会社でAIを使う前に確認すべき就業規則と情報漏えいの注意点

この記事では、会社でAIを使う前に確認しておきたい二つの柱、「就業規則」と「情報漏えい」について、具体的に何をどう調べればいいのかを順番に見ていく。

まず見るべきは会社の「就業規則」と社内ルール

就業規則とは、会社が働き方のルールをまとめた文書のことで、常時10人以上を雇っている会社には作成と従業員への周知が義務づけられている。休日や賃金の決め方だけでなく、「業務でどんなツールを使ってよいか」という情報システムに関するルールが載っていることも多い。

確認する順番としては、まず社内ポータルやイントラネットに就業規則や情報セキュリティ規程が公開されていないか探してみる。次に、そこに生成AIについての記載が見当たらない場合は、総務や情報システム部門に直接聞いてしまうのが早い。「ChatGPTやClaudeのようなAIサービスを業務で使ってもよいか」「使う場合に守るべき条件はあるか」とそのまま尋ねれば十分だ。

規則に何も書かれていないからといって「自由に使ってよい」とは限らない点には注意したい。単に会社側がまだルールを整備できていないだけ、というケースも多く、その場合は個人の判断で使い始めるより先に確認を取っておいたほうが後々のトラブルを避けられる。逆に、会社によっては業務効率化のためにAI利用を推奨し、有料の法人向けプランを契約しているところもある。まずは自分の会社がどちら側なのかを知ることが出発点になる。

情報漏えいとは具体的に何が起きることなのか

「情報漏えいが怖いから」という理由でAI利用に慎重になる人は多いが、何が起きるのかを具体的にイメージできている人は意外と少ない。

AIサービスにテキストを打ち込むと、その内容はインターネット経由でサービスを提供している会社のサーバーに送信される。多くの無料プランでは、送信された内容が今後の応答の精度を上げるための学習データとして使われる設定になっていることがある。つまり、社外秘の資料や顧客の個人情報、開発中の製品情報などをそのまま打ち込んでしまうと、会社の外にあるサーバーにその情報が渡り、想定していなかった形で扱われる可能性が生まれる。

一方で、企業向けに契約する法人プランやビジネスプランでは、入力内容を学習に使わない設定がデフォルトになっていたり、そもそも選べるようになっていたりすることが多い。同じAIサービスでも、個人で無料登録した場合と、会社が契約した法人アカウントでは扱いが違うことがあるという点は覚えておく価値がある。

「シャドーIT」になっていないかも確認したい

会社に知られないまま、個人のアカウントで無料のAIサービスを業務に使ってしまうことを「シャドーIT」と呼ぶことがある。会社が把握していない場所に業務データが流れている状態のことで、本人に悪気がなくても、会社から見れば管理外のリスクとして扱われる。

たとえば、資料作りが早く終わるからと、個人のスマホアプリからAIに社内資料の写真を撮って読み込ませ、要約させたとする。この時点で、会社が契約していないサービスの側に社外秘の情報が渡っており、仮に情報漏えいが起きても会社としては原因を追跡しづらい。悪意はまったくなくても、結果として会社の管理体制の外側で情報が動いてしまうわけだ。こうした事態を避けるには、業務でAIを使う場合はできるだけ会社が把握・契約しているアカウントやプランを使うようにし、個人アカウントでの利用は社外秘に触れない範囲にとどめておくのが無難だ。

入力していい情報と避けたい情報の見分け方

すべての情報を一律に警戒する必要はない。基準として意識したいのは「その情報が外に出たときに、誰かが困るかどうか」だ。

たとえば、文章の言い回しを整えたい、一般的な業界知識について教えてほしい、自分の考えを壁打ちしたい、といった相談は比較的リスクが低い。特定の会社や個人を特定できる情報を含んでいないからだ。

反対に避けたいのは、顧客の氏名・住所・メールアドレスといった個人情報、契約書や見積書のような社外秘の書類、社内でだけ共有されている数値データ、開発中のソースコードや設計情報などである。これらをAIに読み込ませて要約させたり、文章を作らせたりする作業は、便利さの割に踏み込みすぎている可能性が高い。どうしても使いたい場合は、固有名詞や数値を仮のものに置き換えてから入力する、という一手間を挟むだけでもリスクはかなり下げられる。

会社にAI利用を相談・提案する進め方

ルールが明文化されていない会社で働いている場合、黙って使うより先に、次のような順番で動くと角が立ちにくい。まず就業規則や情報セキュリティ規程に目を通し、記載の有無を確認する。次に情報システム部門や上長に「こういう業務でAIを使いたいが問題ないか」と具体的な用途を添えて相談する。最後に、会社としてAI利用を認める場合は、その条件をメールやチャットなど記録に残る形でもらっておく。

会社に相談する際の伝え方の一例としては、「議事録の要約作成にAIを使いたいのですが、社外秘の内容を含む場合はどう扱えばよいでしょうか」のように、用途と懸念点をセットで伝えると具体的な回答をもらいやすい。ガイドラインが存在しないこと自体が会社にとっての課題でもあるため、こうした相談が結果的に社内ルール整備のきっかけになることもある。AIそのものの仕組みや距離の縮め方をもっと基礎から知っておきたい人は、『猫でもわかる生成AI』で学ぶ、生成AIとの距離の縮め方も参考になるはずだ。

よくある質問

Q. 就業規則に生成AIについての記載が見当たりません。使ってはいけないということでしょうか。

記載がないことは「禁止」を意味するとは限らず、単に会社側のルール整備が追いついていないだけの場合もある。使い始める前に総務や情報システム部門に用途を伝えて確認しておくのが確実だ。

Q. 無料版と法人向けプランでは、情報の扱いにどんな違いがありますか。

無料プランでは入力内容が学習データとして使われる設定になっていることがある一方、法人向けプランでは入力内容を学習に使わない設定を選べることが多い。契約しているプランの種類を確認する価値がある。

Q. どんな情報なら入力しても比較的安心ですか。

特定の個人や会社を識別できない一般的な相談や、文章表現の調整といった用途は比較的リスクが低い。顧客の個人情報や社外秘の資料、開発中の情報などは避けたほうがよい。

Q. 固有名詞を仮のものに置き換えれば、社外秘の資料もAIに読み込ませて大丈夫ですか。

置き換えによってリスクはある程度下げられるが、それでも会社のルール上どこまで許容されるかは会社ごとに異なる。判断に迷う場合は事前に確認を取っておくほうが安全だ。

まとめ

会社でAIを使ってよいかどうかは、就業規則や社内ルールを確認することがまず出発点になる。記載がなければ担当部署に聞けばよく、それ自体は難しい作業ではない。情報漏えいについても、漠然と怖がるのではなく「入力した内容がどこに送られ、どう扱われるか」という仕組みを知っておけば、避けるべき情報とそうでない情報の線引きがしやすくなる。ルールを確認したうえで使えば、AIは日々の業務を助ける道具として付き合っていける存在になる。