AIを業務で使い始めると、「どこまで情報を入力してよいのか」「生成された文章をそのまま社外に出してよいのか」「誰でも同じAIサービスを使ってよいのか」といった確認事項が少しずつ増えてきます。セキュリティや法務という言葉を聞くと、専門部署だけで扱うテーマのように感じるかもしれません。しかし、実際のAI利用では、業務を知る現場と、情報システム・法務・管理部門が一緒に整理することが大切です。このセクションでは、安全にAIを使い続けるために確認したい「情報・権限・出力・利用ルール」の基本を整理します。

AI セキュリティは「入力から利用まで」の流れで考える

AI導入におけるリスク管理というと、サイバー攻撃や高度な法律問題を思い浮かべやすいものです。しかし、事業会社が最初に整理したいのは、日常業務の中で「どの情報を、どのAIに、どのような条件で渡し、その結果をどう使うのか」という流れです。

たとえば、営業担当者が顧客との打合せメモを生成AIに入力して要約する場面を考えてみましょう。ここでは、「AIの性能が高いか」だけを確認しても十分ではありません。

メモには誰の情報が入っているのか。その情報をAIサービスへ入力することが、もともとの利用目的の範囲内なのか。サービス提供事業者は入力データをどのように取り扱うのか。生成された要約を誰が確認し、どこまで共有するのか。こうした点まで含めて業務の流れを整理します。

つまり、AI セキュリティとは、単に「安全なAIツールを選ぶこと」ではありません。何を入力し、誰が使い、何が出力され、その結果をどのように保存・共有・利用するかを管理することが基本です。

リスク管理は、AIを使わせないための仕組みではない

ルールを検討するときに気をつけたいのは、管理項目を増やすこと自体が目的にならないようにすることです。現場から見て判断できないルールや、ほとんどの利用を一律に禁止する仕組みでは、実際の業務との距離が広がることがあります。

AI利用ルールには、「してはいけないこと」を示す役割だけでなく、「この条件なら利用できる」と判断できるようにする役割があります。

たとえば、「公開済み資料を使った文章案の作成は会社指定のAIで行える」「顧客情報を扱う場合は利用環境と入力範囲を事前に確認する」といった形です。

最初からすべてのケースを想定する必要はありません。まずは自社で利用頻度の高い業務から、情報の流れと確認ポイントを整理してみましょう。

生成AIの情報漏えい対策は「何を入力するか」から整理する

生成AIの情報漏えい対策では、まずAIへ入力する情報の種類と、その情報がサービス提供事業者側でどのように取り扱われるのかを確認します。

たとえば顧客との会話記録には、氏名や連絡先だけでなく、相談内容、契約内容、取引履歴、担当者の所見などが含まれていることがあります。

そこで、「個人情報だから全部同じ」「機密情報だからすべて禁止」と大きなくくりだけで判断するのではなく、業務上どのような情報を扱っているのか、その情報を外部のAIサービスへ送る必要があるのかを確認します。

個人情報・顧客情報・機密情報を分けて確認する

外部AIへの個人データ入力は、利用目的とデータの扱われ方を確認する

個人情報を生成AIへ入力する場合、「会社が利用を認めたAIだから大丈夫」とだけ考えるのではなく、個人情報保護法上の取扱いも確認します。

特に、個人データを外部事業者が提供するAIサービスへ入力する場合は、サービス提供事業者がそのデータをどのような立場と目的で取り扱うのかが重要です。

利用企業の指示に基づいて処理する業務委託として整理できる場合もあれば、第三者提供に関する検討が必要になる場合もあります。外部サービスを利用するという事実だけで、どちらかに一律に決まるわけではありません。実際の契約内容やデータの利用実態に沿って確認します。

個人情報保護委員会も、個人情報取扱事業者が本人の同意なく個人データを含むプロンプトを入力する場合、サービス提供事業者がその個人データを応答生成以外の目的で取り扱わないか、機械学習に利用しないかなどを十分に確認するよう注意を促しています。これは、生成AIを業務利用するときに押さえておきたい基本的な確認事項です。

