生成AIを「自由に使ってよい」とするのも、「一切禁止」とするのも、長くは続きにくい運用です。前者は情報管理のリスクがあり、後者は私的利用が見えなくなる可能性があります。最初に必要なのは、分厚い規程ではなく、現場が迷わない一枚のルールです。
入力してよい情報を区分する
公開済み情報、社内情報、機密情報、個人情報のように分けます。顧客名、連絡先、未公開の価格、契約書、認証情報などは、会社が承認した環境と手順がない限り入力しない、と明記します。個人情報保護委員会も、生成AIサービスへ個人データを入力する際の目的や取扱い確認を注意喚起しています。
利用してよい用途を例示する
「文章の下書き」「公開情報の要約」「アイデア出し」など、低リスクの用途を具体的に示します。反対に、採用可否、契約判断、健康・安全に関わる判断などは、AI出力だけで決めないとします。
人が確認する項目を決める
事実、日付、固有名詞、計算、引用、著作権、差別的表現、社内情報の混入を確認します。公開前の確認者も決めます。「AIが書いたから」ではなく、公開した会社が責任を持つ運用です。
問題が起きたときの連絡先を決める
誤って機密情報を入力した、疑わしい出力を公開した、といった場合に誰へ連絡するかを一行で示します。隠さず早く共有できる方が、被害を小さくできます。
ルールは作って終わりではありません。月に一度、困った事例を一つ持ち寄り、許可用途や確認項目を更新します。利用サービスの仕様や契約条件も変わり得るため、サービス名、契約プラン、データ利用条件、確認日を台帳へ残しましょう。
AIを安全に使うとは、ゼロリスクを目指して止まることではなく、入力・出力・責任の境界を決めることです。自社用の最初の一枚を作りたい場合は、実際に使いたい業務と扱う情報から一緒に整理できます。