生成AIの社内利用ルールはどう作る？ 情シス担当者が押さえたいガイドライン整備の実務

生成AIは、資料作成、メール文面の下書き、議事録要約、Excel関数の作成、社内FAQの整備など、日常業務の効率化に使いやすい技術です。一方で、社員が個人判断で外部サービスに業務情報を入力してしまうと、個人情報や機密情報の漏えい、誤回答の社外利用、著作権侵害、利用履歴の管理不備といった問題につながるおそれがあります。特に情シス部門は、利用を一律に禁止するだけでなく、安全に使える範囲を示し、現場の業務改善とリスク管理を両立させる役割を担います。

そのため、生成AIの社内利用ルールは「禁止事項の一覧」だけでは不十分です。どのツールを使ってよいのか、どの情報を入力してよいのか、出力結果をどう確認するのか、利用申請やログ管理をどう行うのかまで、実務に落とし込む必要があります。さらに、AI事業者ガイドラインのような公的な指針も更新されるため、社内ルールも定期的に見直す前提で設計することが大切です。本記事では、情シス担当者が生成AI利用ガイドラインを整備する際に押さえたい考え方と進め方を整理します。

なぜ今、生成AI利用ルールが必要なのか

まず、生成AI利用ルールが必要になっている背景には、利用者の広がりがあります。以前は一部のIT部門や企画部門が試験的に使うケースが中心でしたが、現在は営業、総務、人事、経理、開発、カスタマーサポートなど、さまざまな部門で日常的に使われるようになっています。たとえば、営業担当者が提案書の構成案を作る、人事担当者が研修資料を要約する、経理担当者が勘定科目の説明文を整える、といった使い方はすでに現実的です。一方で、便利だからこそ、社員が会社の承認を得ないまま個人アカウントで外部AIサービスを使う「シャドーAI」も発生しやすくなります。

また、生成AIは正しい答えだけを返す仕組みではありません。もっともらしい文章で誤った内容を出すことがあり、社内手順、法務判断、契約条件、セキュリティ設定などにそのまま使うと業務ミスにつながります。加えて、入力した情報がサービス提供者側でどのように保存・利用されるのかは、契約形態や設定によって異なります。無料版、個人向けプラン、法人向けプラン、API利用では、管理機能やデータ保護の条件が変わるため、情シス部門が利用可否を整理しておかなければなりません。

つまり、ルール整備の目的は「使わせないこと」ではなく「事故を防ぎながら、効果が出る使い方を広げること」です。まずは会社として利用を認める生成AIサービス、禁止する使い方、判断に迷う場合の相談先を明確にし、社員が迷わず行動できる状態を作ることが重要です。

入力してよい情報・出力の扱い・利用申請の考え方

生成AIの社内利用ルールで最初に決めるべきなのは、入力してよい情報の範囲です。実務では、情報を「公開情報」「社内一般情報」「社外秘情報」「個人情報」「機密情報」のように分けると整理しやすくなります。たとえば、公開済みの会社概要、プレスリリース、製品ページの文章であれば、要約や言い換えに使いやすい一方、未発表の決算情報、顧客リスト、従業員の評価情報、契約書の全文、障害対応ログなどは慎重に扱う必要があります。特に無料の外部AIサービスに、顧客名や社員名を含む文章をそのまま入力する運用は避けるべきです。

次に、出力結果の扱いを決めます。生成AIの回答は、あくまで下書きや参考情報として扱い、社外公開、契約、採用、評価、法務判断、セキュリティ判断に使う場合は人が確認するルールにします。たとえば、AIが作成したメール文面は担当者が事実関係を確認してから送信する、AIが生成したコードはレビューとテストを通す、AIが作成したFAQは情シス責任者が承認してから公開する、といった流れです。出力物にAI利用の表示が必要かどうかも、社外向け資料、採用広報、マーケティング記事など用途別に整理しておくと判断しやすくなります。

