AI利用ガイドラインのつくりかた～人事労務責任者の役割とガイドライン項目～

もはや「AIを導入すべきか」という議論をしている段階は過ぎ、すでに4社に1社以上が何らかの形でAIを活用し始めています。言語系生成AIに限れば、わずか1年で導入率は急上昇しました。

AIは素晴らしい可能性を秘めています。文書作成の効率化、データ分析の高速化、創造的なアイデアの創出など、その恩恵は計り知れません。しかし同時に、これまで経験したことのない新しいリスクも生まれています。

機密情報の漏洩、著作権侵害、誤った情報による判断ミス、これらは氷山の一角に過ぎません。多くの企業が「便利だから」と見切り発車でAIを使い始めた結果、思わぬトラブルに巻き込まれるケースが後を絶ちません。しかし驚くべきことに、生成AIを利用している企業のうち、きちんとしたセキュリティ規則を定めているのは数%という調査結果があります。

そこで必要になるのが、AIを安全に、そして効果的に活用するための「ルール」です。
それがAI利用ガイドラインです。

本コラムは、人事労務責任者の皆さまがガイドラインを策定し、組織に定着させるまでの道筋を具体的に示すものです。単なる理論書ではありません。実際に手を動かしながら進められる、実践的なハンドブックとして設計しました。

本コラムを読み進めることで、あなたは以下のことができるようになります

• AIがもたらすリスクを具体的に理解し、対策を立てられる
• 信頼できる情報源を参照しながら、自社に合ったガイドラインを作成できる
• 部門横断的なチームを編成し、プロジェクトを成功に導ける
• ガイドラインを単なる文書ではなく、生きた規範として組織に定着させられる

さあ、AIという新たな同僚と上手に付き合うための第一歩を、一緒に踏み出しましょう。

見えないところで進む「シャドーAI」の脅威

「ちょっと試してみただけなんです」

ある中堅メーカーの営業部員は、顧客への提案書作成にChatGPTを使い始めました。劇的に作業時間が短縮され、上司からも「最近、提案書の質が上がったね」と褒められるように。しかし、ある日、顧客から衝撃的な指摘を受けます。

「この提案書の内容、競合他社の提案とそっくりなんですが…」

調査の結果、その営業部員は顧客の機密情報を含む要件をそのままAIに入力していたことが判明。同じAIサービスを使っていた競合他社も、偶然似たような出力を得ていたのです。

これは架空の話ですが、IT部門の管理外で従業員が勝手にAIツールを使う「シャドーAI」は、今や多くの企業で現実の脅威となっています。

企業を襲う5つのリスク

明確なルールなしにAIを使い続けることは、地雷原を目隠しで歩くようなものです。具体的には、以下のようなリスクがあなたの会社を脅かしています。

1. 機密情報・個人情報の漏洩リスク
従業員が何気なく入力した社内情報が、AIの学習データとして利用され、他のユーザーへの回答に使われる可能性があります。顧客リスト、開発中の新製品情報、人事評価データ、これらが社外に流出したときの損害を想像してみてください。

2. 知的財産権・著作権侵害のリスク
AIが生成した文章や画像が、実は既存の著作物の無断利用だったという事例が増えています。「AIが作ったから大丈夫」は通用しません。最終的な責任は、それを利用した企業が負うことになります。

3. ハルシネーション（幻覚）による誤情報リスク
AIは時として、もっともらしい嘘をつきます。これを「ハルシネーション」と呼びますが、その誤情報を基に重要な経営判断を下したら、どうなるでしょうか。

4. サイバーセキュリティの新たな脆弱性
「プロンプトインジェクション」という新しいタイプの攻撃をご存知でしょうか。巧妙に細工された入力によって、AIに機密情報を吐き出させる手法です。従来のセキュリティ対策では防げない、AI時代特有の脅威です。

5. ブランドイメージの毀損リスク
AIが生成した不適切なコンテンツが原因で、企業の評判が一夜にして地に落ちる。SNS時代の今、これは決して他人事ではありません。

リスクは連鎖し、増幅する

恐ろしいのは、これらのリスクは単独で起きるのではなく、連鎖反応を起こすことです。情報漏洩が発覚すれば信用を失い、訴訟に発展すれば莫大な賠償金が発生し、ブランドイメージの回復には何年もかかるでしょう。

