生成AI利用ルールのひな形|入力禁止情報の線引きから始める

1. 目的

このルールは、[組織名]の業務で生成AI(ChatGPT・Claude・Gemini・Copilotなど)を利用する際に、情報漏えいや誤情報の利用を防ぎつつ、業務の効率化に役立てることを目的とします。

AIは「考え始めるまでの時間を短くする道具」として、たたき台づくりや下書きの支援に使うことを基本とします。

2. 対象者と利用を認めるサービス

このルールは、[組織名]の役員・従業員・委託先など、業務で生成AIを利用するすべての人に適用します。

業務で利用してよいAIサービスは、下表のものに限ります。表にないサービスを業務で使いたい場合は、事前に[担当部署・担当者]へ申請してください。

3. 入力してはいけない情報(入力禁止)

次の情報は、理由を問わず、AIサービスに入力してはいけません。

• 個人を特定できる情報(顧客・取引先・従業員・住民などの氏名、住所、電話番号、メールアドレス、生年月日、マイナンバーなど)
• パスワード、APIキー、アクセストークンなどの認証情報
• クレジットカード番号・口座番号などの金融情報
• 取引先や顧客から預かった機密情報、秘密保持契約(NDA)の対象となる情報
• 公表前の経営情報・財務情報・人事情報・入札や契約に関する情報
• 社内システムの構成(IPアドレス、社内URL、ネットワーク構成など)
• 「社外秘」「取扱注意」などの表示があるファイルの内容
• [自組織で追加する禁止情報]

4. 条件付きで入力できる情報

次の情報は、条件を守った場合に限り入力できます。迷った場合は入力せず、[相談窓口]に確認してください。

5. 入力してよい情報

• すでに公開されている情報(自組織のWebサイト、公開資料、一般的な知識)
• 個人や組織が特定できない、一般化した状況の説明
• 文章の言い回しや構成の相談(固有名詞を含まないもの)
• ExcelやプログラムのコードのうちAPIキーなどの認証情報を含まない部分

6. AIの回答をそのまま使ってはいけない業務

AIは、もっともらしく見えても事実と異なる内容(ハルシネーション)を出力することがあります。次の業務では、AIの回答をそのまま使わず、必ず担当者が根拠を確認してください。

7. 回答を使う前の確認

• 「答えを出させる」のではなく、「確認すべき点を教えてもらう」使い方を基本にする
• 元になる資料と食い違っていないか、重要な数字や固有名詞は必ず照合する
• 他者の文章や画像と酷似していないか、著作権や利用規約に問題がないかを確認する
• AIが作成した内容を使った場合でも、最終的な責任は利用者と承認者が負う

8. 誤って入力してしまった時の手順

1. 入力した内容、日時、利用したサービス名を記録する(スクリーンショットなど)
2. すぐに[報告先の部署・担当者]へ報告する。自分で判断して隠さない
3. サービスの設定で、履歴の削除や、入力内容を学習に利用しない設定ができるか確認する
4. 漏えいの可能性がある情報の種類に応じて、担当者の指示のもと、関係者への連絡や対応を行う
5. 再発防止のため、原因と対策をこのルールの見直しに反映する

9. 禁止事項

• 第2項の表にないAIサービスを、業務情報とともに利用すること
• 個人のアカウントに業務の文書や情報を貼り付けること
• AIの回答を確認せずに、対外的な文書や判断に利用すること
• このルールを回避する目的で、情報の一部を加工して入力すること(仮名化の条件を守らない場合を含む)

10. 見直しと相談窓口

AIサービスの機能や規約は頻繁に変わります。このルールは、[半年に1回など]を目安に見直します。

ルールの解釈に迷った場合や、新しいサービスの利用を希望する場合の相談窓口は[部署名・担当者・連絡先]です。

制定日:[ ] 最終改定日:[ ] 管理責任者:[ ]

運用開始前のチェックリスト

• ☐ 利用を認めるAIサービスの一覧が決まっている
• ☐ 入力禁止情報に、自組織特有の情報(案件名・システム名など)を追加した
• ☐ 「回答をそのまま使えない業務」を、自組織の実際の業務に合わせて見直した
• ☐ 誤入力した時の報告先が決まっていて、全員が知っている
• ☐ 法人向けのアカウントや契約で、入力内容の扱いを確認した
• ☐ 個人アカウントでの業務利用について、方針を決めた
• ☐ ルールを周知する方法(説明会・資料・掲示など)を決めた
• ☐ 見直しの時期と担当者を決めた