生成AIツールに専用の利用ルールが必要なのはなぜですか？
生成ツールは、既存の情報を取得したり分類したりするだけでなく、新しい文章、画像、音声、コードを作り出します。そのため、主なリスクは入力する内容から出力される内容へと移ります。検索ツールは確認できるページを返しますが、生成ツールは、架空の事実、他者の表現の流用、偏った見方を含む可能性がある下書きを、自信ありげに返します。方針では、入力と出力の両方を扱う必要があります。
NISTの生成AIプロファイルは、生成AIに固有の、または生成AIによって悪化する12のリスクを挙げています。一般的な小規模企業の方針では、そのうち5つが中心になります。ハルシネーション（自信ありげに断定される誤った内容）、データのプライバシー（漏えいや無断開示）、知的財産（保護された内容の複製や営業秘密の露出）、情報の完全性（事実と意見を区別せず、不確実性を示さない内容）、そしてNISTが「人間とAIの構成」と呼ぶもので、自動化バイアスや過度の依存を含みます。
これらのルールは、適正利用ルールと同じ文書にまとめられます。多くの小規模企業がそうしています。このページでは、コンテンツに特有の条項を扱います。一般的な情報であり、法的助言ではありません。
| NISTプロファイルにおけるリスク | 職場での具体例 | その問題に適用される規程の条項 |
|---|---|---|
| 捏造 | 捏造された統計、または引用内容が書かれていないページへの参照 | 使用前に、事実に関するすべての主張を、実際に開いた情報源と照合 |
| データのプライバシー | 差し込みメールを作成するために貼り付けた顧客の連絡先リスト | 承認済みアカウントに対応する情報区分 |
| 知的財産 | 作風から作者が分かるような画像、またはライセンスが設定されたプロジェクトからコピーしたコード | 文体を指定するプロンプト、再利用、ライセンス確認に関するルール |
| 情報の完全性 | 推測を事実として述べる要約 | 確認後の草稿でも不確実な点を明示することを必須にします |
| 過度な依存 | データを読まずに、生成された分析をそのまま受け入れること | 人が行うべき判断を明確にする |
従業員向けのChatGPT利用方針には、何を明記すべきですか？
従業員向けのChatGPT利用規程には、使うべきアカウント、プロンプトに絶対に入力してはいけない情報、回答の確認方法、相談先を記載し、Claude、Gemini、Copilotなどのアシスタントにも同じルールを適用する必要があります。分かりやすくするために見出しに一つの製品名を使うのは構いませんが、別のツールをチームに追加しても書き直す必要がないルールにしてください。
最も重要なのは、個人用アカウントと会社用アカウントの違いです。同じアシスタントでも、個人向けと法人向けのプランでは、学習への利用、保存期間、管理者による制御の条件が異なる場合があります。たとえばMicrosoftのドキュメントでは、組織で使うCopilot Chatには同社のデータ保護補足契約が適用され、プロンプトと回答は基盤モデルの学習には使われないとしています。また、利用できる制御機能はプランによって異なります。推測で済ませず、承認する各ツールについて同様の記述を確認し、確認日とともに記録してください。
条項例: "[アシスタント]は、[会社名]の業務用アカウントからのみ利用してください。短い質問であっても、会社の業務に個人アカウントを使わないでください。個人アカウントは、当社と提供元との契約の対象外だからです。"
従業員が生成AIへのプロンプトに絶対に入力してはいけない情報は何ですか？
従業員は、パスワード、キー、その他の秘密情報をプロンプトに絶対に入力してはいけません。機密情報、顧客情報、個人情報を入力できるのは、承認された業務手順で許可されている場合だけです。英国国家サイバーセキュリティセンターの指針では、入力した質問はモデルの提供組織に見えると説明し、公開された場合に問題となる質問は送信しないよう推奨しています。
アップロードしたファイルもプロンプトに含まれます。グラフの作成を依頼するために添付した表計算ファイルには、依頼に不要な列も含め、すべての列が含まれます。利用方針に「アップロード前に不要な列を削除してください」という条項があれば、従いやすく、よくある事故を防げます。
条項例："貼り付けやアップロードの前に、その業務に不要な情報をすべて取り除いてください。秘密情報は決して含めないでください。登録簿でそのツールと業務が承認されていない限り、顧客情報や個人情報を含めないでください。判断に迷ったら、まず[責任者]に確認してください。"
生成されたコンテンツは使用前にどのように確認すべきですか？
生成されたコンテンツは、用途に応じて確認する必要があります。個人用のアイデア出しならざっと目を通し、顧客向けの成果物ならすべての主張の根拠をたどり、法律、財務、安全に関わるものなら適切な資格や専門知識を持つ人が確認します。方針には、出力の種類ごとに確認担当者を明記する必要があります。通常は、その内容を送信または公開する人です。
架空の従業員15人の人材紹介会社、フェンウィック・タレントでの具体例です。担当者が次のように指示します。「リーズにおける管理会計担当者の採用について、財務責任者向けに150語の市場動向レポートを書いてください。」下書きには、今年は需要が急増し、給与が特定の割合で上昇したと書かれ、具体的な名称の給与調査が引用されています。しかし、担当者はその調査も数値も見つけられません。
