AI利用規程とは何ですか？
AI利用規程は、AI AUPと略されることもあり、会社のためにAIツールを使うすべての人に求められる具体的な行動を定めます。包括的なAI方針よりも対象範囲が狭いものです。提供事業者を誰が承認するか、管理台帳をどう見直すかを説明するものではなく、従業員がツールを開いたその時点で、何をしてよく、何をしてはいけないかを示します。
多くの企業には、メール、端末、インターネットを対象とする情報技術の適正利用方針がすでにあります。AIの適正利用方針は、その文書に新しい項目として追加しても、関連づけた別のページとして作成してもかまいません。重要なのは、抽象論ではなく、具体的な業務と例で示すことです。「AIを責任を持って使う」だけでは誰も判断できませんが、「顧客の契約書をどのAIツールにも貼り付けない」なら判断できます。
このページは一般的な情報を提供するものであり、法的助言ではありません。採用する文面は、適切な資格を持つ専門家の確認を受けてください。個人データを扱う場合や、顧客との守秘義務に従って業務を行う場合は、特に重要です。
AIの利用をどこまで認めるかは、どのように決めればよいですか？
扱う情報と、誤りが生じた場合の影響に応じて、使い方を「利用可」「承認があれば利用可」「利用不可」の3段階に分けてください。リスクが生じるのは、AIを使うからではありません。何を入力し、出力を何に使うかによって決まります。同じツールでも、公開済みのブログ記事の書き直しには問題なく使えても、懲戒処分に関する記録の要約には使えない場合があります。
実際の業務リストを基に区分を作ってください。各チームリーダーに、すでにAIを使っている業務、または使いたい業務を5つ挙げてもらいます。それぞれを分類すれば、初日から各区分に具体例を用意できます。
| 区分 | 代表的な例 | 従業員が行うこと |
|---|---|---|
| 利用可 | 自分の下書きの言い換え、公開記事の要約、見出し案の洗い出し、表計算の数式の説明 | 承認済みのアカウントを使い、出力を確認します |
| 承認を得た場合のみ利用可 | 顧客資料の要約、問い合わせ履歴に基づく顧客への返信案の作成、社内売上データの分析 | 業務手順が台帳に登録されている場合のみ使い、未登録の場合は先に責任者へ確認します |
| 許可されていません | パスワードやキーの入力、承認された手順によらない従業員や採用候補者の個人データの入力、AIによる採用や給与の決定、実在する人物の画像生成 | 行わないでください。例外が必要だと思う場合は確認してください |
適切な利用に関する条項は、どのように定めるとよいですか？
適切な条項は、ツール、作業、情報を具体的に示し、代わりに何をすべきかも明記します。以下は、従業員40人の架空のソフトウェア会社「ノースゲート・アプリ」の条項例です。この会社は、チャット型アシスタントの法人向け作業環境を持ち、ソースコード管理基盤と業務用ソフト群のAI機能を使用しています。
各条項は覚えられる短さで、行動に移せる具体性があります。どれも「気をつける」とは書いておらず、具体的な行動を示している点に注目してください。
経理
"AIは、登録簿に記載されたNorthgateの会社アカウントでのみ使用してください。ちょっとした質問も含め、Northgateのいかなる業務にも、個人アカウント、無料プラン、未承認のブラウザープラグインを使用してはいけません。"
コード
"Northgateのリポジトリでは、承認済みのコーディングアシスタントを使用できます。顧客データ、個人データを含む本番環境のログ、APIキーなどの秘密情報を、いかなるAIツールにも貼り付けてはいけません。生成されたコードは、他のコードと同様に、マージ前にレビューします。"
顧客
"サポート担当者は、承認済みのアシスタントを使って返信の下書きを作成できます。まず、口座番号やアカウント番号、支払い情報を削除してください。返信はすべて、送信前に人が読んで修正します。"
主張
"元の情報源を開いて確認していない限り、AIツールが生成した統計、ベンチマーク、顧客の成果を公開してはいけません。"
人事に関する判断
"応募者や従業員の順位付け、選考、評価にAIを使用してはいけません。自分で書いた求人広告の文章を整えるためには使用できます。"
レポート作成
"入力してはいけない情報を入力してしまった場合は、その日のうちに業務責任者に報告してください。早期の報告は適切な行動として扱います。"
AI利用規程ではどのような情報の入力を制限すべきですか？
文書の種類をすべて列挙するのではなく、情報の分類ごとに利用を制限し、各分類を利用が許可されるアカウントに紐づけます。一般的な分類は、公開情報、社内情報、機密情報または顧客情報、個人情報、そしてパスワードやキーなどの秘密情報です。秘密情報のルールは最も簡単に定められます。どのツールにも、決して入力しないことです。
英国国家サイバーセキュリティセンターの大規模言語モデルに関する指針は、入力内容がモデル提供組織に見えるという一般的な原則を示し、一般公開モデルへの入力には機微情報を含めないよう推奨しています。法人向けワークスペースには異なる契約条件が適用される場合があるため、利用プランの条件を記録してください。例えばMicrosoftの文書では、組織が利用するCopilot Chatにはデータ保護補足契約が適用され、プロンプトと応答は基盤モデルの学習に使われないとしています。一方で、管理機能は契約プランによって異なるとも記載しています。そのうえで、利用規程に、そのワークスペースで使用できる情報区分と、どこでも使用を認めない情報区分を明記できます。
