「社員がChatGPTを勝手に使っているが、情報漏えいが心配」「生成AIを業務で使わせたいが、ルールがないまま解禁するのは不安」――こうした悩みを抱える中小企業は少なくありません。生成AIは強力なツールですが、ルールなしで野放しにすると、機密情報の流出や著作権トラブル、誤情報の業務利用といったリスクが一気に現実化します。
本記事では、中小企業がそのまま使える生成AI社内ガイドラインの雛形(テンプレート)を、項目ごとの解説付きで公開します。前回までの生成AI導入で失敗しないための7ステップのSTEP5「ルール整備」、およびAI業務棚卸し完全ガイドの続編として、導入後の「安全な運用」にフォーカスした内容です。
なぜ中小企業に生成AIガイドラインが必要なのか
「うちは小さい会社だから、ガイドラインなんて大げさ」と感じる経営者の方もいるかもしれません。しかし、規模が小さい企業ほど、1件の情報漏えいや炎上が事業継続に直結します。ガイドラインが必要な理由は主に3つあります。
① 情報漏えいを防ぐため
生成AIに入力した情報が、AIの学習に使われたり外部に残存したりするリスクがあります。社員が顧客情報や社外秘の資料を何気なく入力してしまうと、重大な漏えいにつながります。「何を入力してよいか・いけないか」を明文化することが不可欠です。
② トラブルを未然に防ぐため
生成AIが作成した文章や画像には、著作権侵害や事実誤認(ハルシネーション)のリスクがあります。生成物をそのまま外部に出して問題になるケースを防ぐには、「人が必ず確認する」というルールが必要です。
③ 安心して活用を進めるため
意外に見落とされがちですが、ガイドラインは「禁止」のためだけのものではありません。「ここまでは安全に使ってよい」という線引きを示すことで、社員は安心してAIを活用できるようになります。ルールがないと、不安から誰も使わない――という機会損失も起こります。
生成AIガイドラインに盛り込むべき項目
中小企業向けのガイドラインは、難解な法律用語を並べる必要はありません。現場の社員が読んで理解・実行できることが最優先です。最低限、以下の項目を押さえましょう。
| 項目 | 定めるべき内容 |
|---|---|
| 目的 | なぜこのガイドラインを定めるのか |
| 対象者・対象ツール | 誰が、どのAIツールを使う際に適用されるか |
| 利用してよい業務 | 推奨される使い方の具体例 |
| 入力禁止情報 | AIに入力してはいけない情報の種類 |
| 生成物の取り扱い | 確認・検証のルール、著作権への配慮 |
| 禁止事項 | やってはいけないこと |
| 違反時の対応 | ルール違反が発覚した場合の扱い |
| 問い合わせ先 | 判断に迷ったときの相談窓口 |
生成AI社内ガイドライン雛形(コピーして使えます)
以下は、中小企業がそのまま自社用に編集して使える雛形です。自社の実態に合わせて、ツール名や窓口名を書き換えてご利用ください。
生成AI利用ガイドライン
第1条(目的)
本ガイドラインは、当社における生成AIの安全かつ効果的な活用を促進するとともに、情報漏えい等のリスクを防止することを目的とする。
第2条(対象)
本ガイドラインは、当社の全役職員(正社員・契約社員・パート・アルバイト・派遣社員を含む)が、業務において生成AIサービス(ChatGPT、Microsoft 365 Copilot、その他のAIチャット・画像生成サービス等)を利用する際に適用する。
第3条(利用を推奨する業務)
次のような業務での活用を推奨する。
・文章の作成、要約、校正、翻訳
・アイデア出し、企画のたたき台作成
・議事録やメモの整理
・社内向け資料のドラフト作成
・プログラムやマクロの作成補助
第4条(入力してはならない情報)
社員は、次の情報を生成AIに入力してはならない。
・顧客や取引先の個人情報(氏名・連絡先・契約内容等)
・自社および取引先の機密情報、未公開情報
・社員の人事情報、給与情報
・パスワード、APIキー等の認証情報
・契約書、見積書等の社外秘文書の内容
※ 法人向けプラン等で「入力情報が学習に使われない」設定が確認できる場合も、原則として上記情報の入力は避けること。
第5条(生成物の取り扱い)
