中小企業向けのAI利用方針の作り方

AI利用方針とは何ですか？

AI方針は、従業員が使用できるAIツール、対象業務、扱える情報、AIを使った成果物の利用前に必要な手続きを示す、短い社内文書です。中小企業では通常数ページ程度で、創業者、業務責任者、またはすでにデータや契約を管理している担当者が責任を持ちます。

この言葉は、混同されがちな複数の文書を指します。利用規定は、従業員が日々の業務で従うルールです。生成AI方針は、文章、画像、コードを生成するツールと、生成内容に伴うリスクを扱います。ガバナンスの枠組みは、その両方を支える管理の仕組みで、誰がツールを承認するか、誰が管理台帳を維持するか、どのくらいの頻度で判断を見直すかを定めます。従業員200人未満の企業の多くは、各部分を明確に区分すれば、この3つを1つの文書にまとめられます。

このガイドでは、架空の会社の条項例を交えながら、どのAI利用方針でも決める必要がある事項を扱います。一般的な情報であり、法的助言ではありません。データ保護、雇用、消費者保護に関する法律は国や業種によって異なるため、採用する内容は適切な専門家に確認を依頼してください。

小規模企業のAI利用方針は、どのような役割を果たすべきですか？

役に立つ方針は、ツールに情報を入力したり、その出力を使ったりする前に、何をすべきか判断する助けになります。承認済みのサービス、適切な用途、扱える情報の範囲、確認責任、上位の担当者への相談経路を明記する必要があります。こうした実務上の判断基準がなく、注意事項だけが並んでいると、従業員は推測するしかありません。推測に頼る人は、ツールを使わなくなるか、黙って使うようになります。

実際に行われている業務の流れから始めます。公開情報を使った案内状の下書きと、顧客の機密資料の要約では、必要な管理策が異なります。それぞれの業務について、目的、原資料、想定読者、誤りがあった場合の影響を書き出します。AIの利用をすべて同じものとして扱うより、こうした背景を出発点にするほうが適切です。

確認の目安は、新入社員が読んだ後に、どのアカウントを使うのか、何を絶対に貼り付けてはいけないのか、誰に相談するのか、という3つの問いに答えられるかどうかです。この3つに答えられない文書は、どれほど網羅的に見えても、まだ役割を果たしていません。

中小企業にAI利用方針の策定は法律で義務付けられていますか？

多くの地域では、すべての小規模企業に「AI利用方針」という文書の作成を求める一般的な法律はありません。ただし、従業員によるAI利用にも、既存の義務は適用されます。データ保護法、顧客契約の守秘義務条項、雇用法、広告規制は、ツールが下書きを作成したからといって適用されなくなるわけではありません。利用方針は、これらの既存の義務がAI利用にどう適用されるかを従業員に示す実務的な方法です。

英国では、情報コミッショナー事務局が、AIとデータ保護に関するガイダンスと、組織向けのリスク対策ツール集を公開しています。現在、両ページにはデータ（利用およびアクセス）法を受けてガイダンスを見直し中と記載されているため、詳細を根拠に判断する前に最新の状況を確認してください。欧州連合では、AIリテラシーに関するEU AI Actの第4条が、2 February 2025からAIシステムの提供者と導入者に適用されています。欧州委員会のAIリテラシーに関する質疑応答では、すべてに共通する方法はなく、認定証は不要で、社内の研修記録で十分だとしています。また、広告文や翻訳にチャットアシスタントを使う従業員を例に挙げ、ハルシネーションなどの具体的なリスクを知らせる必要があるとしています。

EU向けに販売する場合、EU域内で従業員を雇用する場合、またはEU居住者の個人データを扱う場合は、自社に適用される要件について専門家の助言を受けてください。このガイドで扱うのは、より限定的な点です。文書化された方針と実践的な研修を組み合わせることは、リスクとその対処方法を従業員に伝えたことを示す妥当な方法です。

意思決定の責任は誰が持つべきですか？

方針の管理責任者を1人決め、ツールや機密性の高い業務手順を承認できる人を明確にします。12人の会社では、創業者がすべてを担う場合もあります。80人の会社では、ツールは業務運営の責任者、個人情報はデータ保護の担当者、各部門の出力確認は部門長が担う場合もあります。方針で扱われていない質問を従業員が相談できる窓口を、1つにまとめておく必要があります。

NISTのAIリスク管理フレームワーク実践ガイドでは、統治に関する資料で、役割と責任の明確化、従業員向けのAIリスク研修、連絡系統を扱っています。ここで示す構成は、それを小規模チームの実務に合わせて調整したものです。これらの見出しを使ったからといって、方針が何らかの法律に適合したり、NISTの承認を受けたりするわけではありません。

ポリシー自体に、役職名だけでなく責任者と代理担当者の氏名を記載してください。小さな会社では、文書が更新されるよりも早く役職が変わります。誰も就いていない役職を相談先に指定しても、相談経路として機能しません。

