める

生成AIは、文章作成、要約、翻訳、アイデア整理など、さまざまな業務を効率化できます。

これまで一時間かかっていた作業が、短時間で終わることもあります。

便利な一方、企業で利用する場合は注意が必要です。

例えば、取引先へのメールを整えるため、受信した文章をそのまま生成AIへ貼り付けたとします。

文章に会社名、担当者名、契約金額、未公開の情報が含まれていれば、それらも外部サービスへ送信されます。

利用者は、情報を漏らそうとしたわけではありません。

仕事を早く終わらせようとして操作しただけです。

だからこそ、個人の判断だけに任せず、会社として利用ルールを決める必要があります。

全面禁止だけでは問題を解決できない

情報漏えいを心配し、生成AIを全面的に禁止する方法もあります。

しかし、職員が個人アカウントを使い、会社へ知らせずに利用すれば、かえって実態を把握できません。

必要なのは
「使ってはいけない」
という一言ではなく、次の内容を明確にすることです。

• 会社が利用を認めるサービス
• 業務で使用するアカウント
• 入力してよい情報
• 入力してはいけない情報
• 出力内容の確認方法
• 誤入力した場合の報告先

生成AIを自由に使わせるか、全面禁止するかの二択ではありません。

安全に利用できる範囲を決めることが重要です。

会社が認めるサービスとアカウントを決める

職員がそれぞれ異なる生成AIを使うと、会社はどのサービスへ何が入力されたのか把握できません。

業務利用を認めるサービスを限定し、会社が管理するアカウントを使用します。

例えば、次のようなルールです。

• ChatGPT、Copilot、Geminiなど、会社が指定したサービスだけを使う
• 個人アカウントへ業務情報を入力しない
• 新しい生成AIを使いたい場合は管理者へ相談する
• 利用者ごとに個別アカウントを発行する
• 多要素認証を設定する

企業向けプランでは、入力内容を初期設定でモデル学習へ使用しない仕組みや、管理者による利用制御が提供される場合があります。

ただし
「学習へ使われない」
ことと
「機密情報を入力してよい」
ことは同じではありません。

企業向けプランであっても、入力する情報は必要最小限にします。

入力してよい情報と禁止情報を分ける

社内ルールでは、入力情報を具体的に分類します。

入力してよい情報

• 既に公開されている情報
• 一般的な業務知識
• 架空の会社名や人物を使った例
• 個人や企業を特定できない文章
• 公開を前提としたブログや広告文の下書き

入力前に確認が必要な情報

• 社内向け資料
• 公開前の文章やデザイン
• 会議メモ
• 社内の業務手順
• 匿名化した集計結果

入力してはいけない情報

• 顧客、利用者、患者、従業員などの個人情報
• 病歴、障害、服薬、健康状態
• ID、パスワード、認証コード
• クレジットカードや銀行口座情報
• 秘密保持契約の対象情報
• 未公開の契約、見積もり、事業計画
• APIキー、秘密鍵、システムの脆弱性情報

文章を整えたい場合は、固有名詞や金額を架空の内容へ置き換えてから入力します。

正確な背景をすべて渡すのではなく、作業に必要な情報だけを渡すことが基本です。

プライバシー設定を確認する

プライバシー設定は、誤入力時のリスクを下げる補助策です。

ですが設定したからといって、機密情報を入力してよいわけではありません。

<参考> ChatGPTの設定例

個人向けChatGPTでは、次の設定を確認します。

1. 設定を開く
2. データコントロールを開く
3. モデル改善への利用をオフにする
4. 必要に応じてメモリと過去のチャット参照をオフにする
5. 一時的な作業では、一時チャットを使用する

業務で継続利用する場合は、会社が管理できるBusinessなどの法人向けプランも検討します。

メールやクラウドとの接続は必要最小限にする

生成AIは、メール、Google Drive、OneDrive、カレンダーなどと接続できる場合があります。

便利ですが、接続すると参照できる情報の範囲も広がります。

接続前に、次の点を確認します。

• どの情報へアクセスできるか
• 閲覧だけか、変更もできるか
• 利用者の権限が広すぎないか
• 管理者が利用状況を把握できるか
• 退職時に接続を解除できるか

