中小企業のAI利用ガイドライン作成術。情報漏洩・著作権対策の基本

なぜAI利用ルールの議論がまとまらないのか?

学習される不安と保存される不安の違い

社内でAI利用の話し合いが進まないとき、多くの場合はリスクの名前が混ざっています。とくに大きいのは、入力内容がAIの性能改善に使われる不安、外部サービスのサーバーに送られる不安、共有設定のミスで外部に見える不安の3つです。総務省と経済産業省のAI事業者ガイドライン第1.2版でも、AI利用ではプライバシー保護、セキュリティ確保、透明性、教育などを分けて扱う考え方が示されています¹。

ここで経験者でも見落としやすい事実があります。たとえばAIサービスを提供するOpenAIは、ChatGPT Business、ChatGPT Enterprise、API(外部システムからAIを呼び出す仕組み)などの事業者向けサービスについて、組織データを初期設定では学習や改善に使わないと説明しています。一方で、同じページではデータが送信中や保存中に暗号化され、一定の組織では保存期間を設定できることも説明されています²。つまり、学習に使われないことと、社外サービスに送られないことは同じではありません。

共有設定という別の入口

情報漏洩という言葉だけで議論すると、どの対策を打てばよいかが曖昧になります。学習リスクには、学習利用の有無や設定確認が必要です。クラウド処理(外部事業者のサーバーで処理すること)のリスクには、契約、保存期間、アクセス権限、監査の確認が必要です。共有設定のリスクには、チャット履歴、共有リンク、ファイル添付、共同編集の範囲を確認する必要があります。

この3つを分けるだけで、会議はかなり進みます。無料の個人アカウントを全面禁止する理由、法人向けサービスを承認制にする理由、機密資料をAIに入力しない理由が、それぞれ別の言葉で説明できるためです。AI利用ガイドラインの出発点は、AIが危ないかどうかではなく、どのリスクを扱っているかをそろえることです。

最初に決める情報の4段階

公開、内部、機密、厳重管理の使い分け

中小企業では、いきなり精密な情報管理規程を作ろうとすると止まりやすくなります。まずは、社内で扱う情報を4段階に分けるのが現実的です。公開情報は、会社案内や公開済みニュースのように、外部に出ても問題が小さい情報です。内部情報は、社内手順や会議メモのように、外部公開はしないが重大な損害までは想定しにくい情報です。

機密情報は、顧客情報、売上データ、契約書、未公開の提案資料、採用候補者情報などです。厳重管理情報は、個人情報のうち影響が大きいもの、取引先との秘密保持契約で強く制限された資料、未公表の資本政策、訴訟や労務トラブルに関する資料などです。個人情報保護委員会は、生成AIサービスの提供者が入力情報を学習データとして使う予定の場合、個人データを入力すると第三者への提供に当たることがあると注意喚起しています³。このため、個人情報は便利さより先に入力可否を判断する対象に置く必要があります。

初版では、迷う情報をひとまず高い段階に置くのが安全です。公開済みの会社案内は公開情報、社内だけの業務手順は内部情報、相手先や金額が入る資料は機密情報、本人や取引先に大きな影響が出る資料は厳重管理情報とします。運用を始めてから、よく使う資料だけ例外ルールを追加すれば、最初から完璧な分類表を作る負担を減らせます。

AIに入力してよい範囲の早見表

4段階に分けたら、次にAIへ入力できる範囲を決めます。文書としては、長い規程よりも、最初は次のような早見表のほうが使われます。

• 公開情報は、承認済みのAIツールで利用可
• 内部情報は、社内アカウントと業務目的が明確な場合のみ利用可
• 機密情報は、原則入力不可、例外は管理者承認と法人向け環境
• 厳重管理情報は、外部AIへの入力不可
• 判断に迷う情報は、上司または管理担当者に確認

この早見表で大切なのは、便利そうな作業を並べることではありません。誰が見ても同じ判断になりやすい例を入れることです。たとえば契約書をAIで要約したい場合、契約相手名、金額、未公開条件を消しても意味が残るかを確認します。情報を消すと判断できない場合、その作業はAIに任せる前に承認を取るべきです。

入力禁止情報と使えるツールの決め方

顧客情報、売上データ、契約書の扱い

AI利用ガイドラインには、入力してはいけない情報を具体例で書きます。顧客名、住所、電話番号、メールアドレス、相談内容、見積金額、契約条件、未公開の決算情報、社員の評価情報などです。抽象的に機密情報は禁止と書くだけでは、現場では判断しにくくなります。禁止情報は、資料名ではなく入力してはいけない中身で書くのが実務上わかりやすいです。

たとえば営業資料の文章を整える作業なら、顧客名をA社、金額を概算、担当者名を担当者と置き換えるだけで済む場合があります。一方、契約書のリスクレビューでは、当事者、契約金額、責任範囲、期限が重要になるため、伏せ字にすると判断材料が欠けます。この場合は、外部AIに入れる作業ではなく、社内で承認された環境や専門家確認に切り替えるほうが安全です。