だからこそ、今すぐAI利用ガイドラインの策定が必要なのです。それは単なる「決まりごと」ではありません。AIという強力な武器を、安全に使いこなすための「取扱説明書」なのです。

信頼できる羅針盤を手に入れる

ガイドラインで最初に直面する問題は「何を基準にすればいいのか」ということです。幸い、日本にはすでに信頼できる指針がいくつも存在します。これらを上手に活用することで、法的にも社会的にも認められる、しっかりとしたガイドラインを作ることができます。

日本政府が示す基本指針：「AI事業者ガイドライン」

まず押さえておきたいのが、経済産業省と総務省が共同で発表した「AI事業者ガイドライン」です。これは日本における最も包括的で権威ある指針であり、いわば「教科書」のような存在です。

https://www.meti.go.jp/press/2024/04/20240419004/20240419004.html

このガイドラインの優れている点は、AIにかかわる企業を「開発者」「提供者」「利用者」の3つに分類していることです。多くの企業は、外部のAIサービスを業務に活用する「AI利用者」に該当します。つまり、皆さんの会社もほぼ間違いなく「AI利用者」として、このガイドラインに沿った対応が求められているのです。

すべてのAI利用者が守るべき10の基本原則

ガイドラインでは、すべての事業者が守るべき10の原則が示されています。少し堅い表現もありますが、要するに以下のようなことです。

1. 人間中心の原則
AIはあくまで人間を助けるツール。人間の尊厳を損なったり、意思決定を不当に操作したりしてはいけません。最終的な判断は必ず人間が行うという基本姿勢を貫きます。

2. 安全性の原則
AIの出力が従業員、顧客、社会に危害を及ぼさないよう注意する。特に重要な業務では、AIの出力を鵜呑みにせず、必ず人間がその安全性を検証します。

3. 公平性の原則
AIには偏見（バイアス）が含まれることを理解し、採用や人事評価で不当な差別が起きないよう配慮する。性別、年齢、国籍などによる差別的な判断をAIに委ねてはいけません。

4. プライバシー保護の原則
個人情報保護法を遵守し、従業員や顧客のプライバシーを最大限に尊重する。個人データをAIで処理する際は、その目的やリスクを本人に説明し、必要な同意を得ることが不可欠です。

5. セキュリティ確保の原則
不正アクセス、データ漏洩、プロンプトインジェクションなどの脅威から、システムとデータを守る技術的・組織的対策を講じます。定期的なセキュリティ監査も重要です。

6. 透明性の原則
主にAI開発者・提供者の責務ですが、利用者としても、どの業務でAIを使っているかを従業員や顧客に対して可能な範囲で開示し、信頼関係を築きます。

7. アカウンタビリティ（説明責任）の原則
AIの利用とその結果について、誰が責任を負うのかを明確にする。重要な意思決定では、必ず人間が介在し、最終的な責任を負う体制を構築します。

8. 教育・リテラシーの原則
全従業員に対し、AIの正しい使い方、その能力と限界、潜在的なリスクについて継続的に教育・研修を実施する。これは人事部門が主導すべき最重要課題です。

9. 公正競争の原則
AIの利用が、独占禁止法に抵触したり、不公正な取引方法を用いたりすることのないよう留意する。市場の健全な競争を阻害しないよう配慮します。

10. イノベーションの促進
これらの原則は、AIの利用を萎縮させるためのものではありません。むしろリスクを適切に管理することで、安心してイノベーションに挑戦できる環境を作るためのものです。

これら10の原則を、自社の業務や文化に合わせて具体的なルールに落とし込んでいくことが、ガイドライン作成の第一歩となります。

規制当局からの重要な警告

個人情報保護委員会は、生成AIの利用について特に厳しい注意喚起を行っています。たとえば、顧客情報をAIに入力する行為が、あらかじめ公表している「個人情報の利用目的」から外れていないか。AIサービスの提供会社が入力データを学習に使う場合、それは「第三者提供」に当たるのではないか。こうした点を見落とすと、個人情報保護法違反で処罰される可能性があります。

厚生労働省からAIに特化した包括的なガイドラインはまだ出ていませんが、採用や人事評価でのAI利用には要注意です。過去のデータから学習したAIが、意図せず性別や年齢による差別を行ってしまう事例が海外では報告されています。

