生成AIの社内ガイドラインの作り方。入力・確認・承認を業務に組み込む

こんにちは、おぐりんです。

生成AIの社内ガイドラインは、禁止事項を並べるだけでは、仕事でどう使うかが決まりません。

まず一つの業務で、入力・確認・共有・承認・見直しを一続きで決める。今回は、社内案内の下書きを例に、現場で使えるルールの作り方を整理します。

「気をつけて使う」を、仕事の手順に変える

僕は以前から、AIが作ったものを人が確認・検証し、承認する流れを業務に組み込むことが必要だと考えています。社内ガイドラインでは、その考えを「誰が、どの操作の前に、何を確認するか」まで具体化します。

たとえば、社内のお知らせをAIで書く仕事を考えてみます。公開済みの情報を渡して文案を作ることと、その文案を全社員へ送ることは、別の操作です。文章ができたからといって、掲載日や問い合わせ先が正しいとは限りません。下書きを作る許可を、送信する許可まで広げてしまうと、確認のタイミングがなくなります。

生成AIの利用規程では、下書き・確認・共有・公開の境目を見えるようにします。文章を作る担当者、内容を確かめる担当者、送信を判断する担当者は、兼任でもかまいません。ただし、誰が何を確かめ、どの操作を許可するのかは省略しない。責任者の名前だけでなく、その人が判断できる材料まで用意することが大切です。

まず一つの業務で、五つの問いを埋める

全業務を一度に規程へ入れようとすると、抽象的な注意事項が増えがちです。まず、日常的に使いたい一つの業務を選び、その仕事について次の五つを埋めてみてください。会社共通の禁止事項や既存の情報管理規程は、その上に適用します。

• 入力：どの情報を、どの承認済みサービス・アカウントへ渡せるか。

• 確認：何を原本と照合し、誰が確認するか。

• 共有：確認前の下書きを、誰まで見せられるか。

• 承認：全社送信や外部公開など、どの操作の前に誰の判断が必要か。

• 見直し：困った点をどこへ残し、誰がルールを更新するか。

同じ文章作成でも、公開情報を使う社内案内と、顧客の非公開資料を使う提案書では、入力の条件も共有先も変わります。「文章作成だから利用可」という分類だけでは足りません。用途、情報の種類、影響する相手を合わせて判断します。

入力に使う環境は、サービス名だけでなく、契約・設定・接続先・アクセス権まで確認します。社内ルールと管理設定で守る範囲の違いを踏まえ、この業務で使うアカウントと入力できる情報を決めます。判断がつかない情報は、入力前に情報管理の担当者へ確認する流れにします。

社内案内の下書きなら、ここまで書いておく

社内案内文の下書きから始めるなら、次のように業務ルールを記入できます。役割名や情報区分は、自社の体制に置き換えて使ってください。

• 対象業務：公開済みの制度説明を使った社内案内文の下書き。社員への送信は対象外。

• 利用環境：会社が承認したサービスと業務用アカウント。個人アカウントへの切り替えは行わない。

• 入力条件：公開済みの原本と、公開可能と確認できた条件のみ。社員名簿、個別の人事情報、未発表の変更内容はこの業務では入力しない。

• 確認方法：作成担当者が、制度名、日付、対象者、窓口を原本の記述と照合する。原本が見つからない記述は採用せず、制度担当者へ確認する。

• 共有範囲：確認中の文案は、作成担当者と制度担当者だけに、下書きと分かる形で共有する。

• 承認と実行：制度担当者が内容を確認し、送信責任者が配信対象と日時を承認した後、権限を持つ担当者が送信する。

• 記録と更新：使用した原本、確認結果、承認内容、修正理由を所定の管理場所へ残す。入力内容そのものを無制限に保存せず、保存範囲と閲覧権限は情報管理規程に合わせる。

この例では、使ってよい情報を絞ることで、下書き作成から試せるようにしています。非公開情報も使いたいなら、その情報を扱うための契約・設定・権限と承認を別に確認する。便利そうだから対象範囲を広げる、という順序にはしません。

迷ったときの相談先と、例外の扱いを決める

現場では、ルールにぴったり当てはまらない仕事も出てきます。そのたびに自己判断で進めるか、すべて止めるかの二択にすると、運用が続きません。「入力可否は情報管理担当」「外部に出す内容は業務責任者」のように、何を誰へ相談するかを決めておきます。

例外を申請するときは、使いたい業務、情報の種類、利用環境、共有先、通常ルールでは難しい理由をそろえます。承認する側は、許可する範囲、期限、確認方法を残す。一度の許可を、別の業務や次の案件に自動的に流用しないことも、社内ルールに書いておきたい点です。

誤った情報を送った、入力してはいけない情報を渡した可能性がある、といった異常の連絡先も必要です。疑いがあれば該当作業と共有を止め、情報管理担当者へ速やかに報告する。どの記録を残し、誰が対応を判断するかも、既存の事故対応手順へつなぎます。

ひな形を使っても、自社の判断は残る

ひな形から始めるなら、JDLAの生成AI利用ガイドラインを参考に、自社で利用するサービス、対象業務、情報区分、担当者を埋めていきます。組織全体の体制を考えるときは、経済産業省・総務省のAI事業者ガイドラインも確認先になります。

ひな形では決めきれないのが、自社の仕事でどこまで許可するかです。個人情報、秘密保持、著作権、業界固有の条件など、判断が必要な点は情報管理・法務の担当者と確認し、会社のルールへ反映します。

配って終わらず、使う人とルールを育てる

社内ガイドラインができたら、担当者が自分の業務で判断できるかを確かめます。公開情報を使う文章作成、非公開資料を含む要約、外部へ送る文案などを題材に、「どこで止まり、誰へ確認するか」を話してみる。判断が分かれた箇所は、説明の不足を見つける材料になります。

見直すきっかけも決めておきます。利用サービスの契約や設定が変わったとき、新しい情報や業務を扱うとき、誤りや例外が繰り返されたとき。更新担当者が変更案と理由をまとめ、権限を持つ人が承認し、版と適用日をそろえて周知します。文書だけを更新して、使う人が古いルールのままでは、運用は変わりません。

AidiaのAI研修では、実務でAIをどう使い、回答をどう確かめるかを考える入口を作れます。会社ごとの判断や継続的な見直しを整理したい場合は、AI顧問も選択肢になります。

まず、自社でよく行う一つの仕事について、入力・確認・共有・承認・見直しを書いてみてください。まだ答えられない欄が、ガイドラインを作る前に決めておきたいことです。

おすすめ関連記事
・AIの仕事で気づいた点を直し、次からの手順に残す