社員がChatGPTを使い始めたら？小さな会社のAI利用ルール

社員が業務の効率化を求めて、個人のスマートフォンやパソコンからChatGPTなどの生成AIを使い始めることは珍しくありません。しかし、ルールがないまま利用が進むと、会社の機密情報や顧客の個人情報が意図せず外部へ流出してしまう恐れがあります。まずは、禁止するのではなく「どのサービスを、どのような情報の範囲で使ってよいか」を、社員が迷わない形で示すことが重要です。最初の一歩として、現在社員がどのような目的でAIを利用しているかを、責めない姿勢で聞き取りすることから始めましょう。

なぜ「禁止」だけではAIの管理がうまくいかないのか

現場の「隠れた利用」がリスクを大きくする理由

「AIの使用は一切禁止」という強いルールを作ると、社員は業務を効率化したいという思いから、会社に内緒で私的なアカウントを使ってAIを利用し始めることがあります。これを「シャドーAI」と呼びます。問題は、会社が利用実態を把握できないまま、機密情報が個人のアカウントを通じて外部へ送られてしまうことです。会社が把握していない利用こそが、最も管理が難しく、情報漏洩のリスクを高めます。まずは、禁止して隠させるのではなく、正しく使ってもらうための道筋を示すことが、結果として会社を守ることにつながります。

無料・有料ではなく契約とアカウントの管理方法を確認する

AIサービスのデータの扱いは、無料か有料か、個人用か法人用かという名前だけでは判断できません。同じサービスでも契約と設定により、入力の学習利用、保存期間、管理者の権限、削除の手順が異なります。会社で使う前に、利用規約やデータの取り扱い説明を確認し、どの契約と設定を許可するかを決めましょう。個人のメールで登録したアカウントでは、退職後に会社が利用状況や情報を管理できないことも問題です。社員には「会社が確認したアカウントで、許可された情報だけを扱う」と伝えます。入力がそのまま他人へ公開されると決めつけるのではなく、確認できていない扱いを残さないことが目的です。

「学習に使われない設定」だけで安心できない理由

AIのサービス設定で「入力したデータを学習に使わない」という項目にチェックを入れていれば、情報の流出は防げると思われがちです。しかし、これだけで安心するのは早計です。データが学習に使われなくても、その情報はサービス提供側のサーバーに「保管」されており、管理体制やアクセス権限によっては、第三者に閲覧されるリスクがゼロではありません。また、サービスの利用規約やデータの保管場所についても、会社として許容できる範囲かどうかを確認しておく必要があります。設定一つですべてが解決するわけではない、という視点を持つことが大切です。

社員が迷わないための「ルールの一枚紙」に書くべき内容

会社として許可するサービスとログイン方法の指定

ルールには、会社が確認したサービス名、利用できる契約、ログイン先とアカウントの管理方法を記載します。単にサービス名を許可するだけでは、社員が別の契約や非公式なサイトを選ぶかもしれません。登録や利用開始の申請先、管理者、利用を終えるときの手順も一緒に示しましょう。例えば「この利用案内のリンクから会社管理のアカウントへ入り、公開済み資料の要約に使う」といった操作例なら、社員が開始地点を迷いにくくなります。許可リストには確認日と見直す担当も残してください。新しい機能や別の連携先を使う場合は、当初の許可範囲に含まれるかを確認してから試す扱いにします。

入力してはいけない情報の具体的な分類と判断基準

「機密情報を入力しない」という指示だけでは、社員は何が機密にあたるのか判断に迷います。そこで、具体的な例を挙げて分類することが重要です。例えば、顧客の名前や住所などの「個人情報」、まだ発表していない新商品の企画書などの「未公開情報」、そしてシステムのパスワードや顧客との契約条件といった「社外秘の情報」です。社員が「これは入力しても大丈夫かな？」と迷ったときに、手元のルールと照らし合わせて「これはダメな例だ」とすぐに気づけるような、具体例のリストを用意しておきましょう。

出力の確認項目と承認する役割を決める

AIは自然な文章で事実と違う内容を出すことがあります。社外へ出すメールや資料では、作成担当が何を確認し、誰が承認するかをルールに書きます。例えば金額や納期は元資料と照らし、資料にない約束は加えない、といった具体的な項目です。「最終責任は使った社員一人が負う」と一律に書くのではなく、会社として判断権限と確認の支援を整えましょう。人手が少なく兼任する場合でも、未確認の下書きと承認済みの版を分け、判断できない内容を責任者へ戻せるようにします。法律上や契約上の責任の範囲は個別の事情によるため、社内手順とは分けて必要に応じ専門家へ確認します。