個人データを扱う英国企業にとって、ICOのAIとデータ保護に関するガイダンスが公式の参照資料です。現在、そのページには、データ（利用およびアクセス）法を受けてガイダンスを見直し中と記載されています。特定の項目を判断の根拠にする前に、現在公開されている内容を確認してください。
職種とのつながりを確認してみませんか？
計画中のチーム向けトライアルを見る ↗従業員はAIの出力を使う前に何を確認すべきですか？
従業員は、外部に渡す内容に含まれる事実に関する記述、数値、引用文、出典をすべて確認し、情報源をたどれないものは削除する必要があります。NISTの生成AIプロファイルでは、作話を、自信に満ちた表現で誤りや虚偽の内容を生成することと説明しています。流暢な回答は根拠にはなりません。利用規程では、出力を使う本人がその内容に責任を負うことを明記する必要があります。
具体例です。Northgateのマーケティング担当者が、小規模チームがプロジェクト管理ツールを導入する理由を短い段落にまとめるよう、アシスタントに依頼します。生成された下書きには、昨年は小規模企業の過半数がツールを切り替えたという一文が、出典名付きで含まれています。しかし、担当者はその出典で該当する数値を確認できません。AUPの主張に関する条項に従ってその一文を削除し、数値を使わず、Northgateに寄せられたサポート問い合わせに記載されている顧客の理由を説明する段落に書き直します。
不十分な文章：「最近の業界調査によると、昨年は小規模チームの大半がプロジェクト管理ツールを切り替えました。」レビュー後：「当社にお問い合わせいただくチームが、切り替えの理由としてよく挙げるのは、引き継ぎ漏れとツールの多さの2つです。」後者は派手さに欠けますが、内容のすべてに根拠があります。
従業員にAI利用規程への署名を求めるべきですか？
署名や受領確認を求めるのは妥当ですが、それで分かるのは、相手が方針を受け取ったことだけです。それに加えて、自社の業務から各区分につき一つ、計三つの事例を取り上げ、十分間で一緒に確認してください。それぞれがどの区分に当たるか、その理由も含めて一人ひとりに説明してもらいます。そうすれば、ルールを適用できることの証拠が得られます。問題が起きたときには、署名よりも価値があります。
EU AI Actの第4条に関する欧州委員会のAIリテラシーの質疑応答では、修了証は不要で、研修やその他の取り組みの内部記録で十分だとされています。EUの規則が適用される場合は、誰がいつ操作説明を受け終えたかを簡単に記録しておくとよいでしょう。この法律が自社に適用されるか、またどのように適用されるかについては、専門家の助言を受けてください。
従業員を監視せずに、AIの適正利用方針を守ってもらうにはどうすればよいですか？
多くの小規模企業は、すべてのプロンプトを監視するのではなく、承認済みアカウント、適切な初期設定、ミスを報告できる文化を通じて、AI の利用規程を運用しています。便利な方法がそのまま許可された方法になるよう、承認済みの業務用アカウントを従業員に提供してください。契約プランで利用できる管理者設定を有効にしてください。安心して報告できるようにし、ルールを繰り返し無視する行動には、通常の業務評価に関する面談として対応してください。
法人向けプランで利用できる利用ログを確認する場合は、その旨をポリシーに明記し、適用される雇用とプライバシーのルールを確認してください。隠れた監視は、そのポリシーが機能するために欠かせない、問題を報告しやすい文化を損なう傾向があります。
Tosheo.aiも、予定している設計では同じ方針を採用しています。管理者はスキルの進捗と修了状況を確認できますが、受講者のチャットログそのものを見ることはできません。
適正利用方針だけでは不十分なのは、どのような場合ですか？
利用方針は従業員の行動を対象とするものです。どの事業者が安全か、ワークフローにデータ保護影響評価が必要か、販売する製品にAIをどう組み込むかを決めるものではありません。自社でAI機能を開発している場合、人に関する判断を自動化している場合、または規制のある専門業務を行っている場合は、ガバナンスの仕組みと専門家による審査も必要です。
研修の代わりにもなりません。「すべての主張を確認する」というルールに同意するのは簡単ですが、締め切りに追われる中できちんと実行するのは難しいものです。その習慣を身につけるには、現実的な課題で練習する必要があります。職種別の実践学習は、そのためにあります。
出典と対象範囲
NCSC、ChatGPTと大規模言語モデル：どのようなリスクがあるのか？、14 March 2023 ↗
Microsoft Learn、Microsoft CopilotとCopilot Chatにおける企業データの保護、16 October 2026確認 ↗
ICO、AIとデータ保護に関するガイダンス（見直し中）、16 October 2026確認 ↗