「生成AIを業務で使ってよいか」という問い合わせが、現場から届くようになった。あるいは、明確なルールがないまま、すでに使っている部署がある——。この2〜3年で、多くの企業の情報システム担当者が同じ場面に立っています。判断を求められる一方で、社内に前例はなく、参考にできる社内規程もない。この記事では、ルール文書をつくる前段階として、何を整理しておくと決めやすくなるのかをまとめました。

現場は使いたい、情シスは守りたい

現場の部門から見れば、生成AIは目の前の作業を速くしてくれる道具です。議事録の整理、文章の下書き、資料の要約。試してみて効果を感じた人ほど、早く使えるようにしてほしいと考えます。

一方、情報システム部門から見える景色は違います。どの情報が外部に渡るのか。契約上の扱いはどうなるのか。問題が起きたとき、誰が説明することになるのか。慎重に見るのは当然の立場です。

どちらも、それぞれの役割から見て正しいことを言っています。にもかかわらず話が進まないのは、この2つの立場を調整する場が用意されていないまま、判断だけが情報システム部門に集まってくるからです。「情シスさんが決めてください」という一言で、全社の方針を一部門が背負う構図になってしまう。

「禁止」か「解禁」かの二択では、決まらない

判断を求められたとき、最初に浮かぶのは「当面は使用禁止にする」か「特に制限を設けずに使ってもらう」かの二択です。ただ、どちらを選んでも、別のかたちで問題が残ります。

全面的に禁止した場合、実務が回らない部分は個人のアカウントで補われることがあります。会社としては「使っていない」ことになっているものの、実際には把握できない利用が生まれている。これは、制限を設けずに解禁した状態よりも、状況が見えにくくなります。

逆に、制限を設けずに使ってもらう場合、何を入力してよいかの線引きが人によって変わります。同じ資料でも、ある人は問題ないと判断し、別の人は避ける。判断基準が共有されていないため、問題が起きてから初めて全体像が分かる、という順番になりがちです。

決めるべきなのは、使うか使わないかではありません。どの業務で、どこまでなら使ってよいかという範囲です。範囲を決める作業に移った時点で、議論は「賛成か反対か」から離れ、具体的な検討に入れます。

利用ルールを決める前に、整理する4つの論点

いきなり規程の文面を書き始めると、抽象的な表現が並び、現場が判断に使えないものになりがちです。先に、次の4つを言葉にしておきます。

1. 利用してよい業務の範囲。「業務利用を認める」とだけ書いても、現場は判断できません。文章の下書き、要約、翻訳、アイデア出しといった業務単位で、使ってよい／判断が必要／使わない、の3段階に分けます。3段階にするのは、迷ったものを「判断が必要」に置いておけるからです。二択にすると、判断がつかないものを無理にどちらかへ寄せることになります。

2. 入力してはいけない情報。ここが最も具体的に書くべき箇所です。「機密情報は入力しない」という書き方では、何が機密情報かの判断が各人に委ねられてしまいます。顧客の氏名や連絡先、個人情報、未公開の経営数値、取引先との契約内容、社外秘の技術情報——自社にとって該当するものを、具体名で列挙します。列挙されていれば、現場は照合するだけで判断できます。

3. アカウントと記録。法人として契約しているのか、個人が契約したものを業務で使っているのか。誰が利用しているのか。利用の記録は残るのか。ここは、すでに把握できていない利用がある前提で確認します。責任を問うためではなく、現状を把握しなければ範囲を決められないからです。

4. 周知と教育。決めたルールが現場に届いているか、そして判断に迷ったときの相談先があるか。ルールは配って終わりにすると、想定していなかった使い方が出てきたときに止まります。例外的なケースをどこに持ち込めばよいかまで決めておくと、運用が続きます。

この4点が整理できていれば、規程の文面そのものは、それほど時間をかけずに書けます。時間がかかるのは文章ではなく、その前の合意形成です。

情報システム部門だけでは、決められない

4つの論点を並べると、そのすべてが情報システム部門の判断で完結しないことが見えてきます。どこまでのリスクを許容するかは経営の判断であり、契約や個人情報の扱いは法務・管理部門の領域、どの業務で使いたいかは現場部門が持っている情報です。

専任の法務部門がない企業では、契約や個人情報の確認を総務・管理本部が担っていることも多く、その場合は関係者がさらに少人数になります。少人数だからこそ、誰が何を決めるのかを先に決めておかないと、判断がすべて一箇所に集まります。

この整理には、副次的な効果もあります。情報システム部門が単独で決めた場合、後から問題が起きたときの説明責任も単独で負うことになります。関係部門を巻き込んで決めておけば、それは会社としての判断になり、運用の見直しも会社として行えます。役割分担は、責任の分散のためではなく、決めたことを続けられる状態をつくるためのものです。

それでも、社内だけでは決めにくいとき

整理を進めていくと、判断がつきにくい部分が出てきます。自社の業種で、どこまでを慎重に見るべきか。関係部門をどの順番で巻き込むか。経営に諮るとき、何を材料として出すか。前例が少ないテーマであるほど、社内だけでは基準を持ちにくくなります。

ビズクリサポートでは、こうした段階から30分の無料相談をお受けしています。扱っているのはツールの導入支援ではなく、利用方針と運用ルールをどう整理し、社内でどう合意していくかという部分です。案が固まっていない段階でも構いません。むしろ、そこから一緒に確認するほうが進めやすいテーマです。事前準備は必須ではありません。

---

生成AIの利用ルールを、情報システム部門だけで抱えないために。
30分だけ、外部の視点を使ってみませんか。

オンライン／30分無料／無理な営業はいたしません