疑問・比較ガイド

中小企業のAI利用ルール、
どう作るか。完璧な規程より1枚から。

社員がAIを使い始めている。ルールがないのは不安だが、大企業のような立派な「生成AI利用規程」を作る余力はない——。このページでは、中小企業がまず作るべき「1枚のルール」という考え方と、決めるべき最小項目、社員への伝え方、見直しの回し方を整理します。なお、ここで扱うのは社内運用の考え方であり、法的な妥当性の判断は専門家にご確認ください。

「完璧な規程」を目指すと何が起きるか

ルール作りには2つの行き方があります。まず両方を公平に見てみます。

しっかりした規程を作る行き方。網羅的な規程があれば、判断に迷う場面が減り、取引先から「AIの管理体制は？」と聞かれたときにも示せます。情報の扱いに厳格な業界（士業、金融まわりの取引先が多い会社など）では、文書化された体制そのものが信用になります。

1枚のルールから始める行き方。一方で、中小企業が最初から10ページの規程を作ろうとすると、作成に数か月かかり、その間ルールは存在せず、完成しても誰も読まない——という結果になりがちです。ルールは「存在すること」ではなく「守られること」に意味があります。読まれる分量で早く出す方が、実効性では勝ることが多いのです。

そしてもう一つ、重要な論点があります。「とりあえず全面禁止」は安全策に見えて、そうではないということです。禁止された環境では、社員が個人のスマホでこっそり会社の情報をAIに入れる「隠れ利用」が起きやすく、会社が把握もコントロールもできなくなります。使ってよい範囲を明示する方が、実態としては安全側に働きやすい——これがルールを作る動機の中心です。

決めるべき最小項目は3つ

A4で1枚に収めるなら、決めるべきは次の3点です。

1. 入れてよい情報・いけない情報の線引き

一番事故が起きやすいのがここです。「顧客名・個人の連絡先・取引金額・パスワード・未公開の社内情報は入れない」「名前や金額を伏せ字にすれば相談に使ってよい」のように、ダメなものを列挙し、回避方法もセットで書くのがコツです。禁止だけ書くと、社員は使うのをやめるか、隠れて使うかの二択になります。

2. 使ってよい場面と、使うツール

「会社が認めたアカウントで」「この用途（文章の下書き、要約、翻訳など）に使ってよい」を明示します。個人契約のアカウントに会社の情報を入れない、入力データを学習に使わない設定にする、といった条件もここに含めます。

3. 出力を人が確認する義務

AIは自然な文章でもっともらしい間違いを書くことがあります。「AIの出力をそのまま社外に出さない。事実関係と数字は人が確認する」という一文は必ず入れます。これはセキュリティというより品質のルールですが、AI利用の事故の多くはここで防げます。

社員への伝え方で定着が決まる

ルールは配って終わりにすると読まれません。伝え方のポイントは3つです。

• 自社の場面で「ダメな例」を見せる。「顧客名入りの見積もりをそのまま貼るのはNG。名前と金額を伏せて相談するのはOK」のように、実際の業務に引きつけた例が一番伝わります。
• 罰則より相談窓口。「迷ったら◯◯さんに聞く」という逃げ道を用意すると、隠れ利用が減ります。うっかり入力してしまった場合に正直に言い出せる空気も、被害を小さくするうえで重要です。
• 経営者自身が使って見せる。トップが「自分はこう使っている」と話すのが、どんな通達より効きます。

見直しサイクル：ルールは育てるもの

AIサービスの機能や利用規約は変化が速く、1年前の前提が今も正しいとは限りません。見直しのタイミングをあらかじめ決めておきます。

定期	半年に一度、内容が実態と合っているかを確認する。形骸化した項目は削る
ツール追加時	新しいAIツールを使い始めるとき、ルールの対象に加えるかを判断する
ヒヤリ発生時	「入れてはいけない情報を入れかけた」などの出来事があったら、その場でルールに1行足す
体制の変化時	法人契約への切り替え、社員の増加など、前提が変わったとき

1枚のルールにしておく利点はここにもあります。10ページの規程の改訂は腰が重くなりますが、1枚なら15分で直せます。小さく作って、運用しながら育てる。これが中小企業に合ったルールの持ち方です。

よくある質問

• ネットで拾ったガイドラインの雛形をそのまま使ってもいいですか？

  参考にするのは良い出発点ですが、そのまま使うと自社の業務と合わない項目が混ざり、「読まれない・守られない」ルールになりがちです。自社で実際に起きる場面（見積もり作成、顧客メール対応など）に引きつけて、項目を絞り込むことをおすすめします。内容の妥当性に不安がある場合は専門家への確認も検討してください。

• AI利用を全面禁止にした方が安全ではないですか？

  禁止すれば安全とは限りません。禁止された環境では、社員が個人のスマホで会社の情報をAIに入れる「隠れ利用」が起きやすく、会社が把握もコントロールもできない状態になります。使ってよい範囲を明示する方が、実態としては安全側に働きやすいと考えられます。

• 最低限、何を決めればいいですか？

  3点です。(1)入れてよい情報・入れてはいけない情報の線引き、(2)使ってよい場面と使うツール、(3)AIの出力をそのまま使わず人が確認する義務。まずこの3つをA4で1枚にまとめれば、規程としては十分に機能し始めます。

• ルールを作っても社員が読まない気がします。

  配って終わりにせず、朝礼やミーティングで「ダメな例」を具体的に見せるのが効果的です。「顧客名入りの見積もりをそのまま貼り付けるのはNG、名前を伏せればOK」のように、自社の業務の場面で説明すると伝わります。ルールは文書よりも、最初の説明の質で定着が決まります。

• 一度作ったルールはいつ見直せばいいですか？

  AIのサービス内容や利用規約は変化が速いため、作りっぱなしは危険です。目安として半年に一度、加えて「新しいツールを使い始めるとき」「ヒヤリとする出来事があったとき」に見直すことをおすすめします。1枚のルールにしておくと、この見直しが軽くて済みます。

あわせて読みたい

• 疑問・比較会社の情報をAIに入れて大丈夫か
• 疑問・比較社員が勝手にAIを使う「野良AI」問題
• 疑問・比較会社のAIアカウント、個人契約と法人契約
• 疑問・比較AIを社員に使ってもらうには