AI利用規程の整備の進め方

文章の作成、翻訳、資料の要約などに生成AIを使う従業員が増えると、どの情報を入力してよいか、生成物をそのまま社外に出してよいかといった判断が、個人に委ねられるようになります。こうした判断の基準を会社として定めた社内規程が、AI利用規程です。利用できる業務とツール、その条件を定めておくことで、情報の漏えいや、誤った内容を含む生成物が業務に使われるリスクを低減します。あわせて、利用を認める範囲と条件が明確になることで、従業員は判断に迷わずに生成AIを業務に使えるようになります。

AI利用規程は、ひな形の文言を整えるだけでは、従業員が日々の業務で従える内容になりません。既存の社内規程との整合、入力を認める情報の範囲、利用を認めるツールの設定と契約の内容が規程の定めと一致しているかについて、個別に検討する必要があります。

AI利用規程の整備が必要となる状況

次のような場合には、AI利用規程の整備が必要です。

一方で、ツールの利用の申請を審査し、違反や事故の報告を受ける部署が定まっていない場合は、規程を制定しても運用できないため、規程の起案と並行して、所管の部署とその権限を定める必要があります。また、情報セキュリティ規程や個人情報の取扱規程に、外部のサービスへの情報の入力に関する定めがすでにある場合は、独立した規程を制定せず、既存の規程に条文や細則を加える方が運用しやすいことがあります。

規程の構成

規程の体系

当社では、AIの利用に関する定めを、基本方針、利用規程、細則の3つの階層で構成することを推奨しています。規模の小さい会社では、基本方針と利用規程を一つの規程にまとめることもあります。

ツールの一覧や設定の内容は、新しいサービスの登場や契約の変更に合わせて頻繁に変わります。これらを利用規程の本文に規定すると、変更のたびに規程の改定の手続きが必要になります。そのため、長期にわたって維持する原則は利用規程に定め、ツールの一覧など改定の頻度が高い事項は細則に定めます。

あわせて、情報セキュリティ規程、個人情報の取扱規程、文書管理規程など、既存の規程との関係を整理します。用語の定義や情報の区分が既存の規程と異なると、従業員はどちらの規程に従うべきかを判断できなくなります。当社では、既存の規程の体系を先に一覧にし、AI利用規程ではどの規程の定めを引用し、どの部分を独自に定めるかを整理したうえで起案します。

入力してよい情報の区分

利用規程では、どの情報をどのツールに入力してよいかを定めます。多くの会社では、情報セキュリティ規程に情報の公開範囲による区分がすでにあるため、その区分を基本として入力の可否を定め、個人情報と取引先の秘密情報には、法令と契約に基づく追加の条件を定めます。たとえば、次のような区分です。

入力の可否の定めは、ツールの設定や契約の内容と一致していなければなりません。規程で「社内情報は、学習に使われない設定のツールに限る」と定めても、実際に従業員が使っているツールの設定がそうなっていなければ、規程は守られていないことになります。反対に、法人向けの契約で、入力した内容の学習への利用、保存、提供者による閲覧が制限されていることを確認できれば、情報の機密性に応じて、入力を認める範囲の拡大を検討できます。当社では、利用を認めるツールごとに、契約の条件と管理画面の設定を確認し、その結果を細則のツール一覧に反映します。

個人情報の入力については、個人情報保護委員会が生成AIサービスの利用に関する注意喚起で、利用目的の範囲内であることの確認や、入力した個人データが応答の出力以外の目的で取り扱われないことの確認を求めています。取引先の秘密情報を入力する場合の契約上の論点は、ロジットパートナーズ法律会計事務所の記事「秘密保持契約と生成AIへの入力」で解説しています。

利用を認めるツールと申請の手続き

細則には、利用を認めるツールの一覧と、一覧にないツールを使いたい場合の申請の手続きを定めます。申請を受けたツールは、主に次の観点で審査します。

申請の手続きの負担が大きすぎると、従業員が申請をせずに個人のツールを使い続けるおそれがあります。審査の観点を必要なものに限定し、審査に要する期間の目安を示しておくことで、規程の遵守を確保しやすくなります。

