「社内で生成AIを使わせたいのですが、まずルールを作らないと」というご相談をいただきます。
そして規程の雛形を集めはじめて、気づくと何ヶ月もたっている。その間、現場は個人のアカウントで使っているか、あるいはまったく使っていないか、どちらかです。
分厚い規程は要りません。 最初に決めておくべきことは、三つだけです。渡してよいデータの線。外に出す前に誰が見るか。迷ったときに誰へ言うか。この三つが決まっていれば、現場は動けます。
逆に、禁止事項をどれだけ精緻に並べても、それは守られません。理由から書きます。
なお本記事は、2026年8月時点で当社が自社運用と支援の中で見てきた範囲の整理です。個別の法令解釈には触れません。そこは顧問弁護士や情報システム部門にご確認ください。当社はその判定をする立場にありません。
現場が実際に手を止めるのは、一覧に載っていない場面だからです。
たとえば「顧客名は入力しない」と書いてあったとします。ところが目の前にあるのは、本文に顧客名も担当者名も混ざったままの問い合わせメールで、それを要約したい。禁止事項には、この場合どうするかが書かれていません。
そうすると、起きることは二つのどちらかです。判断できずに手が止まるか、誰にも聞かずに使ってしまうか。前者では導入が進まず、後者ではルールがあるのに事故が起きます。どちらも、ルールが甘かったから起きたわけではありません。
つまり、守られるルールとそうでないルールの差は、量ではなく形にあります。禁止の一覧ではなく、その場で自分で当てはめられる「基準」の形で書く。 ここを変えるだけで、現場の動き方が変わります。
当社が社内でも支援先でも使っているのは、ひとつの問いです。「間違えたまま外に出たとき、取り返しがつくか」。 取り返しがつくなら任せる。つかないなら、人が見てから出す。この問いは一覧と違って、書かれていない場面にもそのまま当てはめられます。
規程の体裁は後からで構いません。最初の一枚に書くべきことは、次の三つです。
社外のAIサービスに入力してよい情報と、そうでない情報の線を引きます。
ここは会社ごとに違います。契約で守秘の範囲が定められている場合もあれば、個人情報や、まだ公になっていない自社の計画が対象になる場合もあります。大事なのは、線の場所そのものより「迷ったら入れない、そして聞く」を明記しておくことです。線は必ず、想定していなかった形の情報にぶつかります。
あわせて、業務で使うツールを会社として指定しておきます。個人のアカウントで各自が使っている状態は、ルールが無いのと同じです。どこに何を渡したのかを、後から誰も追えません。
AIが作ったものが、そのまま社外に出る経路があるかどうかを確かめます。
顧客へのメール、提案書、Webの掲載文、SNSの投稿。ここに人の確認が入っていなければ、それは「AIが会社の名前で発信している」状態です。担当者は自分の作業の速さを見ていて、この経路に気づいていないことがよくあります。
決めるのは、どこに確認を置くかと、誰が見るかの二点だけです。全部を全員が見る、という決め方は続きません。外に出る直前の一点に絞るほうが、結果として守られます。
三つ目がいちばん抜けます。判断に迷ったとき、あるいは入れてはいけない情報を入れてしまったときの、連絡先です。
窓口が無いと、事故は報告されません。報告されなければ、線を引き直す機会も来ません。名前と連絡先を書いておく。 そして、報告した人を責めない運用にする。ここが機能している会社は、ルールが実態に合わせて更新されていきます。
ここは正直に書きます。どの情報をどこまで渡してよいかについて、当社が全業種の正解を持っているわけではありません。
医療、金融、士業、自治体の受託。それぞれに個別の規制や、契約で定められた制約があります。一般論としての整理はできても、御社の契約書や業法に照らした判定は、専門家の領域です。
ですから、この記事で書いているのは「決めるべき項目」であって、「決めるべき内容」ではありません。項目を埋める作業のうち、法令と契約に関わる部分は、必ず社内の法務や顧問の先生を通してください。
社内で最初にやることは、規程を書くことではありません。
この順で進めると、規程を書き上げる前に運用が始まります。そして実際に使われはじめると、想定していなかった場面が出てきます。そこで足していけばいい、というのが当社の考え方です。
なお当社は、自社のマーケティング（集客・メール配信・SNS・計測）そのものをAIエージェントで運用しています。外に出る直前に必ず人の承認を挟む設計にしていて、AIが単独で公開・配信することはありません。何をAIに任せ、何を人が持つかの線引きは私たちの働き方で公開しています。
どの業務から着手するかについては社内へのAI導入は、どの業務から手をつけるべきかに、部門ごとの事情についてはマーケティング部門向けAI研修は、汎用の研修と何が違うのかに書きました。
ルールの形はできたが、現場が使えるところまで落ちない——という段階のご相談はお問い合わせからお願いします。