AI利用ガバナンス設計キット

AI利用ルールは、書類を配って終わるものではない。会社の業務・データ・顧客接点に合わせて生成し、専門家が確認し、運用ログから更新し続ける。

会社のAX（AI Transformation）で最初に整えるべきものは、ツール導入ではなくルール作りです。

なぜなら、AIは単なる業務効率化ツールではなく、会社の情報共有、承認、権限、責任分担、顧客対応、制作プロセスを変えてしまうからです。AIを導入すると、「誰が下書きを作るのか」「誰が確認するのか」「どこまで自動化してよいのか」「どの情報をAIに渡してよいのか」「最終責任を誰が持つのか」が、すべて設計対象になります。

ここを曖昧にしたまま進めると、会社は2つの失敗に陥ります。

1つ目は、安全策を取りすぎたテンプレート通りのルールによって、AI利用がほとんど禁止に近い状態になることです。個人情報、機密情報、著作権、誤情報のリスクを避けようとするあまり、現場が使える範囲が極端に狭くなり、結局「AIは自己責任でこっそり使うもの」になります。

2つ目は、既存の組織構造を変えないまま、表面だけAIを導入してしまうことです。従来の承認フロー、部門間の情報分断、属人的な判断、会議中心の共有体制をそのままにして、文章作成だけAI化しても、AXにはなりません。むしろ、AIが作った下書きを人間が何重にも確認するだけの、重い運用が生まれます。

AI利用ルールは、AIを縛るためだけのものではありません。会社の中で、どの判断をAIに補助させ、どの判断を人間が持ち、どの権限を現場へ渡し、どの記録を残すのかを決める組織設計です。よいルールはAI利用を止めません。危ない利用だけを止め、使ってよい領域では現場が迷わず動けるようにします。

このキットは、生成AIの社内利用について「禁止事項リスト」や「規程テンプレート」を配るためのものではありません。目的は、会社ごとに異なる業務実態から、AI利用ルールを設計・確認・運用するための流れを作ることです。

AIに作らせるのは、完成版の規程ではありません。AIには、業務の棚卸し、リスク分類、規程案、チェックリスト案、専門家への確認論点を生成させます。そのうえで、法務・個人情報・著作権・情報セキュリティ・業務責任者が確認し、会社の運用に落とし込みます。

このページは法的助言ではなく、社内設計のたたき台です。公開・導入前には、必ず自社の契約、業界規制、顧問専門家の確認を通します。

このキットで作るもの

最終的に作るのは、1つの長い規程ではなく、現場で使える小さな部品のセットです。

governance/
  ├── ai_policy.md              社内AI利用方針
  ├── use_case_matrix.md        業務別利用可否表
  ├── prohibited_inputs.md      入力禁止情報リスト
  ├── output_checklist.md       出力確認チェックリスト
  ├── external_approval_flow.md 顧客提出物・社外公開物の承認フロー
  ├── tool_register.md          利用ツール管理台帳
  ├── approval_log.md           承認記録
  ├── incident_response.md      事故発生時の初期対応
  └── one_page_rule.md          社員教育用1ページルール

重要なのは、すべての会社に同じ文面を配らないことです。顧客情報を扱う会社、教育事業、医療・金融・法務に近い事業、社外公開物が多い会社では、必要な確認や承認の重さが変わります。

全体フロー

1. 会社の業務・データ・公開物を棚卸しする
        ↓
2. AIにリスク分類とルール案を生成させる
        ↓
3. 人間が運用できる粒度に編集する
        ↓
4. 専門家へ「確認論点」として渡す
        ↓
5. 指摘を反映して社内ルールを確定する
        ↓
6. 小さく試験運用し、承認ログを残す
        ↓
7. 事故・迷い・例外処理をログ化し、定期更新する

この流れの中心は、AI生成 → 専門家確認 → 運用ログ → 更新です。最初から完璧な規程を作ろうとすると、重すぎて現場に使われません。最初に作るべきなのは、社員が迷ったときに判断でき、危ない利用だけが自然に止まる仕組みです。

