生成AIの利用方針は、業務で扱う情報と契約上の制約を確認して決めます。全社一律に禁止するより、入力を禁止する資料と利用を認める業務を具体的に分けることを勧めます。対象の決め方と、社員に伝える内容を整理します。
01禁止で守る対象
情報漏洩への懸念があるなら、まず対象となる情報を挙げます。顧客名簿、取引先から預かった資料、未公開の財務情報など、自社で何を外部に送信してはいけないかを確認します。
たとえば、顧客名簿の入力と、公開済みのプレスリリースの要約では、扱う情報が異なります。情報の種類を分けて考えると、禁止が必要な範囲と、条件付きで利用できる範囲を検討しやすくなります。
スマートキャンプ株式会社が2025年12月に業務で生成AIを使っている1,365人へ行った調査では、会社としては導入していないが個人で利用しているという回答が14.4%、社内にルールがなく個人の判断で使っているという回答が31.9%でした。自社でも同じ状況がないか、利用方針を決める前に実態を確認します。
02全社一律の禁止が続かない理由
禁止を伝えるときは、社員がその業務をどう進めるかも考えます。議事録の清書や提案書の下書きにAIを使っていた場合、代わりの手段や作業時間の調整が必要です。会社のPCで遮断しても、私物端末で利用を続ける可能性は残ります。
利用を制限するときは、社員が相談や報告をためらわないようにすることも必要です。
処分への不安から、誤って顧客情報を入力した社員が報告を遅らせるおそれがあります。禁止する理由と対象に加え、判断に迷った場合や誤入力が起きた場合の連絡先を伝えておきます。
全面禁止を続けている間は、自社での試行結果も集めにくくなります。後で利用を検討するときに備え、機密情報を扱わない業務で試せる範囲がないか確認しておく方法もあります。
ポイント禁止する業務と資料を具体的に示します。社員が手元の資料に当てはめて判断できるか、説明を確認してください。
03業務単位の線引き
資料ごとに、AIへの入力を禁止する必要があるかを確認します。契約上の制約がある資料と、内容の確認が必要な下書きでは、判断の手順が異なります。
| 入力を止めたい資料と業務 | 判断の方向 | 確認すること |
|---|---|---|
| 契約でAIサービスへの入力が禁じられた案件の資料 | 契約に従って入力を禁止 | 対象となる資料とサービスの範囲を確認する |
| 顧客名簿や従業員名簿のファイルそのもの | 承認のない入力を禁止 | 名簿のファイルや転記も対象に含める |
| 顧客名の入った議事録、履歴書を含む採用資料 | 情報の内容と利用条件を個別に確認 | 名前を伏せても個人を特定できる情報が残らないか確認する |
| 社外に出す前の提案書やメールの下書き | 入力内容に応じて判断 | 顧客情報や未公開情報が含まれていないか確認する |
| 公開されている情報の調べものと要約 | 利用を認める候補 | 利用規約と出力の確認方法を決める |
契約で入力が禁じられている資料は、その対象を社内でも明記します。
提案書やメールの下書きをAIに入力してよいかは、その文章に含まれる情報を確認して判断します。まだ社外に送っていない下書きでも、顧客名や商談の内容、未公開の価格などが書かれている場合があります。担当者は、入力する予定の文章にこうした情報が含まれていないかを確認し、含まれている場合は、その情報を利用予定のAIサービスで扱ってよいか、社内ルールや契約条件に照らして確かめます。
無断利用が発生する経路はシャドーAIの基本｜禁止した社内でも起きる？発生する経路と利用実態の調べ方で扱っています。
04範囲を限った禁止の書き方
対象を絞った禁止を出すなら、次の4点を書いてください。社員が対象を判断でき、担当者が後から見直せるようにします。
- 禁止する業務と資料の範囲
どの業務で、どの資料をAIに入力してはいけないのかを具体的に書きます。生成AIの利用を禁止する、という一文だけでは、社員が自分の業務に当てはまるか判断できません。 - 禁止の期間と根拠
暫定措置なら、いつまで禁止するのかを明記します。継続的に禁止する場合は、その根拠と見直し時期を記載します。 - 禁止後の業務の進め方
AIを使わずに、その業務をどう進めるのかを示します。従来の手順を続けてよい場合は、その旨を伝えます。 - 見直しの担当者と判断材料
誰が、いつ、何を確認して禁止の継続や解除を判断するのかを決めます。担当者と見直す日付に加え、契約条件の変更や代替サービスの利用可否など、判断に必要な確認事項も書いておきます。
期限や見直しの担当者を記載しておくと、異動後も経緯を確認できます。契約やサービスの条件が変わったときに、禁止の対象を見直すためにも必要です。
05承認へ進む順番
禁止の範囲を決めたら、残りの業務については使える形を作ります。まず承認するサービスを1つ決め、次に入力してよい情報の範囲を決め、最後に試す部署を1つ選びます。小さな範囲で試してから、対象を広げます。
試行は部署名だけで決めず、扱う情報の機密性が低い業務から選びます。たとえば、公開済みの広報文の要約などです。1か月程度を目安に、使った業務と困った点を確認し、対象を広げるか判断します。ツールの選び方はシャドーAIの対策｜禁止だけで終わらせない、承認ツールの選び方と申請窓口の作り方にまとめました。
自社の規程にするには、対象資料、期限、代わりの手段を具体的に決める必要があります。ひな形で項目を確認した後も、現場の業務と契約条件に合わせた調整は残ります。GENSHI AIのAIガイドライン作成代行は、業務ごとの利用条件を一緒に整理し、経営向けの要約と現場向けの早見表まで含めた形で仕上げています。
06まとめ
禁止の対象は、業務で扱う資料と契約上の制約から決めます。社員には、対象、期間、代わりの手段、見直し時期を伝えます。利用を認める業務についても、サービスと入力条件を決め、範囲を絞って試行します。
07よくある質問
Q. 経営層が全面禁止を主張していて、話が進みません
経営層が懸念している情報と、禁止が必要と考える期間を確認します。そのうえで、対象資料を明記した案と、機密情報を扱わない業務での試行案を提示します。範囲の決め方はAIガイドライン作成代行でもご相談を受けています。
Q. 同業他社も禁止していると言われます
どの企業が、何を対象に禁止しているのかを確認します。商工中金が2025年12月から2026年1月にかけて取引先の中小企業3,892社から回答を得た調査では、会社での使用を禁止・制限していると答えた企業は3.9%でした。いちばん多かったのは、会社としては導入しておらず、使うかどうかは個人の判断に任せているという回答で、64.9%です。ただし、この調査から特定の同業他社の方針は判断できません。全面禁止なのか、特定の業務だけを制限しているのかは、個別に確認が必要です。
他社の方針を参考にするときも、自社の情報と契約上の制約に当てはめて検討します。社内で誰が何に使っているかを調べておくと、経営層にも具体的な判断材料を示せます。
Q. 禁止していれば、事故が起きても会社の責任は軽くなりますか
法的な評価は個別の事情によるため、この記事では判断できません。顧問弁護士に確認してください。実務の観点で言えば、禁止しているという説明と、実際には把握できていないという状態が並ぶと、管理の実効性を問われる場面が出てきます。禁止を掲げるなら、守られているかを確認する手立てまで含めて決めてください。