ChatGPTを業務で使い始めたものの、どこまで入力してよいのか、社内ルールをどう作ればよいのか分からず悩んでいる方は多いのではないでしょうか。
情報漏洩や著作権侵害のリスクを気にして利用を制限しすぎると、せっかくの業務効率化の機会を逃してしまいます。
本記事では、ChatGPTの社内ルールがなぜ必要なのかという基本的な考え方から、盛り込むべき項目、具体的な禁止事項、そのまま活用できる条文の雛形までをまとめて解説します。
ルール策定後に欠かせない社員研修の視点にも触れていますので、自社のルール作りの参考にしてください。
ChatGPTの社内ルールは安全な活用と業務効率化を両立するために必要
ChatGPTの社内ルールは、情報漏洩や誤用のリスクを抑えながら、業務効率化という本来のメリットを引き出すために欠かせません。
押さえるべき視点は次の5つです。
- 機密情報や個人情報の漏洩を防ぐ
- 誤情報や不適切な出力による業務トラブルを防ぐ
- 著作権や知的財産権の侵害リスクを抑える
- 社員ごとの利用方法や判断基準を統一する
- ChatGPTを禁止するのではなく安全に活用できる環境を作る
ここからは、それぞれの内容を具体的に見ていきましょう。
機密情報や個人情報の漏洩を防ぐ
ChatGPT 社内ルールの第一の目的は、機密情報や個人情報の漏洩を防ぐことです。入力された文章は外部のサーバーに送信されるため、顧客情報や社外秘の資料をそのまま入力すると、意図せず情報が流出する恐れがあります。
実際、契約内容の要約や議事録の作成を依頼する際に、無意識に機密情報を含めてしまうケースは珍しくありません。入力してよい情報と禁止する情報をあらかじめ線引きしておくことで、こうした漏洩リスクを未然に防げます。
誤情報や不適切な出力による業務トラブルを防ぐ
ChatGPTの出力は、必ずしも正確とは限りません。もっともらしい誤情報を生成することがあり、これはハルシネーションと呼ばれる現象です。出力をそのまま資料や顧客対応に使うと、誤った情報が社外に広がり、信用問題に発展する可能性があります。
社内ルールで出力内容の検証を義務づけることで、こうしたトラブルを回避できます。
著作権や知的財産権の侵害リスクを抑える
生成AIが出力する文章や画像は、既存の著作物と似た表現になることがあります。誰が著作権を持つのかという点も、現時点では法的な解釈が固まっていません。
社内ルールでAI生成物の利用範囲や確認プロセスを定めておけば、意図しない権利侵害を防ぎ、法的リスクを最小限に抑えられます。
社員ごとの利用方法や判断基準を統一する
ルールがないままChatGPTの利用が広がると、部署や個人によって判断基準がばらつき、リスクの高い使い方をする社員が出てくる可能性があります。
利用目的や入力可否の基準を明文化し、全社で共有することで、誰が使っても同じ水準の安全性を保てます。判断基準の統一は、活用ノウハウの共有にもつながります。
ChatGPTを禁止するのではなく安全に活用できる環境を作る
情報漏洩を恐れて全面禁止にすると、生産性向上の機会を逃すだけでなく、社員が個人のアカウントで隠れて利用するシャドーAIを招きます。
禁止するのではなく、安全に使える条件を示すことが本来のルール作りの目的です。禁止と許可のグラデーションを設計し、現場が迷わず判断できる環境を整えることが重要です。
ChatGPTの社内利用で想定される主なリスク
ChatGPTの業務利用には、情報管理や権利関係にまつわる複数のリスクが伴います。
主なものは次のとおりです。
- 機密情報や社外秘情報を入力してしまう
- 顧客情報や従業員の個人情報を入力してしまう
- ChatGPTの回答を事実確認せずに利用する
- 著作物や第三者の権利を侵害する
- 未公開情報を含む文章やコードを入力する
- 個人アカウントの利用によって管理できなくなる
- 許可されていない外部ツールや連携機能を利用する
それぞれの内容を具体的に解説します。
機密情報や社外秘情報を入力してしまう
ChatGPTに入力した文章は、サービス提供元のサーバーに送信されます。未公開の経営情報や取引先との契約内容をそのまま入力すると、社外への流出につながる恐れがあります。
文書の校正や要約を依頼する際に、意図せず機密情報を含めてしまう例が多く見られます。入力前に情報の機密度を確認する習慣づけが必要です。
顧客情報や従業員の個人情報を入力してしまう
顧客リストや従業員の人事情報など、個人情報を含むデータを入力することも大きなリスクです。個人情報保護法の観点からも、外部サービスへの安易な入力は避けなければなりません。
