生成AIの社内ルールは、A4・1枚でいい。中小企業のつくり方と運用のしかた

「うちの社員、いつの間にかChatGPTを使っているみたいなんです」。この相談が、この1年ではっきり増えました。しかも経営者がそれを知るきっかけは、たいてい良いニュースではありません。提出された資料の文章が急に不自然にうまくなっていた、社員同士の雑談で聞こえてきた、取引先から「そちらはAIをどう管理していますか」と聞かれて答えられなかった。そのあたりです。

で、あわてて「生成AI ガイドライン」で検索すると、出てくるのは数十ページのPDFです。目次があって、定義があって、責任者の役割分担があって、違反時の処分規定まで書いてある。読んだ経営者はだいたいこう言います。「うちの規模でこれは無理だ」。

その感覚は正しいと思います。この記事では、社員10人でも30人でも実際に回せるルールの形として、A4・1枚に何を書くかを具体的に並べます。私はAIエージェントを自分の業務で毎日動かしている実装者で、中小企業のAI導入の相談も受けています。書くのは、その現場で「これが無いと事故る」「これは書いても読まれない」と分かってきた線引きです。

重厚なガイドラインは、中小企業ではまず運用されない

大企業向けの生成AIガイドラインが厚いのには理由があります。部署が多く、扱う情報の種類も多く、承認の経路も複雑で、社外への説明責任も重い。だから網羅する必要がある。あれはあれで合理的です。

問題は、それをそのまま中小企業に持ってきたときに起きることのほうです。私が見てきた限り、こうなります。

作るのに時間がかかりすぎて、完成する前に社員はもう使い始めている。完成しても長すぎて誰も最後まで読まない。読まれないので、判断に迷ったときに参照されない。参照されないルールは、実質存在しないのと同じです。半年後には、ファイルサーバーのどこかで更新日が止まっています。

もう1つ、見落とされがちな副作用があります。分厚いルールは「書いていないことはやってはいけない」という空気を生みます。中小企業でAIを入れる目的は、現場が自分の判断で手を動かして時間を取り戻すことのはずなのに、それと真逆の効果が出る。ここが一番もったいない。

だから最初は1枚でいい。足りないと分かった項目を後から足す。この順番を推します。

A4・1枚に書くのは、この5項目

私が中小企業に勧めているのは次の5つです。これは90日でAI導入を定着させる進め方の第3フェーズで触れた内容を、そのまま実務用に開いたものです。

• この業務でAIを使う目的
• 入れていい情報と、入れてはいけない情報
• 出力を確認して承認するのは誰か
• 使っていい業務の範囲
• 困ったときの相談先

順に、何をどう書くかを見ていきます。

1. この業務でAIを使う目的

冒頭に2行で書きます。「問い合わせメールの一次回答案の作成にかかる時間を減らすため」「議事録の整理を担当者の残業ではなく当日中に終わらせるため」。この程度の粒度で構いません。

なぜ目的から書くのか。目的が書いてあると、想定外のことが起きたときに社員が自分で判断できるからです。ルールは全部のケースを先回りできません。目的が共有されていれば、書いていない場面でも「これは主旨に沿うか」で考えられます。目的を書かずに禁止事項だけ並べたルールは、想定外に弱い。

2. 入れていい情報と、入れてはいけない情報

5項目のなかで、経営者が自分で目を通すべきなのはここです。あとの項目は担当者に任せていい。ここだけは会社のリスクに直結します。

書き方は簡単で、入れてはいけないものを具体名で並べます。抽象的に「機密情報」と書くと、何が機密なのかの解釈が人によってずれます。自社の実物で書いてください。

• 顧客の氏名、住所、電話番号、メールアドレスが入ったファイル
• 取引先から預かった資料、見積書、契約書
• 未公開の価格表、原価、社員の人事情報

そのうえで「入れていいもの」も書きます。ここを書き忘れる会社が多い。公開済みの自社サイトの文章、社内で作った説明資料のたたき台、宛名を消したメールの文面。使っていい範囲が明示されていないと、社員は安全側に倒れて何も入れなくなります。それはルールが機能したのではなく、AIの利用が止まっただけです。