法人向け・エンタープライズ向けの契約であることは判断材料の一つですが、「法人契約だから問題ない」と名称だけで判断するのは避けた方がよいでしょう。入力データが学習等へ利用される条件、保存期間、管理者機能、アクセス制御など、実際の契約と設定を確認します。

また、サービス提供事業者やデータ処理先が国外にある場合には、外国にある第三者への提供に関する規律など、追加の確認が必要になることがあります。具体的な判断は利用形態によって異なるため、必要に応じて法務・個人情報保護担当者や専門家へつなげます。

必要な情報だけをAIへ渡す

AIに要約や分類を依頼するからといって、元資料を常にそのまま入力する必要があるとは限りません。

たとえば、顧客対応の傾向を整理することが目的であれば、氏名や電話番号などを除き、分析に必要な部分だけを利用できる場合があります。文章作成の練習であれば、実在する顧客情報ではなく、架空のサンプルデータで目的を達成できることもあります。

「AIに何を入力してよいか」という問いを、「業務目的を達成するために、AIへ渡す必要がある情報はどこまでか」と置き換えると、情報管理と業務効率を一緒に考えやすくなります。

AIツールの利用権限と、データへのアクセス権限を分けて考える

情報そのものに加えて確認したいのが、「誰が何を使えるか」という権限管理です。

AI導入の初期には、担当者が個別にアカウントを作り、試行的に利用することもあります。しかし、利用が部門内や全社へ広がると、誰がどのAIサービスを利用しているのか、どの情報へアクセスできるのかを把握する必要が出てきます。

「AIを使えること」と「社内情報を見られること」は別の権限

たとえば、営業部門全員が文章作成用のAIを利用できるとしても、すべての営業担当者がすべての顧客データをAIから検索できる必要はありません。

また、社内文書を検索して回答するAIを導入した場合には、元の文書管理システムでは閲覧できない資料が、AIへの質問によって見えてしまう設計になっていないかを確認します。

AIは情報を探しやすくするため、従来は複数のフォルダを探さなければ見つからなかった情報にも容易に到達できる場合があります。だからこそ、元データに設定されたアクセス権限をAI側でどのように反映するかという観点が重要です。

最初から細かな権限体系を作る必要はありません。現在使われているAIサービス、利用者、主な利用業務、接続しているデータを一覧にするだけでも、情報システム部門と相談する材料になります。

AI生成物では、著作権・利用規約・社外利用を分けて確認する

AIの出力を業務で使う場面では、情報セキュリティだけでなく法務面の確認も必要になります。ここでは、著作権、AIサービスの利用規約、社外利用の三つに分けて考えます。

著作権は「他人の権利」と「生成物自体の権利」を分ける

AIが生成した文章や画像について著作権を考えるときは、少なくとも次の二つの論点を分けると理解しやすくなります。

1. 生成物を利用することで、他人の著作権を侵害しないか
2. その生成物自体が著作物となり、自社や担当者側に著作権が成立するか

この二つは別の問題です。「AIが生成したから他人の著作権を侵害しない」とも、「AIで生成したから自社に当然に著作権が発生する」とも、一律には判断できません。

他人の著作権を侵害していないか

AI生成物が既存の著作物と似ている場合には、著作権侵害の可能性を検討することがあります。日本の著作権法上、著作権侵害の判断では、既存著作物との類似性だけでなく、その著作物に依拠して作成されたといえるかという点なども問題になります。

生成AIと著作権の関係には、なお個別判断を要する部分があります。文化庁も、生成AIに関する判例・裁判例の蓄積が十分ではないことを踏まえ、「AIと著作権に関する考え方」やチェックリスト等を公表しています。

広告、商品パッケージ、Webサイト、顧客への納品物など、社外へ広く利用する文章や画像では、既存作品との類似が強くないか、特定の作品やキャラクター等を再現するような使い方になっていないかなど、用途に応じた確認を行います。

生成物自体に著作権が成立するか

一方、AI生成物そのものが著作物に当たるかという問題では、人による創作的な関与が重要になります。

文化庁は、AIが自律的に生成したものは著作物には該当しないと考えられる一方、人がAIを創作のための「道具」として使用したと認められる場合には、著作物に該当し得ると説明しています。その判断では、人の創作意図や創作的寄与を、生成までの過程全体から個別に評価します。

