こんにちは、コマルです。前回のChatGPTに会社の情報を入れて大丈夫？で、「入れてはいけない情報を先に決めておこう」という話をしました。今回はその続きで、それを会社の"ルール"に落とすやり方です。「ルール」「ガイドライン」と聞くと身構えてしまいますが、小さな会社に必要なのは、分厚い規程ではなくA4一枚。物知り猫のタイガーと、めんどくさがりのマルが、最低限これだけ、を一緒に決めます。
「禁止」だけだと、かえって危ない
マル
ねえタイガー、情報が漏れるのが怖いなら、いっそ「仕事でAIは使うな」って禁止しちゃえば安全なんじゃない？
タイガー
気持ちは分かるけど、それがいちばん危ないパターンなんだ。禁止すると、みんな使うのをやめる……わけじゃなくて、会社に隠れて、自分のスマホや個人アカウントで使うようになる。
マル
あっ……。禁止されてても、便利だから使っちゃうんだ。
タイガー
これを「シャドーAI」なんて呼んだりする。会社が把握できないところで使われるから、どんな情報が入力されているのか、誰も分からなくなる。禁止は、リスクを消すんじゃなくて、見えないところに追いやるだけなんだ。
マル
じゃあ、どうすればいいの？
タイガー
「禁止」じゃなくて「このルールの中でなら使っていい」にする。使い方を明るいところに出して、危ない一線だけを引く。そのほうが、ずっと安全なんだ。
全面禁止にすると× 隠れて使われる（シャドーAI）個人アカウントで利用→何が入力されたか会社が把握できない ルールを決めて許可すると○ 明るいところで使える使い方が見える→危ない一線だけを引いて守れる ここまでのまとめ
- 全面禁止は、隠れた利用（シャドーAI）を生みやすい
- 隠れて使われると、何が入力されたか会社が把握できなくなる
- 「禁止」より「ルールの中でなら使ってよい」のほうが安全
最低限これだけ：5項目のひな形
では、その「ルール」に何を書くか。難しく考えず、5つの項目を埋めるだけで十分です。
マル
5つ？ それくらいなら、私にも作れそう。
タイガー
そう、多すぎると誰も読まないからね。この5つを自社の言葉で埋めれば、もう立派なルールだよ。
1入れない情報記入例：機密・顧客の個人情報・重要な契約情報
2使ってよいツールとプラン記入例：本格利用は法人版／無料版は学習オフ必須
3使ってよい業務記入例：下書き・要約・下調べはOK／最終決定・顧客提出物は人が確認
4出力の扱い記入例：鵜呑みにしない・事実は裏取り・最終責任は人
5困ったときの相談先記入例：迷ったら止めて聞ける相手を決める
マル
上から順に見ていい？ 1つ目は「入れない情報」。これは前回やったやつだね。
タイガー
そう。会社の機密、お客さんの個人情報、重要な契約の情報。この3つは入れない、と最初にはっきりさせる。ルールの中でいちばん大事な一行だよ。
マル
2つ目の「使ってよいツール」は？
タイガー
どのAIを、どのプランで使うかを決める。前回話したとおり、本格的に使うなら初期設定で学習に使われない法人向けプランが安心。無料版を使うなら、学習をオフにする設定を必須にする、と書いておく。ばらばらに好きなツールを使う状態を防げるんだ。
マル
3つ目「使ってよい業務」は、逆に使っちゃダメな仕事もあるってこと？
タイガー
ダメというより「気をつける」だね。文章の下書き、要約、調べものの下調べ——このあたりは気軽に使っていい。一方で、最終的な決定や、お客さんにそのまま出す文章は、必ず人が確認する。使っていい場面と、ひと手間かける場面を分けておくんだ。
マル
4つ目「出力の扱い」は？
タイガー
AIの答えをそのまま鵜呑みにしない、ということ。AIはもっともらしい嘘（ハルシネーション）を混ぜることがあるから、事実は自分で裏を取る。そして、最終的な責任は使った人にある、と一行入れておく。これがあると、みんな適度に慎重になるんだ。
マル
5つ目は「困ったときの相談先」。これは優しいね。
タイガー
大事なんだよ。「これ入れていいのかな？」と迷ったとき、気軽に聞ける相手を決めておく。判断に迷ったら止めて相談、が当たり前になれば、事故はぐっと減る。責める文化じゃなくて、聞ける文化にするための一項目なんだ。
ここまでのまとめ
- ①入れない情報（機密・個人情報・契約情報）
