「社内情報だから一律に禁止」「便利だから入力してよい」といった二択では、現場の判断に困る場面が残ります。入力してよいかは、情報の機密度だけでなく、使うツールやアカウント、利用目的、生成結果が外部に与える影響を合わせて考える必要があります。 以下の分類や手順は検討のための例です。組織の正式な規程や法的な判断に代わるものではありません。自社の既存規程、契約、業務の実情に合わせて定めてください。
入力情報を業務に合わせて分類する
まず、生成AIに入力する可能性がある情報を、業務上の影響と既存の情報管理ルールに照らして分けます。以下は分類を考えるための例であり、すべての組織にそのまま当てはまる区分ではありません。
公開情報
すでに一般公開されている案内や、公開を前提に作成した文章など。公開情報でも、利用目的や著作権などの確認が不要になるわけではありません。
社内一般情報
社内で共有する手順や一般的な業務説明など。社外サービスへ入力してよいかは、社内ルールと利用環境を確認します。
機密情報
未公表の計画、取引条件、顧客から預かった情報など。契約上の義務やアクセス範囲も確認し、承認なしに入力しない扱いを検討します。
個人に関する情報
氏名、連絡先、個人を識別できる記録など。必要性、利用目的、社内の取り扱いルールを確認し、安易に入力しないことが重要です。
たとえば「顧客情報」という名前だけでは、公開済みの問い合わせ窓口と、個人が特定できる相談記録を区別できません。実際の業務で登場する情報の例を挙げ、誰が見られるか、外部に渡すと何が起きるか、既存の規程ではどう扱うかを確認します。区分に迷う情報は、より慎重な側に置いて相談する、といった判断の手順も決めておきましょう。
ツールとアカウントの条件を確認する
同じ生成AIサービスでも、個人アカウントと組織で管理された環境では、管理機能や利用条件が異なることがあります。「有名なサービスだから安全」と決めつけず、実際に業務で使う製品、契約、アカウントの条件を確認します。
- 提供元の説明で、入力内容や生成結果がどのように扱われるかを確認する。学習への利用、保存、削除などの条件は、対象プランや設定を含めて確認する。
- 利用するアカウントが個人用か組織管理下か、管理者が利用者や設定を管理できるかを確かめる。
- 利用可能な機能、共有範囲、接続先、データの保管や管理に関する契約・社内条件を確認する。
- 説明が見つからない、意味が読み取れない、条件が変わった場合に、誰が提供元の情報を再確認するかを決める。
利用条件は変更されることがあるため、導入時に一度確認して終わりにせず、確認日と確認した環境を記録しておくと見直しやすくなります。判断がつくまでは機密情報を入力せず、公開情報だけを使う、内容を一般化して相談するなど、入力しない代替手段を用意します。
業務ごとに利用の境界を決める
ツール単位の許可だけでなく、業務の用途ごとに「利用できる」「事前に確認する」「利用しない」の境界を決めると、現場が判断しやすくなります。入力する情報、生成結果をどう使うか、誤りが起きた場合の影響を一緒に見ます。
利用できる範囲の例
公開情報を使った文章のたたき台や、機密性のない一般的なアイデア出しなど。最終的な内容の確認は別途必要です。
事前確認が必要な範囲の例
社内資料を使う分析、顧客向けの回答案、既存システムへ登録する情報の生成など。管理者や業務責任者が利用環境と確認方法を判断してから進めます。
利用しない範囲の例
許可されていない環境への機密情報・個人情報の入力や、人の確認なしに重大な判断を委ねる用途など。自社の規程や業務上のリスクを踏まえて線引きします。
これは分類の考え方を示す例であり、特定の情報や用途が常に許可・禁止されるという意味ではありません。最終的な区分は、自社の規程、契約、利用環境、業務の責任者に照らして決めてください。ルールには、迷ったときの相談先、回答までの扱い、生成AIを使わない場合の代替手段も記載します。
生成結果を確認してから使う
生成AIの回答は、自然で読みやすくても誤りや抜けを含むことがあります。社内資料の下書き、顧客への案内、帳票やシステムへの登録など、使い道に応じて確認項目と承認者を決めましょう。
公開・登録前の確認ポイント
- 事実、数値、日付、固有名詞が、信頼できる原資料と一致しているか。
- 引用や出典が実在し、内容を正しく表しているか。確認できない引用は使わない。
- 法務、会計、安全などの専門判断を、確認なしで回答として扱っていないか。
- 顧客へ渡す文書や業務システムへ登録する内容に、定めた承認者の確認があるか。
- 個人情報や社内情報が、意図せず出力や共有内容に含まれていないか。
確認の深さは用途に合わせます。文章の構成案なら担当者が内容を整える運用でも、顧客への回答や重要な登録情報なら、原資料との照合や別の承認者を必要とする場合があります。誰が何を確認したかが分かる手順にしておくと、問題が起きた際の見直しにもつながります。
現場で使えるルールに整える
ルールは「禁止事項」の一覧だけでなく、日常の判断を助ける短い手順として整えます。たとえば、利用できるアカウント、業務ごとの入力可否、出力確認の担当、迷ったときの相談先、問題を見つけたときの報告方法をまとめます。安全に使える具体例を添えると、現場が代替手段を考えやすくなります。
ツールの変更、利用条件の変更、新しい業務への適用、誤出力や情報の取り扱いに関する問題があったときは、ルールと教育内容を見直します。担当者だけが理解している状態にせず、利用者が確認できる場所に置き、改定日や相談経路も分かるようにしておきましょう。
まず決めておきたい項目
- 使ってよいツールとアカウント、確認する利用条件。
- 情報区分ごとの入力可否と、判断に迷ったときの相談先。
- 業務ごとの利用目的、許可・要確認・禁止の境界。
- 生成結果の確認者、確認項目、社外公開や登録の承認手順。
- ルールの見直し時期、問題の報告方法、利用しない場合の代替手段。
社内方針の具体化を検討する場合は、生成AIの活用方針・社内ルール設計をご覧ください。社員向けに使い方や確認手順を共有する際は、AI研修・定着支援や、研修を実務につなげるガイドも参考になります。
社内ルールの検討を、業務に合わせて進める
情報の区分、利用環境、確認手順をどこから整理するか、支援内容をご覧いただけます。