したがって、「プロンプトを長く書けば著作権が発生する」「一定量を加筆すれば必ず著作物になる」といった機械的な基準で判断することはできません。

また、AI生成物の利用では、著作権以外にも、商標、肖像、契約上の利用条件などが関係する場合があります。他人の著作物を利用する際にも、著作権以外の権利や利用条件の確認が必要になる場合があると文化庁は案内しています。

利用規約は「入力」と「出力」の両方を見る

AIサービスを利用するときは、利用規約、プライバシーポリシー、契約条件、管理設定なども確認対象になります。

担当者がすべての条文を一人で読み解こうとする必要はありません。業務上確認したいことを整理し、法務部門や情報システム部門へ相談すると進めやすくなります。

• 入力した情報はどのように保存・利用されるのか
• 入力データや出力データが機械学習やサービス改善に利用される条件はどうなっているか
• 学習利用を制限する設定や契約条件はあるか
• 生成された内容を業務や商用目的で利用できる条件はどうなっているか
• 会社として必要なアカウント管理、ログ、アクセス制御などの機能があるか
• サービス提供者やデータ処理先が国外にある場合、追加確認が必要か
• サービスの仕様や利用条件が変更された場合、誰が確認するか

こうした条件はサービスや契約形態によって異なります。「有名なサービスだから」「法人向けプランだから」と名称だけで判断せず、自社が実際に利用する契約と設定を確認することが基本です。

社内利用と社外利用を分けて考える

AIが生成した文章を担当者のアイデア整理に使うことと、その文章を顧客へそのまま送ることでは、求められる確認の水準が異なります。

会議の議題案や社内メールの下書きと、広告表現、契約に関する回答、顧客への正式回答、プレスリリースなどを、同じ確認手順で扱う必要はありません。

AI利用ガイドラインでは「AIを使えるか・使えないか」という二択だけではなく、どの用途なら、誰が、何を確認してから利用するのかを整理すると、現場で判断しやすくなります。

AIの偏りや不適切な表現は、利用目的に応じて確認する

AI 倫理という言葉は幅広いテーマを含みます。初級段階では、まず「AIの出力が誰かに不合理な不利益を与えたり、不適切な表現を含んだりしないか」という視点を持つと理解しやすくなります。

AIは、入力内容、利用するモデル、参照するデータ、指示の仕方などによって異なる出力を返します。その中には、事実誤認だけでなく、特定の属性について偏った表現や、業務目的に適さない評価が含まれる可能性もあります。

だからといって、あらゆる出力を同じ水準で確認する必要があるわけではありません。利用目的と、その出力が人や事業へ与える影響に応じて確認方法を変えます。

人に影響する判断ほど、人間の役割を明確にする

人事、採用、顧客対応、審査、評価など、人に対する判断や重要な意思決定にAIを利用する場合は、より丁寧に整理します。

たとえば、AIが問い合わせ内容を分類して担当部署を提案する用途と、顧客からの申請をAIだけで承認・不承認にする用途では、判断の影響が異なります。

影響が大きい業務では、AIの出力を最終決定ではなく、担当者が判断するための参考情報として位置づける方法もあります。前回までに扱った人間確認、根拠確認、ログ、改善サイクルは、このような場面でリスク管理とつながります。

実務例：顧客対応メモをAIで要約する場合

ここまでの内容を、カスタマーサポート部門の業務で確認してみましょう。

担当者が記録した顧客対応メモをAIで要約し、次回対応の準備をしやすくするケースです。

この場合、最初から「AIを使ってよいか」を一括して議論するよりも、業務の流れに沿って確認事項を分けると整理しやすくなります。

業務目的を整理すると、専門部署へ相談しやすくなる

たとえば担当者が法務部門へ「生成AIを使って大丈夫ですか」とだけ質問しても、回答する側は具体的な利用方法を判断しにくいことがあります。

一方で、「カスタマーサポートの対応メモを次回対応用に要約したい」「氏名など不要な情報は除く予定」「出力は社内だけで利用する」「会社契約のAIサービスを利用予定」というところまで整理されていれば、確認すべき論点が具体的になります。

