生成AI利用指針のひな型

第1条(目的と適用範囲)

1. この指針は、【会社名】(以下「当社」)の役職員が業務で生成AIを利用するときの規則を定める。
2. 役員、正社員、契約社員、派遣社員、業務委託先の担当者のうち当社の情報にアクセスする者すべてに適用する。
3. 顧客・取引先との契約(秘密保持契約を含む)、法令、当社の情報管理規程・インサイダー取引管理規則がこの指針より優先する。

第2条(定義)

1. 「生成AI」とは、文章・画像・音声・コードなどを生成する人工知能のサービスおよび機能をいい、独立したサービスのほか、業務ソフトやクラウドサービスに組み込まれた機能、外部サービスと連携して動作するエージェント機能を含む。
2. 「承認済みサービス」とは、第3条の手続で当社が利用を承認した生成AIをいう。
3. 「入力」とは、文章の入力、ファイルの添付、画面の共有、音声の送信など、生成AIに情報を渡すすべての行為をいう。

第3条(利用できるサービス)

1. 業務で利用できる生成AIは承認済みサービスに限る。承認済みサービスの一覧は【情報システム部門】が管理し、【社内ポータル等の場所】に掲示する。
2. 個人で契約した生成AIは、有料・無料を問わず業務に一切利用しない。無料版は特に厳禁とする。業務用のメールアドレスで登録した場合、公開情報のみを入力する場合も同様とする。
3. 承認済みサービスと同じ提供会社の製品であっても、契約が異なるサービス(個人向けプラン等)は承認済みサービスに含まない。

第4条(サービスの承認)

1. 【情報システム部門】は、次の事項を確認したうえでサービスを承認する。
   • (1) 入力した内容が提供会社のモデルの学習に利用されないこと
   • (2) 入力した内容の保存場所、保存期間、削除の方法
   • (3) 管理者が利用者・利用状況を把握し、利用を停止できること
   • (4) 情報漏えいが生じたときの提供会社の責任と通知の条件
   • (5) 個人情報を扱う場合、個人情報保護法上の委託として整理できる契約条件であること
2. 承認済みサービスは【年1回】および契約条件・機能に重要な変更があったときに見直す。

第5条(入力してよい情報)

1. 通常の業務資料は、承認済みサービスに対して、社名・数字等を伏せずにファイルごと入力して差し支えない。
2. 当社が業務資料を保管しているクラウドサービスと同じ契約の中で動作する承認済みサービスについては、当該クラウドに保管するのと同じ扱いで入力できるものとする。
3. 入力の可否は、伏せ字にしたかどうかではなく、入力先のサービスと資料の種類で判断する。

第6条(入力してはならない情報)

1. 次の情報は、承認済みサービスを含むいかなる生成AIにも入力しない。
   • (1) パスワード、暗証番号、APIキー、認証コード、その他の認証情報
   • (2) マイナンバー(個人番号)
   • (3) クレジットカード番号、口座の暗証に関わる情報
   • (4) 病歴、信条、犯罪歴その他の要配慮個人情報
   • (5) ワーキンググループリスト、チームリストその他の案件関係者の一覧
   • (6) 契約または顧客・取引先の指示により、生成AIの利用が禁止または制限されている資料
   • (7) 「社外アドバイザー限り」「特定の者限り」など、閲覧者が指定されている資料
   • (8) 【業種別に追加する情報: 信用情報機関から取得した情報、投資先から受領した資料 等】
2. 画面のスクリーンショットやエラー画面に上記の情報が写り込んでいないことを、入力前に確認する。

第7条(顧客・取引先から受領した資料)

1. 顧客・取引先から受領した資料は、秘密保持契約および相手方の指示に従って扱う。生成AIの利用を禁止または制限する定めがある場合はそれに従う。
2. 秘密保持契約に生成AIの利用について定めがない場合、当社は当該資料を【当社のクラウドに保管するのと同じ扱い】とし、当該クラウドと同じ契約の中で動作する承認済みサービスに限り入力できるものとする。
3. 前項の扱いに疑義があるとき、資料に閲覧者の指定があるときは、入力せず【コンプライアンス部門】に相談する。

第8条(未公表の重要事実および未公表の案件)

1. 未公表の重要事実および未公表の案件に関する情報は、インサイダー取引管理規則および案件ごとの情報管理の定めが優先する。
2. 前項の情報を承認済みサービスに入力する場合は、案件の関係者のみがアクセスできる場所で利用し、部署全体が閲覧できる共有スペースや、社内のAI検索の対象となる場所には置かない。
3. 担当外の案件や他部署の資料が生成AIを通じて閲覧できる状態にあることに気づいた者は、その内容を利用せず、直ちに【情報システム部門】に報告する。

第9条(出力の利用)

1. 生成AIの出力は、利用者が内容を確認したうえで使用する。数字、固有名詞、契約条件、法令の引用は元の資料と照合する。
2. 顧客向け文書、対外的に提出する資料、社内の意思決定に用いる資料に生成AIの出力を使用する場合、その内容の責任は確認した利用者および所管部署が負う。
3. 融資、投資、取引の判断は人が行い、その理由を利用者自身が説明できる状態で決定する。生成AIの出力のみを根拠とした判断は行わない。

第10条(誤入力・漏えい時の対応)

1. 第6条の情報を誤って入力した場合、または承認されていない生成AIに業務情報を入力した場合、利用者は直ちに上長および【情報システム部門・コンプライアンス部門】に報告する。
2. 報告には、入力した情報の種類、入力先のサービス、日時を含める。会話履歴を自ら削除することをもって対応を終えてはならない。
3. 【情報システム部門】は、提供会社への削除依頼、顧客・取引先への通知の要否、監督当局への報告の要否を判断し、記録を残す。

第11条(外部連携とエージェント機能)

1. 生成AIが外部サービスと自動で連携する機能、Webを検索して情報を取得する機能、利用者に代わって操作を実行するエージェント機能は、承認の範囲に明示的に含まれている場合に限り利用する。
2. 前項の機能により当社の情報が外部サービスに送信される場合、送信先も承認済みサービスであることを要する。

第12条(教育と見直し)

1. 当社は、役職員に対してこの指針に関する研修を【入社時および年1回】実施し、受講の記録を保管する。
2. この指針は、法令、契約、生成AIの技術的な変化に応じて【年1回】見直す。改定は【取締役会・経営会議等】の承認を経て施行する。

制定日: 【年月日】 / 最終改定日: 【年月日】 / 所管: 【部署名】