生成AIの業務利用に向けた社内ガイドライン整備の勘所

生成AIの業務利用が急速に広がっています。議事録の作成、資料のドラフト、プログラミングの補助など活用の幅は大きい一方で、機密情報・個人情報の漏えい、著作権侵害、誤情報（ハルシネーション）の混入といったリスクも顕在化しています。これらのリスクを管理しながら活用を進めるために有効なのが、社内ガイドラインの整備です。本コラムでは、ガイドラインを策定する際に検討すべき論点を整理します。

なぜ社内ガイドラインが必要か

生成AIの利用を全面的に禁止すると、業務効率や競争力を損なうおそれがあります。一方で、ルールのない無秩序な利用は、情報漏えいや権利侵害といった重大なリスクにつながります。何が許され、何が禁止されるのかを明確にすることで、従業員が安心して活用できる環境を整えることが、ガイドラインの目的です。

押さえておくべき関連法令

個人情報保護法 ― プロンプト入力と第三者提供

顧客や従業員の個人情報を生成AIに入力する行為は、個人情報保護法の規律との関係で慎重な検討を要します。個人情報取扱事業者は、利用目的をできる限り特定し（同法17条）、その範囲を超えて個人情報を取り扱ってはなりません（18条）。また、入力した個人データがサービス提供者側で応答生成以外の目的（モデルの学習等）に利用される場合には、本人の同意のない第三者提供（27条）や目的外利用の問題が生じ得ます。個人情報保護委員会も、生成AIサービスの利用に関する注意喚起を公表し、あらかじめ本人の同意を得ることなく個人データを含むプロンプトを入力する場合には、当該データがサービス提供者において機械学習等に利用されないことを十分に確認することなどを求めています。さらに、安全管理措置（23条）の観点からも、利用するサービスの設定や契約条件（学習利用のオプトアウト、データの保存場所・期間等）の確認は不可欠であり、海外事業者のサービスを利用する場合には越境移転規制の検討も必要となります。

著作権法 ― 学習と生成・利用は別問題

著作権法との関係では、AIの開発・学習段階と、生成・利用段階を分けて考えることが出発点です。学習段階については、著作物に表現された思想又は感情の享受を目的としない利用として、情報解析のための利用を広く適法とする規定（著作権法30条の4）が設けられています。他方、生成・利用段階は通常の著作権侵害の判断枠組み、すなわち既存著作物への依拠性と類似性の有無によって判断されます。既存の著作物と類似した生成物を業務資料や公表物に利用すれば、複製権・翻案権等の侵害となり得るため、特定の作家やキャラクターに似せる指示の禁止、公表前の類似性チェックといった運用上の手当てが求められます。また、AI生成物に著作権が発生するか（人がどの程度創作的に関与したか）という問題は、自社コンテンツの独占可能性にも関わるため、成果物の性質に応じた整理が必要です。

不正競争防止法 ― 営業秘密の秘密管理性

自社のノウハウや顧客リスト等が不正競争防止法上の営業秘密（同法2条6項）として保護されるためには、秘密管理性・有用性・非公知性の3要件を満たす必要があります。従業員が外部の生成AIサービスに営業秘密を自由に入力できる状態を放置すると、秘密として管理されているという実態（秘密管理性）が損なわれ、いざ漏えいや不正使用が起きた際に法的保護を受けられなくなるおそれがあります。一定の条件で他者に提供されるデータを保護する限定提供データ（同条7項）についても同様の注意が必要です。取引先から秘密保持契約（NDA）に基づき受領した情報の入力は、契約違反を構成し得る点もあわせて、入力禁止情報の区分は法令と契約の両面から設計することが重要です。

ガイドラインに盛り込むべき主な論点

入力してよい情報・してはいけない情報

機密情報、個人情報、第三者から秘密保持義務を負って受領した情報、他社の著作物などについて、入力の可否を明確に定めます。入力内容がAIの学習に利用されない設定や、法人向けサービスの利用を前提とするかどうかも重要な検討事項です。

出力物の取扱い

生成AIの出力には誤りが含まれ得ることを前提に、利用者によるファクトチェックを必須とします。重要な意思決定や対外的な文書に用いる場合は、内容の正確性を別途確認する運用が望まれます。

著作権・知的財産の扱い

生成物が第三者の著作権や商標権等を侵害していないかの確認方法、生成物の社内外での利用範囲、権利の帰属についての考え方を整理します。

個人情報・秘密保持

個人情報保護法上の取扱いや、取引先との秘密保持契約（NDA）との関係を確認し、抵触しない運用を定めます。

利用可能なツール・利用申請

利用を許可するツールを限定し、アカウントの管理方法や、新たなツールを導入する際の申請・承認のフローを定めておくと、管理が容易になります。

運用・教育のポイント

策定後も、技術や法令・ガイドラインの動向に応じて定期的に内容を見直す
全従業員向けの研修やeラーニングを通じて周知を徹底する
違反時の対応方針や、判断に迷った場合の問い合わせ窓口を明確にする