情報システム部門へ相談する場合も同様です。利用人数、扱う情報、利用する端末、必要な社内データ、保存先、アカウント管理などが分かれば、権限管理やセキュリティ設定を検討しやすくなります。

専門部署へ相談する前に、完璧な資料を作る必要はありません。相談内容がまとまっていない段階でも、「何の業務で、何を入力し、何に使いたいか」という流れから整理すると、次に確認すべきことが見えやすくなります。

AI利用ガイドラインでは何を決めればよいか

AI利用ガイドラインとは、社員がAIを利用するときの基本的な判断基準をまとめたものです。

会社によって、正式な規程、ガイドライン、マニュアル、FAQ、チェックリストなど形式は異なります。重要なのは文書の名称ではありません。現場が「この使い方をしてよいか」を判断でき、迷ったときの相談先が分かることです。

ルールは長さより「現場で判断できること」が大切

AI利用ガイドラインを作る際、「考えられるリスクをすべて記載しなければならない」と考えると、作成作業が大きくなりやすくなります。

利用者にとって重要なのは、法律や技術の説明が大量に書かれていることではありません。自分の業務で何を確認し、迷ったときに誰へ相談すればよいか分かることです。

たとえば、「顧客情報は注意して扱う」とだけ書くよりも、「顧客情報を含む資料をAIで利用したい場合は、利用可能なAIサービス、入力範囲、データの取扱条件を確認する」とした方が、担当者は次の行動を判断しやすくなります。

また、禁止事項だけではなく、「公開済み資料を使った文章案の作成はこの環境で利用できる」「社内向けのアイデア整理ではこの条件で利用できる」といった利用可能な例を示すことも、ルールを現場で使いやすくするうえで役立ちます。

AI利用ルールは一度作って終わりにしない

AIを取り巻く環境は変化します。利用するサービスが変わることもあれば、同じサービスでも機能、利用規約、データの取扱条件、管理設定などが変わることがあります。

また、最初は文章作成だけだった利用が、社内文書検索、議事録作成、顧客対応支援などへ広がることもあります。

そのため、AI利用ルールは「完成した規程」として固定するよりも、利用状況を確認しながら更新できる仕組みにしておくことが大切です。

• 新しいAIサービスや新機能を導入するとき
• 利用規約やデータ利用条件が変更されたとき
• 扱う個人情報・機密情報の種類が変わったとき
• AIを利用する部門や人数が増えたとき
• 顧客向け業務など、新しい用途へ広げるとき
• 誤った利用や判断に迷った事例が出てきたとき
• 社内の情報管理ルールや契約条件が変わったとき

特に役立つのが、現場から集まった「判断に迷った事例」です。迷った事例は、誰かを責める材料ではなく、ルールを改善する材料として扱えます。

「この情報は入力してよいか分からなかった」「この出力を顧客に見せてよいか迷った」といった相談を蓄積すれば、FAQや具体例を追加できます。こうして利用実態とルールを往復させることで、AIガバナンスを現場の業務に合わせて育てていきます。

