導入：最初の会議で話すべきは「何ができるか」ではない
生成AI（文章や画像などを自動で作り出すAI。チャット形式で指示を出して文章を書かせるタイプが業務ではよく使われます）の導入を検討する会議は、たいてい「何ができるか」から始まります。議事録の要約、メールの下書き、問い合わせ対応の文案──できることのリストはいくらでも出てきます。
ただ、導入がうまく回っている現場と、半年で「結局使われなくなった」となる現場を分けるのは、できることの数ではありません。「やらせないこと」が先に決まっているかどうかです。禁止事項が曖昧なまま配ると、現場は「どこまで使っていいか分からないから使わない」か、「誰も止めないから何でも入れる」のどちらかに振れます。どちらも事故の手前です。
この記事では、つまずきやすい典型例を仮の業務場面として示したうえで、禁止事項リストを作って運用に載せるまでの手順を、明日から着手できる粒度で書きます。
なぜ「やらせないこと」を先に決めるのか
理由は3つあります。
- 禁止の数は、許可の数よりはるかに少ない。業務でAIに任せられる作業は無数にありますが、「絶対に避けたいこと」は数えるほどです。少ない方から決めた方が速く、漏れも少なくなります。
- 禁止が決まると、残りは全部やっていいことになる。これが現場にとって一番大きい。「これは使っていいんでしたっけ」と毎回上長に聞く状態が解消され、試行のスピードが上がります。
- 事故は「想定外の使い方」から起きる。推奨用途を10個並べても、11個目の使い方は防げません。守るべきラインを引く方が、カバー範囲が広いのです。
つまり禁止リストは、現場を縛るためのものではなく、「ここから内側は自由に試していい」という許可証として機能します。この順番を取り違えると、制限だらけのガイドラインができあがって誰も読まなくなります。
つまずきの典型：こんな場面を想像してください
以下はいずれも、起こりうる筋道として組み立てた仮の場面です。実在の企業の事例ではありませんが、検討のたたき台として考えてみてください。
場面1：顧客からのクレームメールを、そのまま貼り付けて返信案を作らせる
カスタマーサポートの担当者が、対応に困ったクレームメールをチャット型AIに貼り付け、「丁寧な返信案を作って」と指示する。返ってきた文面は確かに丁寧で、そのまま送信──。
ここには二つの問題が同時に入っています。ひとつは、顧客の氏名・連絡先・契約内容といった個人情報を外部サービスに送信していること。もうひとつは、返信案に「次回ご請求分より調整いたします」といった、社内で決裁していない約束が混ざり込む可能性があることです。AIは文脈から「それらしい譲歩」を創作します。送信してしまえば、顧客にとっては会社の回答です。
場面2：社内規程を要約させて、その要約を根拠に判断する
人事担当者が、長い就業規則や社内規程をAIに読ませて「休職中の手当の扱いを要約して」と指示する。出てきた要約は読みやすく、一見筋が通っている。それを基に従業員へ説明する。
生成AIにはハルシネーション（もっともらしいが事実と異なる内容を生成してしまう現象）があります。条文の数字を取り違えたり、原文にない例外規定を補ってしまったりすることは珍しくありません。要約が9割正しいほど、残り1割の誤りは見つけにくくなります。制度・契約・法令の解釈は、出力をそのまま判断根拠にしてはいけない代表格です。
場面3：公開資料の文章と画像を「参考に」作らせる
マーケティング担当者が、競合他社のサイト文面を貼って「これを参考にうちの紹介文を作って」と指示する。あるいは画像生成AIで「〇〇風のイラスト」を作り、そのまま広告素材に使う。
生成物の権利関係は、使い方や生成過程によって評価が変わりうる領域です。著作権法には学習に関する規定（第30条の4など）がありますが、生成物の利用が常に適法になるわけではありません。既存の表現に似た出力をそのまま商用利用するのはリスクが残ります。この分野は議論も実務の運用も動いている最中なので、自社でどこまで踏み込むかは、顧問弁護士や法務部門に確認しながら決めるのが安全です。
禁止リストは「4つの箱」で作る
禁止事項をゼロから考えると発散します。次の4分類に沿って埋めると、1時間程度で骨格ができます。