先進企業から学ぶ実践的なノウハウ

政府のガイドラインが「原則」を示すものだとすれば、企業が公開しているガイドラインは「実践例」です。日本ディープラーニング協会（JDLA）が公開しているガイドラインのひな形は、多くの企業にとって優れた出発点となるでしょう。

https://www.jdla.org/document

また、富士通、NEC、日立製作所といった大手IT企業のガイドラインを見比べてみると、以下のような共通点が見えてきます。

• 機密情報や個人情報の入力を明確に禁止している
• AIの出力は必ず人間が最終確認することを義務付けている
• 著作権侵害のリスクについて具体的に言及している
• 定期的な見直しを前提としている

これらの企業の取り組みを参考にしながら、自社の業界特性や企業規模に合わせてカスタマイズしていくことが重要です。

あなたの会社のための「参考図書リスト」

最後に、主要な参考資料を整理しておきましょう。

発行元	文書名	あなたの会社にとっての意味
経済産業省・総務省	AI事業者ガイドライン	基本となる10原則を理解し、自社の立ち位置を確認する
個人情報保護委員会	生成AIサービスの利用に関する注意喚起	個人情報を扱う際の法的リスクを把握する
日本ディープラーニング協会	生成AIの利用ガイドライン	具体的な条文の書き方の参考にする
各先進企業	各社のAI利用ガイドライン	業界のベストプラクティスを学ぶ

なぜ一部門だけでは失敗するのか

「AIのことだからIT部門に任せておけばいい」 「法的な問題だから法務部門がつくるべきだ」

もしあなたがこう考えているなら、その瞬間にプロジェクトは失敗します。なぜでしょうか。

IT部門だけでつくれば、技術的には完璧でも、現場では使い物にならない複雑なルールになりがちです。法務部門だけなら、リスクを恐れるあまり「あれもダメ、これもダメ」という禁止事項の羅列になり、誰も守らない形骸化したルールになってしまいます。人事部門だけでは、技術的な脆弱性や法的なリスクを見落としてしまうかもしれません。

AI利用ガイドラインは、単なる技術文書でも法律文書でもありません。それは、企業の働き方そのものを変える「変革プロジェクト」なのです。だからこそ、組織横断的なチームで取り組む必要があります。

理想的なドリームチームの編成

では、どのようなメンバーを集めればよいのでしょうか。成功するプロジェクトチームには、以下の5つの役割が欠かせません。

1. 経営層スポンサー

プロジェクトには必ず、役員クラスのスポンサーが必要です。彼らの役割は、予算を確保し、部門間の対立を調整し、最終的な決定に権威を与えることです。「社長も役員も関心がない」プロジェクトに、誰が真剣に取り組むでしょうか。

2. 法務・コンプライアンス部門
個人情報保護法、著作権法、そして取引先との契約、これらの複雑な法的要件を理解し、ガイドラインに反映させる重要な役割を担います。彼らは「これは法的にアウト」という最終判断を下す権限を持つべきです。

3. IT・セキュリティ部門
どのAIツールが安全で、どれが危険なのか。技術的な観点から判断し、セキュリティ対策を提案します。また、承認されたツールのリストを管理し、新しいツールの評価も行います。

4. 人事部門
人事部門こそが、このプロジェクトのリーダーになるべきです。
それはなぜか？ AIのリスクの多くは「人」に起因するからです。機密情報を入力してしまうのも人、AIの出力を鵜呑みにするのも人、ルールを守るのも破るのも人です。つまり、これは本質的に「人」の問題なのです。

人事部門は、従業員教育のプロ、組織変革の専門家、そして従業員と経営陣をつなぐ架け橋です。この特性を活かし、単なる参加者ではなく、プロジェクト全体を主導する立場に立つべきです。

具体的には以下の責務を担います。

• プロジェクト全体の進行管理
• ガイドラインが現場に受け入れられるための戦略立案
• 全社的な教育・研修プログラムの企画と実施
• 既存の就業規則との整合性確保
• 従業員の声を吸い上げ、実用的なルール作りに反映

5. 事業部門の代表
研究開発、営業、製造など、実際にAIを使う部門の代表も不可欠です。彼らは「このルールでは仕事にならない」「こういう使い方ができれば生産性が上がる」といった現場の生の声を届けてくれます。