よくあるつまずき

1．「機密情報を入力しない」だけでルールを終える

機密情報を適切に扱うことは重要ですが、「機密情報を入力しない」という一文だけでは、利用者が何を機密情報と判断すればよいか迷うことがあります。

また、個人データについては、単なる社内分類だけでなく、利用目的や外部サービス提供者による取扱いなど、個人情報保護法上の確認が必要になる場合があります。

2．「学習利用を停止した」だけで確認が終わる

入力データがAIモデルの学習に利用されない設定は重要な確認項目ですが、それだけで情報管理や法務上の確認がすべて完了するわけではありません。

利用目的、サービス提供者との契約関係、保存条件、アクセス管理なども合わせて確認します。

3．AIサービスの名称だけで安全性を判断する

同じ名称のサービスでも、個人向け・法人向けといった契約形態や、管理機能、保存条件、データ利用設定が異なる場合があります。

「このAIなら安全」「法人向けプランなら問題ない」と一律に判断せず、自社が利用する契約・設定・用途を確認します。

4．AI生成物なら著作権上自由に使えると考える

AI生成物については、既存著作物を侵害していないかという問題と、その生成物自体に著作権が成立するかという問題を分けて確認します。

重要な社外コンテンツでは、AIで生成したという事実だけを判断材料にせず、利用目的や制作過程に応じた確認を行います。

5．ルールを専門部署だけで作る

法務部門や情報システム部門だけでルールを作ると、実際の業務でどのようにAIが使われるのかが十分に反映されないことがあります。

一方、現場だけで決めると、契約条件、情報管理、個人情報保護、著作権などの確認事項が抜ける可能性があります。

業務を知る現場、情報環境を管理する部門、法務・管理を担当する部門が役割を分けながら整理すると、利用しやすさと管理の両方を考えやすくなります。

6．すべてのAI利用に同じ確認手順を求める

簡単な文章案の作成と、顧客への正式回答では影響の大きさが異なります。それにもかかわらず、すべての利用で同じ申請や確認を求めると、運用が複雑になりやすくなります。

業務への影響、扱う情報、社外利用の有無などに応じて、確認の水準を分けると運用しやすくなります。

経営者・責任者向けの確認ポイント

経営者や部門責任者は、個別のAI設定や法令の細部をすべて把握する必要はありません。一方で、会社としてどのような考え方でAIを利用するのか、基本方針を確認しておくと現場の判断を支えやすくなります。

AI利用の責任者・相談先が分かる状態か

AI利用について迷ったとき、「情報システム部門へ聞くのか」「法務部門へ聞くのか」「AI推進担当へ聞くのか」が分からないと、現場で判断が止まりやすくなります。

すべてを一つの部署で回答する必要はありません。まず相談を受ける窓口を決め、内容に応じて専門部署へつなぐ方法もあります。

個人情報を扱うAI利用が把握されているか

顧客情報や従業員情報をAIで扱う業務では、単にツールの利用を承認するだけでなく、どのサービスへ何を入力し、入力データがどのように扱われるのかを確認できる状態にします。

外部SaaSを利用する場合には、契約や設定を誰が確認するのかを決めておくと、現場ごとに判断が分かれることを防ぎやすくなります。

重要な業務ほど、人間の役割が明確になっているか

AIを利用した結果について、誰が最終的に確認するのかを整理します。

社内のアイデア出しであれば簡単な確認で十分なこともありますが、顧客への回答、重要な社内判断、法的な意味を持つ文書などでは、担当者や責任者による確認方法を明確にした方がよい場合があります。

利用状況を把握できているか

経営層がすべてのAI利用履歴を見る必要はありません。しかし、会社でどのようなAIサービスが使われ、どの業務に利用され、どの種類の情報が扱われているかを一定程度把握できる仕組みは、リスク管理だけでなく今後の投資判断にも役立ちます。

事業上のメリットと管理負担を一緒に見ているか

AI セキュリティや法務リスクを考えると、管理項目を増やす方向へ議論が進みやすくなります。しかし、管理の目的は事業活動を止めることではありません。

業務への効果と影響の大きさを見ながら、「どの条件なら利用できるか」を検討することが経営判断では重要です。用途に応じた管理水準を考えていきます。

AI導入支援者としての着眼点

AI導入コンサルタントや支援者として企業のAI利用ルールを支援するときは、完成したガイドラインのひな型を最初から当てはめるより、その会社でAIがどのように使われるのかを確認することが重要です。

同じAIサービスでも、公開情報を使ってマーケティング案を作る会社と、顧客の相談記録を扱う会社では、確認したい内容が異なります。

「何を使うか」より先に「何に使うか」を聞く

1. どの業務でAIを使いたいのか
2. その業務では、どのような情報を扱っているのか
3. AIへどの情報を入力する予定なのか
4. 利用するAIサービスでは入力情報がどのように保存・利用されるのか
5. AIの出力を誰が利用し、誰に見せるのか
6. 最終判断を人が行うのか、AI処理を自動化するのか
7. 現在の情報管理ルールや承認フローはどうなっているのか

