ルールを実務に落とす出発点は、ツール名の一覧ではなく、業務と情報の組み合わせです。同じ生成AIでも、公開情報の要約と、顧客情報を含む判断支援では確認すべき点が違います。以下の順で、利用場面ごとに決めていきます。
01 / PURPOSE
1. 目的と対象業務を決める
まず「どの業務の、どの作業を、何のために支援するか」を具体化します。たとえば、社内手順書から関連箇所を探す、問い合わせ文を担当部署ごとに分類する、定型文の下書きを作る、といった単位です。「仕事を効率化する」のような広い目的だけでは、想定外の使い方や責任の所在を判断しにくくなります。
利用目的に加えて、AIに任せない判断も書き出します。出力をそのまま社外へ送らない、重要な決定をAIだけで確定しないなど、業務上の境界を明らかにします。利用者が別の目的に転用しないための制限と、目的を変えるときの相談先も決めておくと、ルールを現場で使いやすくなります。
02 / INFORMATION
2. 入力情報を分類する
社員が迷わないよう、情報の種類ごとに入力可否や条件を定めます。次の分類は社内ルールを考えるための一般的な例です。実際の分類名、許可範囲、例外は、組織の情報管理方針と利用するツールの条件に合わせて決めてください。
| 情報の例 | ルールを決める際の確認 | 現場での扱い方の例 |
|---|---|---|
| 公開情報 | 入力先の利用条件、著作物や出典の扱い、出力の正確性 | 公開情報でも、出力を確認し出典を保つ |
| 社内情報 | 社内限定の内容か、ツールのアクセス範囲が適切か | 承認された環境と業務目的に限る |
| 個人情報 | 利用目的、必要性、取扱い条件など、個別に確認が必要な事項 | 許可と確認がない場合は入力を保留して相談する |
| 機密情報 | 秘密保持上の制約、権限、保存・共有の条件 | 利用を認めた業務・ツール・担当者を明確に限定する |
情報を伏せ字にしたり、個人名を削除したりするだけで、常に安全な入力になるとは限りません。組み合わせから個人や組織が推測できる場合もあります。匿名化や加工をルールに含めるなら、その方法と残るリスクも確認対象にします。
03 / TOOL CONDITIONS
3. 利用ツールの条件を確かめる
ツールの名称や「法人向け」といった表示だけで、情報の扱いを判断しないことが大切です。利用を決める前に、契約・設定・提供者の説明で、少なくとも次の点を確認し、誰が確認したかを記録します。条件が分からない項目は「問題なし」とせず、入力可能な情報を限定するか、確認が終わるまで利用を保留します。
- 入力データや出力が保存されるか、保存期間や削除方法はどうなっているか。
- 入力内容がモデルの改善や他の目的に利用されるか、設定で変更できるか。
- 誰がデータや会話履歴へアクセスでき、組織内の権限をどう管理できるか。
- 外部サービスとの連携、データの保管・処理場所、共有や移転に関する条件は何か。
- 管理者が利用状況を確認できるか、退職・異動・契約終了時に何を行うか。
これらは利用可否を決めるための質問例であり、特定のツールの条件を示すものではありません。説明が見つからない、設定の意味が分からない、情報の種類に対して制御が足りないといった場合の相談先を用意しておくと、現場任せの判断を減らせます。
04 / ACCOUNTABILITY
4. 確認・承認・相談の役割を決める
「人が確認する」と書くだけでは、誰が何を見て、どの状態なら止めるのかが分かりません。出力を業務に使う担当者、重要な判断を承認する責任者、ツールや情報管理を相談できる担当を、業務に応じて区別します。一人が複数の役割を担う場合も、どの場面で責任が切り替わるかを明らかにします。
確認者が判断できるよう、AIの候補だけでなく、根拠となる原文、参照元、未確認項目も見られる手順にします。承認・修正・差し戻し・保留を分け、情報不足、担当先不明、誤り、苦情などの例外時に、誰へ引き継ぐかを定めます。人が内容を確定する前に外部へ送信・反映されないよう、権限や操作手順も合わせて確認してください。
実務例：問い合わせ文の分類候補
これは手順を考えるための例です。AIが担当部署の候補と判断根拠を示し、担当者が原文と照合してから振り分けます。緊急性が高い、根拠が不明、情報が不足している場合は自動で確定せず、定めた窓口へ引き継ぐ設計にします。実際の分類基準や情報の入力可否は、各組織が業務とツールに合わせて決めます。
確認者の負担や見落としも運用上のリスクです。修正の内容、差し戻しの理由、例外の傾向を振り返り、確認画面や対象範囲、教育を見直せるようにします。具体的な手順はAI出力の人間確認フローを設計するガイドで詳しく解説しています。
05 / GUIDELINES & LAW
5. ガイドラインと法的義務を分けて考える
日本のAI事業者ガイドラインなどは、AIの利用や提供に関するリスクを考え、組織の管理や説明の仕方を検討する際の参考になります。一方、ガイドラインに沿った社内ルールを作ることと、個々の事業・情報処理に適用される法的義務を確認することは別の作業です。ガイドラインを参照しただけで、法的な適合性が確定するわけではありません。
たとえば個人情報を扱う場合、利用目的、取得・利用の状況、外部提供や委託の有無などを踏まえ、個人情報保護法その他の関係ルールについて確認が必要となることがあります。著作物、雇用・人事上の判断、契約、業界固有の規制なども、業務の内容によって論点になり得ます。該当するかどうかや必要な対応は、具体的な事情に基づいて社内の専門部署や適切な専門家へ確認してください。
06 / KEEP IT CURRENT
6. 教育と見直しを運用に組み込む
ルールを配布しただけでは、現場の迷いは解消しません。利用開始時に、入力してよい情報、出力の確かめ方、誤りを見つけたときの報告先を、業務に即した例で説明します。利用者が判断に迷った場合に、利用を止めて相談できることも周知します。新しいツールを使い始める人や、業務の担当が変わる人に必要な案内も検討してください。
利用するツール、扱う情報、業務手順、関係するルールが変わったときは、既存の前提が保たれているかを見直します。問題や苦情、想定外の出力があった場合には、記録・相談・必要な停止を行い、同じ状況が繰り返されないようルールと教育に反映します。見直しの担当者と、記録を保管する場所も決めておくと、変更の経緯を追いやすくなります。
利用ルールを作るときの確認リスト
- 対象業務と利用目的が具体的
- 入力情報の区分と許可条件が明確
- 利用ツールの条件を確認・記録
- 出力の確認者と承認者を区別
- 低確信・誤り・苦情の相談先がある
- 停止・修正・見直しの手順がある
QUESTIONS