佐賀 AI研修のセキュリティ対策｜社内AI利用ルールを作る5つの手順
「生成AIを仕事で使いたい。でも、情報漏えいが心配で、社内で始められない」。佐賀県内の企業や団体から、よくいただくご相談です。
結論から申し上げると、生成AIは「使わない」と決めるだけでは、安心して使える状態にはなりません。誰が、どの仕事で、どんな情報を入力してよいのか。出てきた文章を誰が確認するのか。困ったときに誰へ連絡するのか。これを先に決めておくことで、現場は迷わず使い始められます。
この記事では、佐賀 AI研修でセキュリティを考えるときの、社内AI利用ルールの作り方を5つの手順に分けてご説明します。難しい規程を最初から完成させるのではなく、まずは現場で守れる小さなルールをつくるための考え方です。
※ 生成AIサービスの機能・料金・利用条件や、関係する制度は変更される場合があります。実際に利用する前に、各サービスの公式情報と社内規程をご確認ください。
AI研修でセキュリティを先に考える理由
生成AIは、文章の下書きや要約、整理には便利です。一方で、入力した情報がどのように扱われるかは、利用するサービスの設定や契約、利用条件によって確認が必要です。サービスの説明を読まずに、会社の資料や個人情報をそのまま入力するのは避けなければなりません。
もう一つ大事なのは、禁止事項だけを並べても、現場では使い方が分からないということです。「個人情報を入れない」と書いてあっても、どこまでが個人情報なのか、匿名化すればよいのか、判断に迷う場面が出てきます。
だからこそ研修では、危険な使い方を覚えるだけでなく、迷ったときに立ち止まれる手順まで決めます。安全性は、注意する人の記憶だけに任せず、仕事の流れの中に組み込むことが大切です。
社内AI利用ルールは、最初から完璧にしなくていい
社内ルールをつくると聞くと、何十ページもある規程を想像されるかもしれません。しかし、最初から大きな規程をつくる必要はありません。
まずは「使ってよい仕事」「入力してよい情報」「出力を確認する人」「困ったときの連絡先」の四つが分かれば、現場の迷いはかなり減ります。実際に使ってみて判断に迷ったケースが出てきたら、その都度ルールに加えていけばよいのです。
ここでご紹介する分類や確認項目は、すべての会社にそのまま当てはめるための決まりではありません。自社の業種、扱う情報、契約、社内規程に合わせて調整するためのたたき台としてご覧ください。
手順1：AIに入力する情報を3つに分ける
最初に、AIへ入力する情報を、三つの段階に分けます。名前は会社ごとに変えて構いません。大切なのは、入力前に判断できるようにすることです。
一つ目は、公開情報です。すでにホームページで公開している文章や、誰が見ても問題のない一般的な情報が当たります。この範囲であれば、文章の言い換えや構成案づくりに使いやすいでしょう。
二つ目は、社内情報です。社内の業務手順や、まだ外部に出していない企画などが当たります。社内情報は、利用するサービスの条件や会社のルールを確認したうえで、必要な範囲だけを扱います。迷う場合は、公開情報と同じ扱いにせず、入力しない判断を優先します。
三つ目は、保護が必要な情報です。お客様や従業員の氏名、連絡先、住所、識別番号、契約内容、認証情報、未公表の経営情報などが該当します。これらは、原則としてそのまま入力しません。匿名化や一部削除で安全に扱えるかどうかも、担当者だけで判断せず、社内の責任者へ確認します。
この三段階は、法律上の分類を置き換えるものではありません。法令や契約、社内規程のほうが優先されます。あくまで、業務の途中で「これは入力してよい情報か」と考えるための、分かりやすい入口です。
手順2：使ってよい業務と、任せない判断を決める
次に、生成AIへ任せてよい仕事と、人が行う仕事を分けます。
下書き、要約、箇条書きへの整理、文章の言い換え、質問項目の洗い出しなどは、最終確認を人が行う前提で使いやすい仕事です。何を入力し、どんな形で出してほしいのかを決めておけば、研修の題材にもなります。
反対に、採用・人事評価・契約・法的な判断、金額の確定、顧客や住民への最終回答など、責任の所在を人が持つ必要のある判断を、生成AIの出力だけで決めてはいけません。AIに案を出してもらうことと、AIに決定を任せることは別です。