チーム編成表で役割を明確に

プロジェクトを始める前に、以下のような役割分担表を作成し、全員で共有することをおすすめします。

役割	担当者（部署）	主な責務	期待される成果
経営層スポンサー	○○担当役員	全体統括、リソース確保	経営判断、最終承認
法務・コンプライアンス	法務部長	法的リスク評価	法的に問題のないガイドライン
IT・セキュリティ	IT部長	技術評価、ツール選定	安全なAI利用環境の構築
人事（プロジェクトリーダー）	人事部長	全体推進、教育企画	組織への定着
事業部門代表	各部門の部長	現場ニーズの提供	実用的なルール

このように役割を明確にすることで、「誰が何をやるのか分からない」という混乱を避け、スムーズにプロジェクトを進めることができます。部門の壁を越えて協力し合うことで、初めて実効性のあるガイドラインが生まれるのです。

プロジェクトの全体像を掴む

ガイドライン策定は、通常3〜4ヶ月程度のプロジェクトとして計画します。ただし、これは策定までの期間であり、組織への定着にはさらに時間がかかることを理解しておく必要があります。

以下、5つのフェーズに分けて、具体的な進め方を解説します。

フェーズ1：現状把握とリスク評価（1か月目）

◆まず敵を知る
プロジェクトの最初の1ヶ月は、情報収集に徹します。この段階を軽視すると、現実離れしたガイドラインができあがってしまいます。

最初に行うべきは、リスクアセスメント（危険性の評価）です。第1章で説明した5つのリスクを基に、自社特有のリスクを洗い出します。たとえば、金融業なら顧客の資産情報、製造業なら設計図面、医療機関なら患者情報など、業界によって守るべき情報は異なります。

◆スコープ（対象範囲）を明確にする
「すべてのAIツールを対象に、全従業員に適用する完璧なガイドライン」を最初からつくろうとすると、必ず挫折します。まずは以下の点を明確にしましょう。

• 対象とするAIツール（例：ChatGPT、Claude、Copilotなど）
• 適用する従業員の範囲（例：正社員のみ、派遣社員も含む）
• 想定する利用シーン（例：文書作成、翻訳、プログラミング支援）

最初は範囲を絞り、段階的に拡大していく方が現実的です。

◆隠れたAI利用を見つけ出す
従業員へのアンケートやヒアリングを実施し、現在どのようなAIツールがどのように使われているかを把握します。「シャドーAI」の実態を知ることで、より現実的なルール作りが可能になります。

フェーズ2：ガイドラインの草案作成（2か月目）

◆車輪の再発明はしない
ゼロから文書をつくるのは非効率です。JDLAや先進企業が公開しているテンプレートを活用しましょう。ただし、丸写しは禁物。自社の状況に合わせてカスタマイズすることが重要です。

◆部門横断チームでのつくり込み
週1〜2回の定例会議を設定し、各部門の視点から草案をブラッシュアップしていきます。

• IT部門：「このツールは本当に安全か？」
• 法務部門：「この表現で法的リスクは回避できるか？」
• 人事部門：「従業員にとって理解しやすいか？」
• 事業部門：「このルールで業務に支障はないか？」

異なる視点からの意見がぶつかることもありますが、それこそが強固なガイドラインを作る過程なのです。

フェーズ3：レビューと承認（3か月目）

◆現場の声を聞く
草案ができたら、プロジェクトチーム外の人にも見てもらいます。特に、実際にAIを使っている現場の従業員や、各部門の管理職からのフィードバックは貴重です。「この部分が分かりにくい」「このルールは厳しすぎる」といった率直な意見を集め、最終調整を行います。

◆経営陣の承認を得る
最後は経営会議での承認です。ここでのポイントは、ガイドラインの必要性を「リスク回避」だけでなく「ビジネスチャンス」の観点からも説明することです。
「このガイドラインにより、従業員が安心してAIを活用でき、生産性向上につながります」といったポジティブなメッセージも忘れずに。

