中小企業の生成AI利用ルールの作り方：個人情報・機密情報・著作権の最低ライン
生成AIの利用ルールは、禁止事項を並べた分厚い規程である必要はありません。「何を入力してよいか」「誰が出力を最終確認するか」を1〜2枚に明示するだけで、実務上はほぼ機能します。 問題が起きるのは、ルールが複雑すぎて誰も読まない場合と、ルールが存在せず現場が各自の判断で使い始める場合の両極端です。特に後者は、社員が業務効率化のために個人のスマートフォンや個人アカウントで生成AIを使い始め、会社が把握しないまま顧客情報や契約書の内容が外部サービスに渡っていく「シャドーAI」状態を生みます。
本稿は、中小企業の経営者・AI推進担当者に向けて、最低限決めるべき5項目と、個人情報・機密情報・著作権それぞれの基本的な考え方を整理したうえで、禁止ではなく「使える範囲を明示する」設計でルールを作り、現場に定着させる方法を示します。
「シャドーAI」の問題：ルールがないまま利用が広がる実態
シャドーAIとは、情報システム部門や経営が把握・管理していない生成AIの利用が、現場で自然発生的に広がっている状態を指します。かつて個人所有のクラウドストレージや私用チャットツールが無断で業務に使われた「シャドーIT」と同じ構造で、生成AIはインストール不要でブラウザから誰でもすぐに使えるため、この現象が起きる速度が格段に速いのが特徴です。
厄介なのは、会社が「使用禁止」を通達しても解決しないことです。業務効率化の効果を一度体験した社員は、会社支給の管理された環境ではなく、個人のアカウントや私物端末で使い続けます。結果として、会社は利用実態をまったく把握できなくなり、リスク管理はむしろ悪化します。目指すべきは「使わせない」ことではなく、「会社が把握した状態で、安全に使える範囲を明示する」ことです。
最低限決めるべき5項目
ルールに盛り込むべき項目は、実務上は次の5つに集約されます。多くの中小企業では、これをぺらいち（1〜2ページ）の資料にまとめるだけで運用を開始できます。
| 項目 | 決めるべき内容 |
|---|---|
| 入力してよい情報 | 顧客の個人情報・契約書の秘密条項・未公表の財務情報などを「入力禁止」に、一般的な業務知識や公開情報を「入力可」に分類する |
| ツールの選定 | 会社として契約・許可したツールを明示する（学習利用のオプトアウトができるか、法人向けプランかを選定基準に含める） |
| 出力の確認 | AIの出力をそのまま顧客や社外に出さず、必ず人が事実確認・表現確認をしてから使う工程を定める |
| 記録 | どの業務でどのツールを使ったか、簡単な利用記録を残す（トラブル時の原因特定と、ルール見直しの材料になる） |
| 教育 | ルールを配って終わりにせず、なぜそのルールが必要かを具体例つきで説明する場を設ける |
このうち最も効果が大きいのは「入力してよい情報」の明確化です。次章で個人情報・機密情報・著作権に分けて、その判断基準を具体的に示します。
個人情報・機密情報・著作権：それぞれの基本的な考え方
個人情報：識別できる形で入力しない
個人情報保護の観点で最も注意すべきは、氏名・連絡先・購買履歴などを組み合わせて特定の個人を識別できる形のまま、外部の生成AIサービスに入力することです。多くの生成AIサービスは、入力内容をサービス改善やモデルの学習に利用する規約になっている場合があり、その場合は会社の管理が及ばない形でデータが扱われるリスクがあります。ツール選定の段階で「入力データを学習に使わない設定（オプトアウト）ができるか」を確認し、個人が特定できる情報は入力前に匿名化する、あるいはそもそも入力しないというルールを明文化してください。
機密情報：秘密管理の実態が崩れていないかを確認する
取引先との契約条件や自社の未公表の事業計画などの機密情報は、「秘密として管理されている」という実態があって初めて法的にも保護対象になります。誰でもアクセスできる生成AIツールに、アクセス権限やログの管理もないまま機密情報を入力する運用が常態化すると、この「秘密管理性」の実態そのものが揺らぎかねません。社内の一般的な機密情報を扱う業務でAIを使う場合は、ログが管理された法人契約のツールに限定し、個人の無料アカウントでの利用を明確に禁止することが最低ラインです。ただし、契約書に定められた秘密保持条項そのものや、未公表のM&A・財務情報のように、第三者への開示自体が契約や法律で制限されている情報は別扱いにしてください。これらは、AIベンダーとの契約内容がどうであれ、社外の処理系に渡すこと自体が契約違反になり得るため、ログが管理された法人契約のツールであっても入力対象から外すのが原則です。
