生成AIを使う前に、社内ルールを決める

利用を認めるサービス、入力できる情報、出力の確認方法、外部への送信や書き込みの承認を決めます。禁止事項だけを並べず、社員が実際の業務で「この場合はどうするか」を判断できる例を用意します。

生成AIの社内利用を始める企業や、担当者ごとに使い方が分かれている組織の管理者向けです。個人情報や顧客との契約で保護される情報は、それぞれの条件に沿って判断します。

入力する情報を分けて考える

まず、社員が使いたい情報を例に挙げます。公開済みの商品説明、社内の議事録、顧客の名簿では、取り扱いの条件が異なります。情報の名前だけでなく、どの項目が含まれるかも確認します。

個人情報保護委員会は、生成AIに個人情報を入力する際の利用目的や、提供事業者による機械学習への利用などについて注意を促しています。単に名前を消しただけで安全と判断せず、内容とサービスの条件を確認します。

会社が利用を認めるサービスとアカウントを一覧にします。同じブランドでも、個人向け・法人向けや契約条件が異なることがあるため、利用する契約と設定にひも付けて管理します。

誰が管理し、条件の変更を確認するかも決めます。許可されたサービスが分からず、担当者が個人のアカウントで代用する状態を避けるためです。

ルールは、現場で起こる質問に答える形にすると使いやすくなります。以下はルール作成時の整理例です。自社の情報と契約に合わせて内容を決めてください。

たとえば、提案文については「AIで下書きを作成し、担当者が事実と条件を確認したうえで、社内で定めた承認を経て送信する」という形にします。

入力が認められていても、出力を無確認で公開してよいとは限りません。数字や固有名詞、契約条件、参照元を確認し、誤りや社外秘情報が含まれていないかを見ます。

AIエージェントを接続する場合は、データの閲覧だけでなく、変更や送信ができるかも確認します。作成を任せる範囲と、公開・送信を確定してよい範囲を分けて決めます。

判断に迷ったときの相談先、誤って情報を入力したときの報告先を用意します。隠さず早く相談できるようにし、担当者が個人の判断で履歴を消すなどの対応をしないよう手順を共有します。

新しいサービスや接続先を追加するときは、ルールも見直します。更新日と担当者を付け、社員が同じ現行版を参照できる場所にまとめましょう。