ChatGPT社内利用ルールの作り方｜小さなチーム向け確認リスト

「ChatGPTを社内で使っていいですか」と聞かれたとき、いきなり全面禁止か全面解禁に寄せると、現場は動きにくくなります。禁止だけにすると、個人アカウントや未承認ツールへ流れるかもしれません。解禁だけにすると、顧客名、契約内容、社内の未公開資料、社員の評価情報がプロンプトに混ざるリスクがあります。必要なのは、現場が迷う境界を短く決めることです。

AI Study LogのWordPress/Codex運用でも、記事を量産する前に、キーワード台帳、制作ルール、ソース確認、公開前チェック、WordPress readbackを先に作りました。これは「AIを使うな」というルールではなく、AIを使う前に何を人間が確認するかを決めるためです。ChatGPTの社内利用ルールも同じで、まずは入力、出力、確認、保存、見直しの境界を決めると、現場の小さな試行が安全になります。

最初に決めるのは入力してよい情報の境界

社内利用ルールで最初に決めるべきなのは、「ChatGPTで何をしたいか」よりも「何を入力しないか」です。生成AIは、入力した文章やファイルをもとに回答します。便利な一方で、プロンプトに顧客情報、契約情報、社員情報、未公開の売上、社外秘資料、管理画面URL、APIキー、パスワードのような情報を入れると、情報管理の問題になります。

OpenAIは、ChatGPT Business、ChatGPT Enterprise、APIなどのビジネス向け製品では、入力と出力をデフォルトでモデル学習に使わないと説明しています。一方で、個人向けサービスではデータコントロールの設定や利用形態によって扱いが変わります。さらに、会社としては「学習に使われるか」だけでなく、どのアカウントで使うか、管理者がどこまで監査できるか、入力したデータが社外サービスに渡ることをどう扱うかも確認しなければなりません。

個人情報保護委員会も、生成AIサービスの利用では個人情報の入力、利用目的、本人同意、取扱いの適正性に注意する必要があると注意喚起しています。これは大企業だけの話ではありません。小さなチームでも、問い合わせフォームの内容、顧客名簿、受験生や生徒の情報、採用応募者の履歴書、請求書、医療・介護・金融に近い相談内容を扱うなら、個人情報と機密情報の境界を先に決めるべきです。

ここで大切なのは、抽象的に「機密情報を入れない」と書くだけで終わらせないことです。現場では「この議事録は機密か」「会社名を伏せればよいか」「顧客の問い合わせ文を少し直して入れてよいか」のような迷いが起こります。ルールには、入力禁止の例、匿名化すれば使える例、責任者に確認する例を分けて書きます。

使ってよい仕事を具体例で決める

社内利用ルールは、禁止事項だけでは運用されません。何に使ってよいかが書かれていないと、現場は毎回確認するか、逆に自己判断で使ってしまいます。小さなチームなら、最初は「使ってよい仕事」を8個程度に絞り、入力してよい素材、人間が確認する点、社外に出す前の条件をセットで決めるのが現実的です。

たとえばメール下書きなら、相手の氏名や取引条件を伏せたうえで、丁寧な表現や構成案を出す用途にできます。会議メモなら、録音や全文文字起こしを入れる前に、個人名や未公開案件をどう扱うか決めます。PDF要約なら、公開資料と社内資料で扱いを分けます。表整理なら、顧客IDや売上明細をそのまま入れず、サンプルや匿名化データで試します。

この表のポイントは、「AIで効率化できる作業」と「人間が見る作業」を分けていることです。ChatGPTは下書き、整理、比較、チェックリスト化に向いています。一方で、正しいか、公開してよいか、契約上問題ないか、個人を不当に評価していないかは、人間の責任範囲です。社内ルールには、この分担をそのまま書きます。

ルール文は、難しい言葉よりも現場の行動で書くほうが使われます。「生成AIの出力は参考情報であり、最終判断は担当者が行う」だけでは、何を確認すればよいか分かりません。「顧客へ送る前に、事実、数字、約束、敬語、社外秘の混入を確認する」と書けば、明日から使えます。

小さなチーム向けルールのテンプレート

大企業の規程をそのまま小さなチームに持ち込むと、読むだけで止まりがちです。最初のルールは、1ページで読める長さにします。詳しい法務・セキュリティ文書が必要な組織でも、現場向けには「使う前に見るチェックリスト」が別に必要です。ここでは、個人事業のチーム、5人前後の部門、ブログ運用チーム、学習塾や小規模事業の事務チームでも使いやすい形にしています。

このテンプレートは、そのまま最終規程にするものではありません。会社の業種、個人情報の量、顧客との契約、使うプラン、管理者設定、従業員のITリテラシーによって、必要な厳しさは変わります。たとえば、教育、医療、士業、金融、不動産、採用、人事評価を扱うチームは、一般的なブログ運用チームよりも慎重な設計が必要です。

OpenAIのBusiness/Enterprise向け説明には、ビジネスデータの所有・管理、デフォルトでの学習利用の扱い、管理者によるワークスペース管理などが示されています。ただし、それを読んだだけで「どんな情報でも入れてよい」とはなりません。社内ルールでは、サービス側の説明、会社の規程、顧客との契約、個人情報保護の考え方を合わせて判断します。

METIのAI事業者ガイドラインは、AIの便益を活かしながらリスクに対応するための考え方を整理しています。JDLAの生成AI利用ガイドラインも、組織内でのひな形として使える資料です。小さなチームでは、これらをすべて読み込んで専門的な規程にするより、まず「現場が明日使う1枚」に落とし込み、必要に応じて詳しい規程や専門家レビューへ進めるのが現実的です。

