作る前に決めておくべきこと
ガイドラインの目的は、社員を縛ることではなく、判断に迷わせないことです。良いガイドラインとは「これは入力していいのか？」と迷ったときに、5秒で答えが出るものを指します。
そしてもう一つ重要なのは、実態を知ってから作ることです。現場が既にどのAIをどう使っているかを知らないまま作られたルールは、現実と乖離し、守られないまま形骸化します。
盛り込むべき7項目
1. 適用範囲
誰に適用されるか（正社員・契約社員・業務委託・派遣）、どの端末に適用されるか（会社支給PC・私物端末・スマートフォン）を明記します。ここが曖昧だと、後の判断がすべて曖昧になります。
2. 利用してよいAIサービス（承認リスト）
会社として承認するサービスを列挙します。重要なのは、承認していないサービスを使いたい場合の申請方法もあわせて書くことです。申請ルートがなければ、社員は黙って使います。
3. 入力してはいけない情報
ここが最も重要で、最も具体的に書くべき項目です。抽象語を避け、実例で示します。
- 顧客・取引先の氏名、電話番号、メールアドレス、住所
- マイナンバー、クレジットカード番号、口座情報
- 未公開の財務数値、見積単価、原価情報
- 人事評価、健康情報、採用選考に関する情報
- 自社および取引先のソースコード、設計書、認証情報
4. 出力の取り扱い
AIの出力をそのまま使わないこと、事実確認を行うこと、著作権や商標に配慮することを定めます。特に画像生成AIの商用利用は、サービスの利用規約によって条件が異なるため注意が必要です。
5. 記録と監査
会社が何を記録するのかを明示します。ここを曖昧にすると社員の不信につながります。「どのAIサービスを・いつ使ったかは記録するが、入力した文章の内容は記録しない」といった線引きを明文化すると、納得を得やすくなります。
6. 違反時の取り扱い
処罰規定は必要ですが、それ以上に大切なのは「事故が起きたときの報告先と手順」です。報告した社員が責められる文化では、事故は隠され、対応が遅れます。
7. 改定の頻度と責任者
AIサービスは数か月で状況が変わります。四半期ごとの見直しと、その責任者を明記しておきます。
形骸化させないための3つのコツ
- 01A4で1〜2枚に収める。読まれないルールは存在しないのと同じ
- 02禁止だけでなく代替案を示す。「このAIは使わないで」ではなく「代わりに公式のこれを使って」と書く
- 03ルールの遵守を人間の記憶に頼らない。承認済みAIの一覧や、個人情報入力時の警告を仕組みとして端末に配布する
運用の実際：ルールと仕組みは対で機能する
ガイドラインを配布した翌週に、内容を正確に覚えている社員はほとんどいません。だからこそ、ルールの内容を仕組みに落とし込むことが重要です。「使ってよいAI」を会社が設定すれば、それ以外への送信時に自動で注意喚起できます。「入力してはいけない情報」を定義すれば、その入力を検知して確認を促せます。文書と仕組みが対になって、初めてルールは運用されます。
Layer Security は、社内で使われているAIを可視化し、個人情報の入力や未承認AIへの送信といった危険な使い方だけをその場で止めるサービスです。社員が入力した文章（プロンプト）は記録しません。メールアドレスだけで、2週間無料でお試しいただけます。
自社のAI利用実態を、2週間無料で可視化できます
メールアドレスだけで、その場で管理アカウントを発行します。費用ゼロ・クレジットカード不要。 社員が入力した文章（プロンプト）は記録しません。