生成AIの社内ガイドラインの作り方

生成AIの社内ガイドラインは、禁止事項の一覧表ではありません。利用可否の判断基準・データ区分・承認フロー・シャドーAI対応・教育周知の5点を定め、現場が自分で判断できる状態を作ることが目的です。

ガイドラインに定めるべき5つの柱

生成AIガイドラインの役割は、社員一人ひとりが「この場面で使っていいか」を自分で判断できるようにすることです。柱が欠けると、現場は判断に迷って使わなくなるか、ルールを知らずに使ってしまうかのどちらかに振れます。最低限、次の5点を1枚のドキュメントに収めます。

この5点は独立した項目ではなく、互いに連動します。データ区分が曖昧だと承認フローも機能せず、教育がなければルール自体が届きません。

データ区分と利用可否の線引き

ガイドラインの核心は「何を入力してよいか」を具体的な区分で示すことです。抽象的に「機密情報は入力禁止」と書くだけでは、社員は何が機密情報に当たるか判断できません。実務では、情報を3段階に分けてツールごとの可否をマトリクスにするのが有効です。

• 公開情報：Webサイトの公開文章、一般的な業界知識 → 原則利用可
• 社内限定情報：未公開の企画書、内部資料 → 契約形態（学習利用の有無）を確認した上で利用可
• 機密・個人情報：顧客の個人情報、取引先の非公開契約条件 → 原則入力禁止

この区分をツール一覧と掛け合わせた早見表を作り、社内ポータルに常設しておくと、社員が都度情シスに問い合わせずに判断できます。判断基準を「禁止する」ではなく「どう扱えば使えるか」で書くことが、現場に浸透させる分かれ目です。

シャドーAIへの対応は禁止一辺倒にしない

未承認AIの利用をゼロにしようとすると、かえって統制が効かなくなります。全社にツールを配布しても利用率は3〜4割で頭打ちになりやすいという傾向があり、承認済みツールが使いにくければ、社員は個人アカウントで別のAIを使い始めます。これがシャドーAIです。

情シスが取るべき現実解は、禁止を強めることではなく、正規ルートを使いやすくすることです。

1. 申請フォームを1枚で完結させ、承認までの日数を明示する
2. 部門長承認で完結する「軽い申請」と、情シス審査が必要な「重い申請」を分ける
3. 検知した未承認利用は、罰則よりもまず正規ツールへの移行支援として扱う

シャドーAIの統制方法自体は、無許可AI利用の統制で詳しく扱っています。ガイドラインはその統制を支える土台の位置づけです。

運用と周知：作って終わらせない

ガイドラインは公開した瞬間がスタートであり、読まれなければ存在しないのと同じです。文書を配布するだけでなく、入社時研修や情報漏洩リスクの教育と組み合わせて周知します。個人情報や機密情報の取り扱いリスクを社員に体感させる研修設計は、情報漏洩リスクの社員教育を参照してください。

また、ガイドラインだけを整備しても定着はしません。利用ルールに加えて推進役・効果測定をセットで用意する必要があり、この考え方は研修後の定着施策でも共通しています。自社にどの打ち手から着手すべきか迷う場合は、目的を選んで数問答えるだけで判定できる診断も活用できます。

ガイドラインは一度作って終わりではなく、新しいツールの登場や利用実態の変化に合わせて改定を続けることで、統制と推進の両立が保てます。