この情報が整理できれば、情報システム部門へ確認する内容、法務部門へ確認する内容、現場で決める内容を分けやすくなります。

法的な位置づけをサービス名だけで断定しない

外部AIサービスへ個人データを入力する場合、契約と実際のデータ利用によって法的な整理が変わります。支援者がサービスの名称だけを見て、「これは委託だから問題ない」「第三者提供だから本人同意が必要」と一律に決めるのは適切ではありません。

サービス提供者がデータをどの目的で利用するのか、企業からの指示の範囲内で処理するのか、機械学習等へ利用されるのかなどを整理し、必要な場合は法務担当者や専門家へつなぎます。

支援者の役割は、専門部署へつなぐ論点も整理すること

著作権、個人情報、契約上の義務などについて個別具体的な法的判断が必要な場合は、企業の法務担当者や適切な専門家による確認につなげます。

支援者自身がすべての答えを持つことより、「この利用方法では、何を誰に確認すべきか」を整理できることが実務では重要です。

ルール作成だけでなく、運用方法まで見る

ガイドラインを作った後、誰が利用者からの質問に答えるのか、新しいAIサービスを使いたい場合にどう相談するのか、規約や機能が変わったときに誰が確認するのかまで整理します。

AIガバナンス支援では、文書を作成して終えるのではなく、「現場で判断でき、必要なときに専門部署へつながる状態をつくる」という視点が重要です。

ミニチェックリスト

まずは現在の状況を整理してみましょう。すべてに答えられなくても問題ありません。分からない項目は、情報システム部門、法務部門、管理部門などと相談するための論点として使えます。

• AIへ入力する可能性がある個人情報・顧客情報・機密情報の種類を把握していますか。
• 個人データを外部AIへ入力する場合、利用目的、契約関係、データ利用条件、学習利用の有無などを確認できていますか。
• 会社として利用するAIサービス、契約形態、アカウントの範囲が整理されていますか。
• 誰がどのAIを利用でき、どの社内情報へアクセスできるか確認できますか。
• AIの出力を社外利用する場合の確認者や、著作権・利用規約等の確認方法が決まっていますか。
• 偏りや不適切な表現が問題になり得る業務について、人間が確認する方法を考えていますか。
• 利用者が判断に迷ったときの相談先と、AI利用ルールを見直す方法が決まっていますか。

まとめ――安全にAIを使い続けるための仕組みを整える

まず確認したいのは、AIにどのような情報を入力するのかです。個人情報、顧客情報、機密情報などを業務単位で整理し、目的を達成するために本当に必要な情報だけをAIへ渡せないか考えます。

個人データを外部AIサービスへ入力する場合は、社内ルールだけでなく、利用目的、サービス提供事業者との関係、データの利用方法、契約・設定などを確認します。一つの条件だけで安全性や適法性を判断せず、実際の利用方法に沿って整理することが大切です。

次に、誰がどのAIサービスを使い、どの社内情報へアクセスできるのかを整理します。AIの利用権限とデータへのアクセス権限を分けて考えることで、情報管理の論点が見えやすくなります。

AI生成物については、「他人の著作権を侵害していないか」と「生成物自体に自社側の著作権が成立するか」を分けて考えます。AIで生成したという事実だけでは、どちらも一律には判断できません。

さらに、AIの出力については、正確性だけでなく、利用規約、社外利用の可否、偏りや不適切な表現なども用途に応じて確認します。顧客、人事、審査、重要な意思決定など、人への影響が大きい業務では、人間による確認や判断の役割を明確にします。

そして、AI利用ガイドラインは一度作って完成するものではありません。利用するサービスや業務、契約条件、技術が変われば、必要なルールも変わります。現場から寄せられる質問や判断に迷った事例を確認しながら、できる範囲から見直していきます。

Chapter 6では、AI導入の効果測定、投資判断、品質、リスク管理について整理してきました。ここまでで、AIを「導入するかどうか」だけではなく、事業として継続的に評価し、安全に運用するための基本的な視点がそろいました。

次回からはChapter 7に入り、AI導入を組織に定着させるための体制、人材育成、現場との関わり方を扱います。仕組みやルールを整えた後、それを実際に使う人たちへどのようにつなげていくのかを考えていきましょう。