生成AIの社内利用ルール・ガイドラインの作り方

「議事録の下書き、生成AIツールに任せてみたんですけど、お客様の会社名とか担当者名とか、そのまま入力しちゃって大丈夫でしたよね?」先日、後輩スタッフからこう聞かれて、内心ドキッとしたことがあります。

正直に言うと、その時点で私の会社には「入力してよい情報・悪い情報」の線引きなど、どこにも明文化されていませんでした。「たぶん大丈夫だと思うよ」と答えながらも、自分の口から出た言葉に全く自信が持てず、その日のうちに上長に相談したのを覚えています。

調べてみると、似たような状況の会社は意外と多いようです。ある部署は業務効率化のために生成AIツールをどんどん使いこなしている一方、別の部署は「なんとなく怖いから」という理由で一切触らせていない。良くも悪くもルールが存在しないことで、現場ごとにバラバラな判断がまかり通っているケースをよく耳にします。個別のツールの便利な使い方は世の中にたくさん情報が出回っていますが、総務やIT部門の立場から見て本当に整備すべきなのは、そうした使い方以前の「全社共通のルール・ガイドライン」ではないかと感じています。今回は、自社でガイドラインを検討した際に整理した考え方を、備忘も兼ねてまとめてみます。

生成AIの社内利用で押さえておきたい2つのリスク
1. 既存の著作物と似てしまうリスク
2. 機密情報・個人情報を入力してしまうリスク
ガイドラインに落とし込むときの具体的なポイント
関連記事

生成AIの社内利用で押さえておきたい2つのリスク

既存の著作物と似てしまうリスク

生成AIツールが作り出す文章や画像は、学習の元になったさまざまなデータの影響を受けています。そのため、生成された内容が既存の著作物と偶然似通ってしまい、意図せず著作権侵害にあたる可能性が指摘されています。経済産業省や文化庁などでも、生成AIの利用と著作権の関係について考え方の整理が進められており、社会的にも関心の高いテーマになっています。ここでは細かな法律解釈には踏み込みませんが、「生成された文章や画像をそのまま社外に出す前に、既存の著作物と似ていないか確認する」という発想を持っておくことが大切だと感じています。

機密情報・個人情報を入力してしまうリスク

もう一つの大きな論点が、情報漏洩のリスクです。会議の議事録や社内資料を要約させようとして、取引先の名前や金額、あるいは従業員の個人情報を含んだ文章をそのまま入力してしまうケースは、誰にでも起こり得ます。入力した情報がサービス側でどのように扱われるかはツールによって異なりますし、一度外部に送信してしまった情報は、後から「なかったこと」にはできません。悪気なく「ちょっと下書きを手伝ってもらおう」と入力した一文が、思わぬトラブルの火種になる可能性がある、という前提で考えておく必要があります。

ガイドラインに落とし込むときの具体的なポイント

入力してはいけない情報の範囲を具体的に線引きする

「機密情報は入力しない」という抽象的な一文だけでは、現場では判断に迷います。「顧客名・取引先名」「個人が特定できる氏名・住所・電話番号」「未公表の決算数値」「社外秘の企画書の内容」といったように、できるだけ具体例を挙げて示すことをおすすめします。あわせて、「固有名詞を伏せた形になっていれば入力してよいのか」といった、現場からよく出てきそうな疑問にも、あらかじめ答えを用意しておくと運用がスムーズになります。

生成物のファクトチェックと著作権チェックを徹底する

生成AIツールが作った文章は、もっともらしい表現で事実と異なる内容を出してくることがあります。社外に公開する資料や、顧客に渡す文書については、生成物をそのまま使うのではなく、必ず担当者が事実確認を行ったうえで最終的な文責を持つ、というルールを明記しておくとよいでしょう。あわせて、画像やイラストを生成する場合は、既存の著作物に似ていないかを確認する工程を挟むことも、ガイドラインに盛り込んでおきたい項目です。

利用してよいツール・禁止するツールをリスト化する

個人のスマートフォンで無料のサービスを気軽に使う人もいれば、会社契約のツールしか使わない人もいる、という状態では、情報の取り扱われ方にばらつきが出てしまいます。会社として利用を許可するツール、利用を禁止するツールを一覧にして周知し、新しいツールを使いたい場合の申請・承認フローも決めておくと、現場の判断に委ねすぎずに済みます。

相談窓口と見直しのタイミングを決めておく

ガイドラインは一度作って終わりではなく、生成AIツール自体の進化や社会的なルールの変化に合わせて、定期的に見直す前提で考えておくことが大切です。あわせて、「この使い方は大丈夫か」と迷ったときに相談できる窓口を、総務やIT部門などに明確にしておくと、現場の不安を都度解消でき、ルールが形骸化しにくくなります。

ここまでの内容を、実際にガイドラインを整備する際のチェックポイントとして整理すると、次のようになります。