不十分な出力をそのまま残した例：「[調査]によると、今年はリーズで管理会計担当者の需要が急増し、給与は[数値]上昇しました。」レビュー後：「今四半期に採用を支援した職種では、財務責任者から、退職予告期間とハイブリッド勤務の条件についての質問が最も多く寄せられました。内定提示の段階で、現職の会社から引き留め条件が提示されるケースも増えています。」レビュー後の文章は、フェンウィックが自ら観察した事実だけを使っています。修正の根拠となった方針の条項：「元の資料を開いて確認できない統計、調査、結果は削除してください。」
職種とのつながりを確認してみませんか？
計画中のチーム向けトライアルを見る ↗従業員は、どのような場合にコンテンツがAIで生成されたことを明示すべきですか？
少なくとも、下書きの大部分がAIで生成された場合、従業員は確認担当者にその旨を伝え、開示を求める顧客契約、プラットフォームの規則、公開時の規則に従う必要があります。それ以外の開示については、読み手や状況に応じて会社が判断します。
公開されている事例はさまざまです。ボストン市が2023年5月に公表した職員向けの暫定指針では、AIの使用と使用モデルの開示を求め、「この説明文はChatGPT 3.5で生成し、編集したのは」に担当職員の名前を続けるようなクレジット表記を提案しています。これは公的機関に合った方法です。一方、小規模な制作会社では、通常の文章は確認担当者への社内開示で十分とし、生成画像や合成音声には外部向けの表示を付けるという判断もできます。
条項例: "下書きの相当部分をAIが作成した場合は、確認担当者に伝えてください。顧客向けの画像、音声、動画がAIで生成されたものである場合は、[表記文言]と表示してください。AIの利用について顧客から指示がある場合は、その指示に従ってください。顧客の指示は本条項に優先します。"
生成AIの利用方針では著作権と画像をどのように扱うべきですか？
ポリシーでは、保護対象の著作物を従業員が意図的に複製することを防ぎ、生成されたコードや素材を再利用する前のライセンス確認を義務付け、同意を得ずに実在の人物の画像や音声を生成することを禁止する必要があります。NISTのプロファイルは、著作権、商標権、ライセンスで保護されたコンテンツの複製や、営業秘密の漏えいが容易になることを、生成AIのリスクとして挙げています。
AI生成物に関する著作権法は国によって異なり、今も整備が進んでいるため、会社がすべての生成物を所有できる、または著作権登録できると方針で約束してはいけません。不確実な場合の対応を明記する必要があります。たとえば、生成画像は社内の試作には自由に使える一方、顧客のキャンペーンで使う場合は、まずツールのライセンス条件と顧客の指示を確認する、といった対応です。
条項例: "実在する存命のアーティストやブランドの名前を挙げて、その作風のコンテンツを生成するよう指示したり、著作権で保護された文章を再現するようツールに求めたりしないでください。実在する人物の画像、音声、動画を、本人の書面による同意なく作成しないでください。生成した素材を顧客の仕事に使う前に、ツールの商用利用条件を確認してください。" 適用される法域での扱いについては、専門家の助言を受けてください。
人が行うべき判断は何ですか？
採用、給与、人事評価、与信、苦情対応、健康や安全に関わる事項など、本人に重大な影響を及ぼす判断は、根拠となる情報を確認する、明確に指定された担当者が行うべきです。生成AIツールは、こうした判断に向けた文案作成、情報整理、要約を支援できますが、判断そのものを行うべきではありません。
NIST のプロファイルでは、自動化バイアスと過度な依存を、人と AI の構成に関するリスクの一部として説明しています。方針では、簡単な確認基準でこれに対処します。意思決定をする人は、ツールが何を述べたかに頼らず、その判断を説明できなければなりません。個人データを扱う場合は、ICO の AI とデータ保護に関するガイダンスが英国の公式な参照資料です。現在、そのページには、データ（利用およびアクセス）法の成立を受けて見直し中と記載されています。
生成AI利用方針では対処できないのは、どのような場合ですか？
製品に生成機能を組み込む場合、顧客データでモデルを追加学習させる場合、自社に代わって一般の人と対話するチャットボットを導入する場合は、従業員向けの生成AI利用方針だけでは不十分です。こうした用途には、従業員向けのルールを大きく超えた、製品、セキュリティ、法務の観点からの確認が必要です。
また、実践練習の代わりにもなりません。下書きに架空の数値が含まれている可能性を知っていることと、締め切りに追われる中でそれを見抜くことは別です。Tosheo.aiは、その実践の段階を支えるために開発中です。計画中の職種別学習コースでは、各レッスンの最後に実際のAIツールを使う実践課題を設け、明示された採点基準に沿って評価します。貴社の利用方針を作成したり、その遵守を徹底したりするものではありません。
出典と対象範囲
NIST、生成 AI プロファイル（NIST AI 600-1）、July 2024 ↗
NCSC、ChatGPTと大規模言語モデル：どのようなリスクがあるのか？、14 March 2023 ↗
Microsoft Learn、Microsoft CopilotとCopilot Chatにおける企業データの保護、16 October 2026確認 ↗