承認済みのツールはどのように記録すればよいですか？

ブランド名だけでは重要な違いが見えないため、正確なサービス名、プラン、許可された用途を記録します。同じ製品でも、個人向けアカウント、企業向けワークスペース、API連携では、データの保持、学習への利用、管理者による制御に関する条件が異なる場合があります。1つの説明がすべての形態に当てはまると思い込まず、該当する設定と規約を記録します。

モデルの学習への利用、保存期間、アクセス権、処理場所、削除について、それぞれ個別に確認してください。学習に使わないという説明だけでは、データが一切保存されないことも、顧客の文書をアップロードしてよいことも確認できません。提供元による説明の一例として、組織向けのCopilot Chatに関するMicrosoftの文書には、プロンプトと応答にはデータ保護に関する追加条項が適用され、基盤モデルの学習には使用されないこと、具体的な管理機能は契約プランによって異なることが記載されています。このようなプランごとの説明を、確認した日付とともに記録してください。

サービスや業務手順が変わった際に一覧を更新できるよう、承認事項ごとに責任者と見直し日を設定してください。ガバナンスの枠組みに関するガイドでは、1ページに収まる管理台帳の形式を紹介しています。

従業員はAIツールに何を貼り付けてもよいですか？

ツール、データ、会社の義務と切り離して通用する答えはないため、自社の状況に応じた答えを方針で示す必要があります。まず、情報を、公開情報、社内情報、機密の事業情報や顧客資料、個人情報という分かりやすい区分に分けます。そのうえで、承認済みのツールごとに、どの区分を利用できるかを示します。名前を削除しただけでは、文書が匿名化されたことにも、アップロードが許可されたことにもなりません。

英国国家サイバーセキュリティセンターの大規模言語モデルに関する指針は、一般的な原則を明確に述べています。入力内容はモデル提供組織に見えるため、一般公開モデルへの入力には機微情報を含めず、機微な内容を質問する前に利用規約とプライバシーポリシーを読むよう推奨しています。自社の規程では、これを承認済みアカウント向けの具体的な指示に落とし込めます。

承認された業務手順ごとに、使ってよい資料と使用が制限される資料の具体例を従業員に示してください。研修では、架空のデータ、または使用が明示的に承認された低リスクのデータを使ってください。判断がつかない場合、従業員は作業の途中でプライバシーについて独自に判断するのではなく、いったん作業を止め、指定された責任者に連絡する必要があります。

出力を使う前に何をすべきですか？

AIを使って作成した成果物はすべて、用途に応じた確認が必要です。方針には、その確認を誰が行うかを明記する必要があります。メールの下書きなら、提供された事実と照らして読み直すことで十分な場合があります。数値に関する説明には、別途計算して確かめることが必要です。法律、健康、金銭、安全に関する記述は、専門的な資格や知見を持つ人による確認が必要です。方針では、AIの支援があれば承認が不要になるかのように扱わず、既存の承認手続きを維持する必要があります。

生成された下書きと、使用が承認された版を分けて保存するよう、従業員に依頼します。重要な業務では、どの参照元を使い、何を変更し、誰が最終判断を下したかが分かるだけの確認記録を残します。流暢な回答も、モデル自身による「正しい」という説明も、独立した検証にはなりません。

人が担うべき判断を明示してください。よく使われる条項の例としては、次のようなものがあります。AIツールは下書きや要約の補助には使えますが、採用、給与、人事評価、与信、顧客からの苦情に関する判断では、指名された担当者が元の情報を確認しない限り、判断の根拠にしてはいけません。

実際のチーム規模に合った利用方針は、完成するとどのようなものになりますか？

従業員25人の架空のマーケティング会社、ハーバー・レーン・スタジオの具体例を示します。従業員は、チャット型AIアシスタントの会社用ビジネスワークスペースと、オフィスソフトのAI機能を使っています。個人アカウントを持つ人もいました。創業者が方針の責任者で、顧客資料に関わる利用はすべて顧客サービス部門の責任者が承認します。

条項例：承認済みツールについて："会社のアカウントでログインし、[アシスタント]のハーバー・レーン業務用ワークスペースと、当社のオフィスソフトに含まれるAI機能のみを使用してください。会社や顧客の業務に個人アカウントを使用しないでください。"

条項例：情報について："承認済みツールでは、公開情報と社内情報を使用できます。顧客サービス責任者が、その顧客と業務を登録簿上で承認していない限り、顧客のファイル、顧客向け価格、機密と表示された情報を入力しないでください。応募者、従業員、顧客の個人情報は決して入力しないでください。"

条項例：確認について："AIを使って作成した成果物を顧客に渡す前に、顧客担当責任者が、事実に関するすべての記述を依頼内容または明示された情報源と照合し、出典を確認できない統計、実績、推奨の記述を削除します。AIを使って作成した成果物にも、ほかの下書きと同じ基準を適用します。"