ルールを作るときに避けたいのは、AIの利用を「自己責任」とだけ書くことです。自己責任と書くと、現場は使いにくくなり、問題が起きたときだけ担当者に負担が寄ります。社内ルールは、使う人を縛るためだけでなく、使う人を守るためにあります。入力してはいけない情報、相談するタイミング、確認者を決めることで、担当者は安心して小さく試せます。

作って終わりにせず、試用・記録・改訂で回す

ChatGPTの社内利用ルールは、作った瞬間よりも、使い始めてからの見直しが重要です。AIサービスの機能、料金、プラン名、データ設定、管理者機能は変わります。社内の業務も変わります。最初に作ったルールを半年放置すると、現場の使い方と文書がずれていきます。

おすすめは、最初の30日を試用期間にすることです。許可する用途を少なくし、実際に起きた迷いを記録します。「顧客名を伏せたメール下書きは便利だった」「会議メモは発言者名の扱いに迷った」「PDF要約は原文照合に時間が必要だった」「表整理は列名を直すだけで精度が上がった」といった記録が、次のルール改訂の材料になります。

AI Study Logのブログ運用でも、公開はWordPress API更新だけでは完了にしていません。公開URL、メタディスクリプション、OG画像、本文画像、リンク、ローカルパスの混入を読み返します。この考え方は社内ChatGPT利用にもそのまま使えます。AI出力ができた時点を完了にせず、公開・送信・判断に使う前の読み返しを最後のゲートにします。

特に、社外に出る文章は最後に人が読むルールを外さないでください。ChatGPTは自然な文章を作れますが、社外秘の混入、数字の誤り、古い情報、誇大表現、著作権に関わる引用、相手に失礼なニュアンスを自動で完全に防げるわけではありません。AIを使うほど、最後の人間確認が重要になります。

担当者別に決めておくと止まりにくいこと

社内利用ルールは、全員に同じ文章を配るだけでは定着しにくいです。実際の運用では、使う人、確認する人、管理する人、外部へ説明する人の役割が違います。小さなチームでは兼任が多いので、名前ではなく役割で決めておくと、担当者が変わっても引き継ぎやすくなります。

この役割分担を決めずに始めると、便利な使い方が出てきたときに「誰が許可したのか」が曖昧になります。逆に、すべて責任者承認にすると日常業務では使われません。低リスク用途は利用者判断、高リスク用途は確認者または責任者承認、アカウントや設定は管理者、というように段階を分けます。

初回ミーティングで決める議題

ルール作成の初回ミーティングは、長い研修にしなくてもかまいません。30〜45分で、使いたい業務、入れてはいけない情報、確認者、記録方法、次回見直し日だけ決めます。議論が広がりすぎる場合は、最初の30日は「公開済み情報と匿名化サンプルだけ」と決め、実データ利用は次回以降に回すと進めやすくなります。

この進め方なら、社内利用ルールを作ること自体が目的になりにくくなります。ルールは、現場の仕事を止めるためではなく、安心して使える範囲を作るためのものです。最初の会議では、難しい規程文を完成させるより、「明日から使ってよい3つの仕事」と「絶対に入力しない5つの情報」を決めることを優先してください。

よくある迷いへの答え

FAQは、ルール本文とは別に残しておくと便利です。利用者が同じ質問を繰り返す場合、ルールが難しすぎるか、例が足りていない可能性があります。月次の見直しでは、FAQに増えた質問を見て、禁止例や許可例を短く直します。

個人名を仮名にすれば入力してよいですか。
仮名化しても、他の情報と組み合わせると個人を推測できる場合があります。問い合わせ内容、勤務先、住所、日時、具体的な病歴や成績のような情報が残るなら、個人名を消しただけで安全とは言えません。社内ルールでは、仮名化で使える例と、仮名化しても要承認にする例を分けます。

無料版で社内利用してもよいですか。
無料版が絶対に悪いわけではありませんが、仕事利用ではデータ設定、管理者権限、チーム管理、入力できる情報、保存・監査の考え方を確認する必要があります。OpenAIのプランやデータコントロールは変更される可能性があるため、社内利用ルールには「最新の公式情報を確認する日」を入れておきます。

AIの出力を少し直せば、そのまま公開できますか。
公開前には、事実、数字、引用、権利、社外秘、差別・偏り、誇大表現、読者や顧客への影響を確認します。AIが作った文章は自然に見えるため、誤りも自然に見えます。とくに会社名義で公開する文章は、担当者の好みではなく、公開前チェックリストで確認するほうが安全です。

ルールが厳しすぎると使われないのではないですか。
その通りです。だからこそ、全用途を一律禁止にするより、低リスク用途を許可し、高リスク用途を要承認に分けます。メール表現の言い換え、公開資料の要約、社内向けFAQの下書き、匿名化した表の整理などから始めると、現場はAIの効果を感じつつ、危ない使い方を学べます。

最初のルールで決めなくてもよいこと

初回からすべてを決めようとすると、ルール作成が止まります。モデルごとの細かい比較、全社の教育体系、詳細な監査ログ設計、全取引先への説明文、すべての生成AIサービスの比較表は、最初の1枚には入れなくてかまいません。まずはChatGPTを使う範囲で、入力禁止、許可用途、要承認、保存、見直しを決めます。

ただし、後回しにしてはいけないものもあります。個人情報、顧客情報、機密情報、社外提出物、契約・採用・会計・医療・法律に近い判断は、最初の段階から注意対象に入れます。ここを曖昧にしたまま便利な用途だけを広げると、あとで修正する負担が大きくなります。