社員が生成AIに入力してよい情報のルールは、何から決めればよいですか

最初に、社内で使っている生成AIのサービスと、使っている部署を一覧にします。そのうえで、次の事項を会社として決めます。 ・生成AIを使ってよい業務と、使わない業務 ・会社として利用を認めるサービス ・入力してはいけない情報の範囲（顧客の個人情報、取引先の秘密情報など） ・出力を社外に出す前の確認の手順 ・ルールの責任者と、違反があった場合の対応 使うサービスごとに、入力した内容の扱い（保存されるか、機械学習に使われる設定か）を利用規約と設定画面で確認します。 参考になる主な国の資料として、次の2つがあります。 1つ目は、総務省と経済産業省の「AI事業者ガイドライン」です。2026年11月時点の最新版は第1.2版です。生成AIのサービスを業務で使う会社は、主に「AI利用者」に当たります。ガイドラインは「共通の指針」として、人間中心、安全性、公平性、プライバシー保護、セキュリティ確保、透明性、アカウンタビリティ、教育・リテラシー、公正競争確保、イノベーションの10項目を挙げています。ガイドラインは自らを「非拘束的なソフトロー」と位置づけており、守らないと罰則がある法律とは異なります。 2つ目は、個人情報保護委員会の「生成AIサービスの利用に関する注意喚起等」（令和5年6月2日）です。個人情報取扱事業者が個人情報を含むプロンプトを入力する場合は、利用目的の達成に必要な範囲内かを十分に確認することとしています。 ルールは一度作って終わりではなく、使うサービスや社内の使い方が変わったときに見直します。法令の解釈に関わる部分は弁護士に確認してください。