AIの利用ルールづくりでつまずくのはどこか？ よくある5つの落とし穴と直し方

自社の「ガバナンスと法令」の準備度は？10問・約3分で確かめる（無料・登録不要）

生成AIを業務で使う会社が増え、社内の利用ルールを作る会社も増えています。一方で、「作ったけれど読まれていない」「結局、個人のアカウントで使われている」という悩みもよく聞きます。この記事では、ルールづくりでつまずきやすい点と、その直し方を整理します。

ルールづくりでつまずくのは、どこですか？

① 禁止が多すぎる

心配な点を挙げていくと、「使ってはいけない」項目ばかりが増えます。認められた使い方が見えないと、現場は使うのをやめるか、会社に知らせずに個人のアカウントで使うようになります。会社が把握していないAIの利用は「シャドーAI」と呼ばれ、情報の流出の心配がかえって大きくなります。

直し方：認めるサービスと、使ってよい業務の例を先に書きます。禁止は、理由とあわせて必要なものに絞ります。

② 抽象的すぎる

「機密情報を入力しない」「適切に使う」と書くだけでは、現場は判断できません。何が機密情報にあたるのかは、部署や業務によって違うためです。

直し方：「顧客の氏名と連絡先」「取引先から預かった図面」のように、自社の業務に即した例を挙げます。入力しない情報を一覧にしておくと、迷ったときに確かめやすくなります。

③ 作って終わりになる

AIのサービスは、機能や利用条件の変更が多い分野です。一度作ったルールを見直さないと、実態と合わない部分が少しずつ増えていきます。

直し方：見直しの時期と担当者を、ルールの中に書いておきます。

④ 現場の声が入っていない

管理部門だけで作ったルールは、実際の業務で使いにくいことがあります。使いにくいルールは、守られにくくなります。

直し方：案の段階で、AIを使う部署の人に読んでもらい、迷う場面や困る場面を聞きます。

⑤ 相談先がない

ルールに書かれていない使い方は、いずれ出てきます。そのときに相談する先がないと、各自の判断で使われてしまいます。

直し方：相談の窓口と、判断に時間がかかるときの扱いを決めておきます。

ルールを作る前に、何を確かめておけばよいですか？

ルールの中身は会社ごとに違いますが、土台になる公的な資料があります。

総務省と経済産業省の「AI事業者ガイドライン（第1.2版）」では、AIを使う事業者に求める事項として、提供者が想定する範囲で、提供者の示す注意に沿って使うこと、出力の精度やリスクを理解して使うこと、機密情報などを不適切に入力しないよう注意すること、サービスの規約を守ることなどが挙げられています。

個人情報保護委員会は、「生成AIサービスの利用に関する注意喚起等について」として、生成AIサービスの利用に関する注意喚起の資料を公表しています。社員が顧客や取引先の個人情報をプロンプトに入力してよいかどうかは、ルールの中でも迷いやすい点です。個人情報の扱いを決めるときに、この資料と、個人情報保護法にもとづく自社の利用目的の定め方をあわせて確かめておくと安心です。

著作権については、文化庁が「AIと著作権に関する考え方について」（2024年3月15日）と、「AIと著作権に関するチェックリスト＆ガイダンス」（2024年7月31日）を公開しています。生成したものを社外に出すときの確かめ方を決める参考になります。

あわせて、使うサービスの利用規約で、入力したデータの扱いや、利用できる範囲を確かめておきます。

ルールは、AIの利用を止めるためのものではなく、安心して使える範囲を示すためのものです。そう位置づけると、内容も伝え方も前向きなものになります。