フェーズ4：コミュニケーションと教育（4か月目）

どんなに素晴らしいガイドラインも、従業員に理解され、実践されなければ意味がありません。多くの企業がこの段階で失敗し、せっかくのルールが形骸化しています。

◆キックオフイベントで盛り上げる
経営トップ自らがメッセージを発信する全社イベントを開催します。「なぜAIガイドラインが必要なのか」「会社としてAI活用をどう考えているのか」を熱く語ってもらいましょう。

◆部署別の実践的な研修
全社一律の説明会だけでは不十分です。部署ごとに、具体的な業務に即した研修を実施します。

• 営業部：顧客情報を守りながら提案書作成にAIを活用する方法
• 研究開発部：特許情報や研究データの取り扱い注意点
• 人事部：個人情報に配慮した採用・評価でのAI活用

単にルールを説明するだけでなく、「こう使えば安全で効果的」という前向きなメッセージを伝えることが大切です。

◆管理職を味方につける
各部門の管理職向けに、想定問答集や説明資料を用意します。部下からの質問に答えられるよう、しっかりサポートしましょう。管理職が納得していないルールは、現場に浸透しません。

フェーズ5：モニタリングと継続的改善（継続実施）

◆生きたガイドラインを維持する
ガイドラインは作成して終わりではありません。AI技術は日進月歩で進化し、法規制も変わっていきます。少なくとも半年に1回は見直しを行う体制を目指しましょう。

◆違反の取り扱い
残念ながら、ルール違反は必ず発生します。重要なのは、違反者を厳罰に処すことではなく、なぜ違反が起きたのかを分析し、再発防止につなげることです。

• ルールが現実的でなかったのか？
• 教育が不十分だったのか？
• もっと使いやすいツールが必要なのか？

こうした観点から継続的に改善を行うことで、ガイドラインは組織に定着していきます。

プロジェクト成功のカギ

最後に、プロジェクトを成功させるための3つのポイントをお伝えします：

1. 完璧を求めすぎない
   最初から100点のガイドラインはつくれません。70点でもいいから早く始め、改善していく方が現実的です。
   
2. 前向きなメッセージを大切に
   「禁止」ばかりでなく、「こうすれば活用できる」という建設的な内容を心がけましょう。
   
3. 継続的なコミュニケーション
   一度説明したら終わりではなく、定期的に情報発信を続けることが定着への近道です。
   

実効性のあるガイドラインの構成要素

いよいよ、ガイドラインの中身について具体的に見ていきましょう。
ここでは、必ず含めるべき項目と、その書き方のポイントを解説します。

1. 前文と基本的な考え方

◆なぜこのガイドラインが必要なのか
冒頭では、ガイドラインの目的を明確に示します。ポイントは、「禁止のためのルール」ではなく「安全に活用するためのルール」であることを強調することです。

◆誰に適用されるのか
対象となる従業員の範囲を明確にします。正社員だけでなく、契約社員、派遣社員、業務委託先なども含めるのか、はっきりさせましょう。

◆用語の定義
「生成AI」「機密情報」「個人情報」など、ガイドラインで使用する重要な用語は、最初に定義しておきます。これにより、解釈の違いによるトラブルを防げます。

2. AIに入力してはいけない情報

◆機密情報・個人情報の入力禁止
最も重要なルールです。具体例を挙げて、分かりやすく説明しましょう。

◆第三者の著作物
他社のウェブサイトの文章、新聞記事、書籍の内容などを無断で入力することも禁止します。「引用」と「盗用」の違いを理解してもらうことが大切です。

3. AIの出力の取り扱い

◆人間参加型の原則
AIの出力をそのまま使うのではなく、必ず人間が内容を確認し、責任を持って判断することを義務付けます。

◆特に注意が必要な用途
以下のような重要な場面では、より慎重な確認が必要です。

• 契約書や法的文書の作成
• 対外的な広報資料やプレスリリース
• 人事評価や採用判定
• 財務分析や投資判断

4. 使って良いツールと申請方法

◆承認済みAIツールリスト
会社として安全性を確認し、利用を認めるAIツールを明示します。定期的に更新することも忘れずに。

ツール名	用途	注意事項	最終更新日
ChatGPT（有料版）	文書作成、翻訳	機密情報は入力禁止	2024/○/○
DeepL	翻訳	契約書等の重要文書は人間が再確認	2024/○/○
GitHub Copilot	プログラミング支援	生成されたコードは必ずレビュー	2024/○/○