利用申請については、すべての利用を重い承認制にすると現場で使われなくなります。そのため、低リスクな利用は申請不要、機密情報を扱う利用や外部連携を伴う利用は申請必須、部門全体で使う場合は管理者承認とするなど、リスクに応じて段階を分ける方法が現実的です。たとえば「公開情報を使った文章の要約」は申請不要、「社内限定資料の要約」は法人契約済みツールのみ可、「顧客データを含む分析」は事前申請と情報管理部門の確認が必要、といった形です。

情報区分	利用例	基本ルール
公開情報	公開済みWebページ、製品説明、プレスリリース	要約や言い換えに利用可。出力の事実確認は必須
社内一般情報	社内FAQ、一般的な業務手順、研修資料	法人契約ツールなど管理された環境で利用
個人情報・機密情報	顧客情報、社員評価、契約条件、未公開資料	原則入力禁止。必要時は事前申請と承認を必須にする

誤回答・著作権・個人情報・機密情報で注意すべきポイント

生成AI利用で最も身近なリスクは、誤回答です。AIは、存在しない制度、古い仕様、誤った設定手順を自然な文章で返すことがあります。たとえば「Microsoft 365の監査ログ保存期間」「電子帳簿保存法の要件」「就業規則上の休職手続き」のように、制度や設定が変わり得る内容をAI回答だけで判断すると危険です。社内ルールでは、生成AIの出力を一次情報として扱わず、公式ドキュメント、社内規程、契約書、担当部門の確認を経て利用することを明記します。特に情シス領域では、コマンド、設定変更、アクセス権限、セキュリティ例外の提案をそのまま実行しないルールが必要です。

著作権については、入力と出力の両方に注意します。書籍、記事、有料レポート、他社資料、画像、ソースコードなどを無断で大量に入力し、要約や改変を行うと、利用条件や権利関係の問題が生じる可能性があります。また、AIが生成した文章や画像が既存の著作物に似ていないか、商用利用できるサービスなのか、社外公開してよい素材なのかも確認が必要です。たとえば、広告バナー、採用サイトの文章、営業資料のイラストなどは、AI生成物であっても人が類似性や利用規約を確認してから使う運用にします。

個人情報と機密情報では、入力前の判断を徹底することが重要です。氏名、メールアドレス、社員番号、顧客名、問い合わせ履歴、給与情報、健康情報、評価コメントなどは、組み合わせによって個人を識別できる場合があります。さらに、障害報告書やログにはIPアドレス、端末名、利用者ID、システム構成が含まれることがあり、セキュリティ上の機密にもなります。そこで、社内ルールでは「匿名化すれば入力可」と単純にせず、匿名化の方法、承認者、利用できるツール、保存期間、ログ確認の有無まで決めておきます。

つまり、リスク対策は利用者の注意力だけに頼るべきではありません。入力画面での注意表示、DLPによる検知、利用可能ツールの制限、監査ログの確認、教育コンテンツの整備を組み合わせ、ミスが起きにくい仕組みにしていくことが情シス部門の実務になります。

現場が守れるルールにするための策定手順と社内展開

生成AIの社内ルールは、情シス部門だけで作ると、現場から「使いにくい」「判断できない」と受け止められることがあります。まずは、実際にどの部門が何に使いたいのかを把握することから始めます。営業部門であれば提案書やメール文面、人事部門であれば研修資料や求人票、経理部門であれば規程の要約、開発部門であればコードレビュー補助など、利用目的は部門ごとに異なります。利用目的を棚卸しすると、禁止すべき使い方だけでなく、会社として推奨できる使い方も見えてきます。

次に、リスク分類を行います。利用シーンを「低リスク」「中リスク」「高リスク」に分け、許可条件を決めます。低リスクの例は、公開情報をもとにした文章の言い換えや会議アジェンダの作成です。中リスクの例は、社内資料の要約や社内FAQの下書きです。高リスクの例は、個人情報を含む分析、契約書の判断、採用・人事評価、セキュリティ設定変更、顧客向け正式回答です。このように分類すると、社員は「これは使ってよいのか」を具体的に判断しやすくなります。

