三か月の継続契約を受けているデザイナーが、クライアントへの進捗報告メールを「整える」ためにChatGPTを開き、先週のメモを貼り付けます。あとになって、そのメモに未発表の製品名と、クライアントが機密扱いにした競合比較が含まれていたことに気づきます。勤務先のIT部門が発見してくれるわけではありません。ポリシーを決めるのも、ツールを操作するのも、NDAに署名しているのも自分です。
この記事は、クライアントに仕事を提供するフリーランサーや個人事業主を対象としています。会社のAIポリシーに従う従業員向けのAIリテラシー記事ではありません。従業員が最初にすべきことは、雇用主のAIポリシーを読むことです。フリーランサーにとっての制約は、クライアントとの契約、NDA、自分の評判、そしてサービスを宣伝するときにも適用される消費者保護規則です。チーム全体のAI戦略は別の記事で扱います。ここで一つ一つの判断を下すのは自分です。
個人ポリシーカードの目的
ポリシーカードは、クライアントごとの契約や指示と照らし合わせる、短い基本ルール集です。モデルを使う前に、次の問いへ答えます。
- クライアント案件で個人向けAIツールに絶対入れないものは何か？
- AI利用の前に、明示的なクライアントの許可または契約済みツールティアが必要なものは何か？
- AIが文言を下書きしても、人間に残る決定は何か（価格、範囲、約束、法的結論）？
- どの時点で作業を止め、弁護士、会計士、協力者、クライアントのいずれかへ相談するか？
- どのツール、アカウント、データ区分、保持設定、クライアントの承認が適用されるか？
- データ、認証情報、未承認の出力が定めた境界を越えたとき、どのインシデント対応手順を使うか？
カードがなければ、深夜にプロンプトを書くたびに、その場限りの倫理判断を迫られます。そうした判断は少しずつぶれていきます。
クライアントの秘密、第三者のデータを含む提案書、契約条項は「プロンプトの文脈」ではありません。書面によるルールと、必要な場合は利用ツールに関するクライアントの合意が整うまで、機密情報として扱ってください。クライアントの秘密をAIに貼り付けないも参照してください。
よくある誤解
よくある誤解は、「自分が経営者なのだから、どのツールを使ってもよい」というものです。自分で決められる立場でも、秘密保持義務はなくなりません。NDAや秘密保持条項に署名したなら、その義務を負う相手はクライアントであり、自分が好むチャット製品ではありません。もう一つの誤解は、個人アカウントのログイン画面に法人向けの宣伝文句が表示されていれば、クライアントのデータを安全に扱えるというものです。実際にはそうとは限りません。利用する当日に、ログイン中のアカウントについて、実際の製品プランとデータ利用条件を確認してください（OpenAI Data Controls FAQ、Anthropic privacy policy、Anthropic consumer privacy center）。
例示シナリオ（明示）
説明用の架空の例であり、実測された事例ではありません： 個人で活動するコピーライターが、個人向けモデルに「この提案書をもっと説得力のある文章に書き直して」と頼みます。貼り付けた草稿全文には、クライアントの未公開価格表と、社名を明記した提携先の情報が含まれています。モデルからは読みやすい文章が返りますが、あとでチャットを削除しても、貼り付けた時点ですでに情報をサービスへ開示しています。ポリシーカードで対処すべきなのは、その前の段階です。第三者の商業情報を含む提案書は、クライアントが特定のツールと利用経路を承認していない限り、個人向けツールへ入力しません。
書き残す価値のある五つのルール
1. 貼り付け禁止（厳禁）
個人向けAIへ貼り付けない情報の種類を列挙します。認証情報、契約書の全文、未公開の財務情報、クライアントの顧客に関する個人データ、セキュリティの詳細、SOWやNDAで機密と定められた情報です。従業員向けの業務上の機密に関するガイダンスと同じ停止確認を使います。ただし、ここで義務を負う相手は雇用主ではなくクライアントです。
2. 許可する支援（狭い）
契約とクライアントの指示で認められている場合に限り、構成、文法、アウトライン案、合成データや必要最小限の情報を使ったパターン分析にAIを利用します。プロジェクトの記録には、使用したツール、アカウントまたはテナント、データ区分、承認内容、利用日、必要な人による確認を具体的に残してください。
3. 価格と範囲は依然としてあなたのもの
モデルは提案書の整理を手伝えますが、自分の料金を決めたり、納品に関する約束を作ったりする役割は担いません。価格は自分で決める提案書の草稿とAIの約束ではなく業務範囲の変更履歴を残す方法で具体的な流れを扱います。ポリシーカードには、「AIが提案した料金や期限を、自分で確認せずに受け入れない」と書けば十分です。
4. 重要なときの開示
クライアント、プラットフォーム、管轄の規則によって、成果物へのAI利用を明らかにすることが求められる場合は、開示してください。AIを使った仕事にも自分の名前を残す方法と職場で求められるAI利用の開示は参考になります。ただし、従業員向け規程ではなく、クライアントとの契約に合わせて調整してください。自分のサービスを説明するときには、広告内容を事実に即したものにする規則が引き続き適用されます（FTC advertising and marketing guidance、誤解を招くAI関連の主張や商法に対するFTCの一斉措置）。
5. エスカレーションのきっかけ
「モデルに聞かない」場面を書き出します。税務上の扱い、契約の法的強制力、規制対象の助言、医学的または法的な結論、誤答によって自分では負いきれないクライアント責任が生じる状況です。これらはプロンプトの失敗ではなく、リスク管理へ切り替える条件として扱ってください（NIST AI Risk Management Framework）。個人でのAI利用だけでは足りないときで詳しく説明します。
6. インシデント対応
誤って情報を開示したときに最初に行うことを書きます。ツールの利用を止め、同じデータを再びコピーせずにアカウント、時刻、データ区分を記録します。漏えいした認証情報はクライアントが承認した手順で更新し、契約に定められたセキュリティ、プライバシー、通知の手続きに従います。その場の判断で削除したり、通知義務の有無をチャットボットに決めさせたりしないでください。
法務、税務、医療、規制対象の金融助言に関する問いでは、モデルの流暢な回答を、資格を持つ専門家の代わりにしないでください。流暢さは資格ではありません。
今日の一つの演習
空白のメモを開き、自分の名前と「Client AI rules」をタイトルにします。上記の五項目を20分以内に埋め、提案書のテンプレートのそばに固定してください。個人事業者向けクライアントAIルールカードは、同じ構成を印刷できる形にしたものです。
EUで消費者向けの広告を出す場合は、不公正な商慣行に関する規則が、誤解を招く主張をどのように扱うかにも目を通してください（Directive 2005/29/EC）。個人事業者が押さえるべき要点は、形だけのコンプライアンス対応より単純です。AIが下書きした宣伝文に、実際に提供する内容を誇張させないでください。
ICOのデータ最小化ガイダンスは、個人データを必要な範囲に限定するという原則を示しています。ただし、フリーランサーが管理者と処理者のどちらに当たるか、クライアントの同意が適切な法的根拠になるか、特定のツールが契約上認められているかを、このガイダンスだけで判断することはできません。これらは、法律やプライバシーの専門家による個別の判断が必要な問題です。
従業員のAIリテラシーとの位置関係
従業員が問うのは「このツールは承認されているか」です。フリーランサーが問うのは「ツールとデータの扱いについてクライアントと合意したか。何かが漏れたとき、その選択を説明できるか」です。使う技術は同じでも、誰にどのような責任を負うかが異なります。木曜の夜でも実際に確認できるほど、カードは短く保ってください。