法人向け設定でも残る確認項目

承認済みツールを決めるときは、無料か有料かだけで判断しないようにします。確認すべきなのは、入力内容が学習に使われるか、保存期間を管理できるか、管理者が利用者を制御できるか、共有リンクを制限できるか、退職者のアカウントを止められるかです。OpenAIの事業者向けサービスのように、学習利用しない初期設定や暗号化、保存期間の管理を説明しているサービスもありますが、サービスごとの条件を確認する作業は省けません²。

中小企業では、社内の全員に複雑な設定を任せるより、使えるAIツールを先に指定するほうが安全です。文章の下書き、公開情報の要約、社内研修のたたき台などは承認済みツールで認める。顧客情報、契約書、未公開資料を含む作業は、管理者承認または社内だけで処理する環境に限る。このように用途ごとに決めると、自己判断が減ります。

著作権対策で確認すべき範囲

既存作品を入れる前の確認

著作権対策では、AIが作ったものだから自由に使える、という理解を避ける必要があります。文化審議会著作権分科会法制度小委員会の文書は、AIと著作権の関係について一定の考え方を示すものですが、法的拘束力を持つものではなく、個別事案の確定的な評価でもないと明記しています⁴。つまり、会社のガイドラインでは、細かな法解釈を断定するより、危ない使い方を避ける手順を決めるほうが実用的です。

とくに注意したいのは、既存の文章、画像、イラスト、音声、ロゴをAIに入力して、似たものを作らせる使い方です。文化庁の整理では、既存の著作物と類似する生成物を作らせる目的で著作物を入力する場合、著作物の複製が生じる場面があると説明されています⁴。他人の作品を入れて似たものを作る作業は、社外公開や納品に使わないというルールを置くと、初心者にも伝わりやすくなります。

出力物を社外に出す前の見直し

生成物の確認では、類似性と依拠性を分けて見ます。類似性は、既存作品と表現がどれだけ似ているかです。依拠性は、既存作品をもとに作ったといえるかです。初心者向けの運用では、法律用語を細かく教えるより、公開前に検索する、既存資料と見比べる、出典が必要な情報は原典を確認する、という手順に落とし込みます。

画像や文章を広告、Webサイト、提案書、納品物に使う場合は、人が最終確認します。AIに短い見出し案を出させる程度なら問題が小さいこともありますが、特定の作家名、企業名、作品名を指定して似せる指示は避けるべきです。著作権対策の基本は、AIの出力をそのまま使うことではなく、人が用途と似ている部分を確認することです。

ガイドラインを形だけで終わらせない運用

研修で伝えるべき失敗の流れ

AI利用ガイドラインは、作って配るだけでは定着しません。総務省と経済産業省のAI事業者ガイドラインでも、AIに関わる人が十分な知識を持てるよう教育を行うことや、必要に応じてフォローアップすることが示されています¹。中小企業では、年に何度も大きな研修を行うより、新入社員研修や月例会議の中で10分だけ事例を扱うほうが続けやすいです。

研修では、正しい使い方だけでなく、失敗の流れを見せます。たとえば、顧客名を入れて問い合わせメールを作る、AIが自然な文章を返す、便利なので別の案件でも同じ使い方をする、あとで入力内容の扱いが問題になる、という流れです。漏れたら何が起きるかを具体的に示すと、禁止の理由が伝わります。

迷ったときの相談先と記録の残し方

最後に必要なのは、迷ったときの相談先です。ルールが細かすぎると読まれませんが、相談先がないと現場は自己判断になります。上司、情報管理担当、総務、外部専門家など、会社の規模に合わせて窓口を一つ決めます。確認しやすい空気を作ることは、ガイドライン本文と同じくらい重要です。

また、AIを使った重要な作業では、何を入力し、何を出力し、誰が確認したかを簡単に残します。AI事業者ガイドラインは、検証可能性を確保するため、利用時の入出力などの記録を合理的な範囲で保存する考え方を示しています¹。中小企業であれば、最初から高度な仕組みを入れなくても、承認が必要な作業だけ記録欄を作れば十分に始められます。初版のガイドラインは、2ページ程度でも構いません。入力禁止情報、使えるツール、相談先、社外公開前の確認だけを先に決め、1か月後に困った場面を集めて修正します。AIのサービス内容や社内の使い方は変わるため、作って終わりではなく、短く直せる文書にしておくことが大切です。

AI利用ガイドラインの目的は、AIを遠ざけることではなく、使ってよい場面を安心して増やすことです。まずは情報分類、承認済みツール、公開前チェックの3点から整えましょう。この順序なら、担当者が一人でも始めやすく、後から内容を広げられます。

出典・参考資料

1. 「AI 事業者ガイドライン（第 1.2 版）」総務省、経済産業省 ↩

2. 「Business data privacy, security, and compliance」OpenAI ↩

3. 「生成AIサービスの利用に関する注意喚起」個人情報保護委員会 ↩

4. 「AI と著作権に関する考え方について」文化審議会著作権分科会法制度小委員会 ↩