生成AI利用ルールの作り方｜A4 1枚と90日の運用

62%が止まっているのは、技術ではなく「決めていない」から

生成AIを使いたいのに使えていない会社の理由の1位は、技術でも費用でもありません。中小企業の62%が「社内ルールが不明確」を導入の障壁に挙げています（マネーフォワード Admina調べ）。

つまり多くの現場で止まっているのは「AIを使うかどうか」ではなく、「何を入力してよいか誰も決めていない」という一点です。決まっていないので、社員は自分の判断で入力するか、怖くて何も使わないかのどちらかになります。

リスクの側も現実の話になってきました。IPA（情報処理推進機構）の「情報セキュリティ10大脅威2026」では、「AIの利用をめぐるサイバーリスク」が初めてランクインしています。

ただし、これは「使わないほうが安全」という意味ではありません。当方が自社と支援先で計測したところ、文書・メール作成にかかる時間は15分から4分（作成1分＋確認・修正3分）へ短くなりました。人の確認工程を残したままで11分縮んでいます。

この11分は文書・メール作成という簡易な作業を計測した数字です。すべての業務が同じ比率で短くなるわけではありません。

どの情報なら入れてよいか、という線引きそのものは別の記事で扱っています。ECの顧客情報を例にした機密データをAIに渡すと危ない？｜ECの3段階運用です。この記事が扱うのは、その線引きを紙に落として全員へ配り、守られているかを確かめ続ける側になります。

→ くわしくは「AI格差はもう始まっている｜使う会社と使わない会社」で解説しています。

ルール1枚に書くのは5項目だけ

社内ルールは、雛形を使って早く整えることが早期整備の鍵とされています（マネーフォワード Admina調べ）。条文をゼロから考える必要はありません。

下の表は、A4 1枚に載せる5項目と、書くときにつまずきやすい点を並べたものです。

右の列が示しているのは、5項目とも一般名詞のままでは動かないということです。自社の固有名詞（ツール名、書類名、人の名前、日付）へ置き換えたときに、はじめて読んだ人が動けます。

作る順番は①と②が先です。この2つが決まっていれば、③から⑤は10分で書けます。逆に③から埋め始めると、何を誰に相談するのかが決まらないまま形だけの行が並びます。

1枚に載せないことも決めます。著作権の解説、個人情報保護法の条文、AIの仕組みはこの紙に書きません。読む気をなくす厚さになった時点で、ルールは機能しなくなります。

禁止リストは分類名ではなく、自社の書類名で書く

5項目のうち、実際に事故を止めるのは②の「入れない書類」です。ここだけは時間をかけます。

入力してはいけない情報として一般に挙げられるのは、次の3つです（A-X調べ）。

1. 個人情報
   氏名、住所、電話番号、マイナンバーなど。
2. 顧客情報
   取引履歴、問い合わせ内容など。
3. 社外秘情報・機密情報
   未公開の財務情報、技術情報、人事情報など。

製造業で多いのは3つ目です。図面、加工条件、歩留まりの数値、原価表がここに入ります。これらは競争力そのものなので、契約プランに関わらず入れない、と決めてしまうほうが運用は楽になります。

ただし、この3つをそのまま紙に書き写しても現場では使えません。「社外秘情報は入力禁止」と読んだ社員が、目の前の見積書が社外秘かどうかを判断できないからです。分類名は、書いた人にしか意味が分かりません。

社内ルールでは、情報の種類を具体的に言葉にすることが大事だとされています（kanata AI調べ）。抽象的な分類のままでは、読む側が自分の手元の書類を当てはめられないためです。

書き出す作業そのものは、AIに手伝わせると早く終わります。自社で使っている書類名を10〜20個並べ、「この中から、社外に出ると自社が損をするものを選び、なぜ困るのかを1行ずつ付けて。判断に迷うものは『迷う』として分けて」と頼めば、たたき台が出ます。

出てきた「迷う」の行は、そのまま③の相談先へ持ち込む例になります。最終的にどれを禁止にするかを決めるのは社長です。AIが担当するのは、並べるところまでです。

学習オフは「設定した」ではなく「確認した日付」で見る

紙を配っても、入力した内容がAIの学習に使われる状態のままでは片手落ちです。オプトアウト（学習拒否）設定を有効にすることが、最も即効性のある対策とされています（テクノ・ソリューションズ調べ）。ChatGPTでは、設定メニューの「データコントロール」から学習機能をオフにできます。

やっかいなのは、この設定が会社にではなく、1つずつのアカウントに付くことです。プランによって初期状態が違うため、誰が設定済みで誰が未設定かは、画面を開かないと分かりません。

下の表は、OpenAIのプランごとに入力内容が学習に使われるかどうかを比べたものです（2025年7月時点の情報）。

出典: note（https://note.com/initial_engine/n/n0c5166b755ee）

表の読み方は単純です。無料・Plus・Proで始めるなら、「本人が設定する」と「誰かが確認する」までが1セットになります。追加費用なしで始められる代わりに、確認の手間が人数分そのままかかるということです。

ただし、当方が使っている ChatGPT Work では、この「モデル改善に協力する」がオンになっていました。一覧表では企業向けプランは学習に利用しないとされていますが、画面を開いて実際にオフへ切り替えています。

上がその画面です。左の一覧から「データ コントロール」を開くと、赤枠の位置に「モデル改善に協力する」があります。ここが「オフ」であれば、入力した内容は学習に使われない状態です。

確かめる場所は、事業者が違っても同じです。Claudeでは「設定」の「プライバシー」に「AIモデルの改善にご協力ください」という項目があり、赤枠のスイッチで切り替えられます。