社内展開では、長い規程だけを公開しても読まれにくいため、1枚の早見表、FAQ、具体例集、申請フォームをセットで用意します。たとえば「やってよい例」「申請が必要な例」「禁止する例」を並べるだけでも、現場の理解は進みます。さらに、Microsoft TeamsやSlackの固定投稿、社内ポータルのお知らせ、入社時研修、管理職向け説明会など、複数の接点で周知します。重要なのは、ルールを守らせるために罰則だけを強調するのではなく、安心して使うための相談先を明示することです。

策定ステップ	実施内容	成果物
利用実態の把握	部門別の利用目的、利用ツール、困りごとを確認	利用シーン一覧
リスク分類	情報区分、業務影響、外部公開有無で分類	利用可否表
社内展開	早見表、FAQ、申請フォーム、研修を整備	社内ガイドライン一式

その結果、現場が守れるルールは、抽象的な禁止文ではなく、日々の判断に使える具体例になります。情シス部門は、法務、人事、総務、情報セキュリティ、事業部門と連携し、実務で迷いやすいグレーゾーンを先に洗い出すことで、形だけではないガイドラインを作れます。

教育・見直し・例外対応まで含めた運用設計の進め方

生成AIの社内利用ルールは、公開した時点で完成ではありません。ツールの機能、利用規約、法制度、社内の使い方は変化するため、教育、見直し、例外対応まで含めて運用設計する必要があります。まず教育では、全社員向けに「入力してはいけない情報」「出力をそのまま使わないこと」「困ったときの相談先」を短時間で学べるコンテンツを用意します。加えて、管理職向けには部門内での利用承認や事故時の初動、情シス担当者向けにはログ確認、ツール設定、問い合わせ対応の手順を分けて教育すると効果的です。

見直しの頻度は、少なくとも四半期または半年に1回を目安にします。確認すべき項目は、利用件数、申請件数、問い合わせ内容、誤回答やヒヤリハット、禁止ツールの利用有無、利用規約の変更、社内で新たに発生したユースケースなどです。たとえば、当初は文章作成だけを想定していたものの、現場から「会議音声の文字起こし」「社内文書検索」「チャットボット連携」の要望が増えた場合、データ保存場所やアクセス権限を再確認する必要があります。ルールを更新した際は、変更点だけを分かりやすく周知することも大切です。

例外対応では、禁止事項を破るための抜け道ではなく、業務上どうしても必要な利用を安全に審査する仕組みとして設計します。たとえば、顧客データを含む問い合わせ分析を行いたい場合、利用目的、対象データ、匿名化方法、利用ツール、保存期間、承認者、作業後の削除手順を申請書に記載してもらいます。さらに、例外承認した案件は台帳化し、期限を設け、継続利用する場合は再審査する流れにします。これにより、個別判断が属人化せず、監査時にも説明しやすくなります。

今後、生成AIは業務アプリやグループウェアに組み込まれ、社員が意識しないうちに使う場面も増えていきます。だからこそ、情シス部門は単発のルール作成ではなく、継続的なAIガバナンスとして運用する視点が必要です。小さく始めるなら、まずは承認済みツール、入力禁止情報、出力確認、利用申請、相談窓口の5点を明文化し、実際の問い合わせをもとに改善していくとよいでしょう。現場が守れる粒度でルールを作り、教育と見直しを続けることが、生成AIを安全に業務へ定着させる近道です。

セキュリティ・管理のまず読むまとめ

このカテゴリを読むなら、まずこのまとめ記事から入るのがおすすめです。

1. TOP 1生成AIのセキュリティ対策まとめ｜業務で安全に使う注意点を整理情報漏えい・入力リスク・運用ルールを整理しています
2. TOP 2情シス向けAI活用まとめ｜導入・運用・現場改善の実践ポイント管理運用の観点からAI活用を見たい方向けです
3. TOP 3生成AI導入の進め方まとめ｜PoC・定着・評価のポイントを整理安全運用も含めて導入の全体像をつかめます