← AIの基礎知識

社内AI利用ルールの作り方——禁止事項を並べても、現場は動かない

公開: 2026年9月8日 3分で読めます（約1,732文字） 執筆: 北村 惇士（プロフィール）

AIを社内に入れると決めたら、ルールを作ることになります。ここで多くの会社が、禁止事項の一覧を作ります。

そして、その一覧は読まれません。

禁止から書くと、動けなくなる

「機密情報を入力してはならない」「業務上不適切な利用をしてはならない」。もっともな内容ですが、これを読んだ社員は、結局どこまで使ってよいのか分かりません。

分からないときの行動は二つに割れます。使わないか、自己判断で使うか。前者は導入した意味が消え、後者はシャドーAIになります。どちらも会社にとって困る結果です。

順番を変えると、様子が変わります。入れてよい情報と使ってよい場面を先に書く。そのうえで、線の外側を禁止として書く。

部活の現場でいうと

部の決まりは、禁止から書くと機能しません。

「危ないから気をつけろ」とだけ言われた一年生は、何が危ないのか分からないまま、見ていないところで走ります。効くのは「プールサイドは歩く」「飛び込みはコーチがいるときだけ」「体調が悪い日は入る前に言う」——行動で書かれたものです。どうすればいいかが分かるから、迷わず動けます。

社内のAIルールも同じで、「機密情報を入力しない」だけでは現場が止まります。どのサービスを使うのか、名前を伏せれば入れてよいのか、迷ったら誰に聞くのか。ここまで書いて、はじめて使えるルールになります。

貼る場所も効きます。分厚い部則を一年生は読みません。プールサイドの一枚だから読まれます。国のガイドラインにも自己点検用のチェックリストが付いているので、そこを土台に、自社の言葉で一枚にするのが早道です。

決めるのは四つ

顧問先には、この四項目で一枚にまとめてもらっています。

① 使うサービス。会社として使うものを決めます。各自が好きなサービスを使う状態では、契約条件の確認が追いつきません。決めたものについては、入力データの扱いを確認済みにしておきます（入力データの学習利用）。

② 入れてよい情報。三段階で書きます。そのまま入れてよいもの、固有名詞を伏せれば入れてよいもの、入れないもの。真ん中があるかどうかで、使える範囲がかなり変わります。「A社の案件で」と置き換えれば、相談は成立します。

③ 出力の扱い。AIが書いたものを、そのまま社外に出してよいか。誰の確認を通すか。ここを決めておかないと、確認されないまま顧客に届きます。取り消せない操作の手前に、人が見る工程を置いてください。

④ 迷ったときの窓口。誰に聞けばいいか。これが書いていないルールは、判断に迷った時点で止まります。窓口は部署ではなく、人の名前で書くほうが動きます。

四つとも、A4一枚に収まる分量です。分厚い規程を作っても読まれません。

現場の言葉で書く

ルールが機能するかどうかは、書きぶりで決まります。

「機密情報」という言葉は、人によって範囲が違います。自社で実際に扱っているものを名指しで書くほうが、迷いが消えます。

• 顧客から預かった図面 → 入れない
• 見積書の原価欄 → 入れない
• 社外に出した提案書 → 社名を伏せれば入れてよい
• 自分が書いた社内メモ → そのまま入れてよい

抽象的な分類より、実物の名前で書いたほうが効きます。書き出す作業自体が、社内で何を守るべきかを揃える機会にもなります。

一度作って終わりにしない

サービスの契約条件は改定されます。使う場面も増えます。半年前のルールは、半年後には合わなくなっています。

続く形にするには、見直しの担当と頻度を決めておきます。半期に一度、使うサービスの条件を確認し直して、現場から出た「これは入れていいのか」を追記する。この程度でも、放置よりはるかに機能します。

そして、ルールだけで守らないでください。入れてほしくない情報は、そもそも渡らない設計にするほうが確実です。社内システムとつなぐ段階では、見せる範囲を絞る設計が入ります（MCP）。ルールで守るものと、構造で守るもの。分けて置くのが、事故が起きたときに止まる作り方です。