社内AI利用ルールを、禁止事項だけでなく判断できる基準に。

経済産業省・総務省のAI事業者ガイドライン第1.2版は、AI利用者を含む関係者に対し、人間中心、安全性、プライバシー保護、セキュリティ確保、透明性、アカウンタビリティなどを共通の指針として示しています。社内ルールでは、理念を掲げるだけでなく、利用者が行う確認、管理者が用意する環境、責任者が承認する場面へ落とし込みます。

個人情報保護委員会の注意喚起は、個人データを含むプロンプトを入力する場合、利用目的の範囲内か、提供事業者が機械学習へ利用しないこと等を十分確認するよう示しています。『個人情報は一律禁止』または『学習されないから自由に入力できる』と単純化せず、利用目的、必要性、提供条件、権限を個別に確認します。

代表的な業務を行に、入力情報、利用環境、出力の利用先、誤りの影響、外部操作、決定区分、承認者を列にします。例えば公開済みの自社資料から社内向け要約を作る場合と、顧客情報から外部メールを作成・送信する場合では、同じ文章生成でも必要な確認が異なります。

IPAのAIセキュリティ情報は、機密情報の不適切な入力、生成内容の誤り、サービスや連携機能に関するリスクを利用者向けに継続して整理しています。ルール作成時だけでなく、新しい機能や脅威が公表されたときも、判断表と教育内容を見直します。

代表的な入力と出力で試し、許可・要承認・禁止の判断が担当者間で一致するかを確認します。教育では条文の読み合わせだけでなく、迷いやすい具体例、誤入力時の連絡、出力の確認を演習します。理解度は受講記録だけでなく、実際の質問と例外申請を集めて評価します。

公開後は、サービスの利用規約・管理機能・モデル・連携機能の変更、新しい業務、事故、法令・公的ガイドラインの更新を見直しの起点にします。定期改定日にこだわらず、影響が大きい変更は利用範囲を一時的に戻す判断も含めて確認します。