STEP 1：会社の現実をAIに渡す

まず、AIに規程を書かせる前に、会社の現実を棚卸しします。この時点では、実名の顧客情報・個人情報・契約書本文・未公開の機密情報をAIに入力しません。カテゴリ、件数、業務フロー、提出先、責任者だけで十分です。

# AI利用ガバナンス設計インプット

## 会社概要
- 事業内容：
- 主な顧客：
- 社員・業務委託者の人数：
- AIを使いたい理由：

## AIを使いたい業務
- 文章作成：
- 議事録・要約：
- 調査：
- 顧客対応：
- 企画・戦略：
- 画像・動画・デザイン：
- コード・システム：

## 扱う情報
- 個人情報：
- 顧客情報：
- 契約情報：
- 未公開の経営情報：
- 著作物・第三者素材：
- 特に慎重に扱う情報：

## 社外に出る成果物
- 顧客提出資料：
- Webサイト・SNS：
- 契約書・規約：
- 広告・営業資料：
- 教材・講義資料：

## 現在の承認フロー
- 誰が作るか：
- 誰が確認するか：
- どこに記録するか：
- 例外時の相談先：

## 利用予定のAIツール
- ツール名：
- 契約形態：個人アカウント / チーム / 法人契約
- 管理者：
- 入力データが学習に使われない設定・契約の確認状況：

AIへの最初の依頼は、次のようにします。

上記の会社情報をもとに、社内生成AI利用ルールを設計してください。

ただし、完成版の規程ではなく、次の形で出力してください。

1. この会社で必ず決めるべき論点
2. 業務別のAI利用可否表の案
3. 入力禁止情報リストの案
4. 出力確認チェックリストの案
5. 顧客提出物・社外公開物の承認フロー案
6. 専門家に確認すべき論点
7. 現場で形骸化しそうなポイントと軽くする方法

法的に断定できない点は、断定せず「専門家確認」と明記してください。

STEP 2：リスクレベルを決める

すべてのAI利用を承認制にすると、現場は使わなくなります。逆に、すべて自由にすると、情報漏洩・権利侵害・誤情報流出が起きます。承認制は、リスクの高い用途だけにかけます。

レベル	用途	承認	記録
L0	個人メモ、文章の言い換え、社内の雑な壁打ち	不要	不要
L1	社内資料のたたき台、会議メモの整理	不要またはチーム内確認	必要に応じて
L2	顧客提出物の下書き、営業資料、公開前の記事案	業務責任者確認	承認ログ
L3	個人情報、顧客秘密、契約、法務、財務、医療・教育などに関わる内容	責任者＋専門家確認	承認ログ必須
L4	重要意思決定、外部公開、広告、規約、炎上・損害リスクがある内容	明示承認	根拠・版管理必須

ポイントは、レベルを細かくしすぎないことです。社員が毎回悩む分類は、運用で失敗します。「これはL2以上なら確認」「L3以上なら専門家」というように、迷ったときの上げ先を明確にします。

STEP 3：AIに作らせるものを分ける

AIに一気に「社内規程を作って」と依頼すると、もっともらしい文章が出ます。しかし、そのまま配ると、自社の業務とズレたルールになります。

AIに作らせるものは、次の4つに分けます。

生成物	AIに任せること	人間が確認すること
論点整理	決めるべき項目の洗い出し	自社に不要な論点を削る
利用可否表	業務別のリスク分類案	現場の実務に合うか
ルール文面	社員向けに読みやすく整える	過度な禁止・曖昧な表現を直す
専門家確認リスト	法務・個人情報・著作権・セキュリティの確認項目化	誰に何を確認するか決める

