チームメイトはAIツールを使っているのに、承認済みツールに関するポリシーを一度も見たことがない新入社員を想像してください。後になってIT部門から、なぜ顧客データを個人アカウントに入力したのかと問われます。この場面は架空ですが、そこにある管理上の抜け穴は現実のものです。同僚が使っていることは、承認された証拠にはなりません。
「誰にも禁止されていない」と「正式に承認されている」の間にある差が、職場でAIを使う際の身近な失敗につながります。本記事で扱うのは、一般的に安全な使い方ではありません。その点は職場のプライバシーとデータ衛生で説明しています。ここでは、多くの人が飛ばしてしまう、より限定的で具体的な手順を扱います。雇用主のポリシー文書を実際に見つけ、重要な部分を読み、文書がないと分かった場合の対応を確認します。
職場のAI利用ポリシーとは
実際に使えるポリシーとは、責任者が明示され、具体的な内容と版の情報がある文書またはイントラネットのページです。承認済みのツールとアカウント設定、入力してよいデータ、人による確認と開示の要件、新しいツールの承認手続き、インシデントの報告方法、違反した場合の扱いが示されているはずです。同僚のメッセージや日頃の使い方は、その代わりにはなりません。
組織によっては、ITセキュリティのWiki、利用規定、従業員ハンドブック、調達カタログ、製品名が明記された承認済みツール一覧などに掲載しています。後でルールが変わったか確認できるよう、文書のタイトル、責任者、版または日付、リンクを記録しておいてください。
その文書を求めるのは妥当です。EU AI Actの第4条は、対象となる提供者と導入者に対し、状況とリスクを考慮した上で、自らに代わってAIシステムを運用する職員などが十分なAIリテラシーを身に付けられるよう措置を講じることを求めています（AI Act第4条）。この規定が特定の組織に適用されるか、どのように適用されるかは法的な問題です。また、この規定自体が、従業員に特定のツールやデータ区分の利用を許可するわけではありません。
実際にどこを見るか
ポリシーがないと仮定する前に、次の場所を順に確認してください。
- 会社のイントラネットまたは従業員ハンドブック。 「AI」「artificial intelligence」「generative AI」、または具体的なツール名（ChatGPT、Copilot、Gemini）で検索します。ポリシーは独立したAIの項目ではなく、ITセキュリティや利用規定の下に置かれていることがあります。
- IT部門またはセキュリティ部門の承認済みソフトウェア一覧。 多くの企業がカテゴリ別の承認済みツール一覧を用意しており、AIツールも利用区分や設定名とともに掲載されるようになっています。
- 入社時の資料や最近の全社会議の録画。 AIポリシーが会議で一度だけ発表され、その後は繰り返し説明されないこともあります。見落としていないか確認してください。
- 上司。 「チームで承認されているAIツールはあるか」「入力してはいけない情報は何か」と直接具体的に尋ねれば、一人で探し続けるより早く正式な回答を得られることがあります。
- IT部門またはセキュリティ部門に直接確認する。 最初の4か所で見つからなければ、ツールの承認を担当するチームに、対象のツール名を挙げて書面で尋ね、回答を記録に残してください。
回答は、文書のタイトル、責任者、版または発効日、リンクとともに、承認された業務用の場所へ保存してください。機密のポリシー資料を個人のメモ用アカウントへコピーしないでください。新しいデータ区分、ツール、アカウント、社外向け成果物を扱う前に、改めて確認してください。
最もトラブルを生む誤解
大きな問題につながりやすいのが、「何も書かれていないなら許可されている」という思い込みです。「ChatGPTをこれに使うなと誰にも言われていないから、大丈夫だろう」と考えてはいけません。承認を確認できない場合は、機微なデータについてはそのツールが承認されていないものとして扱い、顧客データ、未公開の計画、財務情報、ほかの従業員の個人情報にAIを使う前に、責任者へ確認してください。何も書かれていないからといって、承認も禁止も確定しません。管理上の問題が未解決のまま残っているだけです。
2つ目のよくある誤りは、逆方向の思い込みです。ある用途向けのポリシーが、あらゆる用途を対象にしているとは限りません。社内メモの下書きに法人向けAIツールを承認した会社が、顧客向けの連絡、人事判断、ほかの従業員のデータを扱う用途まで承認したとは限りません。単に「利用可」と書かれているかだけでなく、適用範囲を読んでください。
具体例
