ChatGPTをはじめとする生成AIを仕事で使う人が増えています。
メール作成、資料の要約、アイデア出し、営業準備など、便利な場面は数多くあります。
一方で、企業で利用する場合には、
「顧客名を入力しても大丈夫なのか」
「社内資料をアップロードしてよいのか」
「社員が何を入力しているのか把握できない」
といった不安も出てきます。
生成AIを安全に使うために重要なのは、社員に一律で「使わないでください」と言うことではありません。
何を入力してよく、何を入力してはいけないのかを会社として明確にすることです。
今回は、中小企業が生成AIを業務利用する際に、まず決めておきたい5つの情報管理ルールを紹介します。
1. 入力してはいけない情報を明確にする
最初に決めたいのが、
生成AIへ入力してはいけない情報
です。
例えば、
- 顧客の個人情報
- 未公開の契約内容
- パスワードや認証情報
- 社外秘の技術情報
- 公開前の経営情報
- 取引先から秘密として預かった情報
などがあります。
重要なのは「機密情報を入力しない」という曖昧なルールだけにしないことです。
社員によって「機密情報」の認識が違えば、判断もばらつきます。
そのため、
具体的にどの情報が禁止対象なのか
を例示しておくことが大切です。
2. 使用してよいAIサービスを決める
生成AIサービスは一つではありません。
会社が契約しているサービスとは別に、社員個人が無料のAIサービスを利用することも考えられます。
しかし、サービスによって、
- データの取り扱い
- 管理者機能
- 保存方法
- 利用設定
- セキュリティ機能
などは異なります。
そのため、
会社として使用を認めるAIサービスを決める
ことが重要です。
「生成AIなら何でも使ってよい」という状態より、
「会社ではこのサービスを、この設定で使用する」
という状態の方が管理しやすくなります。
3. 業務によってルールを変える
生成AIの使い方は業務によって異なります。
例えば、
社内イベントのアイデアを考えることと、顧客から預かった資料を分析することでは、扱う情報の重要度が違います。
そこで、
業務ごとにAIへ渡してよい情報を整理する
方法があります。
例えば営業なら、
「公開されている企業情報の整理は可」
「顧客名を含む商談記録はそのまま入力しない」
といったルールを決めます。
人事なら、
「一般的な研修案作成には使用可」
「社員の評価情報や個人情報は入力しない」
といった形です。
全社共通ルールだけでなく、業務別のルールを作ることで実際の仕事で判断しやすくなります。
実務例：営業の商談メモ・議事録を要約する場合
顧客名、担当者名、連絡先、未公開の条件などを含む原文を、そのまま入力しない運用にします。例えば「A社の営業担当者」「製造業の顧客」のように置き換え、要約に必要な部分だけを渡します。名前を伏せても、案件の特徴や金額の組み合わせから相手が分かる場合があるため、社内ルールと利用サービスの契約・設定を確認し、判断できない場合は管理担当者へ相談します。
実務例：顧客から受け取ったPDFを扱う場合
提案依頼書や仕様書などのPDFは、受領しただけでAIへのアップロードが認められるとは限りません。秘密保持の条件や取引先との取り決めを確認し、利用が認められる範囲を整理します。認められた場合も必要な箇所だけを抽出し、個人情報や非公開情報が残っていないか確認します。特定の設定や匿名化だけで安全を保証できるわけではありません。
4. AIの回答をそのまま使わない
情報漏えいだけが生成AIのリスクではありません。
生成AIは、もっともらしい内容でも事実と異なる回答をする場合があります。
そのため、
- 顧客への提案
- 契約
- 法律
- 金額
- 製品仕様
- 社外へ公開する文章
など、重要な情報については人による確認が必要です。
AIに仕事を任せることと、人が判断しなくてよいことは同じではありません。
AIが作る、人が確認する
という役割分担を決めておくことが重要です。
5. 一度ルールを作って終わりにしない
生成AIは短期間で機能や使い方が変わります。
社員の利用方法も変化します。
そのため、利用ルールは一度作ったら終わりではありません。
例えば定期的に、
- どんな業務で使われているか
- 困った事例はなかったか
- 新しい使い方が増えていないか
- ルールが現場に合っているか
- 利用しているサービスや設定に変更がないか
を確認します。
使い方が変われば、ルールも見直します。
禁止事項を増やすだけではなく、安全に使える範囲を広げていくことも重要です。
「禁止する」より「安全に使える状態」をつくる
生成AIのリスクを心配するあまり、
「会社ではAIを使わない」
としてしまう方法もあります。
しかし、社員が個人的に利用してしまえば、会社からは利用状況が見えなくなる可能性があります。
重要なのは、
禁止することではなく、安全に利用できる環境を整えること
です。
そのためには、
- 使用サービスを決める
- 入力禁止情報を決める
- 業務別の使い方を決める
- 人による確認範囲を決める
- 社員へ教育する
という流れで整理すると進めやすくなります。
CatalyxのAI活用支援
Catalyxでは、生成AIツールの使い方を教えるだけではなく、企業が実際の業務で安全に活用できる状態づくりを支援します。
例えば、
- 生成AI研修
- 業務別AI活用方法の整理
- AI利用ルールの検討
- 社内で利用するAIサービスの整理
- AIを使える業務・使わない業務の整理
- AIを活用した業務改善
- 必要に応じたAIツール・システムの企画
などを、企業の状況に合わせて組み合わせます。
「社員がすでに使い始めているが、管理方法が分からない」
という段階からでも構いません。