このテンプレートはどのように使えばよいですか？
以下の条項をご自身の文書にコピーし、角括弧内の入力項目をすべて置き換えたうえで、それぞれの業務の責任者と各条項を検討してください。実際に関係するツール、情報、義務を確認せずに、社内方針として採用しないでください。業務データのアップロードを一律に許可する規定は、意図的に設けていません。
身近な業務を使って、従業員が完成した文書を実務に適用できるか確認します。例えば、公開情報を基にメールの下書きを作る際に使用が認められているアカウントや、顧客向けレポートを共有する前に確認すべき相手が分かるでしょうか。答えが曖昧であれば、従業員に内容の確認を求める前に方針を改善します。
このテンプレートは一般的な情報を提供するものであり、法的助言ではありません。データ保護、雇用、業種別の規則は国によって異なるため、採用する文面は適切な資格を持つ専門家の確認を受けてください。
目的、適用範囲、責任の所在に関する条項には何を記載しますか？
最初の三つの条項では、規定の目的、適用対象、判断に迷う場合の決定者を示します。短くまとめてください。これらの役割は全体像を示すことであり、法的効力を持たせることではありません。
第1条、目的："[会社名]は、従業員による下書き、要約、調査、分析を支援するためにAIツールを使用します。本方針では、承認済みのツール、入力できる情報、出力の確認方法、問い合わせ先を定めます。本方針は、当社の[情報セキュリティ／データ保護／守秘義務]に関する方針を補完するものであり、それらに代わるものではありません。"
第2条、適用範囲："本方針は、[会社名]の業務に従事するすべての従業員、業務委託先、[フリーランス／インターン]に適用され、使用する端末を問いません。[オフィスソフト、デザインツール、CRM]など、当社がすでに使用しているソフトウェアに組み込まれたAI機能も対象です。"
第3条、管理責任："[氏名、役職]が本方針と承認済みツール管理台帳の管理責任を負います。不在時は[代理担当者名]が対応します。質問は[メールアドレスまたは連絡用チャネル]にお寄せください。個人情報を扱う業務手順は、すべて[氏名、役職]の承認を必要とします。"
ツールと情報に関する条項には、どう記入すればよいですか？
リスクの大部分は第4条と第5条に関わるため、この2つは特に具体的に定める必要があります。第4条では使用するアカウントを特定し、第5条ではそれぞれに入力できる情報の区分を定めます。
第4条、承認済みツール："承認済みツール管理台帳に記載されたツールのみを、[会社名]のアカウントでログインして使用してください。台帳に記載のない個人アカウント、無料プラン、ブラウザー拡張機能は、[会社名]または顧客の業務に使用してはなりません。新しいツールを申請する場合は、ツール名、プラン、用途、取り扱う情報を記載して[管理責任者]にメールしてください。"
第5条、情報："承認済みツールでは、公開情報と[社内情報]を使用できます。[顧客の機密資料／価格情報／未公表の財務情報／ソースコード／認証情報]は、そのツールをその用途に使うことが管理台帳で承認されている場合を除き、入力してはなりません。従業員、採用候補者、顧客の個人情報は、具体的な業務手順について[氏名]の承認を得ない限り、入力しないでください。氏名を削除するだけで、安全に共有できる情報になるわけではありません。"
承認台帳には、承認ごとにサービスとプラン、許可する作業、使用できる情報、確認担当者、見直し日を記載する必要があります。自社データの学習利用、保存期間、管理者によるアクセス、削除については、提供元に個別に確認し、現在の規約の内容と確認日を記録してください。学習に使わないという説明は、保存しないという意味ではありません。
| 管理台帳の項目 | 架空の企業の記入例 |
|---|---|
| サービスとプラン | [アシスタント]の業務用ワークスペース、会社アカウントのみ |
| 許可されたタスク | 社内文書や公開調査資料の下書き・要約 |
| 入力してよい情報 | 公開情報と社内情報。顧客資料は別紙Aに記載された顧客のものに限ります |
| レビュー担当者 | 該当業務のチームリーダー |
| 責任者と見直し日 | [責任者名]、6か月ごと、または利用規約の変更時に見直し |
出力の確認と人事上の判断に関する条項には何を記載すべきですか？
第6条では、出力を使う人がその確認責任を負うと定めます。第7条では、人に関する判断は人が行うことを定めます。どちらも既存の承認手続きに沿うものであり、それに代わるものではありません。
第6条、出力の確認："AIを使って作成した成果物を使用または送信する場合、その責任は使用者にあります。使用前に、事実、数値、引用文、出典を、元の資料または明示された情報源と照合してください。裏付けを確認できない統計、結果、推薦の言葉、出典は削除してください。通常[法務／経理・財務／上司]の確認を受ける業務は、引き続きその確認を受けます。"
第7条、人に関する判断："採用、給与、人事評価、懲戒、与信、顧客からの苦情に関する判断の根拠として、AIツールを使用してはなりません。資料の下書きや整理には利用できますが、担当者を明確にしたうえで、その人が元の情報を確認し、判断しなければなりません。"
問い合わせへの返信など、大量の業務を処理するチームでは、抜き取り確認について一文を追加してください。AIを使って作成した返信を誰が、どの頻度で確認し、同じ傾向の誤りが見つかったらどうするのかを定めます。
職種とのつながりを確認してみませんか？
計画中のチーム向けトライアルを見る ↗開示・報告・見直しに関する条項は、どのように機能しますか？