ガイドラインは「作って終わり」ではありません。実際の業務に根づかせ、状況の変化に合わせて育てていくことが、実効性を高める鍵となります。

典型的な失敗例と対策

個人アカウント・無料版の「野放し」利用（シャドーAI）

会社として方針を示さないまま放置した結果、従業員が個人アカウントの無料サービスに業務情報を入力しているケースは少なくありません。無料版では入力内容が学習に利用される設定になっていることもあり、情報漏えいリスクが最も高い状態です。対策としては、法人契約のサービスに利用を集約し、学習利用のオプトアウト等の設定を管理部門が一括して行ったうえで、許可されたツール以外の業務利用を明確に禁止することが基本となります。

禁止一辺倒のルールで形骸化する

リスクを恐れて一律禁止に近いルールを定めると、現場は隠れて使うようになり、かえって統制が及ばなくなります。ユースケース（社内資料のドラフト、公開コンテンツの作成、顧客データを扱う業務など）ごとにリスクの大きさは異なるため、可否と条件を段階的に定めることで、遵守可能で実効性のあるルールになります。

策定後の教育・見直しの欠如

ガイドラインを作成しただけで研修や相談窓口を整備しなかったために、内容が周知されず事故が起きる例もあります。生成AIを取り巻く技術・法令・行政のガイドラインは変化が速いため、年1回程度の定期見直しに加え、新たなサービスの導入時や重要な制度変更時に随時改定する体制を組み込んでおくことが対策となります。

ガイドライン整備の実務チェックリスト

利用を許可するサービス・プランの特定と、入力データが学習に利用されない設定・契約条件の確認
入力禁止情報（個人データ・営業秘密・NDA対象情報・他社の著作物等）の区分表の作成
出力物のファクトチェックと権利侵害（類似性）確認のフローの整備
対外公表物・納品物への生成AI利用に関する表示・説明方針の決定
個人データを扱う業務での利用条件（利用目的・同意・安全管理措置・越境移転）の整理
取引先とのNDA・業務委託契約と生成AI利用との抵触チェック
違反時の対応方針と就業規則・服務規律との関係の確認
相談窓口の設置と全従業員向け研修の実施
政府の「AI事業者ガイドライン」等の動向を踏まえた定期見直しのサイクル化

よくあるご質問

Q. 従業員が生成AIに顧客の個人情報を入力してしまった場合、どのような問題がありますか？

A. 利用目的の範囲を超えた取扱い（個人情報保護法18条）や、本人の同意のない第三者提供（27条）に該当するおそれがあります。入力先が海外事業者であれば越境移転規制の問題も生じ得ます。また、サービスの設定によっては入力内容が学習に利用され、回収が事実上不可能になります。事案の内容によっては漏えい等として個人情報保護委員会への報告・本人への通知が必要となる場合もあるため、発覚時の報告ルートをあらかじめ定めておくことが重要です。

Q. 生成AIの出力物をそのまま自社のコンテンツとして公開してもよいですか？

A. お勧めできません。出力物が既存の著作物に類似している場合、公開すれば著作権侵害となるおそれがありますし、誤情報（ハルシネーション）が含まれていれば、内容によっては誤った表示として景品表示法等の問題や信用毀損につながりかねません。公開前に、人による内容の確認・修正と、既存コンテンツとの類似性チェックを経る運用を必須とすべきです。

Q. 生成AIの社内ガイドラインに違反した従業員を懲戒処分にできますか？

A. 懲戒処分を行うには、就業規則上の懲戒事由に該当することが前提となります。ガイドラインを業務命令・服務規律の一環として位置づけ、就業規則の関連規定（機密保持義務、業務命令遵守義務等）との関係を整理したうえで、周知と教育を尽くしておくことが必要です。ルールの存在や周知が不十分なまま重い処分を行うと、処分の有効性自体が争われるおそれがあります。

まとめ

生成AIは今後ますます業務に不可欠なツールとなっていきます。リスクを正しく理解し、自社の事業内容に即したガイドラインを整備することで、安全かつ積極的に活用を進めることができます。政府や各種団体が公表するガイドライン等も参考にしつつ、自社の実態に合わせたルールづくりを進めることをお勧めします。

参考資料

個人情報の保護に関する法律（e-Gov法令検索）
著作権法（e-Gov法令検索）
不正競争防止法（e-Gov法令検索）
個人情報保護委員会生成AIサービスの利用に関する注意喚起等について
個人情報保護委員会個人情報の保護に関する法律についてのガイドライン（通則編）
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」に関するQ&A
総務省・経済産業省「AI事業者ガイドライン」（各府省ウェブサイト）
文化庁文化審議会著作権分科会法制度小委員会「AIと著作権に関する考え方について」（文化庁ウェブサイト）