丸投げされた生成AIの社内ルールは、禁止ではなく3行で線を引く

深夜、ブラウザのタブには他社の生成AI利用規程のPDFが8つ開いている。

「うちの会社にもガイドライン、作っておいて」と言われ、検索窓に「生成AI 社内ルール サンプル」と打ち込んでから2時間が経った。見つかるのは業種も規模も違う会社の条文ばかりで、自社の業務にそのまま当てはめられる行は1つもない。

flowchart TD
    A[禁止と書く] --> B[黙って使う]
    B --> C[記録が残らない]
    C --> D[事故が見えない]

他社サンプルは、自分の会社には当てはまらない

#

検索して見つかる社内ルールのサンプルは、たいてい「禁止」の箇条書きだ。個人情報を入力するな、契約書を貼るな、と並んでいる。

しかし実際の業務は、個人情報でも契約書でもない中間のグレーな文書がほとんどを占める。議事録に取引先の名前が混ざる。企画書に未確定の数字が入る。サンプルの禁止リストは、この中間帯には何も答えない。

結局、他社の条文を切り貼りしても、自社の業務に当てはめる作業が残る。サンプル探しに溶けた時間は、この当てはめ作業の手前にある助走にすぎない。

「禁止」で書いたルールが黙って破られる理由

#

禁止だけを並べたルールが機能しないのは、現場の意志が弱いからではない。禁止と許可の二択しか用意していないからだ。

グレー帯にあたる業務に直面した現場は、禁止でも許可でもない判断を自分で下すしかない。その判断は誰にも共有されず、記録にも残らない。ルールを作った側からは「守られている」ように見えるが、実態は水面下で個別の判断が積み上がっているだけだ。

事故が起きたときにこの構造が効いてくる。何がどう入力されたかのログがなければ、再発防止の起点そのものがない。禁止だけのルールは事故を防いでいるのではなく、事故を見えなくしているだけだ。

国レベルの整備ですら一度では終わっていない。総務省は2019年8月に「AI利活用ガイドライン」を公表した。2024年4月には「AI事業者ガイドライン」も公表している（総務省AIネットワーク社会推進会議）。何年もかけて積み上げてきたテーマを、丸投げされた1人が数日で完成させようとすること自体に無理がある。

貼ってよい・要匿名化・禁止で線を引く

#

完成された条文を目指すのをやめて、判断基準だけを渡す発想に切り替える。禁止・許可の二択ではなく、貼ってよい・要匿名化・禁止の3行で線を引けばいい。

【生成AIへの貼り付けルール(たたき台)】

■ 貼ってよい
- 固有名詞を含まない一般的な文章の推敲・要約
- すでに社外公表済みの資料
- 自分個人の作業メモ・下書き

■ 要匿名化（消してから貼る）
- 顧客名・取引先名 → 「A社」に置換
- 金額・数値目標 → 「X億円」に置換
- 氏名・評価コメント → イニシャルに置換

■ 禁止
- 契約書・NDA対象文書の原文
- 未公表の人事情報（異動・評価・処分）
- 顧客から預かった個人情報

判断に迷ったら「要匿名化」を選ぶ。

狙いは、現場が目の前の文書をこの3つのどれかに仕分けられることだ。仕分けに使う語彙が3つしかないから、判断に時間がかからない。

現場に判断を渡すと、記録が残る

#

二択の禁止ルールは「守ったか破ったか」しか記録しない。3行の雛形は違う。

現場が「この文書は要匿名化に当たるか」で迷った時点で、それは相談として上がってくる。相談が来るのは、表にまだ拾えていない業務があるというシグナルだ。事故ではなく、更新の材料として扱える。

70%の完成度で運用を始める発想と相性がよく、3行の表に例を1つ足すだけで回せる。判断そのものを現場に渡すからこそ、判断の痕跡が残る。これは黙って使われて記録が消える状態を避けるための最小の設計だ。

差し戻されたときの逃げの一手

#

法務や情シスから「もっと詳細に」「他部署の意見も反映して」と差し戻されることがある。

そのときは3行の雛形自体は守らない。差し戻しの範囲を、表に行を1つ2つ足すことに限定する。全項目を書き直す前提に応じてしまうと、断る権利を最初から手放したのと同じになる。

それでも詳細化を求められ続けるなら、「この業務はどちらに当たるか判断してほしい」という個別の相談として、依頼者本人に投げ返せばいい。表を完成させる責任と、個々の判断の責任は別のものだ。

まとめ：ルールは仕上げる物ではなく、判断を渡す道具

#

生成AIの社内ルールで消耗するのは、完成された条文を書こうとするときだ。

貼ってよい・要匿名化・禁止の3行を渡せば、判断は現場の手に戻り、記録も自然に残るようになる。

本記事は AI が下書きし、管理人が監修しています。