形骸化しない社内AI利用ルールの作り方——最初に決める7項目

「AI利用ガイドラインを作ったが、誰も読んでいる気配がない」。ルールを整備した会社から、よく聞く悩みです。生成AIの利用ルールは、ひな形を参考にすれば1日で作れます。難しいのは、半年後も現場で機能している状態を保つことです。

本記事では、ルールが形骸化する典型パターンを整理したうえで、中小企業が最初に決めるべき7項目と、ルールを支える仕組みづくりを解説します。

なぜAI利用ルールは形骸化するのか

形骸化したルールには共通点があります。

現場の業務スピードと合っていない。 「AIに入力する前に上長の承認を得ること」のような手続きは、1日に何度もAIを使う現場では守れません。守れないルールは、最初の1週間で無視される習慣が付きます。

禁止の列挙で終わっている。 「〜してはならない」が並ぶだけで、「ではどうすればよいのか」が書かれていないルールは、現場にとって使えない文書です。代替手段のない禁止は、シャドーAI（会社が把握しない利用）を増やすだけです。この構造はシャドーAI対策の記事で詳しく解説しています。

守られているか誰も見ていない。 ルールの遵守状況を確認する手段がなければ、守っても守らなくても同じです。真面目な社員だけが不便を我慢する、いちばん不健全な状態になります。

最初に決める7項目

網羅的な規程を目指すより、次の7項目を短く決めて公開するほうが機能します。

1. 使ってよいAIサービス

「原則自由・例外禁止」ではなく「公認サービスを列挙する」方式を推奨します。ChatGPTなど主要なサービスから始めて、需要に応じて追加していく運用が現実的です。追加の申請方法もあわせて書いておきます。

2. 入力してよい情報の線引き

ルールの核心です。自社にとっての機密（顧客名、個人情報、見積・原価、人事情報、ソースコードなど）を洗い出し、「そのまま入力してよい」「加工すれば入力してよい」「入力しない」の3段階程度に区分します。判断に迷う情報の具体例を載せるほど、実用性が上がります。

3. アカウントの区分

業務利用は会社管理のアカウントで行い、個人アカウントでの業務利用を避けることを定めます。会社アカウントに寄せることは、退職時の整理や利用状況の把握にも効きます。

4. 記録の方針

誰が・いつ・どのAIを使ったかを、どのように記録するかを決めます。最初は「会社のネットワーク経由で利用する」といった経路の指定だけでも構いません。記録が残る形に利用を寄せることが、後の全項目を支えます。

5. 相談窓口

「これは入力してよいか」を気軽に聞ける窓口を明記します。ルールで最も大切な一行です。窓口は情報システム担当でも総務でも構いませんが、「聞いたら怒られる」空気を作らないことが条件です。

6. 例外の手続き

業務上どうしても線を越えた利用が必要な場合の手続きを用意します。例外の道がないルールは、現場が黙って破る前提の文書になります。

7. 見直しサイクル

AIサービスの機能も、社内の使い方も、数か月単位で変わります。「四半期に一度見直す」「新サービスの公認申請は随時受け付ける」など、ルール自体が育つことを最初から織り込みます。

「罰則」より「導線」

ルールの実効性を罰則で担保しようとすると、利用の申告が止まり、実態が見えなくなります。機能しているルールに共通するのは、罰則の強さではなく「守るほうが楽」という導線設計です。

• 公認サービスが業務に十分使える品質で用意されている
• 会社のネットワークを通せば、個別の申請なしに使ってよい
• 迷ったら聞ける窓口があり、聞いたことが不利にならない

守りやすいルートを用意したうえで、「公認ルートの外での業務利用はしない」と一線を引く。この順番であれば、罰則規定は最小限で済みます。

ルールを支える仕組み——記録と見える化

7項目のうち、多くの会社で最後まで手つかずになるのが「4. 記録」です。しかし記録こそが、ルールを「お願い」から「運用」に変える要です。

利用の記録が残っていれば、ルールの見直しが実態に基づいて行えます。「営業部でAI利用が定着していない」「特定のサービスに利用が集中している」といった事実が見えれば、公認サービスの追加や教育の判断ができます。取引先のセキュリティチェックや監査で「AI利用をどう管理しているか」と問われたときも、記録があれば具体的に回答できます。

記録の取り方には、AIサービス側の企業向けプランの管理機能を使う方法、端末側で管理する方法、ネットワークの経路で記録する方法などがあります。自社の規模と体制に合う方法を選べば十分ですが、いずれの場合も「社員のWeb利用全体を監視する」のではなく「AI利用に限って記録する」ことを明示すると、社員の納得を得やすくなります。

まとめ

• ルールは網羅性より実用性。7項目を短く決めて、育てる前提で公開する
• 禁止の列挙ではなく、公認ルートという「守りやすい導線」を用意する
• 記録と見える化がルールの寿命を決める。お願いだけのルールは半年で形骸化する

ルール作りは、AI活用を縛る作業ではなく、使ってよい範囲を社員に示す作業です。小さく作って、実態に合わせて育てていきましょう。