生成AIの最大の事故は「高度な攻撃」ではなく、うっかり機密や個人情報を入力してしまうといった日常的なミスから起きます。だからこそ必要なのは難しい技術ではなく、全員が守れるシンプルなルール。本ガイドはそのルール作りの土台として使えるよう構成しています。
① まず「入力してはいけないデータ」を決める
最初に線引きすべきはここです。原則として、外部のAIサービスへ次のような情報を貼り付けない、という共通認識を作ります。
原則：外部AIに入力しない情報
- 個人情報・特定個人情報（氏名＋連絡先、マイナンバー、健康情報 等）
- 顧客・取引先から預かった機密情報、NDA対象の情報
- 未公開の財務・人事・M&A・経営情報
- ソースコードや設計のうち、社外秘に該当するもの
- パスワード・APIキー・トークンなどの認証情報
使ってよい例（一般化・匿名化すればOKになることも）
- 公開済みの情報、一般的な知識・調べもの
- 個人や企業が特定できないよう加工・ダミー化したデータ
- 会社が契約した法人版／API（データが学習に使われない設定）での業務利用
② 無料版・個人版と 法人版・API の違い
「同じAIだから同じ」ではありません。契約形態によってデータの扱いが大きく変わります。業務利用では、入力が学習に使われない契約を選ぶのが基本です。
| 観点 | 無料版・個人向け | 法人版・API・エンタープライズ |
|---|---|---|
| 入力データの学習利用 | 設定や規約により学習に使われる場合がある | 原則「学習に使わない」契約・設定が一般的 |
| 管理者によるコントロール | 個人任せ（統制しにくい） | 組織で利用範囲・ログ・保持期間を管理可能 |
| 監査・ログ | 限定的 | 監査ログ・アクセス管理を提供することが多い |
| 契約・責任関係 | 個人と提供元 | 会社間契約（DPA等）を結べる |
| 業務利用の適性 | 下調べ・学習・非機密用途向き | 機密を含む実務に向く（要設定確認） |
確認ポイント
導入時は各サービスの「データ利用・プライバシー設定」と「商用利用・データ保持」の規約を必ず確認し、学習オプトアウトやゼロデータ保持の有無をチェックしてください。設定は変わることがあるため、定期的な再確認も必要です。
③ 著作権・知的財産の論点（日本）
生成AIと著作権は論点が多く、ケースバイケースです。実務では次の3つを意識すると事故を避けやすくなります。
入力（学習・利用）側
他者の著作物をプロンプトに大量に貼って利用する場合、利用目的や範囲によっては権利者の利益を害さないか注意が必要。社外秘・ライセンス制約のある素材の扱いにも留意。
生成物の権利
AI生成物が「著作物」として保護されるか、誰の権利になるかは、人の創作的関与の度合い等により判断が分かれる領域。重要な成果物は契約や社内規程で帰属を明確にしておく。
既存著作物との類似
生成結果がたまたま既存の作品に酷似することがある。公開・商用利用前に、特にロゴ・キャラクター・文章で類似していないかを人間が確認する。
実務での運用
- 商用・対外公開の成果物は、公開前に人間がオリジナリティと類似リスクを確認する
- ブランド資産（ロゴ・商標）に関わる生成物は特に慎重にチェック
- 判断に迷う重要案件は、社内法務・専門家へ相談する
④ セキュリティ点検チェックリスト
- 業務で使ってよいAIサービスを「許可リスト」で明確にしている
- 法人契約で、入力が学習に使われない設定になっている
- アカウントはSSO／多要素認証（MFA）で保護している
- 機密データの入力禁止ルールを全社員が知っている
- AIの出力（コード・文章・数値）は鵜呑みにせず人間が検証している
- 外部連携（MCP・プラグイン・拡張）は信頼できるものに限定している
- プロンプトインジェクション（外部テキストに紛れた不正指示）を想定している
- インシデント時の報告窓口・手順が決まっている
⑤ 社内AI利用ガイドライン ひな形
そのままコピーして、自社の実情に合わせて編集してください。まずは1ページの簡潔なルールから始めるのが定着のコツです。
【目的】
本ガイドラインは、生成AIを安全かつ効果的に業務で活用するための
基本ルールを定める。
【使ってよいサービス】
・会社が許可した次のサービスのみを業務利用する：______
・上記以外を業務で使う場合は事前に______へ申請する。
【入力してはいけない情報】
・個人情報／特定個人情報、顧客から預かった機密
・未公開の財務・人事・経営情報
・パスワード・APIキー等の認証情報
・社外秘のソースコード・設計
→ 必要な場合は匿名化・一般化してから入力する。
【出力の取り扱い】
・AIの出力は下書きとみなし、事実・数値・引用は人間が必ず検証する。
・対外公開・商用利用する成果物は、著作権・類似リスクを公開前に確認する。
【禁止事項】
・差別的・違法・他者の権利を侵害する用途での利用。
・許可外サービスへの業務データの入力。
【困ったとき・インシデント】
・判断に迷う場合や情報を誤って入力した場合は、速やかに______へ報告する。
【改訂】
・本ガイドラインは技術・法令の動向に応じて随時見直す。
（最終改訂：____年__月）⑥ シャドーAI（無許可利用）への対策
禁止だけでは、社員は個人アカウントでこっそり使い始めます（＝シャドーAI）。むしろ「安全に使える正規ルート」を用意することがリスクを下げます。
正規ルートを用意する
法人契約の安全なAIを全員に配り、「使うならこれ」を明確に。便利な正規手段があれば無許可利用は減る。
禁止より教育
なぜ機密入力が危険かを具体例で共有。短い研修や1ページのルールで十分に効果がある。
相談しやすい窓口
「これ使っていい？」を気軽に聞ける窓口を設ける。隠れて使われるより、可視化される方が安全。
⑦ 公式・参考リンク（日本）
※ 本ページは生成AIを業務導入する際の一般的な留意点をまとめた情報提供であり、法的助言ではありません。著作権・個人情報・契約に関する個別の判断は、最新の法令・各サービスの規約を確認のうえ、必要に応じて弁護士等の専門家にご相談ください。記載は2026年6月時点の一般的な理解に基づきます。