社内ルールには、「AIは下書きや整理に使う。送信、公開、承認、決定は担当者が行う」という線引きを、業務に合わせた言葉で書いておきます。
あわせて、業務で使うアカウントの考え方も決めておきます。誰が登録し、誰が利用でき、異動や退職のときにどう止めるのか。アカウントを共同で使う場合も、パスワードを個別に渡すのではなく、会社の管理方法に合わせます。個人の判断で作ったアカウントを業務に使わない、利用者を定期的に見直す、といった運用を社内ルールに含めておくと、後から利用状況を確認しやすくなります。
手順3：入力前の確認を1分でできる形にする
ルールを守れない原因は、注意が足りないことではなく、確認に時間がかかりすぎることです。入力するたびに長い規程を読み直すのではなく、短い確認を一つ用意します。
たとえば、入力前に「氏名や連絡先が残っていないか」「パスワードや認証情報が入っていないか」「契約や未公表情報が含まれていないか」「社外に出してよい資料か」「利用するサービスの条件を確認したか」を確認します。ひとつでも迷う項目があれば、そのまま送信しないという決め方です。
業務上どうしても内容を使いたい場合は、氏名を「Aさん」、取引先を「B社」と置き換える、具体的な金額を範囲にする、不要な行を削除するなど、入力する情報を必要最小限にします。ただし、置き換えたつもりでも、組み合わせれば誰のことか分かる場合があります。匿名化したから必ず安全とは限らないため、判断に迷う資料は入力しないことが基本です。
この確認は、紙一枚にしてパソコンの近くに置くこともできます。大切なのは、ルールを読んだ人だけが守れる形ではなく、忙しいときでも実行できる形にすることです。
手順4：出力後の確認者と確認項目を決める
入力を安全にしても、出力された文章が正しいとは限りません。生成AIは、事実と違う内容を、自然な文章で出すことがあります。そのため、出力後の確認を誰が行うのかを決めておきます。
最低限確認したいのは、日付、数字、固有名詞、制度や契約に関する表現、引用や出典、社内の方針との整合性です。読みやすい文章になっているかだけでなく、元の資料と合っているかを見ます。
社外へ送るメール、公開する案内、顧客や住民へ説明する文章などは、作成者一人で完結させないほうがよい場合があります。部署の責任者が確認するのか、内容によって専門の担当者へ回すのかを、あらかじめ決めておきます。
確認者を決めるときは、役職だけでなく、何を確認する人なのかまで書くことが大切です。「上長確認」だけでは曖昧です。「数字と日付は経理担当」「社外公開文は広報担当」のように、確認する項目を具体化すると、差し戻しも減ります。
手順5：トラブル時の連絡とルール更新を決める
入力してはいけない情報を誤って入力した、出力内容に重大な誤りがあった、身に覚えのない共有やアクセスに気づいた。このようなときに、誰にも相談できない状態がいちばん危険です。
社内ルールには、トラブル時の最初の連絡先を一つ書いておきます。問題が起きた可能性があるときは、まず利用を止め、いつ、どのサービスで、どの情報を、どのように扱ったのかを記録し、決められた担当者へ連絡します。自分だけで削除や隠蔽をしようとすると、後から確認できる情報まで失うことがあります。
その後の対応は、会社のインシデント対応手順や、関係する法令・契約に従います。生成AIだけの特別な問題だと考えず、情報管理上の問題として、必要な担当者が判断できる状態にします。
ルールは、一度つくって終わりではありません。実際に使ってみて「この資料はどの分類か分からなかった」「確認者が決まっていなかった」という場面が出たら、そこを更新します。毎月必ず改定するという意味ではなく、迷った事例を放置せず、次に同じ迷いが起きない形へ直すということです。
研修で手元に残す3つのもの
セキュリティ研修の成果は、知識だけではありません。研修後に社内で使える形にして、三つのものを手元に残します。
一つ目は、社内AI利用ルールのたたき台です。使ってよい仕事、入力してよい情報、禁止する情報、最終確認の考え方、トラブル時の連絡先を、自社の言葉でまとめます。
