よくある質問

会社が契約条件とデータの扱いを確かめて承認した生成AIだけを使います。多くの場合、ChatGPT・Copilot・Gemini・Claude などの法人向け契約がこれにあたります。

承認の際に確かめるのは、入力した内容が学習に使われないこと、保存の場所と期間、管理者が利用状況を把握できること、契約上の責任の所在です。

個人契約の生成AIは、有料・無料を問わず業務には一切使いません。無料版は特に厳禁です。

理由は、入力した内容が学習に使われるかどうかの設定を会社が管理できず、万一のときに会社として把握も対応もできないためです。仕事用のメールアドレスで登録していても、公開情報しか入れないつもりでも同じです。

会社がそのクラウドに資料を置くと決めている以上、同じ契約の中で動く法人向けAIで扱うのが現実的です。クラウドは許してAIだけ止めても安全は上がらず、生産性を下げるだけと考えるのが実情に近いです。

ただし、同じ会社の製品でも契約が別のサービス(個人向けプランなど)は対象外です。承認したサービスの一覧を指針に書き、そこに無いものは使いません。

入れてはいけない情報(次の項目)を入れる使い方と、AIの出力を人が確かめずに対外資料・顧客向け文書に使うことです。

外部サービスと自動で連携するエージェント機能や、Web検索を伴う機能は、承認の範囲に含まれているかを個別に確かめます。

通常の業務資料は、社名や数字を伏せずにファイルごと入れて差し支えありません。伏せても前後の文脈から推測されるため、伏せること自体に意味はあまりありません。

例外は、どのAIにも入れないと決めた情報と、契約や社内規則で取り扱いが制限されている資料です。判断は「伏せたかどうか」ではなく「どのAIに入れるか」と「その資料の種類」で行います。

パスワード・暗証番号・APIキー・認証コード、マイナンバー、クレジットカード番号、病歴などの要配慮個人情報です。承認したAIであっても入れません。

エラー画面やスクリーンショットに写り込んでいる場合も同じです。入れる前に確かめます。

氏名・住所・連絡先程度の個人情報は、会社が承認したAIであれば、項目を削らずに扱って差し支えありません。

マイナンバー・病歴などの要配慮個人情報・口座やカードの暗証に関わる情報は、承認したAIでも入れません。個人情報保護法上の第三者提供にあたらないよう、承認時に委託先としての契約条件を確かめておきます。

案件名・関係する会社・担当者の氏名と連絡先が一枚に並び、それだけで未公表の案件の存在と当事者が分かるためです。

ワーキンググループリストやチームリストは、どのAIにも入れないものとして扱います。要約や整理を頼みたい場合も同じです。

まずNDAや顧客からの指示です。AIの利用を禁止・制限する条項があれば、それに従います。

NDAにAIについて何も書いていない場合、書いていないだけでは可否は決まりません。会社が指針で「社内クラウドに保管するのと同じ扱い」と決めていれば、同じ契約の中で動く承認済みAIで扱えます。指針で決めていなければ、上長・コンプライアンス部門に確認します。

承認したAIで、指針が「可」または「条件付きで可」と定めていて、案件メンバーだけがアクセスできる場所で使う場合に限ります。

部署全員が見られる共有スペースや、社内AI検索の対象になる場所に置くと、担当外の人に案件の存在が見えてしまいます。未公表の重要事実については、AI以前にインサイダー取引規制上の社内管理規則が優先します。

AIには入れません。社内のAIであっても、AI検索やファイル共有を通じて指定外の人に見える可能性があるためです。指定の範囲で人が扱います。

受領側として、相手先の資料を承認済みの生成AIで処理してよいか(学習に使われないこと、第三者提供にあたらないことの整理)。開示側として、相手先がAIで処理することを認めるか、認める場合の条件です。

あわせて、AIで作った要約・分析の扱い(秘密情報の複製として返還・破棄の対象に含めるか)と、AIを通じた漏洩が起きたときの通知を決めておきます。研修の「AI社内ポリシー・NDA」の回では、こうした条文の文言を4択で確かめます。

人が確かめてから使います。数字の写し間違いや、元の資料に無い内容の書き足しが起き、同じ入力でも毎回同じ答えが返るとは限りません。

顧客向けの数字・契約条件・法令の引用は、元の資料と突き合わせます。確認した人の責任で出すのは、AIを使わない場合と同じです。

判断と理由は人が持ちます。AIは資料の整理や論点の洗い出しに使い、判断の根拠を自分の言葉で説明できる状態にしてから決めます。説明できない結論は採用しません。

すぐに上長と情報システム・コンプライアンス部門に知らせます。自分で会話を削除して終わりにしません。

会話を削除しても、サービス側の保存や学習への利用が取り消されるとは限りません。何を・どのサービスに・いつ入れたかを記録し、会社として対応を決めます。

見てしまった内容を使わず、すぐに知らせます。共有範囲の設定が原因であることが多く、放置すると同じことが他の人にも起きます。

適用範囲、生成AIサービスの定義、使ってよいサービスの決め方(承認制)、承認時に確かめる事項、承認済みでも入れてはいけない情報、出力の利用、誤入力時の対応、承認の見直しです。

条文の形にしたひな型を公開しています。各社の規程・契約・法令に合わせて修正してお使いください。

場面ごとに「入れてよいか」を判断する練習と、判断に迷う例外だけを相談に回す仕組みです。規則の暗記ではなく、融資先の資料・案件のリスト・顧客向けの数字といった実務の場面で、承認したAIに入れてよいかを答えられるようにします。

なりません。本サービスは、金融庁の公表文書、FISCの安全対策基準、ISO/IEC 42001 などへの準拠や認定を受けたものではなく、各社の規程の整備や監査を代わりに行うものでもありません。社内で実施したAI利用研修の内容と受講状況を、記録として示す材料に使えます。

使われません。採点と講評に使うAIは学習に使わない契約のもので、社員の回答本文は管理者を含め誰にも表示されません。詳しくは信頼性とセキュリティのページをご覧ください。