AIは「草案生成」と「抜け漏れ検知」に強い一方で、会社の責任を引き受けることはできません。最終判断者は、必ず人間です。

STEP 4：専門家には規程ではなく確認論点を渡す

専門家確認を形骸化させないために、完成した長文規程を丸ごと渡すのではなく、確認してほしい論点を分けて渡します。

確認者	確認してもらうこと
法務	契約違反、顧客との守秘義務、利用規約、責任範囲、社外公開時の表示
個人情報・情報管理	個人情報、要配慮情報、顧客情報、ログ保存、委託先管理、国外移転の有無
著作権・知財	入力素材の権利、出力物の類似性、第三者著作物、商用利用、出典表示
情報セキュリティ	アカウント管理、SSO、管理者権限、監査ログ、データ保存、退職者対応
業務責任者	そのルールで現場が回るか、承認が重すぎないか、例外が多すぎないか

専門家への依頼文は、次の形にします。

以下は、当社の生成AI利用ガバナンス案です。
完成版への修正ではなく、次の4分類で確認してください。

1. そのまま運用してよい
2. 条件付きで運用してよい
3. 禁止または大幅修正が必要
4. 追加確認が必要

特に、個人情報・顧客秘密・著作権・契約違反・社外公開時の責任について、
リスクが高い箇所を優先して指摘してください。

STEP 5：入力禁止情報リストを作る

入力禁止情報は、抽象的に「機密情報は禁止」と書くだけでは機能しません。社員が判断できる粒度まで落とします。

分類	原則	例
個人情報	原則入力しない	氏名、住所、電話番号、メール、顔写真、履歴書
顧客情報	会社が許可した範囲以外は入力しない	顧客名、担当者名、取引条件、相談内容
契約・法務情報	専門家確認なしに入力しない	契約書、NDA、規約、紛争情報
未公開経営情報	公開前提でない限り入力しない	売上、資金繰り、M&A、採用計画
第三者著作物	権利関係を確認する	書籍本文、記事全文、画像、音楽、教材
認証情報	絶対に入力しない	パスワード、APIキー、トークン、秘密鍵

ただし、業務上どうしても扱う必要がある会社もあります。その場合は「完全禁止」ではなく、法人契約、学習除外設定、アクセス権限、ログ管理、匿名化、専門家確認を組み合わせて、許可条件を明文化します。

STEP 6：利用ツールの管理台帳を作る

「どのAIツールなら使ってよいか」を決めるには、ツールごとに確認記録を残します。特に、入力内容がモデルの学習に使われないか、管理者が制御できるか、退職者のアカウントを止められるかを確認します。

# AIツール管理台帳

| ツール | 用途 | 契約形態 | 管理者 | 学習利用の確認 | 保存・ログ | 許可する情報 | 最終確認日 |
|---|---|---|---|---|---|---|---|
| ツール名 | 議事録整理 | 法人契約 | 情シス | 公式ヘルプ・契約で確認 | 管理画面で確認 | L1まで | YYYY-MM-DD |

確認方法は、次の順番にします。

公式ヘルプ・利用規約・データ利用ポリシーを確認する
管理画面で、学習利用・ログ保存・共有設定を確認する
法人契約・DPA・委託契約がある場合は、契約文書で確認する
確認日、確認者、参照URL、スクリーンショットの保存場所を台帳に残す
不明な場合は、機密情報・個人情報・顧客情報の入力を許可しない

STEP 7：出力確認チェックリストを作る

AIの出力は、下書きです。社内利用でも社外公開でも、最終責任は人間が持ちます。

チェック	確認すること
事実確認	数値、固有名詞、日付、引用、制度情報が正しいか
専門家確認	法務、税務、医療、金融、教育など専門判断が必要ないか
権利侵害確認	既存文章・画像・ブランド・キャラクター・第三者素材に似すぎていないか
編集確認	会社の立場、語調、約束しすぎ、誤解を招く表現がないか
出典明示	外部情報を使った場合、一次情報や参照元を確認できるか