著作権：入力側と出力側の両方に論点がある
著作権については、入力側（他者の著作物をAIに読み込ませてよいか）と出力側（AIが生成した文章・画像をそのまま使ってよいか）の両方に注意点があります。入力側は、社内資料の要約など通常の業務利用であれば大きな問題になりにくい一方、出力側は、既存の著作物と偶然似た表現が生成される可能性がゼロではありません。特に、社外向けの広告コピーや制作物にAIの出力をそのまま使う場合は、既存の著作物と酷似していないかを人が確認する工程を設けることが重要です。
禁止ではなく「使える範囲を明示する」設計にする理由
「生成AI利用禁止」という一律のルールは、一見もっとも安全に見えますが、実務ではむしろリスクを高めます。禁止しても業務効率化のニーズは消えないため、会社が把握できない個人アカウントでの利用に置き換わるだけだからです。これは前述のシャドーAIの問題そのものであり、禁止という選択肢自体が、管理不能な状態を作り出す原因になります。
ルールの目的は「リスクをゼロにすること」ではなく「現場が入力してよいかどうかを、その場で自分で判断できるようにすること」です。図1のように情報を3分類し、判断に迷う場合の相談先（総務・経営者など）を1人決めておくだけで、現場は都度立ち止まって考える必要がなくなります。禁止事項を増やすほど運用は複雑になり、結局読まれなくなる点にも注意が必要です。
ルールを運用に定着させる方法
ルールは作って配布した時点では、まだ「存在する」だけで「運用されている」わけではありません。定着させるには次の3点が有効です。
- 具体的な業務ケースで説明する：抽象的な禁止事項の羅列ではなく、「見積書のドラフト作成にAIを使う場合はここまでOK」のように、実際の業務に即した例で説明します。
- 最初の数ヶ月は伴走して疑問に答える：ルールを配布した直後は、現場から「この場合はどうすればいいか」という個別の判断が多く発生します。この初期段階に、社内の推進担当者だけで抱え込まず、外部の技術に詳しい人材が一緒に現場のケースを一つずつ判断していく形が、ルールの実効性を大きく左右します。Tiedの現場伴走型技術支援（embedded consulting）は、まさにこの立ち上げ期の伴走を想定した支援形態です。
- 定期的に見直す：新しいツールの登場や業務内容の変化に合わせて、半年に一度程度は分類表を見直します。ルールを一度作って終わりにしないことが、形骸化を防ぐ最大のポイントです。
ルール整備は単発の取り組みでは終わらず、中小企業のAI活用はどこから始めるかで述べた業務の棚卸しや、社内にAI人材がいない場合の選択肢で整理した推進体制づくりと合わせて進めると、利用ルールも実態に即した形で機能します。
FAQ：よくある質問
Q1. ルールは何ページくらいにすべきですか。 A. ぺらいち（1〜2ページ）が目安です。長くなるほど読まれなくなるため、前述の5項目を簡潔にまとめる形を推奨します。
Q2. 生成AIツールを使うたびに上長の承認が必要ですか。 A. 個別承認は現実的ではありません。「入力してよい情報」の分類さえ明確であれば、現場の判断に任せて問題ありません。承認が必要なのは、新しいツールの導入時など、分類そのものを変える場合に限定してください。
Q3. 従業員が個人アカウントで使ってしまっている場合はどうすればよいですか。 A. まず罰則ではなく、会社として法人契約のツールを用意し、そちらへの移行を促すことが優先です。個人アカウントでの利用が発覚した時点で罰するだけでは、利用実態が見えなくなるだけで根本解決になりません。
Q4. ルールは誰が作るべきですか。 A. 情報システム担当者だけで作ると、現場の実務と乖離した使いにくいルールになりがちです。実際にAIを業務で使う現場のメンバーを交えて、具体的な業務ケースをもとに作ることをおすすめします。
まとめ
生成AIの利用ルールは、禁止事項の羅列ではなく、入力してよい情報・ツールの選定・出力の確認・記録・教育という5項目を1〜2枚にまとめれば実務上は十分機能します。個人情報は識別可能な形で入力しない、機密情報は秘密管理の実態を崩さないツールに限定する、著作権は出力の確認工程を設ける、という3つの最低ラインを押さえたうえで、「禁止」ではなく「使える範囲の明示」として設計することが、シャドーAIを防ぎながら現場の利用を促進する現実的な方法です。