ISMSで生成AIを使うには？社内ルールの作り方と入力時の注意点をやさしく解説
更新日：16 時間前
▼目次
1. 生成AIの社内ルールは「安心して使う範囲」を決めるもの
生成AIは、質問や指示に応じて文章や画像などを作るサービスです。文章の下書きやアイデア出しに便利ですが、会社の情報を外部サービスに渡す場面でもあります。
社内ルールでは、使えるサービス、入れてよい情報、回答を使う前の確認、困ったときの連絡先を具体的に決めます。利用者がその場で判断できる言葉にすることが大切です。
この記事では、ISMSの担当者が最初に整理したいポイントを身近な例で紹介します。以下の文例は一例なので、自社の情報の扱いと契約に合わせて調整してください。
2. 最初に利用するサービスと用途を確認する
会社で使っているものを一覧にする
チャット型のAIだけでなく、メールや会議ツールに付いた要約機能、文章作成ソフトのAI機能も確認します。サービス名、用途、利用する人、アカウントの種類を一覧にしましょう。
契約と設定を担当者が確かめる
入力内容を学習に使うか、どこに保存されるか、保存期間、共有の範囲、管理者の機能などを公式情報で確認します。有料か無料かだけで安全性を決めず、実際に使うプランと設定を確認してください。
小さな用途から使い始める
たとえば、機密情報を含まない社内案内の下書きや、一般的な研修テーマのアイデア出しから試します。外部への送信や投稿を自動実行する機能は、文章を作る機能とは分けて利用条件を決めましょう。
3. 入力してよい情報を具体例で分ける
「大切な情報は入れない」だけでは判断しにくいため、普段使う書類やデータの名前で整理します。まずは次のような例を、自社の情報管理ルールと照らし合わせてみましょう。
「学習されない」設定だけで判断しない
入力内容が学習に使われなくても、外部サービスへの送信や保存がなくなるとは限りません。会社の許可、取引先との契約、情報の種類なども合わせて判断します。個人データは、利用目的やサービス側の扱いなどの確認が必要です。
利用を検討しやすい例
自社が公開しているサービス紹介を、許可されたAIで短く書き直す。個人や取引先を特定しない一般的な文章の下書きを作る。公開情報でも、利用条件や他者の権利を確認します。
入力前に担当者へ確認する例
社内の手順書、会議メモ、売上の資料など。社名を消しても、金額や取引内容の組み合わせで相手が分かることがあります。名前を伏せれば必ず安全とは考えないようにします。
そのまま入力しない例
顧客や社員の個人情報、取引先から預かった図面、未発表の企画、パスワードなど。会社で禁止している情報は入力せず、例外が必要な場合も事前に担当者へ相談します。
4. 生成AIの回答は使う前に人が確かめる
生成AIの回答には、自然な文章でも間違いが含まれることがあります。数字、日付、会社名、制度や規格の説明は、元の資料や公式情報で確認しましょう。
たとえば、お客様への案内文を作るなら、実際のサービス内容、料金、対応できる範囲を担当者が確認します。もっともらしい説明が加わっていないかも見てください。
画像や文章を社外に出す場合は、他者の作品や商標などとの関係も確認します。AIで作ったという理由だけで、自由に使えるとは限りません。社外公開前に誰が確認するかを決めておきます。
メール送信やファイル更新などをAIに任せる場合は、実行できる範囲と人の確認が必要な場面を別に決めます。最初は下書きの作成までにすると、結果を確認しながら運用を始めやすくなります。
5. 社内で共有する短いルールの文例
次の文章は、話し合いを始めるための簡単な文例です。サービス名、相談先、社外公開時の確認者などを埋め、自社の責任者が内容を確認してから周知してください。
利用するもの
業務では、会社が利用を認めたサービスとアカウントを使います。新しいサービスやAI機能を使う前に、担当窓口へ相談します。
入力するもの
入力前に情報の種類を確認します。会社が禁止する情報や、取引先との約束で外部に出せない情報は入力しません。判断できない場合は、入力せずに相談します。
回答の扱い
回答は下書きとして扱い、利用者が事実関係を確認します。お客様へ送る文章や公開する資料は、会社が決めた確認者のチェックを受けます。
相談と報告
誤って情報を入力した場合や、不審な動きがあった場合は、すぐに担当窓口へ連絡します。利用するサービスや設定を変える場合も、事前に確認します。
6. ISMSの運用とつなげて見直す
今あるルールとの食い違いをなくす
情報の分類、外部サービスの利用、アカウント管理、教育、事故の連絡手順などと合わせて整理します。AI用の文書を作る場合も、既存の文書に追記する場合も、社員が参照する場所を明確にします。
使う人へ例を交えて伝える
短い説明会などで「この資料ならどうするか」を一緒に確認します。新しく入った人や業務を委託している人についても、担当する仕事に応じた周知を行い、説明した内容と日付を残しましょう。
誤入力は早く報告できるようにする
誤って入力した場合は、サービス名、日時、情報の種類、共有の状況を担当者へ伝えます。履歴を消せば解決したと思い込まず、調査に必要な情報を残し、責任者の指示に沿って対応します。
変更のタイミングで再確認する
新しい機能の追加、契約プランの変更、サービス側の規約変更、現場からの相談などをきっかけに見直します。定期確認の担当者と時期も自社で決め、変更したルールを利用者へ伝えます。
7. まとめ｜迷ったときの行動まで決めておこう
生成AIの社内ルールは、利用できるサービス、入力する情報、回答の確認、相談先を具体化すると理解しやすくなります。まずは自社でよく使う場面から整理してみましょう。
□ 利用サービスと用途が分かる □ 入力前に確認する情報が分かる □ 回答の確認者が分かる □ 相談・報告先が分かる。この4点を社員が説明できるか確認すると、曖昧なところを見つけやすくなります。
ISMSの仕組みと生成AIの利用ルールを無理なくつなげたい方は、ISOトラストへご相談ください。自社の業務で使いやすいルールや記録の整理を支援します。
参考資料
著者情報
金光壮太 (ISOコンサルタント)
大手商社にて営業を経験した後、ISOコンサルティングに従事。ISO9001、14001、27001を中心に、各業界の課題や特性に応じたシステム構築や運用支援を行い、企業の業務効率化や信頼性向上に貢献。製造業や建設業など、多岐にわたる業界での豊富な経験を活かし、お客様のニーズに応じた柔軟なソリューションの提案を得意としている。
コメント