会社でAIを安全に使うための3つのルール

社員が仕事を早く終わらせるために、会社が把握していない生成AIを使っている。こうした状態は「シャドーAI」と呼ばれます。

便利な道具を使おうとした結果でも、顧客情報、契約内容、社内資料を個人アカウントのAIへ入力すると、会社側ではどこへ何を渡したか確認できません。

一方で「AIはすべて禁止」と決めるだけでは、必要な作業まで止まり、見えない場所での利用が続く可能性があります。

2026年3月31日に公表されたAI事業者ガイドライン第1.2版は、AIの開発者や提供者だけでなく、業務でAIを利用する事業者にも、リスクを理解して必要な対策を実行する考え方を示しています。

中小企業では、分厚い規程から始める必要はありません。まず、利用するAI、入力する情報、出力後の確認という3つのルールを決めます。

【1．利用してよいAIを決める】

最初に、仕事で使ってよいAIを会社で決めます。

確認する項目は次のとおりです。

・会社契約か個人契約か

・入力内容が学習へ使われるか

・会話履歴を保存するか

・管理者が利用状況を確認できるか

・退職や異動時にアクセスを止められるか

「有名なサービスだから安全」とは限りません。同じAIでも、無料の個人向けプランと会社向けプランでは、保存設定や管理機能が異なる場合があります。

会社で確認したAIを一覧にし、利用目的と確認日も残します。新しいAIを使いたい場合は、勝手に登録するのではなく、担当者へ申請する流れを決めます。

【2．入力してよい情報を分ける】

次に、AIへ入力する情報を三段階に分けます。

入力してよい情報は、一般公開済みの情報や、架空の例、個人や顧客を特定できない内容です。

確認してから使う情報は、社内資料、未公開の企画、取引先とのやり取り、加工した業務データなどです。

入力してはいけない情報は、パスワード、認証コード、秘密鍵、個人情報、未公開の契約内容、口座やカードに関する情報などです。

ただし、会社の契約や設定によって扱える範囲は変わります。「顧客情報は全部禁止」のような短い表現だけで終わらせず、具体例を付けます。

たとえば議事録作成なら、顧客名を番号へ置き換える、参加者名を役割名にする、不要な金額を削除するなど、AIへ渡す前の加工方法も手順にします。

【3．AIの出力を使う前に確認する】

AIが作った文章や表は、完成品ではなく下書きとして扱います。

仕事で使う前に確認する項目を決めます。

・人名、会社名、商品名

・日付、金額、期限

・根拠となった資料

・事実と推測の区別

・差別的または不適切な表現

・第三者の著作物が含まれていないか

顧客への送信、契約や金額の確定、外部公開、データ削除など、やり直しにくい操作は人が承認してから行います。

確認した人と確認日を残せば、問題が起きたときに経緯を追いやすくなります。

【禁止より相談できる窓口を作る】

社員が無断でAIを使う背景には、仕事を早くしたい、文章作成が苦手、相談相手がいないといった事情があります。

違反を探すだけではなく、「この仕事にAIを使ってよいか」を相談できる担当者を決めます。

申請内容は、次の4項目で十分です。

・使いたいAI

・行いたい仕事

・入力する情報

・作りたい完成物

担当者は、安全性だけでなく、すでに会社で使えるAIや別の方法がないかも確認します。

【利用状況を月に一度見直す】

AIの機能や利用規約は変わります。最初に作った一覧を放置せず、月に一度または新しいサービスを導入するときに見直します。

確認するのは、利用者、利用目的、入力情報、保存設定、出力の確認責任者です。

使われていないAIアカウントは停止し、退職者や異動者の権限も見直します。

問題が起きてから調べるのではなく、会社が把握できる範囲でAIを使うことが、シャドーAI対策の出発点です。

【注意したいこと】

AIの安全性は、サービス名だけでは判断できません。利用プラン、契約条件、保存設定、連携機能まで確認してください。

また、監視を強くしすぎると、社員が相談しにくくなる場合があります。利用記録は人事評価のためではなく、情報を守り、安全な使い方を改善するために扱います。

【今日からできる小さな一歩】

社内で使われているAIを一つ挙げ、次の三つを書いてみてください。

・誰が何の仕事に使うか

・どの情報を入力してよいか

・出力を誰が確認するか

答えられない項目があれば、そこから会社のAI利用ルールを作り始められます。

社内で利用するAIの選定や、入力してよい情報、人が確認する手順を整理したい方には、公開中の「中小企業のAI顧問として1ヶ月伴走します」で、自社の業務に合う運用ルールづくりを一緒に進めています。