社員の勝手な生成AI利用を防ぐには。情報漏洩から会社を守るガイドラインの作り方

「うちの会社ではまだ生成AIを導入していないから、情報漏洩の心配はない」と感じることがあるかもしれません。

しかし、本当にそうでしょうか。

会社が許可していなくても、現場の社員が個人のスマートフォンやアカウントでAIを使い始めているとしたら、どうなるでしょうか。

シャドーAIの実態と広がる構図

会社が把握していないAIの業務利用は、シャドーAIと呼ばれます。

ルールがない会社ほど、このシャドーAIが静かに広がる構図があります。

顧客へ送るメールの下書き、長時間の会議の議事録の要約、新しい企画書のたたき台、あるいは表計算ソフトの複雑な関数についての相談など、日々の業務にはAIに任せると劇的に早く終わる作業があふれています。

便利だからこそ現場は個人の判断で使い、会社はそれを把握できないまま、何らかの事故が起きて初めて事態が発覚するのです。

経営側が「うちはまだ関係ない」と思っていても、現場の感覚との間にはすでに大きなギャップが生まれている可能性があります。

リスクの正体は3つに分けられる

では、具体的に何が危険なのでしょうか。

漠然とした不安を放置せず、リスクを分類してみます。問題は大きく3つに分けられます。

情報漏洩リスク

一つめは、入力した情報が意図せず外部に渡ってしまう懸念です。

機密情報や個人情報をAIに入力すると、そのデータがAIの学習に使われたり、外部へ流出したりする可能性があります。

無料の個人向けプランと法人向けプランでは、入力データの扱いが大きく異なります。個人アカウントでの利用を放置していると、このリスクが跳ね上がります。

著作権と法令への抵触リスク

二つめにも身に覚えがあるかもしれません。

AIが生成した文章や画像が、気づかないうちに他者の著作物に類似してしまう可能性です。

また、営業秘密などの取り扱いにおいて、個人情報保護法や不正競争防止法に抵触する恐れもあります。他者の著作物をそのまま入力して模倣させるような使い方は、明確に防がなければなりません。

誤情報リスク

三つめは、AI特有の症状です。

AIが事実とは異なるもっともらしい嘘を出力する現象は、ハルシネーションと呼ばれます。

この誤情報を疑わずに、そのまま社外向けの資料や顧客への回答に使ってしまうと、会社の信用問題に発展します。

これら3つのリスクは、それぞれ対策が異なります。情報漏洩にはツール選定と入力ルール、著作権には出力の取り扱いルール、誤情報には人間の確認プロセスで対応することになります。

全面禁止という落とし穴

これらのリスクを知ると、ひとまず業務での生成AI利用を全面禁止にしたくなるかもしれません。

そうしたかった、とは思います。

しかし、全面禁止こそが一番危ない選択です。

理由はシンプルです。会社が禁止しても、便利さを知った現場は個人の端末や隠しアカウントに潜るだけだからです。

結果として会社の統制が完全に効かなくなり、シャドーAIの温床になります。

正解は、安全に使える条件を示すことです。ガイドラインには次の3つの原則を持たせます。

• 許可するツールを明示する
• 入力してはいけない情報を具体的に列挙する
• 出力は人が確認してから使う

条件付きで許可することで、事故を防ぐだけでなく、堂々と使えるようになり生産性も上がります。

ガイドラインの作り方と手順

では、どのようにルールを作ればよいのでしょうか。手順は5つの段階に分けられます。

現状把握とツールの選定

最初のステップは、誰がどのAIを何に使っているかを知ることです。

簡易的なアンケートを実施し、実態を把握します。このとき、社員を責める姿勢を見せないことが大切です。

次に、会社として許可するツールとプランを決めます。入力したデータが学習に利用されないか、管理機能が備わっているかを確認の軸にします。

ルールの明文化

ツールが決まったら、ルールを文章にします。

目的と用語の定義から始め、利用可能なツールを指定します。このとき、個人契約のアカウントで業務情報を扱うことは明確に禁じます。

同時に、入力してはならない情報を具体的に列挙します。取引先の名称が特定できる情報、人事評価などの個人情報、未公開の財務情報、システムへのアクセス権限情報などが該当します。

ただし、固有名詞を匿名化したりマスキングしたりすれば入力できるといった、現実的な例外条件も添えておきます。

さらに、AIの出力はあくまで下書きと位置づけます。事実や数値を人間が確認したうえで、利用者本人が内容に責任を持つことを定めます。

違反した際の懲戒に関する事項や、事故発生時の報告義務も定めます。このとき、報告者を不利に扱わない免責事項も明記し、隠蔽を防ぎます。

ゼロからこうした規程の条文を書き上げるのは手間がかかるため、ひな形を活用するのが現実的です。本記事の末尾でご案内しているホワイトペーパーには、そのまま自社のたたき台として使える全8条の規程サンプルや、現場が迷わないための入力可否早見表を収録しています。

現場が迷わないための工夫

規程の条文を整えても、現場の社員は日々の作業の中で判断に迷います。

公開されている自社のホームページの情報は入力してよいのか、社内のマニュアルはどうなのか、といった疑問が必ず生じます。

そこで、情報の種類ごとに入力の可否を一覧化した早見表を配ることが効果的です。

そのまま入力してよいもの、匿名化すればよいもの、絶対に入力してはいけないものを整理します。この早見表をデスクの見える場所に貼ったり、社内のチャットツールに固定表示したりして、常に目に入る状態を作ります。

周知と見直しのサイクル

ルールは、配って終わりではありません。規程の存在を知らない社員は、守りようがないからです。

事例を交えた説明会や、入社時の研修に組み込むなどして、ルールを浸透させます。

最後に、ルールの見直し周期を規程自体に組み込みます。AIの技術進化や関連法令の変更は非常に速いため、半年から1年ごとに内容を点検する仕組みが必要です。

規程を生きたルールにするために

ここまでの話で、ルールを作る手順は見えました。

しかし、それだけでは現場に定着しません。

現場が迷ったときに、これは入力していいのかを気軽に聞ける相談窓口を設ける必要があります。

総務や情報システム部門が窓口となり、寄せられた質問をよくある質問集として蓄積していきます。

また、禁止事項を伝えるだけでなく、活用を促進することも欠かせません。

部門ごとの成功事例や、うまく指示を出すための文章のコツを共有する場を設けます。使ってよかったという体験が、正しいルールの運用を後押しします。

定期的に利用状況を確認し、使われていない部門があれば、教育が足りないのか、ツールが使いにくいのかを確認します。

業務の棚卸しから始める

シャドーAIは、すでに起きているという前提で動く必要があります。

見て見ぬふりをやめ、条件付きの許可を出すことが、統制と活用を両立する唯一の道です。

そして、規程は作るのが2割、運用が8割です。

自社の業務のどこにAIを適用すれば効果的かは、日々の業務を洗い出す作業から見えてきます。

まずは自社の業務の棚卸しを行い、実態に即したルールを育てていくことが求められます。