◆新規ツールの利用申請
リストにないツールを使いたい場合の申請フローを定めます。イノベーションを阻害しないよう、できるだけシンプルな手続きにしましょう。

5. 透明性の確保

◆AI利用の明示
AIを使って作成したコンテンツには、その旨を明記することをルール化します。

6. 違反時の対応

◆インシデント報告の仕組み
万が一、機密情報を入力してしまった場合などに、すぐに報告できる窓口を設けます。「怒られるから黙っておこう」という隠蔽を防ぐため、報告者を責めない文化を作ることが重要です。

◆段階的な対応
すべての違反を一律に厳罰に処すのではなく、内容や悪質性に応じた段階的な対応を定めます。

ガイドライン作成チェックリスト

最後に、漏れがないかチェックするためのリストを用意しました。

【基本事項】

•  ガイドラインの目的は明確か
•  適用対象者は明確か
•  重要用語は定義されているか

【入力ルール】

•  機密情報の入力禁止は明記されているか
•  個人情報の入力禁止は明記されているか
•  著作権への配慮は含まれているか

【出力ルール】

•  人間による確認義務は明記されているか
•  チェックすべきポイントは示されているか

【運用ルール】

•  承認済みツールリストはあるか
•  新規ツールの申請方法は定められているか
•  AI利用の開示ルールはあるか
•  インシデント報告の方法は明確か
•  違反時の対応は定められているか
•  定期的な見直しについて記載があるか

このチェックリストを使って、実効性のあるガイドラインを完成させましょう。

ここまで読み進めていただいた皆さんは、AI利用ガイドラインが単なる「リスク対策」ではないことをご理解いただけたと思います。

確かに、情報漏洩や著作権侵害といったリスクは深刻です。しかし、それらを恐れるあまりAIの活用を諦めてしまっては、デジタル時代の競争から取り残されてしまいます。

ガイドラインは、むしろAIを積極的に活用するための「安全運転マニュアル」なのです。交通ルールがあるからこそ、私たちは安心して車を運転できる。それと同じように、明確なルールがあるからこそ、従業員は安心してAIを使いこなせるようになるのです。

イノベーションを支える土台として

しっかりとしたガバナンスは、イノベーションの敵ではありません。むしろ、その土台となるものです。

従業員にとっては、「ここまでなら大丈夫」という安心感が、創造的な挑戦を後押しします。顧客や取引先にとっては、データを適切に管理している企業であることの証明となり、信頼関係が深まります。投資家にとっては、先進技術とリスク管理を両立させている企業として、高い評価につながるでしょう。

今すぐ行動を起こすために

本コラムを読み終えた今、あなたが取るべき次のステップは明確です。

1. 上司との相談
まず、直属の上司にこの課題の重要性を伝え、プロジェクト立ち上げの了承を得ましょう。

2. 仲間を見つける
法務部門とIT部門のキーパーソンに声をかけ、問題意識を共有します。一人で始めるより、最初から仲間がいる方が心強いはずです。

3. 小さく始める
いきなり全社的なプロジェクトにする必要はありません。まずは有志メンバーでの勉強会から始めるのも良いでしょう。

4. 経営層を巻き込む
ある程度準備が整ったら、経営層向けのプレゼンテーションを行います。リスクだけでなく、チャンスの側面も強調することを忘れずに。

最後に、人事部門の皆さんに伝えたいことがあります。

AI時代において、人事部門の役割は大きく変わろうとしています。もはや、採用や評価、労務管理といった従来の業務だけでは不十分です。これからは、組織のデジタル変革を主導し、人とAIが共創する新しい働き方をデザインする、戦略的なパートナーとしての役割が求められています。

AI利用ガイドラインの策定は、その第一歩です。このプロジェクトを通じて、人事部門が組織変革のリーダーとしての地位を確立する絶好の機会でもあるのです。

適切なガイドラインという「共通言語」があれば、人とAIは素晴らしいチームワークを発揮できるでしょう。逆に、ルールなき混沌の中では、リスクばかりが顕在化し、せっかくの可能性を活かせません。

今こそ行動の時です。明日からではなく、今日から。小さな一歩でも構いません。その一歩が、あなたの会社の未来を大きく変えることになるはずです。

AIと共に働く新しい時代の扉を、一緒に開いていきましょう。