特に顧客提出物・社外公開物は、「AIが作ったか」よりも「会社として責任を持って確認したか」を重視します。

STEP 8：社外公開・顧客提出の承認フローを作る

社外に出るものは、AI利用の有無にかかわらず、会社の責任になります。AIを使った場合は、承認フローに「AI利用の記録」と「確認者」を追加します。

作成者がAIで下書き
        ↓
作成者が出力チェックリストで自己確認
        ↓
リスクレベルを付与
        ↓
L2：業務責任者が確認
L3：業務責任者＋専門家が確認
L4：明示承認・版管理・根拠保存
        ↓
公開・提出
        ↓
承認ログに記録

# 承認ログ

| 日付 | 成果物 | AI利用内容 | リスク | 確認者 | 承認者 | 指摘・修正 | 保存場所 |
|---|---|---|---|---|---|---|---|
| YYYY-MM-DD | 営業資料 | 構成案と文章下書き | L2 | 山田 | 佐藤 | 数値根拠を修正 | path/to/file |

承認ログは、責任追及のためではなく、あとから同じ判断を再利用するために残します。判断の履歴が残るほど、承認は軽くなります。

STEP 9：事故発生時の初期対応を決める

事故対応は、起きてから考えると遅れます。情報漏洩、誤情報公開、著作権侵害の疑い、顧客提出物の誤りが見つかったときの初動を1ページで決めます。

1. 利用・公開・送信を止める
2. 関係するファイル、プロンプト、出力、公開URL、送信先を保存する
3. 管理責任者へ報告する
4. 個人情報・顧客情報・権利侵害・誤情報のどれかを分類する
5. 必要な専門家へ確認する
6. 顧客・関係者への連絡要否を判断する
7. 再発防止として、ルール・利用可否表・教育資料を更新する

重要なのは、最初の報告者を責めないことです。報告が遅れる会社ほど被害が広がります。事故対応フローには「すぐ報告した人を不利益に扱わない」ことも書きます。

STEP 10：社員教育は1ページにする

社員教育用の資料は、長い規程を読ませるより、1ページで判断できるものにします。

# 生成AI利用 1ページルール

## 使ってよい
- 文章のたたき台
- 社内資料の整理
- 議事録の要約
- 調査観点の洗い出し
- アイデア出し

## 確認が必要
- 顧客に出す資料
- Webサイト・SNS・広告
- 契約・規約・法務に関わる文章
- 個人情報・顧客情報を含む可能性がある業務

## 入れてはいけない
- パスワード、APIキー、トークン
- 個人情報、顧客情報、契約書本文
- 未公開の経営情報
- 第三者の文章・画像・音楽・教材の丸ごと入力

## 出す前に見る
- 事実は正しいか
- 顧客や第三者に迷惑をかけないか
- 権利侵害の可能性はないか
- 会社として責任を持てる表現か
- 必要な承認を取ったか

教育では、「禁止事項を覚えさせる」よりも、実際の業務例で判断練習をします。たとえば「顧客名を伏せた議事録要約はよいか」「契約書を丸ごと入れて要約してよいか」「SNS投稿の画像をAIで作ってよいか」を、会社のリスクレベル表に当てはめます。

一次情報の確認

社内ルールを公開・導入する前に、少なくとも次の一次情報を確認します。制度や各社ツールの仕様は変わるため、確認日を tool_register.md や approval_log.md に残します。

経済産業省・総務省：AI事業者ガイドライン（第1.0版）
個人情報保護委員会：生成AIサービスの利用に関する注意喚起等について
文化庁：AIと著作権について
利用するAIツール各社の公式ヘルプ、利用規約、データ利用ポリシー、法人契約条件
自社のNDA、顧客契約、業界規制、社内情報管理規程

達成の目安

AI利用の目的・適用範囲・責任者が決まっている
業務別利用可否表があり、L0〜L4の分類で運用できる
入力禁止情報リストが、社員の判断できる粒度で書かれている
利用ツールごとに、学習利用・保存・管理者・許可情報の確認記録がある
顧客提出物・社外公開物の承認フローと承認ログがある
専門家へ確認する論点が、法務・個人情報・著作権・セキュリティに分かれている
事故発生時の初期対応が1ページで決まっている
社員教育用の1ページルールと業務別の判断練習がある