現場の反発を招かずにルールを作るための進め方

責めない姿勢で現在の利用状況をヒアリングする方法

ルールを作る前に、まずは社員が今どのようにAIを使っているかを把握しましょう。このとき、「ルール違反をしていないか」と問い詰めるのではなく、「業務を楽にするために、どんな使い方をしているか教えてほしい」という、前向きな聞き取りを行うことがポイントです。例えば、「メールの返信案を作っている」「長い議事録を要約している」といった具体的な活用法を聞き出すことで、現場のニーズに合った、実用的なルールを作ることができます。社員の工夫を認めつつ、その上で安全な方法を提案する姿勢が、ルールの定着を助けます。

「これならOK」と思える具体的な操作例の作り方

禁止する情報と合わせて、許可した範囲で試せる例を用意します。例えば公開済みの会社案内だけを使い、文章を短くする作業を見せれば、非公開の顧客情報を使わずに操作を学べます。実際の案件を加工する場合は、名前をA社に変えるだけでは不十分です。住所、金額、日時、案件の特徴を組み合わせると相手が分かることもあるため、必要のない情報を除き、会社の確認を受けます。仮のデータで操作を練習する方法も有効です。伏せ字にすれば何でも入力できるという説明は避け、許可された情報か迷うときは使う前に相談する手順にしてください。操作例には完成文を人が確かめる工程も含めます。

判断に迷ったときにすぐ聞ける相談窓口の設置

ルールを作っても、すべての場面を網羅することは不可能です。社員が「この情報は伏せ字にすれば大丈夫か？」「この資料を要約させていいか？」と迷ったとき、一人で判断して無理に使い進めてしまうのが一番のリスクです。そのため、ルールには必ず「迷ったらここに聞く」という相談窓口を記載してください。相談先は、ITに詳しい担当者や、管理職など、具体的で連絡しやすい相手を指定します。「迷ったら相談しても怒られない」という安心感を与えることが、情報漏洩を未然に防ぐための防波堤となります。

ルールを作った後に経営者が確認すべきこと

万が一、誤入力や情報漏洩が疑われるときの初動対応

社員から誤入力の報告があったら、最初に何を、いつ、どのサービスとアカウントへ送ったかを記録します。同じ情報の追加送信や共有を止め、会社の責任者へ連絡してください。学習に使わない設定であっても、保存や外部連携の状況を調べる必要があります。画面に残る履歴、契約、設定、共有先を確認し、必要に応じて提供事業者へ削除方法や調査を問い合わせます。証拠を残さず自己判断で履歴だけを消すことは避けましょう。関係者への連絡や制度上の対応が必要かは、情報の種類や影響を踏まえ管理担当や専門家と判断します。初動の連絡先をルールに記しておくことが、報告を遅らせない助けになります。

技術の変化に合わせてルールを更新するタイミング

AIの世界は、数ヶ月単位で新しい技術やサービスが登場します。一度作ったルールを「完成したもの」と考えて放置してしまうと、すぐに実態と合わなくなり、形骸化してしまいます。例えば、新しい便利なツールが登場したり、AIの学習に関する仕組みが変わったりした場合には、ルールも見直す必要があります。半年に一度や、新しいAIツールを会社として導入するタイミングなど、ルールを見直す時期をあらかじめ決めておきましょう。ルールは、会社の成長と技術の変化に合わせて、柔軟に更新していくものです。

専門家への相談が必要になる判断の目安

自社で作成した「一枚のルール」は、あくまで日常的な操作をガイドするためのものです。もし、自社が医療情報や金融情報など、極めて機密性の高いデータを扱う業務を行っている場合は、一枚のルールだけでは不十分なことがあります。そのような場合は、情報セキュリティの専門家や、法務の専門家に相談し、より強固な管理体制や規程を検討してください。自社の業務内容と、扱う情報の重要度を照らし合わせ、「今のルールで十分か、それとも専門的な対策が必要か」を判断する基準を持っておくことが、経営者の重要な役割です。

自社の現在の状況を整理し、まずは社員へのヒアリングから始めてみてはいかがでしょうか。もし、どのようなルールにすべきか判断に迷う場合は、専門家へ相談することも一つの選択肢です。