🛡️

『生成AIガイドライン、誰か作って』と言われたときに読む実務メモ

に公開
Security
情報セキュリティ
ChatGPT
ガバナンス
生成 AI
idea

この記事について

「生成AIの利用ガイドライン、誰か作っておいて」──情シスやセキュリティ担当なら、一度は言われた（言われそうな）お題だと思います。この記事は、そのガイドラインをゼロから実務で回る形に落とすための手順メモです。

前提として、ガイドラインの目的は「使わせないこと」ではありません。安全に使わせて、野良利用（シャドーAI）をなくすことです。禁止一辺倒は、利用を地下に潜らせるだけで、かえってリスクが上がります。

作る前に決める2つのこと

手を動かす前に、ここを握っておくと後がぶれません。

  1. 目的の合意: 「情報漏洩を防ぎつつ、生産性向上のために活用する」——この両立をゴールに置く。経営層とこの一文を合意しておくと、細部の判断がぶれない
  2. 対象範囲: 誰の・どのツールの利用を対象にするか（全社員か、特定部門か。ChatGPT等の外部サービスか、社内提供のAPIか）

5ステップで作る

STEP1. 現状把握（誰が何を使っているか）

まず、社内で実際に何が使われているかを把握します。理想を語る前に現実を知る。アンケートやヒアリングで「すでに業務で使っているツール」を洗い出すと、禁止しても意味のない既成事実が見えてきます。

STEP2. リスクの分類

生成AI利用のリスクを、粒度を揃えて分類します。代表的なのはこのあたり。

  • 入力側のリスク: 機密情報・個人情報・未公開情報をプロンプトに入れてしまう
  • 出力側のリスク: 誤情報（ハルシネーション）をそのまま使う、著作権・ライセンスの問題
  • アカウント・履歴のリスク: 学習利用のオプトアウト未設定、共有アカウント運用

STEP3. 「やっていいこと/だめなこと」を条件で書く

ここが肝です。「禁止/許可」の二択ではなく、条件付きで書くと実務で回ります。

  • ❌「機密情報の入力は禁止」だけ → 何が機密かで現場が止まる
  • ⭕「顧客名・個人情報・未公開の財務情報は入力しない。一般公開されている情報や、社内で公開済みの情報は可」→ 判断できる

STEP4. 使うツールと設定を指定する

「安全に使わせる」ために、推奨ツールと必須設定をセットで示します。学習利用をオプトアウトする設定、法人プランの利用、履歴の扱いなど、設定レベルまで踏み込むと現場が迷いません。

STEP5. 運用に載せる（作って終わりにしない）

ガイドラインは配って終わりではありません。相談窓口、違反時の扱い、定期的な見直し（AIの進化が速いので最低でも半期ごと）まで決めて、初めて「回る仕組み」になります。

よくある失敗

  • 完璧主義で完成しない: 生成AIの進化は速く、完璧な版を待つと永遠に出ない。7割で出して運用で直す方が正しい
  • 禁止だけして終わる: 現場は隠れて使う。シャドーAI化して、かえって統制が効かなくなる
  • 他社のテンプレそのまま: 自社のツール・業務・リスクに合わせないと、現場の実態と乖離して形骸化する

まとめ

  • 目的は「使わせない」ではなく「安全に使わせてシャドーAIをなくす」
  • 現状把握 → リスク分類 → 条件で書く → ツール指定 → 運用、の5ステップ
  • 完璧を待たず7割で出し、半期ごとに見直す

公的な拠り所としては、総務省・経産省の「AI事業者ガイドライン」（2026年3月に第1.2版へ改定）が参考になります。

この記事は手順の要約です。各ステップの具体例や、判断に迷ったときの考え方は、ブログの詳細版に書いています。

（※所属組織とは無関係の、個人の見解です）

Discussion