社内で AI を使うときの決まりは、A4 1 枚から始められます。書く項目は 7 つです。使ってよい AI、入力してはいけない情報、出力を人が確かめること、他人の作品をまねさせないこと、責任者とうっかり入力したときの報告先、規約の確認と年 1 回の見直し、社員向けの研修です。
この 1 枚の見本は、2026 年 11 月に経営者の会の会合で私が話す予定の資料（題「AI による情報漏えいと詐欺から会社を守る」）に入れたものです。
A4 1 枚には、使ってよい AI から社員向けの研修まで 7 つの項目を書きます
資料の見本は、題を「社内 AI 利用ルール（例）」とし、会社名と日付と代表者の名前の下に、次の 7 つを並べています。
- 使ってよい AI を会社が指定する（業務用のアカウントで、入力が学習に使われない設定にする）
- 入力してはいけない情報を、具体的に書く
- AI の出力は、人が確かめてから使う
- 他人の作品をまねさせない（著作権）
- 責任者と、うっかり入力したときの報告先を決める
- 利用規約を確かめ、年 1 回はルールを見直す
- 社員向けの研修を続ける
7 つの項目は、個人情報保護委員会の注意喚起や IPA（情報処理推進機構）の中小企業向けのガイドラインなど、公的な資料を当社で 1 枚に整理したものです。
5 つ目の報告先は、うっかり入力してしまった社員が、隠さずに言える窓口のことです。窓口があれば、入れてしまった情報が何で、どの AI に入ったのかを早く確かめられます。
2 つ目の「入力してはいけない情報」は、見本では「具体的に書く」としています。「機密情報」とまとめて書くより、お客様の名簿、取引先から預かった図面、パスワードのように、社内で扱っているものの名前で書くほうが、社員が自分の仕事に当てはめやすくなります。
項目を書く前に、使う AI・入れる情報・確認する人・渡す権限の 4 つを社長が決めます
| 決めること | 中身 |
|---|---|
| 使う AI | 業務で使ってよい AI と、その契約 |
| 入れる情報 | AI に入れてよい情報と、入れない情報 |
| 確認する人 | AI の出力と、お金の指示を、誰が確かめるか |
| 渡す権限 | AI に任せる範囲と、人が承認する操作 |
4 つとも、契約のお金か、事故が起きたときの責任にかかわるため、担当の方に任せきりにはできません。
使う AI では、業務で使ってよい AI を会社が指定し、入力した内容が学習に使われない契約や設定にそろえます。私用のアカウントや無料版では、業務の情報を扱いません。
確認する人では、AI の出力は下書きとして扱い、数字・事実・社外に出す文書は、担当の方が確かめてから出します。お金の指示も、ここに入ります。顔と声が本人に見えても、送金・振込先の変更・契約は、メールやビデオ通話の指示だけでは実行しないと決めておきます。本人には、会社の代表番号など別の経路で確かめます。決裁は 2 人以上でします。会合の資料では、AI で作った私の動画が社員に振込を頼む場面を例にしています。
渡す権限は、メールやファイルを操作できる AI エージェントを使うときの決めごとです。リスクが低く、機密を扱わない業務から始めます。消す・送る・払うの操作は、人が承認してからにします。AI に渡したアカウントと権限は一覧にして、要らなくなったら外します。
AI に入力する情報は、「入れてよい」「法人向けの AI だけ」「入れない」の 3 つに分けます
| 段 | 入る情報の例 |
|---|---|
| 入れてよい | 公開済みの情報、一般的な文章の下書き、社外に出ても困らない資料 |
| 会社が契約した法人向けの AI だけ | 社内の資料、議事録、取引先の名前を伏せた見積もりや企画の下書き |
| 入れない | お客様の個人情報、取引先から預かった秘密、パスワードや口座の情報 |
資料にも「区分は例」と書いています。線の引き方は、会社が扱っている情報によって変わります。お客様の名簿を AI に読ませて仕事をする会社なら、その AI が入力した内容を学習に使わないかどうかを、先に確かめます。個人情報保護委員会は 2023 年 6 月の注意喚起で、本人の同意なく個人データを AI に入力し、それが応答の出力以外の目的で扱われると、個人情報保護法の規定に違反するおそれがあるとしています。そのため、AI サービスの事業者が、入力した個人データを機械学習に使わないことを十分に確かめるよう求めています。
