小さな会社が生成AIを使うときに最初に決める3つのルール

結論から

生成AIを業務で使い始めるとき、専門的なセキュリティ知識がなくても、最初に3つのルールを決めておけば大きなトラブルの多くは防げます。①顧客情報や個人情報を入力しない(または入力しても学習に使われない設定・プランを選ぶ)、②会社用のアカウントを分けて誰が何を使っているか把握する、③AIの出力は必ず人が確認してから外に出す、の3つです。私自身、支援先の会社にはまずこの3つから伝えています。

ルールを決めずに使い始めてしまう理由

生成AIは、個人のスマホやパソコンからすぐに使い始められます。この手軽さが良さである一方、会社として使う場合には落とし穴にもなります。誰かが個人のアカウントで便利に使い始め、それが社内に広がり、気づいたときには誰が何にどう使っているか誰も把握していない、という状態になりがちです。

会計事務所や製造業の現場を見ていても、「使うこと」自体は前向きに進む一方、「どう使うか」のルールが後回しになっているケースがほとんどでした。ルールが厳しすぎると使われなくなり、緩すぎるとリスクが積み上がります。最初に決めておくべきは、難しいポリシー文書ではなく、シンプルな3つの約束です。

手順:3つのルールの決め方

1. 顧客情報・個人情報は入力しない

もっとも基本的で、もっとも見落とされやすいルールです。顧客名、取引先の詳細、個人を特定できる情報は、原則として生成AIに入力しないと決めます。どうしても業務上必要な場合は、入力したデータが学習に使われない設定になっているか、そうしたプランを契約しているかを確認したうえで使います。多くのサービスには、法人向けにデータを学習に使わない設定が用意されています。無料の個人向けプランをそのまま業務に使うのが一番リスクが高い組み合わせです。

2. 会社用アカウントを分けて、誰が何を使っているか把握する

個人のアカウントで各自が使い始めると、会社として「誰が」「どのAIを」「何のために」使っているかが見えなくなります。会社としてアカウントを用意し、利用者を把握できる形にしておくことが、2つ目のルールです。大がかりな管理システムは不要で、まずは「誰が何を使っているか」をリストにするだけでも十分な一歩になります。

3. AIの出力は人が確認してから外に出す

生成AIは、もっともらしい誤りを含んだ文章を作ることがあります。社外に送るメール、顧客向けの資料、公開する文章など、外部に出るものについては、必ず人の目で内容を確認してから送る、というルールを徹底します。特に数字や固有名詞は、AIが作った文章でも思い込みで信じず、一次情報と照らし合わせて確認する習慣が必要です。

判断基準:向く会社・向かない会社

すぐにルールを作るべき会社

• 顧客情報や個人情報を日常的に扱う業種(会計事務所、士業、医療・介護関連など)
• 複数の従業員が、すでにそれぞれ個人の判断でAIを使い始めている
• 社外に出す文章(メール・提案書・SNS投稿など)の作成にAIを使う予定がある

慎重に進めるべき会社

• 業務上、生成AIに読み込ませる必要のある情報がほとんど機密性を持たない場合は、過度に厳しいルールにする必要はありません。厳しすぎるルールは、結局守られなくなり形骸化します
• 利用者がまだ1〜2名で、口頭の申し合わせで十分に統制できている段階では、文書化を急がなくても大きな問題は起きにくいです

いずれの場合も、「使わせない」ことをゴールにするのではなく、「安心して使える状態」を作ることが目的です。

まとめ:次の一歩

生成AIの社内ルールは、分厚いガイドラインを作ることが目的ではありません。①情報を入れない、②アカウントを分ける、③出力を人が確認する、というシンプルな3つを決めるだけで、多くのリスクは防げます。まずはこの3つを社内で共有するところから始めてみてください。自社の業務に合わせた具体的なルールづくりについては、無料相談でご相談いただけます。