業務でChatGPTを使っている会社は増えた。議事録を作らせたり、メールの文章を整えたり、資料の構成案を出させたり。2〜3年前と比べると、AIを「とりあえず使ってみる」ことへのハードルはかなり下がっている。
ただ、一つ確認させてほしい。
「社員が何をAIに入力しているか、把握できていますか？」
把握できていない、あるいは確認したことがないという会社の経営者は珍しくない。社員が個人の無料ChatGPTアカウントで、顧客情報や社内の未公開データを入力している可能性がある。これがリスクとして認識されていないことが多い。
この記事では、従業員5〜50人規模の中小企業が生成AIを安全に使うための社内ルール（利用ポリシー）を作る手順をまとめた。記事の末尾にひな型を用意したので、今週中に動ける状態になるはずだ。
生成AIを業務で使い始めると、なぜ情報漏洩リスクが生まれるのか
まず仕組みを理解しておく。
ChatGPTなどの生成AIは、ユーザーが入力した内容をもとに応答を返す。このとき、入力したデータが「AIの学習」に使われる可能性がある。AIを業務に取り入れる前に知っておくべきセキュリティの基本はAIを業務で使う前に知っておくべきセキュリティの話でまとめているので、まだ読んでいない場合は先に確認してほしい。
OpenAIの場合、無料プランや一部の有料プランでは、デフォルト設定のまま使うと会話データがモデルの改善に利用されることがある。設定画面でオプトアウト（学習に使わない設定）はできるが、多くの社員はそんな設定を確認しないまま使っている。
つまり、社員が「顧客Aさんとの商談内容をまとめて」とAIに貼り付けた場合、その内容がAIの学習データとして取り込まれる可能性がある、ということだ。
実際に起きた事例
2023年、韓国のSamsungで複数の情報漏洩事案が発生した。エンジニアが社内の機密ソースコードをChatGPTに貼り付けてレビューを依頼し、別の社員が社内会議の録音データを文字起こしさせた。入力された情報はOpenAIのサーバーに送られており、Samsungはその後AIツールの社内利用を一時禁止した。
こうした事態は日本の中小企業でも起き得る。セキュリティ専門の担当者がいない分、対応が遅れやすいという意味では、むしろ中小企業の方がリスクが高い。
ポリシーがないと会社が法的責任を負う場面がある
もう一点、認識しておいてほしいことがある。
AIが誤情報を生成し（ハルシネーション）、それをそのまま顧客への提案書に使った場合、責任は会社側が負う。「AIが言ったので」は法的な免責にならない。
著作権についても同様だ。AIが生成した文章・画像が既存著作物に類似していた場合、その成果物を外部公開した会社が責任を問われる可能性がある。文化庁の2024年3月の見解では、AI生成物が既存の著作物に類似していた場合の著作権侵害は、利用者に帰責されうるとしている。
「ポリシーがなかったので対応できませんでした」は通らない。会社が明示的に使い方を定めておくことが、責任範囲を整理する手段になる。
ポリシーを作る前に確認しておくこと
いきなり文書を作り始めない方がいい。まず現状把握から入る。
社員がどのツールをどのように使っているかを把握する
全社員に以下の3点を確認する。口頭や社内チャットで聞けば十分だ。
- 業務でAIツールを使っているか（ChatGPT / Gemini / Copilot / NotebookLM / その他）
- 使っているなら、どんな業務に使っているか
- どのアカウントを使っているか（個人アカウントか、会社契約か）
このヒアリングで、想定外の使い方が見つかることが多い。「自分で有料プランを契約して使っている社員がいた」「顧客メールを丸ごとコピーして整形させていた」という状況は珍しくない。
把握してから文書を作ると、現場の実態に沿ったポリシーになる。
自社が使うべきプランを決める
ポリシーの内容はツール選定と切り離せない。ポリシーを作る前に、どのプランを会社として使うかを決める。
ChatGPT系の選択肢
| プラン | 学習利用 | 備考 |
|---|---|---|
| 無料プラン | 設定次第で学習利用あり | 業務利用は原則避ける |
| ChatGPT Plus | オプトアウト可能 | 個人利用向け |
| ChatGPT Team | 学習利用なし | 中小企業の現実的な出発点 |
| ChatGPT Enterprise | 全制御可能 | 大企業向け |
料金の詳細は各プランの公式サイトで確認してほしい。プランは変更されることがある。
Google Workspace（Business以上）に付属するGeminiも、組織内のデータがGoogleのAI学習に使われない設定が可能だ。すでにGoogle WorkspaceをベースにしているかどうかでMicrosoftかGoogleかの選択が変わる。Microsoft 365 CopilotについてもMicrosoftのモデル学習には使われない設定が取れる。