当社では、送信・削除・本番への反映・金額にかかわる操作は、人が承認してから行う決まりを AI に守らせています
当社では、AI に守らせる決まりを、AI（Claude Code）が作業を始めるたびに読み込む設定のファイルに書いています。人の承認が要る操作として書いているのは、次の 4 つです。
- 外への送信（メール、チャット、ほかのサービスへの送信）
- ファイルやデータの削除
- 本番のサイトへの反映
- 金額や契約にかかわる内容
パスワードや、サービスにつなぐための鍵は、設定のファイルにも作業の記録にも書かず、別のファイルに分けて置く決まりです。社長が決める 4 つのことでいえば、4 つ目の「渡す権限」を、AI が読む形で書いたものです。
権限を道具の側で絞っている作業もあります。毎朝 7 時に届いたメールを点検する AI は、メールを読むことしかできず、送信も削除もできません（問い合わせの返信の記事に書いています）。このサイトの見込み客の一覧を読み取る AI からは、メールを送ることも、データを消すこともできない作りにしています。
お客様の資料をお預かりする AI伴走支援では、入力した内容を学習に使わない設定の法人向けプランだけを使うと、サービスのページでお約束しています。お客様が取引先から預かった図面や資料は、お客様が許可を得ている範囲でだけ扱い、判断に迷うものは AI に入力しません。
今週は社員に使い方を聞き、今月中に 1 枚を作り、3 か月以内に法人向けの契約にそろえます
| 時期 | やること |
|---|---|
| 今週 | 社員に「仕事でどの AI を、どう使っているか」を聞く。責めずに、使い方を集める |
| 今月 | A4 1 枚の決まりを作り、朝礼などで全員に伝える。送金の確認の決まりも見直す |
| 3 か月以内 | 業務で使う AI を法人向けの契約にそろえる。社員向けの研修を 1 回行う |
最初の週に禁止から入らないのは、責めると社員が見えないところで AI を使うようになるからです。会社が知らないまま社員が AI を使っている状態は、シャドー AI と呼ばれます。まず、どの AI がどう使われているかを知り、そのうえで 1 枚に書きます。
AI の基礎とセキュリティの基礎は、当社の AI基礎研修 の第 1 部でお話ししています（これまでの 3 時間の研修の流れは時間割の記事に）。7 つの項目の 3 つ目、「人が確かめる」の中身は、AI の間違いをお客様に届く前に止める手順で項目にしています。
ひな形には、日本ディープラーニング協会や IPA などが公開している資料を使えます
版と日付は、2026 年 9 月 26 日に各ページを開いて確かめたものです。
| 資料 | 版と日付 | 使いどころ |
|---|---|---|
| 日本ディープラーニング協会「生成AIの利用ガイドライン」 | 第 1.1 版、2023 年 10 月 | 組織の中で使う利用ガイドラインのひな形。条項だけの版と、簡単な解説付きの版がある |
| IPA「中小企業の情報セキュリティ対策ガイドライン」 | 第 4.0 版、2026 年 3 月 27 日 | コラム「生成 AI の利用とサイバーセキュリティ」に、利用規約とプライバシーポリシーを先に確かめる、機密性の高い情報や個人情報を入力しない、生成物は必ず人が確かめる、補助の道具として使うという 4 つの注意がある |
| 総務省・経済産業省「AI 事業者ガイドライン」 | 第 1.2 版、2026 年 3 月 31 日 | 第 5 部「AI 利用者に関する事項」に、個人情報や機密情報を不適切に入力しないこと、AI の提供者が決めた規約を守ることが書かれている |
| 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」 | 2023 年 6 月 2 日 | 個人情報を含む指示を AI に入力するときの注意点 |
東京都が公開した文章生成 AI のガイドラインは、以前のコラムで紹介しています。決まりの考え方は、用語集の AI 利用ガイドラインにもまとめました。