氏名や連絡先を伏せ字にする、要約対象から個人情報を除外するなど、具体的な対応をルール化しておく必要があります。
ChatGPTの回答を事実確認せずに利用する
ChatGPTは事実に基づかない情報をもっともらしく生成することがあります。これを鵜呑みにして資料に転記したり、顧客への回答に使ったりすると、誤情報の拡散につながります。
出力内容は必ず人の目で確認し、根拠が不明な記述は裏取りを行うことをルールとして定めることが重要です。
著作物や第三者の権利を侵害する
ChatGPTの出力が既存の著作物と酷似する可能性はゼロではありません。生成された文章や画像をそのまま公開すると、著作権侵害を指摘されるリスクがあります。
社外への公開を前提とするコンテンツについては、類似性の確認や上長レビューを経る運用にしておくと安心です。
未公開情報を含む文章やコードを入力する
開発中の製品仕様や、公開前のプログラムコードを入力することも避けるべき行為です。
プログラミング補助として便利に使える一方、未公開情報がそのまま外部に渡ることになります。社内システムやコードの断片を入力する際は、機密性の高い部分をマスキングするなどの工夫が求められます。
個人アカウントの利用によって管理できなくなる
会社が許可していない個人アカウントで業務利用が広がると、利用状況を管理できなくなります。退職者のアカウントが放置されたり、入力履歴が確認できなかったりする問題も生じます。
会社支給のアカウントに一本化し、利用状況を可視化できる体制を整えることが望まれます。
許可されていない外部ツールや連携機能を利用する
ブラウザ拡張機能やAPI連携など、ChatGPTと外部ツールを組み合わせる利用方法も増えています。
便利な反面、想定していない経路でデータが外部に送信される可能性があります。新しいツールやアカウントを導入する際は、情報システム部門への事前申請を必須とする運用が有効です。
ChatGPTの社内ルールに盛り込むべき項目
ChatGPTの社内ルールには、最低限押さえるべき項目があります。主に次の4つです。
- 利用を許可するChatGPTのアカウントと契約プラン
- 利用を認める業務と禁止する業務
- 入力してはいけない情報
- 出力内容を利用する際の確認義務
これらの項目について、順に解説します。
利用を許可するChatGPTのアカウントと契約プラン
まず定めるべきは、業務利用を許可するアカウントと契約プランです。
入力データが学習に利用されない法人向けプランを原則とし、個人契約の無料版や有料版を業務に使わないことを明記します。
契約プランによって入力データの取り扱いが異なるため、どのプランを許可するかを最初に決めておくことが土台になります。
利用を認める業務と禁止する業務
次に、どの業務での利用を認めるかを具体的に定めます。
文章のたたき台作成や要約、アイデア出しなど生産性向上に資する用途は許可し、顧客対応や人事評価など第三者の権利や処遇に影響する業務は事前申請制にするといった線引きが有効です。
用途を明確にすることで、従業員は安心して活用できます。
入力してはいけない情報
個人情報や社外秘情報など、入力を禁止する情報の具体例を示します。
抽象的に「機密情報は入力しない」と書くだけでは判断に迷うため、顧客名簿、未公開の財務情報、契約書の内容といった具体例を列挙しておくと現場で使いやすくなります。
出力内容を利用する際の確認義務
ChatGPTの出力は下書きとして扱い、業務に使う前に必ず人が確認することを義務づけます。
事実関係や著作権リスクの確認、社外公開前の上長レビューなど、確認プロセスを具体的に定めておくことで、誤情報や権利侵害の拡散を防げます。
ChatGPTの社内利用で定めるべき禁止事項
社内ルールの中でも、禁止事項は特に明確に定める必要があります。
最低限盛り込みたい項目は次の5つです。
- 個人情報や顧客情報を入力しない
- 営業秘密や社外秘情報を入力しない
- 契約書や未公開の経営情報を無断で入力しない
- 個人アカウントや未承認ツールを業務利用しない
- AIの出力だけで重要な意思決定を行わない
以下で、それぞれの理由を解説します。
個人情報や顧客情報を入力しない
個人情報や顧客情報の入力禁止は、社内ルールの中でも最優先で定めるべき事項です。個人情報保護法違反や信用失墜につながるリスクが大きいためです。
氏名、連絡先、取引履歴などが含まれる資料は、加工せずに入力しないことを徹底します。
営業秘密や社外秘情報を入力しない
営業秘密や社外秘情報の入力も禁止事項として明記します。売上データや新規事業の企画書など、社外に出れば競争上の不利益につながる情報が対象です。