サービスの利用規約で確認すべき法的な論点は、ロジットパートナーズ法律会計事務所の記事「生成AIサービス利用規約の確認事項」で解説しています。

生成物の扱い

生成AIの出力には、事実と異なる内容や、第三者の著作権などの権利を侵害するおそれのある表現が含まれることがあります。利用規程では、生成物を業務に使う前の確認について、次のような点を定めます。確認の水準は、用途と、誤りが生じた場合の影響に応じて定め、社外への説明や重要な判断に使う場合には、根拠の資料との照合や責任者による確認を求めます。

生成物と著作権に関する法的な論点は、ロジットパートナーズ法律会計事務所の記事「生成AIの著作権リスクと社内規程の設計」で解説しています。

記録と見直し

規程の制定後は、利用の状況を記録し、規程を定期的に見直します。会社が契約したツールでは、利用者ごとの利用の状況を管理画面で確認できることがあります。ただし、入力した内容まで記録されるかどうかや、記録の保存期間、確認の方法は、ツールや契約の種類によって異なります。違反や事故が発生した場合の調査に記録をどこまで使えるかを、ツールの審査の段階で確認しておきます。利用履歴には、従業員が入力した個人情報や秘密情報が含まれることがあるため、記録を閲覧できる者と保存期間もあわせて定めます。生成AIのサービスは機能や利用の条件が頻繁に変わるため、細則のツール一覧は、少なくとも年に1回見直すほか、契約の更新、新しいサービスの導入、利用の条件の重要な変更、セキュリティ上の問題の判明があった場合にも見直します。

進め方

1. 利用状況の把握

最初に、社内でどのようなAIツールが、どの業務に使われているかを把握します。必要に応じて従業員へのアンケートや部署ごとの聞き取りを行い、会社が契約しているツールに加えて、個人で契約しているツールの利用も確認します。

2. 既存の規程の確認

情報セキュリティ規程、個人情報の取扱規程、文書管理規程、就業規則など、AIの利用に関係する既存の規程を確認します。情報の区分、用語の定義、違反した場合の処分が、それぞれどの規程に定められているかを一覧にします。

3. 骨子の作成と論点の整理

規程の骨子を作り、役員による決定が必要な論点を整理します。たとえば、個人で契約したツールの業務での利用を認めるか、個人情報の入力をどこまで認めるか、規程の管理の責任者を誰にするか、といった点です。これらの論点について、選択肢ごとの利点と懸念点をお示ししたうえで、ご決定いただきます。

4. 規程と細則の起案

ご決定の内容に沿って、基本方針、利用規程、細則を起案します。利用を認めるツールについては、契約の条件と設定を確認し、ツール一覧に反映します。起案した規程は、法務、情報システム、利用の多い部署の担当者に確認していただき、運用できる内容かどうかを精査します。

5. 社内の承認と周知

社内の規程の改定の手続きに沿って承認を得た後、従業員への周知と研修を行います。研修では、規程の条文の説明だけでなく、入力してよい情報の判断の例や、生成物の確認の方法を、実際の業務に近い題材で示します。

6. 運用と見直し

運用開始後に寄せられた質問や申請の内容をもとに、細則とツール一覧を更新します。新しいサービスの導入や、関係する法令・ガイドラインの改正があった場合も、規程への影響を確認します。

ご依頼時にご用意いただく資料

整備には、主に次のような資料を用います。すべてが揃っていない場合も、お手元の資料の状況を伺ったうえで、進め方を検討します。

成果物

ご依頼の範囲に応じて、主に次のような成果物をご提出します。

期間と費用の決定要因

期間と費用は、規程の範囲と、既存の規程との調整の量によって大きく変わるため、ご相談の際に対象の範囲を伺い、個別にお見積もりします。期間と費用を左右する主な要素は次のとおりです。