中小企業のAI利用ルール入門：禁止だけにしない10項目チェック

生成AIを導入するとき、ルールが『機密情報を入れないこと』の1行だけでは現場は判断できません。見積書の金額は機密か、匿名化した問い合わせはよいか、AIの文章を顧客へそのまま送ってよいかが不明だからです。経済産業省のAI事業者ガイドラインとNISTのAIリスク管理資料は、目的とリスクを整理し、運用しながら評価・改善する考え方を示しています。小さな会社でも、難しい規程より1枚の判断表から始められます。

最初に「使ってよい」を書く

禁止事項だけを並べると、社員はAIを隠れて使うか、便利でも一切使わなくなります。まず『公開済み資料の要約』『個人情報を除いた文章の言い換え』『社内アイデアのたたき台』など、許可する例を書きます。そのうえで、顧客名、未公開の売上、契約書、パスワード、健康情報など入力禁止の例を、自社の仕事に合わせて具体化します。契約済みの法人向け環境だけ許可する情報も分けます。

業務を3色に分ける

緑は、公開情報の要約やアイデア出しなど通常利用できる仕事です。黄は、上司や担当者の確認後に使う見積書、顧客向け文書、採用資料などです。赤は、パスワード、秘密鍵、本人を特定できる医療・人事情報、契約で外部送信が禁じられたデータなど、入力しない仕事です。色だけでなく例を添えると、社員は数秒で判断できます。部署ごとに赤黄緑が違う場合は、共通ルールと部署別の追補に分けます。

AIの答えに人の確認を入れる

AIはもっともらしい誤りを作ることがあります。外部へ出す文章は、固有名詞、日付、価格、法律・医療・金融の表現、引用、差別や偏見を人が確認します。『AIが言ったから』は責任の移動になりません。確認者の名前まで毎回書く必要はありませんが、重要文書は作成者、確認日、参照した公式情報を残すと、間違いを直しやすくなります。自動化は、誤りを見つける仕組みとセットで進めます。

まとめ

良いAIルールは、社員を止める壁ではなく、迷わず安全に進むガードレールです。許可例、禁止情報、人の確認、記録、相談先を具体化し、小さく試して毎月直します。経営者だけで決めず、実際に使う人、情報管理、法務や顧客対応の担当者を交えてください。これなら、便利さと安全をどちらか一方にせず、仕事の改善につなげられます。