条項例：上位担当者への相談・報告について："判断に迷ったら作業を止め、[創業者名]に、または不在の場合は[代理担当者名]に確認してください。利用制限のある情報を誤ったツールに入力したと思われる場合は、その日のうちに報告してください。速やかに報告したことを理由に不利益を受けることはありません。"

ハーバー・レーンはその後、誰かに署名を求める前に、顧客からの依頼書を基にキャンペーンの概要をまとめるという実際の業務で方針を試しました。その結果、1つの不明点が見つかりました。顧客のブランドガイドが機密情報に当たるかどうか、誰も分からなかったのです。創業者は、各顧客担当責任者の判断に任せるのではなく、管理台帳に一文を追加しました。

不確実性や間違いについて、方針ではどのように定めればよいですか？

ポリシーでは、誤った情報開示、根拠のない出力、承認された条件に合わなくなった業務手順を報告する方法を明確にし、安心して報告できるようにする必要があります。従業員は、何を中止し、誰に連絡し、担当責任者のためにどの証拠を残すべきかを知る必要があります。データやセキュリティの問題について既存の手順があるなら、それと矛盾する汎用的な事故対応手順を新たに作らず、既存の手順を参照してください。

方針を導入する前に、短い机上演習を行ってください。誰かが、利用を承認されていない個人アカウントに機密文書を貼り付けたという想定です。従業員は報告先と報告方法を見つけられますか。対応責任者は、どのサービスとアカウントが使われたか、また提供事業者がどのような削除方法を用意しているかを把握していますか。演習で見つかった不備をもとに、適切な確認担当者と実際の手順を改善してください。

誰もが実際にそれに従えるようにするにはどうすればよいですか？

署名付きの受領確認で分かるのは、方針を受け取ったことだけで、それを適用できるかどうかは分かりません。プロンプトから何を除くかを判断する、生成された主張を出典と照合する、自分が加えた修正を説明するといった、現実的な課題で練習することで、守るべき線引きを学べます。欧州委員会の質疑応答集が、従業員の業務に固有のリスクを伝えると述べているのも、こうしたことです。

実際の業務から、許可される例、制限される例、判断に迷う例を1つずつ選び、チームに説明してください。全員に違いを説明してもらい、判断を仰ぐ先も確認してもらいます。その後、方針を見直し、判断を明確にするのに役立った例を追加してください。

Tosheo.aiは、その実践段階に向けて構築を進めています。提供開始時には、管理者が職種とチームの使用するAIツールを選び、各受講者が短いスキル診断を受け、レッスンの最後に実際のツールを使う実践課題に取り組む予定です。課題は明示された採点基準に沿って採点されます。管理者にはスキルの進捗と修了状況を表示し、チャット履歴そのものは表示しない予定です。社内方針を作成したり、その遵守を強制したりするものではありません。方針で求められる行動を実践できるようにするためのものです。

ポリシーを実用的なものに保つにはどうすればよいですか？

ツール、プラン、契約、業務フローに変更があるたびに、また少なくとも年に一度は決まった日に、方針を見直します。判断に迷うことは何か、従業員に尋ねます。誰も実際に適用できない方針に必要なのは、確認済みのチェック欄をもう一つ増やすことではなく、より明確な例や、適切な担当者に相談できる仕組みです。

どのルールが最新か分かるよう、冒頭に版の日付と変更内容を記載してください。提供元が規約を変更したり、顧客が契約にAI条項を追加したりした場合は、年次見直しを待たずに、台帳の該当項目を更新し、影響を受ける人に知らせてください。

このガイドが適していないのは、どのような場合ですか？

この方法は、市販のAIアシスタントを日常の知的業務に使う、およそ5〜200人のチームを想定しています。AIシステムを開発・販売している場合、人に関する判断を自動化している場合、医療、金融助言、法律サービスなど規制の厳しい分野で業務を行っている場合、または顧客との契約にAIに関する具体的な条項がある場合は、この方法だけでは不十分です。そのような場合は、方針を確定する前に、法務とデータ保護の専門家による確認が必要であり、正式なリスク評価が必要になることもあります。

情報セキュリティ対策の代わりにもなりません。パスワード、端末のセキュリティ、データ分類について基本的なルールがない場合は、まずそこを整えてください。土台のないところにAI方針だけを作っても機能しません。

出典と対象範囲

NIST AI RMF 実践ガイド：ガバナンス、16 October 2026 確認 ↗

ICO、AIとデータ保護に関するガイダンス（見直し中）、16 October 2026確認 ↗

ICO、AIとデータ保護のリスク評価ツールキット（見直し中）、16 October 2026に確認 ↗

欧州委員会、AIリテラシーに関する質疑応答、最終更新27 July 2026 ↗

NCSC、ChatGPTと大規模言語モデル：どのようなリスクがあるのか？、14 March 2023 ↗

Microsoft Learn、Microsoft CopilotとCopilot Chatにおける企業データの保護、16 October 2026確認 ↗