こうした情報は、抽象化した内容に置き換えてから利用するなどの工夫が求められます。
契約書や未公開の経営情報を無断で入力しない
取引先との契約書や、未公開の決算情報を無断で入力することも禁止すべき行為です。
秘密保持契約に違反するリスクがあるほか、インサイダー情報が含まれる場合は法的な問題にも発展しかねません。
契約関連の文書を扱う際は、必ず事前に法務部門へ確認する運用にしておくと安全です。
個人アカウントや未承認ツールを業務利用しない
会社が許可していない個人アカウントや、承認を得ていない外部ツールの業務利用も禁止します。管理されないアカウントでの利用は、情報漏洩の発生源になりやすいためです。
新しいツールを使いたい場合は、情報システム部門への申請を経るルールを徹底します。
AIの出力だけで重要な意思決定を行わない
ChatGPTの出力だけを根拠に、契約や人事など重要な意思決定を行うことも避けるべきです。
AIの回答には誤りが含まれる可能性があり、最終判断の責任は利用者にあります。重要な意思決定を伴う場面では、AIの出力を参考情報にとどめ、人による検証と承認を経るプロセスを定めておきます。
ChatGPT社内ルールの雛形
ここでは、自社の社内ルールを作成する際にベースとして使える条文の雛形を紹介します。
第1条から第11条までの構成で、企業の機密度や業種に応じて内容を調整してご利用ください。
【第1条 目的】
本規程は、当社におけるChatGPT等の生成AIツールの業務利用に関する基本的なルールを定め、情報漏洩や権利侵害などのリスクを防止するとともに、生成AIを安全かつ効果的に活用できる環境を整えることを目的とします。
【第2条 適用範囲】
本規程は、正社員、契約社員、パートタイマー、派遣社員、業務委託先の担当者を含む、当社の業務に従事するすべての利用者に適用します。対象とする生成AIは、当社が第3条に基づき利用を許可したツールに限ります。
【第3条 利用可能なアカウントとツール】
利用者は、会社が許可した生成AIツールおよびアカウントに限り、業務で利用できます。個人で契約した無料版や有料版のアカウントを業務に使うことは認めません。新たなツールやアカウントの利用を希望する場合は、情報システム部門への事前申請と承認を必要とします。
【第4条 利用を認める業務】
生成AIの利用は、業務上必要かつ生産性向上に資する目的に限定します。文章のたたき台作成、要約、翻訳、アイデア出し、プログラムコードの参考取得などが該当します。社外公開を前提とするコンテンツの生成や、顧客対応・人事評価など第三者の権利に影響する業務での利用は、事前の申請と承認を必要とします。
【第5条 入力を禁止する情報】
利用者は、個人情報、顧客情報、取引先情報、未公開の財務・経営情報、開発中の製品仕様、契約内容などを生成AIに入力してはなりません。入力してよい情報とそうでない情報の判断に迷う場合は、所属部門の管理者または情報システム部門に確認するものとします。
【第6条 禁止する利用方法】
利用者は、会社が許可していないツールやアカウントの業務利用、第三者の著作権を侵害する目的での利用、法令や公序良俗に反する目的での利用を行ってはなりません。また、生成AIの出力を検証せずに業務文書として確定または公開することも禁止します。
【 第7条 出力内容の確認と責任】
生成AIの出力は参考情報として扱い、その正確性や適法性は保証されません。利用者は、出力内容を業務に用いる前に事実関係や権利関係を確認し、必要な修正を行う義務を負います。生成AIの出力を利用した業務上の判断や成果物については、当該利用者およびその所属部門が責任を負うものとします。
【第8条 アカウントと利用履歴の管理】
当社は、必要に応じて生成AIの利用状況を記録し、監査を行うことができます。ログの保存期間や削除方針は、情報システム部門が別途定めます。退職や異動に伴うアカウントの権限変更は、速やかに行うものとします。
【第9条 インシデント発生時の報告】
利用者は、情報漏洩の疑いや規程違反のおそれを認識した場合、直ちに所属部門の管理者または情報システム部門へ報告するものとします。会社は、報告内容に基づき必要な調査と再発防止策を講じます。
【第10条 教育・研修】
当社は、生成AIを安全に活用するための社内教育や研修を継続的に実施し、本規程の内容を利用者へ周知します。利用者は、会社が指定する研修を受講するものとします。
【第11条 ルールの見直しと改定】
