生成AIの社内ルールの作り方｜入力・共有・操作の許可をケースで学ぶ

生成AIのセキュリティリスクでは入力、参照、出力、実行の違いを扱いました。本記事は、その知識を社内の判断手順へ変えるための学習です。誰がどの条件で利用できるか、迷ったときに誰へ相談するかを具体化します。

一つの規程をコピーして全ての会社へ適用することはできません。契約、扱う情報、顧客との約束、利用環境が異なるためです。法令や契約の判断が必要な事項は、責任者や法務などの専門家と確認してください。本記事の独自ケースは、法的に利用を許可するひな形ではありません。

架空の会社が文章の下書き用にAIを承認したとします。個人アカウントと組織アカウント、無料プランと契約したプラン、外部連携の有無で扱いが変わる場合があります。「このAIなら使ってよい」という一文だけでは、どの環境が承認済みか分かりません。

利用目的、アカウント、契約、対象データ、共有先、連携、操作権限、管理者を一覧で確認します。入力情報の学習利用、保存、閲覧の条件も別々に見ます。契約条件や機能が変わったら、以前の承認をそのまま続けてよいかを見直します。

架空の担当者が顧客の契約書を要約したいと考えています。組織アカウントを使っていても、その書類を外部サービスへ送ってよい条件が確認できていません。この段階では全文を送らず、情報の分類、契約上の条件、必要な要約項目を責任者へ確認します。

氏名だけ伏せれば必ず安全とは限りません。固有の取引条件や複数の情報を組み合わせると対象を推測できる場合があります。また要約の内容が正しいことと、原文を送ってよかったことは別の問題です。練習では、入力前の判断と出力後の確認を二段階で書き分けます。

通常のルールで扱えない業務が出たときは、例外を認める権限と手順を決めます。架空の申請例では、目的、対象データ、代替手段、利用期間、利用者、想定する影響、承認者を記録します。担当者が急いでいるという理由だけで範囲を広げないようにします。

承認は、特定の目的と条件に対するものです。同じ部署が別の顧客資料を使うとき、AIへ送信操作も許可するとき、外部の連携を追加するときに、同じ例外を使ってよいとは限りません。期限切れと利用終了時の扱いも確認します。

禁止事項だけの長い文書では、社員が自分の業務へ当てはめられないことがあります。承認済みの環境へ進む方法、よくある業務の判断例、問い合わせ窓口を一緒に示します。「使わない」以外に安全な代替手段があるかも、責任者が検討します。

インシデントや誤った出力に気づいた場合の連絡先、利用記録の保存範囲、管理者が確認できる内容を決めます。記録にも機密情報が含まれるため、何でも保存・全員共有すればよいとは限りません。導入後も共有設定や権限が増えていないかを点検します。

個人の学習では、架空の三つの作業を「入力できる」「事前相談が必要」「この条件では使えない」に分け、理由と不足情報を説明してみましょう。この分類は学習用であり、実際の会社の承認を代行しません。社員教育の設計では行動の確認まで扱います。

外部資料を読む機能にはプロンプトインジェクション、サービス同士の連携にはOAuth権限という別の論点もあります。利用ルールは、技術的制御と管理者の判断を組み合わせるための入口です。

本記事のケース・図解は当サイト独自の学習用です。公表事例と架空の練習例を区別し、実際の試験問題や過去問を再現していません。時事情報がそのまま出題されるという意味ではありません。

学習範囲を確認するなら情報・サイバーセキュリティ管理士の概要、理解を確かめるなら登録不要の無料お試し20問へ。収録内容と料金は管理士のコースページで確認できます。

外部の制度・事例は2026年10月14日時点で確認しました。事件の評価や製品の対応状況は更新されるため、実務判断では末尾の一次資料も再確認してください。