1. 生成AIが出力した内容は、必ず人が事実関係・正確性を確認したうえで使用する。
2. 生成物を社外に提供する場合は、著作権・商標権等の権利侵害がないか確認する。
3. 生成AIを用いて作成した成果物であることを、必要に応じて関係者に明示する。
第6条(禁止事項)
・本ガイドラインで定めた入力禁止情報の入力
・生成物を無確認で社外に提供すること
・他者を誹謗中傷する目的、違法・不適切な目的での利用
・会社が許可していない有料AIサービスへの会社費用での加入
第7条(違反時の対応)
本ガイドラインに違反した場合、就業規則に基づき対応する。重大な違反については懲戒の対象となることがある。
第8条(相談窓口)
生成AIの利用に関して判断に迷う場合は、利用前に〔情報セキュリティ責任者／所属長〕に相談すること。
附則
本ガイドラインは〔20XX年X月X日〕より施行する。
※ 本雛形はひな型です。自社の業種・体制・利用ツールに応じて加除修正のうえご利用ください。法的な確認が必要な場合は専門家にご相談ください。
ガイドラインを「作って終わり」にしないための運用のコツ
ガイドラインは作成して終わりではありません。実際に機能させるための運用ポイントを3つ紹介します。
コツ① 全社員に説明する場を設ける
文書を配布するだけでは読まれません。短時間でよいので、説明会や朝礼で「なぜ作ったか」「特に注意してほしい点」を口頭で伝えると、定着率が大きく変わります。
コツ② 入社時オリエンに組み込む
新入社員や中途入社者にも確実に伝わるよう、入社時の説明項目に加えておきます。退職時の情報管理とあわせて、人の入れ替わりに対応できる体制にしておくことが重要です。
コツ③ 定期的に見直す
生成AIの進化は非常に速く、新しいツールや機能が次々に登場します。最低でも年1回はガイドラインを見直し、実態に合わせて更新しましょう。
生成AIガイドラインは情報セキュリティ体制の一部
生成AIガイドラインは単独で存在するものではなく、会社全体の情報セキュリティ体制の一部として位置づけるのが理想です。具体的には、以下のような規程・ルールとセットで整備することで、抜け漏れのない体制になります。
- 情報セキュリティ基本方針
- クラウドサービス利用管理規程
- 生成AI利用ルール(本記事の雛形)
- アカウント発行・変更・削除の手順
- 退職・契約終了時のチェックリスト
「まず生成AIのルールだけ」というスモールスタートでも問題ありませんが、いずれは全体を見据えた整備が必要になります。SECURITY ACTIONの宣言やISMS取得を視野に入れている企業は、早い段階で全体設計を考えておくと後の手戻りが少なくなります。
まとめ
生成AIを安全に活用するためのガイドライン整備について、ポイントを再掲します。
- ガイドラインは「禁止」だけでなく「安心して使うため」のもの
- 中小企業向けは、現場が読んで実行できるシンプルさが最優先
- 「入力禁止情報」と「生成物は人が必ず確認」の2点が特に重要
- 作って終わりにせず、説明・周知・定期見直しで運用する
- 最終的には会社全体の情報セキュリティ体制の一部として整備する
まずは本記事の雛形をベースに、自社版のたたき台を作ってみてください。完璧を目指す必要はありません。シンプルなルールから始めて、運用しながら育てていくことが、中小企業にとって最も現実的なアプローチです。
生成AI活用・情報セキュリティのご相談
株式会社クレアスバリューは、Microsoft AI Cloud Partner Programメンバーとして、中小企業の生成AI活用と情報セキュリティ体制づくりを公正中立な立場でサポートしています。Microsoft CSPプログラムの二次代理店として、Microsoft 365 Copilotをはじめとする法人向けAIライセンスの手配から、安全な利用設定までを一気通貫でご支援します。
「自社に合ったガイドラインを一緒に作ってほしい」「生成AIを安全に使える設定にしたい」といったご相談に、お客様と共に走るパートナーとして対応します。無料相談はこちらからお気軽にお問い合わせください。
あわせて読みたい:
中小企業の生成AI導入で失敗しないための7ステップ
中小企業のAI業務棚卸し完全ガイド
AI導入・活用支援コンサルティング