いずれにせよ、社員が各自のアカウントで使う状態を放置しない。ツールを限定して、会社として管理できる契約形態を取ることがポリシー運用の前提になる。
生成AI利用ポリシーに必要な6項目
以下の6項目を文書にまとめれば、中小企業が必要とするポリシーとして機能する。
1. 使用を認めるツールのリスト
「許可したツール以外は業務利用禁止」という原則を明記する。
例：
- ChatGPT Team（会社契約）
- Microsoft 365 Copilot（会社契約に含まれる機能のみ）
- NotebookLM（業務用Googleアカウントのみ使用）
個人のフリーアカウントでの業務利用は明示的に禁止する一文を入れる。「個人アカウントでのAI利用は、業務に関連する情報を扱う場合は禁止」と書けば十分だ。
2. 入力してはいけない情報の定義
「機密情報はNG」という抽象的な表現では現場が動けない。入力禁止情報を具体的なカテゴリで示す。
| カテゴリ | 具体例 |
|---|---|
| 個人情報 | 顧客・社員の氏名・住所・電話番号・メールアドレス・生年月日 |
| 財務情報 | 未公開の売上・利益率・資金繰り計画・原価 |
| 契約情報 | NDA締結済みの取引先情報・契約書の内容 |
| 人事情報 | 社員の給与・評価・採用候補者の情報 |
| 未公開情報 | 発表前の製品・サービス・採用情報 |
| アクセス情報 | パスワード・APIキー・社内システムの接続情報 |
「迷った場合は入力しない」というデフォルトルールも一文で添えておく。
3. 使用が認められる業務の範囲
「何をしてはいけないか」だけでなく「何に使っていいか」も明示する。禁止事項だけ書くと、現場は萎縮して結局誰もAIを使えなくなる。
実際にポリシーを整備する場面に複数関わってきた中で、よく起きるのが「禁止事項しか書かなかった結果、現場が何をしていいか分からず、ほとんど使われないまま終わる」というパターンだ。その後、使用OKの業務リストを追加したところ、社員が迷わず使い始めたという話は繰り返し聞いている。
使用OKの例：
- 社内向け文書・報告書の構成案作成や文章校正
- 議事録のたたき台作成（固有名詞・顧客名は除く）
- アイデア出しや情報整理のブレインストーミング
注意が必要な業務：
- 顧客への提案書の最終版（AIの出力をそのまま使わない。必ず人が確認してから送付する）
- 法的判断・契約書の解釈（AIの出力は参考程度に留める。最終判断は専門家へ）
- 外部公開コンテンツへの使用（著作権確認が必要）
4. 出力内容の確認ルール
AIの出力は必ず担当者が最終確認してから使う。これを明文化しておく。
ハルシネーションとは、AIが事実ではない情報をもっともらしく生成する現象だ。特に「数字・固有名詞・法律情報」の領域で発生しやすい。AIが「2024年の○○の統計では〜」と書いても、その統計が実際には存在しない場合がある。
外部公開するコンテンツにAIの出力を使う場合は、既存著作物との類似確認も必要だ。特にイラストや長い文章をそのまま流用するケースは注意が必要になる。
5. 利用記録の残し方
どのツールを、どんな業務に使ったかを記録しておく。
大企業向けの複雑なログ管理は中小企業には不要だ。社内チャット（SlackやTeams）に専用チャンネルを作り、AIを使った業務が完了したら「何に使ったか」を一言投稿するルールにするだけで機能する。スプレッドシートへの記録でもいい。
記録が必要な理由は3点ある。
- 問題が発生した場合に何が起きたかを追跡できる
- ポリシーの改訂判断の材料になる
- 将来的な監査対応の準備になる
6. 違反時の対応フローと責任者の明示
ポリシー違反が発生した場合に誰が何をするかを決めておく。
最低限、以下を明記する。
- 情報セキュリティの担当者名（社長自身でよい）
- 違反が疑われた場合の第一報告先
- 個人情報漏洩が疑われる場合の対応フロー
2022年4月に施行された改正個人情報保護法により、個人情報漏洩が発生した場合は個人情報保護委員会への報告と本人への通知が義務付けられている。これは規模を問わず適用される。「知らなかった」では済まない内容だ。
従業員への周知と定着のさせ方
ポリシーを文書化しても、現場に伝わらなければ意味がない。
最初の周知で伝えるのは3点だけ
完璧な説明をしようとすると現場は覚えられない。最初は以下の3点だけを伝える。
- 使っていいツールはこれだけ（リストを見せる）
- 絶対に入力してはいけない情報はこれだけ（カテゴリを見せる）
- 出力は必ず自分で確認してから使う