呼び名は違いますが、やることは2つです。その項目がどこにあるかを探し、オフになっているかを目で見る。これを人数分くり返して、確認した日付を残します。

だから台帳に残すのは「設定した」ではなく、誰が、いつ、どの画面を見たかです。3か月前に確認した人と、先週入った人が同じ紙の下で違う状態になっているのが、実際の職場です。

学習オフは、入力内容がAIの学習に使われない状態にする設定です。情報漏えい全般が防げるという意味ではありません。保存期間や保管国まで含めた確認の観点は、ECの3段階運用の記事にまとめています。

下の図は、どのプランで始めるかの分かれ道です。

図：契約プランを選ぶときの分かれ道

分かれ目は、設定を全員に徹底できるかどうかです。社長を含めて数名で、パソコンの画面を直接のぞける規模なら、個人向けプランに学習オフを設定して始めれば足ります。

人数が増えたり、現場のタブレットや自宅から使う人が出てきたりすると、一人ずつ確認するのが現実的でなくなります。その段階で企業向けプランを検討する、という順で構いません。なお法人向けプランや、他のシステムからAIを呼び出す窓口（API）でも同じです。各社基本的に、顧客の入力や出力をモデルの学習には使わないとされています（Initial Engine調べ）。

配ってから90日の動き方

ガイドラインは完璧なものを目指さなくて構いません。まず60点の軽量版を2週間で走らせ、四半期ごとに改善する「走りながら直す」進め方が、中小企業に適しているとされています（uravation調べ）。作り込んでいる間、社員は無法状態で使うか、まったく使えないままかのどちらかになるためです。

そこで、配った日から90日を4つに区切ります。日付を先に決めるのが要点です。予定に入っていない見直しは実行されません。

配った日に、全員の設定画面を開く

紙を配るだけでは設定は入りません。配布のその場で全員に自分のアカウントの設定画面を開いてもらい、学習オフになっているかを一緒に見て、確認した日付を台帳へ書きます。ここを後日に回すと、未設定の人が残ります。

14日間は低リスクの業務だけで使う

導入の初期は、議事録の要約や文章の叩き台といった低リスクの業務から始めます。採用・人事評価・契約判断のような影響の大きい業務では、AIは判断材料を出すところまでにとどめ、最終判断は人が行います。

製造業なら、報告書の下書き、社内向けの案内文、手順書の文章整理あたりが入口です。図面の解析や品質判定から始めない、と決めておくだけで事故は大きく減ります。

30日目に、迷った書類を聞き取る

「入れてよいか迷った書類はあったか」だけを、③の相談先に決めた人が15分の朝礼で聞きます。出てきた書類名を、②の禁止リストへ足すか、使ってよい側へ回します。ここで出る書類名が、その会社にしか書けないルールになります。

90日目に1枚を更新して配り直す

AIのルールは「生きたルール」として運用します。技術の進化や法令改正、実務で出た課題を踏まえて定期的に見直す体制と、社内での周知・教育の繰り返しが必要だとされています（おぎう社会保険労務士事務所調べ）。

書き換わるのは、たいてい②の行と⑤の日付だけです。社長が更新した1枚を配り直し、その場でまた設定画面を開いてもらいます。1周目と同じ作業ですが、この繰り返しが「生きたルール」の実体です。

下の表は、この90日で職場の何が変わるかを並べたものです。

この表に時間短縮の数字は入れていません。1枚を配って変わるのは作業の速さではなく、迷ったときに誰が何を見るかだからです。速さのほうは、AIを使い始めた時点で先に変わります。

自社に当てはめるときは、右の列を3か月後の目標として読んでください。3つとも「紙と台帳とカレンダーがある状態」で、新しい道具は要りません。

次の見直し日をカレンダーへ入れてから、1枚を配ります。順番が逆になると、見直しは来ません。

台帳はAIに作らせ、数えるのはプログラムに任せる

確認の記録を紙で持つと、90日後に集計できません。かといって、集計をAIにやらせるのも違います。任せる先を分けておくと、記録が続きます。

この分け方で大事なのは、数える作業をAIにやらせないことです。当方の実務では、AIに件数や文字数を数えさせても正確な値が返らないと分かっています。モデルの優劣ではなく役割の問題なので、集計はスプレッドシートの関数やスクリプトに任せます。

台帳そのものは5列で足ります。氏名、使っているツールとプラン、学習オフを確認した日、確認した人、備考です。この5列を作ったうえで、「確認日から90日過ぎた行に色を付けて、未確認の人数を上に出して」とAIに頼めば、関数を覚えなくても仕組みができます。

いちばん効くのは、AIに文章を書かせるだけでなく、その道具を作らせる形です。ただし列名も運用も現場ごとに違うので、貼るだけで完成するわけではありません。動かしてから直す前提で使ってください。

→ くわしくは「商品説明文はプログラムとAIと人の3step」で解説しています。

1枚が形だけになる3つの壊れ方

配ったあとに実際に起きることを、先に見ておきます。

1. 分類名で書いたので誰も判断できない
   「機密情報は入力禁止」と書いても、社員は目の前の見積書が機密かどうかを判断できません。書類名で列挙し直します。
2. 設定したつもりで、設定されていない
   個人向けプランは初期状態で学習に利用されるため、設定していない人が1人でもいると穴が残ります。全員分の画面をその場で確認し、日付を台帳へ残します。
3. 配って以来、誰も読み返していない
   3か月あれば、使えるツールも社員の使い方も変わります。見直し日を先にカレンダーへ入れ、迷った書類を聞き取って行を足します。

止め方は決まっています。書類名で書く、確認日を残す、見直し日を先に決める。この3つを90日ごとに繰り返せば、1枚の紙は形だけになりません。

FAQ

機密情報を守りながら業務効率を上げる「クローズドAI環境」の構築・導入は、ジッソウLABのゲンバAIへ無料でご相談ください。