顧客名を伏せ字にしてから使う、という運用にしている会社もあります。手間はかかりますが、線引きが1行で済むぶん現場は迷いません。ただし氏名を消しても、本文中の固有名詞や取引条件から相手が特定できてしまう場合があります。伏せ字にすれば安全、とまでは言い切れない前提で、自社の業種と扱う情報の重さに合わせて決めてください。

3. 出力を確認して承認するのは誰か

生成AIは、もっともらしい間違いを一定の割合で出します。これは不具合というより性質に近いもので、人間が最後に見る前提で使う道具だと考えたほうがいい。

なのでルールにはこう書きます。AIは下書き担当、人間が承認者。社外に出る文章、数字が入る資料、日付や固有名詞を含む文章は、送信や提出の前に担当者が原本と突き合わせる。

大事なのは「確認する」で終わらせず、誰が確認するかを名前か役割で書くことです。「各自で確認」と書かれたルールは、事故が起きたときに誰も自分の担当だと思っていません。1人でいい。その業務の責任者を1人決めて書いておく。

4. 使っていい業務の範囲

全業務を列挙する必要はありません。まずは「使っていい業務」を数個挙げて、それ以外で使いたい場合は相談してから、という形で始めるのが軽い。

最初に載せる候補は決まっています。メール文面の下書き、議事録の要約、社内資料のたたき台づくり、社内マニュアルからの情報探し、定型レポートの集計。どれも頻度が高くて、パターンが決まっていて、間違えても取り返しがつく領域です。

反対に、最初のうちは外しておいたほうがいい業務もあります。人事評価や採用の合否判断のように人の処遇に関わるもの、医療や法務のように専門的な判断が要るもの、そして社外にそのまま出る最終成果物。この3つは、慣れてから範囲を広げるほうが安全です。

5. 困ったときの相談先

最後の1行。「判断に迷ったら、まず◯◯さんに聞く」。これを書いておくだけで、ルールの寿命が延びます。

理由は単純で、この1行があるとルールに書いていないケースが自然に集まってくるからです。集まった質問が、次の改訂の材料になります。相談先が書いていないルールは、更新されずに古びていきます。

法律や契約に関わる線引きは、自社の専門家に確認する

ここははっきり書いておきます。個人情報の取り扱いや著作権まわりの判断は、この記事では扱いません。私は法律の専門家ではありませんし、業種や扱う情報、取引先との契約内容によって答えが変わる領域です。ネット上の一般論をコピーして自社の規程にするのが、いちばん危ない。

実務的にはこう進めるのを勧めています。まずA4・1枚のたたき台を自社で作る。そのうえで専門家に見せて確認してもらう。個人情報や著作権に関わる部分は顧問弁護士に、就業規則や服務規律に関わる部分は社会保険労務士に、取引先との秘密保持に関わる部分は契約を管理している担当者に。ゼロから相談するより、素案がある状態で見てもらうほうが、相手の時間も自社の費用も少なくて済みます。

もう1つ、契約中のAIサービスで入力した内容がどう扱われるかは、プランによって条件が違います。これも私の解説ではなく、使っているサービスの公式な説明を見て確認してください。ここは条件が変わることがあるので、後述する見直しのタイミングで毎回見るのがいいと思います。

禁止語を並べるより、判断に迷った例を書く

1枚に収めると決めた瞬間、何を削るかで悩むはずです。私の経験では、削っていいのは抽象的な心構えの部分で、残すべきは具体例です。

たとえば「機密情報の入力を禁止する」の一行より、「先週、A社から届いた見積書のPDFをそのまま貼り付けて要約させようとした。これは取引先から預かった資料なので不可。金額と社名を消した自社側のメモなら可」のほうが、圧倒的に伝わります。判断の境目が見えるからです。