伝え方は、短い会議での口頭説明＋A4一枚のルール要約シートを配布する形が現実的だ。厚いPDFは誰も読まない。
ルールが定着する仕組みを作る
口頭説明だけでは定着しない。以下のような仕組みを作る方が長続きする。
- 業務チャンネルで「AI使用履歴」を共有するルールにする
- 新入社員の入社オリエンテーションにAI利用ルールを組み込む
- AIを使う前の簡易チェックリストを社内チャットのブックマークに入れておく
違反した社員を責める文化にするより、「迷ったら確認する」文化を作る方が長期的に機能する。ポリシーが形骸化する最大の原因は、「怖くて誰にも聞けない」という状態だ。
ポリシーの見直しタイミングと改訂の判断基準
「半年に一度見直す」という目安はよく言われるが、それだけでは不十分なことがある。
AIツールは半年で機能・料金・規約が大きく変わることが多い。実際、OpenAIは利用規約やプライバシーポリシーを複数回改定しており、変更内容によっては社内ポリシーの前提が崩れることがある。「ポリシーを作ったから終わり」ではなく、作った後の維持が重要だ。
以下のいずれかが発生した場合は、その都度改訂を検討する。
- 許可しているツールの利用規約・プライバシーポリシーが変更された
- 新しいAIツールの社内利用が増えてきた
- ポリシー違反のインシデントが発生した
- 個人情報保護法・著作権法などの関連法令が改正された
形骸化させないための運用方法
見直しサイクルを決めても、担当者が変わったり繁忙期が続いたりすると、気づけば1年以上放置されていることがある。
これを防ぐために、以下のような運用にしておくと機能しやすい。
- 半年に1回の「AI利用ポリシー確認日」をGoogleカレンダーや社内カレンダーに登録する
- 担当者は確認日に「使っているツール一覧」と「ポリシーの禁止事項リスト」の2点だけを照合する
- 変更がなければ「変更なし、次回○月に確認」と記録だけ残す
- 変更があった場合は該当箇所を修正して全員に通知する
1回の確認に15〜20分もあれば足りる。時間ではなく「やる仕組みを決めること」が大事だ。
すぐに使えるポリシーひな型
以下のひな型をそのまま使ってほしい。自社名・担当者名・許可ツールのリストを埋めれば完成する。A4一枚に収まる設計にしてある。
生成AI利用ポリシー（○○株式会社）
制定日： 年 月 日 最終改訂日： 年 月 日
目的
当社は、生成AIツールを業務効率化に活用します。同時に、情報漏洩・著作権侵害・誤情報の使用を防ぐため、以下の利用基準を定めます。
対象者
全従業員・業務委託スタッフ
使用を許可するツール
- （ツール名を記載）
- （ツール名を記載）
上記以外のツールおよび個人アカウントの業務利用は禁止とします。
入力してはいけない情報
以下の情報をAIツールに入力することを禁止します。
- 個人情報（顧客・社員の氏名・住所・連絡先・生年月日 等）
- 未公開の財務情報（売上・利益・原価・資金繰り 等）
- NDA締結済みの取引先情報・契約内容
- 社員の給与・評価・採用候補者の情報
- 未発表の製品・サービス・採用情報
- パスワード・APIキー・システムアクセス情報
迷った場合は入力しないことを原則とします。
使用できる業務の範囲
使用OK：
- 社内向け文書・報告書の構成案・文章校正
- 議事録のたたき台作成（固有名詞・社名は除く）
- アイデア出しや情報整理
注意が必要：
- 外部公開コンテンツへのそのまま使用（著作権確認必須）
- 顧客向け提案書の最終版（必ず人が確認する）
出力内容の確認ルール
AIの出力は必ず担当者が確認・修正してから使用します。特に数字・固有名詞・法律情報は事実確認を行います。
利用記録
AIツールを使用した業務は、（記録方法：チャンネル名 / スプレッドシートURL 等）に記録します。
違反時の対応
本ポリシーに違反した場合や情報漏洩の可能性が発生した場合は、直ちに以下の担当者に報告してください。
情報セキュリティ担当者：（氏名）
個人情報漏洩が確認された場合は、個人情報保護委員会への報告および対象者への通知を行います。
まとめ
生成AIの利用ポリシーは、大企業向けの分厚い規程書を作る必要はない。A4一枚でも、現場が守れる形で存在していることに意味がある。
重要なのは「作ること」と「社員に伝えること」の2点だ。
僕が業務効率化に関わる中で見てきた限り、AIを使い始めた会社がつまずくのは技術的な問題よりも「何を入力していいか分からない」という判断軸のなさから来るケースが多い。ポリシーを作ることは規制ではなく、社員が安心してAIを使えるようにする土台作りだ。
まず今週中にできることとして、社員が現在どんなツールをどのように使っているかを確認するところから始めてほしい。そこから始めれば、ポリシーの中身は自然と見えてくる。