最後の三つの条項では、AIを使ったことをいつ他者に伝えるか、問題が起きたらどうするか、規定をどう最新の状態に保つかを示します。
第8条、利用の明示："下書きの大部分をAIで作成した場合は、確認者にそのことを伝えてください。AI生成コンテンツに関する顧客との契約、利用先のプラットフォームや媒体の規則に従ってください。[任意：AIで生成した顧客向けの画像や文章には、[表示文言]と表示します。]"
第9条、報告："使用が制限されている情報を未承認のツールに入力した可能性がある場合、またはAIを使って作成した出力が問題を引き起こした、あるいは引き起こしかけた場合は、当日中に[管理責任者]へ報告し、使用したツール、アカウント、共有した内容を伝えてください。該当する場合は[既存のインシデント対応手順]に従ってください。速やかに報告したこと自体を不正行為として扱うことはありません。"
第10条、見直し："[管理責任者]は、少なくとも[six／twelve]か月ごとに、またツール、プラン、契約、業務手順が変更されるたびに、本方針と管理台帳を見直します。版番号[番号]、[日付]に[氏名]が承認。"
具体的な方針を決めて埋める必要がある項目はどれですか？
括弧内の項目はすべて未決定事項であり、そのまま使っても安全な初期設定ではありません。不明な項目は、もっともらしいルールで埋めず、要確認と明記してください。会社側で、方針の責任者、承認済みのサービスとプラン、許可する業務、利用を制限する情報、レビューの責任分担、報告経路、見直し日を指定する必要があります。
特定の作業でそのツールの使用を承認した理由を記録します。モデルの学習に関する設定、データの保持、アクセス制御、契約上の許可は、それぞれ別の確認事項です。同じツールでも、認められる用途と、追加の承認が必要な用途があります。その区別が管理台帳で分かるようにします。
具体例です。架空の従業員18人の記帳代行事務所が、最初に第5条を記入しようとしたところ、回答できないことが分かりました。顧客との業務委託契約書にAIに関する記載がなかったためです。経営者は推測で埋めず、確認が済むまで顧客資料の利用を禁止し、公開情報と社内情報の利用はすぐに承認したうえで、契約書の改訂について助言者と相談する予定を入れました。
レビュー担当者は何を確認すべきですか？
確認担当者は、その方針が既存の情報セキュリティ、プライバシー、雇用、情報公開の手順に整合しており、知らないうちにそれらを覆していないかを確認する必要があります。短いAI方針文書によって、機密データや重大な影響を伴う意思決定をすでに管理している規則を緩めてはいけません。適切な確認担当者は、組織、業務の流れ、適用される法域によって異なります。
NISTのAIリスク管理フレームワーク実践ガイドでは、統治に関する資料で、役割、責任、研修、第三者に伴うリスクを扱っています。このテンプレートは、それを小規模チーム向けに実務に即して調整したものです。ICOのAIとデータ保護に関するガイダンスは、個人データに関する疑問に対応する英国の公式資料です。ただし、現在そのページには、データ（利用およびアクセス）法の成立を受けて見直し中と記載されているため、最新の掲載内容を確認してください。このテンプレートは、法令遵守の証明書でも、貴社が管理策を導入済みであることを示す文書でもありません。
一貫性
既存のデータ管理、セキュリティ、人事に関する方針と矛盾する条項はありますか？
契約
顧客や仕入先との契約で、AIの利用が制限されたり、利用の開示が義務付けられたりしていますか？
個人データ
データ保護の責任者は第5条と第7条を確認していますか？
実行可能性
新入社員は、どのアカウントを使い、どの情報を入力せず、誰に確認すべきかを答えられますか？
チームに方針を周知するにはどうすればよいですか？
資料を読んでもらうだけでなく、実際の業務の例を使って説明してください。許可される例、制限される例、判断に迷う例をそれぞれ1つ取り上げます。参加者に違いを説明してもらい、判断に迷ったときの相談先を確認してもらってください。実際に使っているツールやアカウントについて質問する時間も設けてください。確認したという意思表示だけでは、取り扱い範囲を守って判断できることの証明にはなりません。
最初の実習後に利用方針を見直します。判断を明確にするのに役立った事例を追加し、業務の流れに合わなかった指示を修正します。従業員が最新のルールの所在を把握できるよう、版番号と管理責任者を明記します。
体系的に練習したい方に向けて、Tosheo.aiは、職種ごとの短いレッスンを提供するために構想を進めています。各レッスンの最後には実際のAIツールを使う実践課題があり、公開された採点基準に沿って評価します。社内方針の作成や承認を行うものではありません。
汎用テンプレートを出発点にするのが適切でないのは、どのような場合ですか？
販売する製品にAIを組み込んでいる場合、特別なカテゴリーの個人データを処理する場合、規制対象の専門業務を行う場合、または既存の契約にAIに関する条件がある場合、汎用テンプレートを出発点にするのは適切ではありません。資格を持つ専門家とともに、まずそれらの義務を確認し、この構成は検討事項のチェックリストとしてのみ使ってください。
責任者がいない場合にも適切ではありません。ひな形を一度埋めたまま見直さなければ、チームがもう使っていないツールについてのルール集になってしまいます。第4条を記入する前に、責任者を決めてください。
出典と対象範囲
NIST AI RMF 実践ガイド：ガバナンス、16 October 2026 確認 ↗