本規程は、生成AIに関する技術動向や法令、社内環境の変化に応じて、原則として年1回見直しを行い、必要に応じて随時改定します。改定は、所管部門の承認を経て行うものとします。
この雛形をそのまま使わず、自社の機密度や業種特性に合わせて第3条、第4条、第5条を中心に具体化することが、実効性のあるルールにするための分岐点になります。策定後は、必ず法務部門や情報セキュリティ部門の確認を受けてください。
ChatGPTを安全に活用するには社内研修も重要
社内ルールを整備するだけでは、実際の運用が伴わなければ意味がありません。ルールを現場に根付かせるには、次のような課題への対応が必要です。
- ルールを読むだけでは判断基準が身につかない
- 安全なプロンプトの作り方を実務で学ぶ必要がある
- AIの回答を評価・検証するスキルが求められる
ここからは、それぞれの課題と対応策を見ていきましょう。
ルールを読むだけでは判断基準が身につかない
文書として配布した社内ルールを、社員が実際の業務の中で正しく適用できるとは限りません。禁止事項を読んでも、目の前の業務がどの区分に当たるのか判断に迷う場面は多いためです。
具体的な業務シーンに沿った研修を行い、OK例とNG例を体験的に学べる機会を設けることが定着への近道になります。
安全なプロンプトの作り方を実務で学ぶ必要がある
同じChatGPTでも、入力の仕方次第で情報漏洩のリスクや出力の質は大きく変わります。
個人情報を伏せながら必要な情報だけを伝えるプロンプトの組み立て方は、座学だけでは身につきにくいスキルです。実際の業務データを想定した演習を通じて、安全な入力方法を体得することが求められます。
AIの回答を評価・検証するスキルが求められる
ChatGPTの出力を鵜呑みにせず、正確性や妥当性を見極める力も欠かせません。
誤った情報や偏った内容を見抜けなければ、ルールで検証を義務づけても形だけのものになってしまいます。出力内容をどのような観点でチェックすべきか、実例を通じて学ぶ研修が有効です。
ChatGPTの安全な社内活用ならAIスキルDX研修がおすすめ！
ルール策定と教育をセットで進めたい企業には、株式会社AIスキルが提供するAIスキルDX研修が選択肢の一つになります。
生成AIを実務で活用するための基礎知識から、業務改善に向けた実践プロジェクトまでを研修の中で経験できる内容です。研修終了後、現場ですぐに価値を発揮できるスキルの習得を目指せる点が特徴です。
ただし、費用や研修期間は企業の状況によって異なるため、自社の目的や予算に合うかどうかを事前にしっかり確認したうえで検討することをおすすめします。
ChatGPTの社内ルールに関するよくある質問
ChatGPTの社内ルールについて、よく寄せられる質問に回答します。
ChatGPTの業務利用を全面禁止するべきですか
全面禁止は必ずしもおすすめできません。
情報漏洩のリスクを避けられる一方で、生産性向上の機会を失い、社員が個人のアカウントで隠れて利用するシャドーAIを招く可能性があるためです。
禁止と許可のグラデーションを設計し、条件付きで安全に活用できる仕組みを整える方が実務的といえるでしょう。
無料版のChatGPTを社内で利用しても問題ありませんか
無料版の業務利用は基本的に推奨されません。
入力したデータが学習に利用される設定になっている場合が多く、情報漏洩のリスクが高いためです。業務で利用する場合は、入力データが学習に使われない法人向けプランやAPI経由の利用を検討することが望ましいでしょう。
ChatGPTに入力してはいけない情報は何ですか
個人情報、顧客情報、営業秘密、未公開の財務や経営情報、契約内容、開発中の製品情報などが該当します。
これらの情報は、外部のサーバーに送信されることで漏洩や権利侵害につながる可能性があります。社内ルールでは、こうした情報を具体例とともに明記しておくことが重要です。
まとめ
ChatGPTの社内ルールは、利用を制限するためではなく、リスクを抑えながら業務効率化を実現するための仕組みです。
入力してはいけない情報や出力内容の確認義務など、盛り込むべき項目を明文化することで、社員は安心してツールを活用できます。
本記事で紹介した雛形をベースに、第3条から第5条を中心に自社の機密度や業種特性に合わせて調整すれば、実務で使えるルールに仕上げられるでしょう。
ただし、ルールを作って配布するだけでは、現場に根付かせることはできません。判断基準を実務の中で体得できる研修とセットで進めることが、形骸化を防ぎ、安全な活用を定着させる近道になります。
策定した内容は、必ず法務部門や情報セキュリティ部門の確認を経たうえで運用を始めてください。