便利だからすべて接続するのではなく、業務上必要なものだけを許可します。

AIの回答は必ず人が確認する

生成AIは、自然で説得力のある文章を作ります。

しかし、文章が自然であることと、内容が正しいことは同じではありません。

次の内容は、必ず人が確認します。

• 日付と金額
• 法律、制度、助成金
• 製品やサービスの仕様
• 引用元
• 顧客や取引先の名称
• 著作権や商標
• 会社として約束できる内容

契約、法律、医療、福祉、会計、人事、セキュリティなど、誤りの影響が大きい分野では、AIだけで結論を出してはいけません。

生成AIは、下書きを作る支援者です。

最終的な判断と責任は人が持ちます。

誤って情報を入力した場合

入力ミスを完全になくすことはできません。

重要なのは、誤入力を隠さず、すぐに報告できることです。

機密情報や個人情報を入力した場合は、次のように対応します。

1. それ以上の操作や共有を止める
2. 入力した内容と日時を記録する
3. 会話やアップロードファイルを削除する
4. 社内責任者へ報告する
5. パスワードなどを入力した場合は直ちに変更する
6. 影響範囲と外部報告の必要性を確認する

誤入力した職員を責めるだけでは、次の事故が報告されなくなります。

入力した理由を確認し、説明や承認手順を見直すことが重要です。

最低限決めるべき10のルール

最初から長い規程を作る必要はありません。

まずは、次の内容を一枚にまとめます。

1. 会社が認める生成AIだけを使う
2. 会社が管理するアカウントを使う
3. 個人情報、認証情報、秘密情報を入力しない
4. 必要な場合は匿名化してから入力する
5. AIの回答は必ず人が確認する
6. 契約、法律、医療、会計などをAIだけで判断しない
7. 外部サービスとの接続には承認を受ける
8. 著作権、商標、事実関係を確認する
9. 誤入力や不審な動作は直ちに報告する
10. 退職や異動時にアカウントと接続権限を解除する

生成AIの機能や利用状況に合わせ、ルールは定期的に見直します。

TrusKiteが支援できること

TrusKiteでは、生成AIを禁止するためではなく、安全に活用できる環境を整える支援を行います。

• 業務利用を認めるサービスの選定
• 個人向けと企業向けプランの比較
• 入力可能な情報と禁止情報の整理
• ChatGPT、Copilot、Geminiの設定確認
• 多要素認証とアカウント管理
• クラウド連携の確認
• 社内向け利用ルールの作成
• 職員向け説明資料の作成
• 誤入力時の対応手順作成
• 導入後のルール見直し

企業によって、扱う情報や生成AIの利用目的は異なります。

文章作成だけに使う企業と、社内ファイルやメールへ接続する企業では、必要な対策も異なります。

現在の業務を確認し、便利さを残しながら、危険な部分を曖昧にしない運用を設計します。

安心して使うための境界線を作る

生成AIを使う職員の多くは、情報を漏らそうとしているわけではありません。

仕事を早く終わらせたい。

分かりやすい文章を作りたい。

より良い案を考えたい。

そのような前向きな理由で利用しています。

だからこそ、個人の注意力だけに安全を任せてはいけません。

会社が利用サービスを決める。

入力禁止情報を具体的に示す。

安全なアカウントと設定を用意する。

AIの回答を人が確認する。

問題が起きたときに、すぐ報告できるようにする。

生成AIの利用ルールは、職員を縛るためのものではありません。

安心して便利な機能を使うための境界線です。

※生成AIの設定、保存期間、データ利用条件および管理機能は、サービスや契約プランによって異なります。

※プライバシー設定や企業向けプランを利用しても、すべての情報漏えい、誤入力、不正アクセスを防止できるものではありません。