- ②使ってよいツールとプラン（法人版推奨／無料版は学習オフ必須）
- ③使ってよい業務（下書き・要約・下調べはOK／最終決定・顧客提出物は人が確認）
- ④出力の扱い（鵜呑みにしない・事実は裏取り・最終責任は人）
- ⑤困ったときの相談先（迷ったら止めて聞ける相手を決める）
作ったあと、どう運用する？
ルールは、作って貼って終わり、では機能しません。運用のコツが3つあります。
マル
せっかく作っても、読まれなかったら意味ないもんね。どうすればいい？
タイガー
1つ目は完璧を目指さないこと。最初から全部を想定した完璧なルールは作れないし、作っても複雑すぎて読まれない。まず5項目のたたき台を配って、走りながら直していく。
マル
2つ目は？
タイガー
具体例をそえること。「機密情報は入れない」だけだと人によって解釈がずれる。「たとえば、まだ公開していない新商品の情報、お客さんの名簿、見積書の中身」——こう例を出すと、ぐっと伝わるようになる。
マル
3つ目は？
タイガー
失敗を責めない空気を作ること。うっかり入れてしまった人を叱ると、次からは隠すようになる。それこそシャドーAIの入口だ。「気づいたら正直に言ってね、一緒に直そう」という姿勢のほうが、結果的に会社を守るんだ。
マル
完璧を目指さず、例をそえて、責めない。ルールって、縛るためじゃなくて、安心して使うためのものなんだね。
タイガー
そのとおり。ルールは「使わせないため」じゃなくて「安心して使うため」にある。ここを取り違えないのが、いちばんのコツだよ。
ここまでのまとめ
- 完璧を目指さず、たたき台を配って走りながら直す
- 抽象語には具体例をそえる（「機密情報」→自社の実物で例示）
- 失敗を責めない。隠される方が危ない
国のガイドラインも「社内ルールを」と勧めている
マル
小さな会社が社内ルールを作るのって、大げさすぎない？
タイガー
それが、そうでもないんだ。経済産業省と総務省の「AI事業者ガイドライン」（2026年3月の改定版）は、機密情報について「秘密保持やセキュリティの担保がない生成AIサービスへの入力を禁止する」といった社内ルールを整えることを勧めている。これは大企業に限った話じゃなくて、事業者全般に向けたものなんだ。
マル
じゃあ、5項目のA4一枚でも、ちゃんと「ガイドラインに沿った対応」って言えるんだ。
タイガー
そう。立派な規程集じゃなくていい。「入れない情報を決めて、みんなで共有した」——それだけで、何もしていない状態とは天と地の差なんだ。
ここまでのまとめ
- AI事業者ガイドラインは、機密情報の入力を制限する社内ルール整備を推奨（事業者全般が対象）
- 分厚い規程は不要。A4一枚の5項目でも、無策とは大きく違う
まとめ：A4一枚から始めればいい
生成AIの社内ルールは、法律の専門知識も、分厚い規程集も要りません。必要なのは、「入れない情報」「使ってよいツール」「使ってよい業務」「出力の扱い」「相談先」の5項目を、自社の言葉で埋めたA4一枚です。
そして、禁止で締め上げるのではなく、ルールの中で安全に使ってもらう。完璧を目指さず、例をそえて、失敗を責めない。この姿勢があれば、小さな会社でも、こわがらずにAIの恩恵を受けられます。
前提になる漏洩の仕組みはChatGPTに会社の情報を入れて大丈夫？、会社での使い始めはChatGPTを会社で使うには？、上手な任せ方はAIへの「任せ方」を設計する、作って終わりにしない運用は育てる運用ループにまとめています。Comaruの支援内容はサービス一覧をどうぞ。
30分無料相談では、「うちの業務に合わせると、5項目に何を書けばいいか」を、実際の使いどころに合わせて一緒に言葉にできます。ルールのたたき台づくりから始めたい方は、お気軽にどうぞ。
参考（一次情報）：経済産業省 AI事業者ガイドライン／個人情報保護委員会 生成AIサービスの利用に関する注意喚起／IPA AI利用者のためのセキュリティ豆知識
※本記事のひな形は、社内ルールづくりのたたき台としての一般的な整理であり、法的助言ではありません。個人情報の取り扱いなど個別の判断は、必要に応じて専門家にご確認ください。
この記事は、みなさんの“困る”を解決する猫の手「コマル」がお届けしました。 「うちの場合はどうなる？」は 30分無料相談 でどうぞ。