同じ中規模企業で働く2人が、どちらも顧客向け提案書の下書きにAIを使いたいとします。一人はイントラネットを検索し、指定のログインを使う法人向け設定のツールについて説明したページを見つけ、その通りに利用します。もう一人は「AIならどれも同じだろう」と考え、顧客との契約内容を個人のChatGPTアカウントへ貼り付けます。別のチームの同僚が、問題なく同じことをしているように見えたからです。実際に雇用主の承認を確認したのは、最初の一人だけです。もう一人は、まだ目に見える問題が起きていないだけの思い込みに頼っています。監査、顧客からの苦情、データインシデントなどで直接問われるまで、この違いは表面化しないことがあります。
特定のツールとデータ区分について明確な回答が見つからないなら、権限のある責任者から書面で回答を得るまで、顧客データ、ほかの従業員の個人情報、機密資料を入力しないでください。EUでは、個人データの利用が、組織で文書化されたGDPR上の役割、目的、法的根拠、セキュリティ、処理者との契約や取決めにも適合している必要があります。本記事では、特定の雇用主についてそれらを判断できません（GDPR）。誤って貼り付けてしまった場合は、隠したり自己流で対処したりせず、所定のインシデント報告経路を利用してください。業務上の機密をコンシューマーAIに貼らないも参照してください。
正式なポリシーに通常書かれていること
実際の文書を見つけたら、一般的な「AIは許可」という見出しを流し読みするのではなく、次の統制項目を読んでください。
| 探すもの | なぜ重要か |
|---|---|
| 製品名が明記された承認済みツール | 対象が不明な「AIは利用可」だけでは、どのツールを使えるか判断できない |
| 必要なアカウント、テナント、構成 | ブランド名だけでは、個人ログインと法人テナントのどちらが承認されているか分からない |
| 禁止または制限されるデータ区分 | 顧客データ、財務、ソースコード、人事データは、一般の下書きと別ルールであることが多い |
| 新しいツールの承認プロセス | 使いたいツールがまだ一覧にないときのやり方が分かる |
| 必要な人による確認と、AIを使ってはならない判断 | 出力を確認すべき場面と、AIをまったく使えない場面が分かる |
| 開示要件 | AIを使ったことを上司や顧客へ伝える必要があるかが分かる。ポリシーの具体的なルールを確認した後の判断方法は、職場でのAI利用をいつ開示すべきかを参照 |
| 保持、記録、インシデント報告 | 何を記録に残すべきか、うっかり貼り付けたり安全でない出力が出たりしたあとに何をすべきかが分かる |
| 未承認利用の結果 | 抽象的なリスクではなく、実際にどのような影響があるか分かる |
文書にこの表の重要な管理項目が欠けているなら、想定している用途には不十分なものとして扱い、不明な点を権限のあるポリシー責任者へ確認してください。
本当にポリシーがない場合
AI固有のポリシーをまだ作成していない組織もあります。ポリシーがなくても、既存のセキュリティ、守秘義務、プライバシー、利用規定、調達、顧客との取決めに関する規則が無効になるわけではありません。その場合は、次のように対応します。
- 権限のあるポリシー責任者に、対象のツール、アカウント、作業、データ区分について書面で判断を求めてください。通常はIT、セキュリティ、プライバシー、法務、調達、または権限を委任された管理職が担当します。
- 顧客データ、他人の個人情報、機密の業務情報については、近道がどれほど便利に見えても、最も慎重な解釈を初期設定にしてください。
- 質問は、担当者を指定したメールやSlackなど、書面に残してください。後から確認できない口頭の回答だけに頼らず、質問した記録も残せます。
- 業務で日常的に機微なデータを扱うなら、ポリシーがないことを単なる不満ではなく、解消すべき具体的な不足として伝えることも検討してください。たとえば、「X種の業務でどのAIツールが承認されているか、1ページにまとめた回答をもらえますか」と具体的に依頼します。
今週ポリシーを見つける
職場AIポリシー読み取りカードを使って雇用主のポリシーを実際に探し、ツール、データ、承認手続きについて書かれている内容を記録し、不明な点を誰に尋ねるかメモしてください。ポリシーがまったくない場合は、上司へ直接確認するための慎重な質問例もカードにあります。どちらの結果でも、推測を続けるより有用です。
出典とレビューの範囲
- ICOの内部AI利用ポリシーは、承認された用途、個人データ、出力の確認、インシデント対応を扱う、公的機関の実例です。ただし、ほかの雇用主の規則より優先されるひな型ではありません。
- アイルランド国家サイバーセキュリティセンターの公的機関向け生成AIガイダンスは、厳格なガバナンスが求められる環境で、承認済みツールと業務データをどのように制限するかを示す一例です。
この記事はポリシー上の統制がどこにあるかを示すものであり、特定の組織について雇用上の権利、契約、GDPR上の役割、EU AI法を解釈するものではありません。雇用・プライバシー・法務の有資格者によるレビューは未了です。