二つ目は、入力前の確認表です。氏名や連絡先、認証情報、契約内容、未公表情報など、入力前に確認する項目を、1分程度で見られる長さにします。
三つ目は、出力後の確認フローです。作成者が確認するもの、責任者が確認するもの、専門担当へ相談するものを分けます。誰がどこまで見ればよいかを決めておけば、AIを使うたびに判断がぶれにくくなります。
佐賀 AI研修で、社内のルールまで作るときの進め方
社内ルールは、外から持ってきた文章をそのまま貼り付けても、現場では機能しません。扱っている情報も、確認の流れも、部署の人数も会社ごとに違うからです。
佐賀 AI研修では、まず普段の業務と、AIを試したい仕事を確認します。次に、その仕事で扱う情報を分類し、入力前と出力後の確認を実際の業務に合わせて考えます。最後に、研修で出た疑問をルールのたたき台へ反映し、社内で確認するところまで進めます。
研修の中身や、業務診断から実践、社内ルール、研修後の定着までの流れは、佐賀 AI研修の中身と進め方でご紹介しています。AI研修全体の考え方を知りたい方は、佐賀 AI研修は何から始めるかもご覧ください。
大切なのは、セキュリティ担当者だけが分かるルールにしないことです。現場の人が、入力する前に確認できる。管理職が、どこを確認すればよいか分かる。困ったときに、すぐ連絡できる。この三つがそろって、初めて使い続けられるルールになります。
講師はどんな人？
講師は、トレジャーフット九州支店 支店長代理の西嶋 淳郎が担当します。
兵庫県出身。28歳で熊本県へ移住し2社の取締役として事業再生と未経験領域での新規開業を経験。その後佐賀に強烈な魅力を感じ佐賀へ移住し、現在はDXアドバイザーとして活動しながらラジオパーソナリティ、コメンテーター等地元メディアやイベントへ多数の出演実績を持つ。佐賀県の抱える課題とトレジャーフットの活動に可能性を感じ参画を決める。
よくある質問
Q. セキュリティに詳しい担当者が社内にいなくても、ルールは作れますか。 A. はい。まずは公開情報、社内情報、保護が必要な情報の三段階に分け、迷ったら入力しないという入口から始められます。法務、個人情報、契約などの判断が必要な部分は、必要に応じて社内の責任者や専門家へ確認します。
Q. すべての生成AI利用を禁止したほうが安全ではありませんか。 A. 禁止が必要な業務や情報はありますが、すべてを一律に止めると、現場が個別に判断してしまうこともあります。使ってよい仕事と、使ってはいけない情報を分け、最終確認を人が行う形にすることが、実務上の判断をそろえる助けになります。
Q. 会社の資料を研修で使っても大丈夫ですか。 A. 個人情報や機密情報を含む資料は、そのまま入力しません。題材にする場合も、必要な部分だけを残し、氏名や取引先名などを置き換えたうえで、社内のルールと利用するサービスの条件を確認します。判断に迷う資料は、無理に使わないでください。
Q. ルールを作った後も、見直しは必要ですか。 A. 必要です。サービスの機能や条件、社内の業務、扱う情報は変わる可能性があります。実際に迷った事例や、確認で見つかった誤りを記録し、ルールに反映していくと、現場で使える内容に育っていきます。
Q. 初心者でもセキュリティの話についていけますか。 A. 専門用語を覚えることが目的ではありません。入力前に確認すること、出力後に確かめること、困ったときに連絡すること。この三つを、自分の仕事に置き換えて考えますので、生成AIを初めて使う方でも進められます。
無料相談・お問い合わせ
「社内で生成AIを使ってよいか決まっていない」「ルールを作りたいが、どこから始めればよいか分からない」。その段階でのご相談でも構いません。
ご相談はこちらからどうぞ。 トレジャーフット公式サイト
ご相談の際には、AIを使ってみたい業務、扱っている情報の種類、現在決まっている社内ルール、研修を受ける方の人数などを、分かる範囲でお聞かせください。まだ何も決まっていない場合は、その状態から一緒に整理します。
生成AIを便利に使うためには、使い方だけでなく、使わない情報と確認する場所を決めておくことが欠かせません。佐賀 AI研修を通じて、自社で守れる社内ルールをつくるところから始めてみてください。