ルールを配ったあと、実際に現場から出た質問を1〜2行ずつ追記していく。3ヶ月も回すと、その会社に固有の判断集ができあがります。他社のテンプレートを丸写ししたガイドラインより、この判断集のほうがよほど役に立ちます。

作った後の運用は、月1回の振り返りと四半期の書き換え

ルールは配って終わりではありません。とはいえ大げさな運用体制も要りません。2つだけ回します。

月1回、15分。使用状況を見て、困った場面がなかったかを担当者に聞きます。AI導入の効果測定（削減できた時間の記録）を月1回やる想定なので、その場に議題を1つ足すだけで済みます。

四半期に1回、ルール本体を書き換えます。追記された質問を整理して、使っていい業務の範囲を広げるかどうかを決めて、契約中のサービスの条件に変更がないかを見る。ここで1枚に収まらなくなったら、その時に2枚にすればいい。最初から2枚で作る必要がなかったのと同じで、必要になってから増やす。

更新の担当者も1枚の中に書いておいてください。誰の仕事でもないタスクは、必ず消えます。

禁止だけのルールが失敗する理由

最後に、いちばん多い失敗パターンを書きます。「業務での生成AI利用は当面禁止」で終わらせるやり方です。

安全に見えますよね。実際には逆です。禁止した会社で起きるのは、社員が自分のスマホやプライベートのアカウントで使い始めることです。会社としては何がどう使われているか一切見えなくなる。しかも、見えないので指導もできない。統制が効かない分だけ、公認して枠を作るより危険な状態になります。

この構造は、AI導入がうまくいかない会社に共通する型の1つで、AI導入が失敗する典型パターンのほうにも詳しく書きました。事故が1回起きて全面禁止に振れる、というのがよくある流れです。気持ちは分かるのですが、そこで止めると、次に再開するときの心理的コストがかなり高くつきます。

打ち手はシンプルです。禁止ではなく、チェック体制とセットで公認する。入れてはいけない情報と、承認する人が決まっていれば、大半の事故は防げます。1枚のルールが担っているのは、その2点です。

ルールを作るタイミングは、導入して3ヶ月目でいい

ここまで読んで「まだ何も導入していないのに、先にルールを作るべきか」と思った人がいるかもしれません。答えは、先に作らなくていい、です。

使う業務が決まっていない段階で書いたルールは、机上の想像で書くことになります。想像で書いた禁止事項は、たいてい厳しすぎるか、的外れかのどちらかです。1人・1業務で2週間ほど実際に使ってみると、「ここが危ないな」という箇所が具体的に見えてきます。それを書けばいい。

すでに社員が勝手に使い始めているなら、話は別です。その場合は、5項目のうち2つ目（入れてはいけない情報）と3つ目（承認者）の2行だけ先に共有してください。それだけで、当面の大きな事故はかなり減ります。残りは落ち着いてから足せます。

順番の全体像は中小企業のAI導入を90日で軌道に乗せる進め方にまとめてあります。ルール作りは、そのうちの3ヶ月目にあたる工程です。

自社の線引きに自信が持てないなら

1枚のたたき台を作るところまでは、この記事の項目をなぞれば自社でできます。実際、そこまでを社内でやったほうが、内容が自社の言葉になるので現場に浸透します。

迷いやすいのは、入れてはいけない情報の線引きと、使っていい業務の範囲の決め方です。ここは業種と扱う情報でかなり変わるので、他社の例をそのまま持ってきても合いません。F2Tでは無料の壁打ち相談をやっているので、たたき台を持ってきてもらってもいいですし、「社員が使い始めていて、何から手をつけるべきか分からない」という段階でも大丈夫です。売り込みの場ではなく、自社の場合はどこに線を引くべきかを一緒に整理する場です。法律に関わる最終判断は、そのあと自社の顧問の専門家に確認してもらうのが安全な流れだと思います。

無料で壁打ち相談をする

この記事を書いた人：Tomo（F2T）。AIエージェント組織を自分の業務で毎日動かしている実装者です。このブログの記事は、すべてその実作業の記録から生まれています。