箱1：入れてはいけない情報（入力の禁止）
- 顧客・従業員の個人情報（氏名、連絡先、顧客IDなど、特定につながるもの）
- 未公開の財務情報、人事評価、M&Aなどの機密
- 秘密保持契約の対象となっている取引先の資料
- ソースコードのうち、社外提供が禁じられているもの
ここで押さえておきたいのが、入力したデータがAIの学習に使われるかどうかです。サービスやプラン、設定によって扱いが異なり、法人向けの契約では学習に使わない設定が選べる場合もあります。利用規約とデータの取り扱い方針は、導入前に必ず自社で確認してください。「たぶん大丈夫」で進めるのが一番危ない箇所です。
箱2：出力をそのまま使ってはいけない用途（出力の禁止）
- 顧客・取引先への送信物（メール、見積、回答書）を無確認で送ること
- 法令・契約・社内規程の解釈を、出力のまま根拠とすること
- 統計、金額、日付、固有名詞を、裏取りせず資料に載せること
- 生成した文章・画像を、権利確認なしに対外公開すること
箱3：AIに判断させてはいけない領域
採用の合否、人事評価、与信、解約可否、懲戒といった人の権利や利益に直接影響する判断は、AIの出力を参考情報にとどめ、決定は人が行う。国内外のAI governanceの議論でも、人が関与する仕組み（human-in-the-loop）の確保は共通して重視されている論点です。総務省・経済産業省がまとめた「AI事業者ガイドライン」など、公開されている指針を一度通読しておくと、自社ルールの言葉づかいを決めるときの参考になります（内容は改訂されうるため、最新版をご確認ください）。
箱4：やってはいけない振る舞い
- AIが生成した文章を、人が書いたものとして第三者に示すことを禁じる範囲を決める
- 他者のなりすまし、実在人物に似せた画像・音声の生成
- 業務で使った履歴を個人アカウントに残す（いわゆるシャドーAI＝会社が把握していないAI利用）
明日から試せる5ステップ
- 関係者4〜6人で60分だけ集まる（今週中）。情シス、法務または総務、現場リーダー2〜3名。全社説明会は後回しでかまいません。
- 上の「4つの箱」に、自社の言葉で項目を書き出す。各箱3〜5行、合計15行以内に収めます。多すぎると誰も覚えません。
- 1行ごとに「具体例」を1つ添える。「個人情報を入力しない」だけでは現場で判断できません。「問い合わせメールを貼る前に、氏名と会社名を伏せ字にする」まで書きます。
- 迷ったときの連絡先を1か所決める。「判断に迷ったら使わない、ではなく、ここに聞く」とする。判断を止める運用にすると、黙って使う人が増えます。
- A4一枚にまとめて配り、2週間後に見直す日程を先に入れる。初版は完璧でなくて構いません。見直しの予定が入っていること自体が、現場の安心材料になります。
作ったあとに効く、小さな運用の工夫
- 例外申請の口を用意する。「この資料を入れたい」という相談が来たら、個別に可否を判断し、判断理由ごと記録する。これが次の改訂の材料になります。
- 違反を責めない期間を設ける。導入初期は、申告されたヒヤリハットを罰しないと宣言する。隠される方がはるかに危険です。
- 「確認した人の名前」を残す習慣。AIの出力を社外に出すときは、誰が確認したかを記録する。責任の所在が明確なら、現場は安心して使えます。
- 四半期に一度は棚卸し。サービスの仕様もガイドラインも変わります。古い禁止リストは、守られないルールの見本になってしまいます。
まとめ
生成AIの導入で最初に決めるべきは、推奨用途のリストではなく禁止リストです。入れてはいけない情報、そのまま使ってはいけない出力、AIに委ねない判断、やってはいけない振る舞い──この4つの箱を自社の言葉で15行以内に埋め、具体例と相談窓口を添えてA4一枚にする。所要時間は会議1回分です。
禁止が明確になると、現場は残りの広い領域を自由に試せるようになります。ルールはブレーキであると同時にアクセルの踏み方を決めるものです。まずは今週、4〜6人を60分だけ集めるところから始めてみてください。そして2週間後に、何が守りにくかったかを持ち寄る。その繰り返しが、使われ続ける仕組みになります。
この記事は、AI で下書きを作り、益山康秀（運営者）が内容を確認して公開しています
