「このデータ、AIに入れて大丈夫ですか?」。生成AIのセミナーで、毎回のようにいただく質問です。

私は中小企業診断士として、また公的支援機関の相談員として、日々中小企業のDXや業務改善のご相談に関わっています。生成AIの研修やセミナーも数多く担当してきました。

この質問が出るのは、社員の方が真面目だからです。そして同時に、会社としての答えが決まっていないことの表れでもあります。この記事では、生成AIの社内ルールとして最低限決めておきたいことを、A4一枚で始められる形でお伝えします。

---

禁止でも放置でもなく「決めて使う」

生成AIへの会社の向き合い方は、大きく3つに分かれます。

• 全面禁止……情報漏えいが怖いので、業務では使わせない
• 放置……特に何も決めず、使うかどうかは社員に任せる
• 決めて使う……使ってよい範囲を決めて、その中で使う

全面禁止は安全に見えますが、そうとも限りません。便利さを知った社員が、個人のスマホや無料版でこっそり使い始めることがあるからです。いわゆる「裏AI利用」です。会社からは見えないので、何が入力されたのか誰にもわかりません。

放置も同じです。冒頭の質問のように、真面目な社員ほど「入れていいのか」がわからずに止まります。一方で、気にしない社員は何でも入れてしまいます。

目指したいのは3つ目の「決めて使う」です。ルールは、社員を縛るためではなく、安心して使ってもらうためのものです。

専門家の世界でも、ルールづくりが始まっている

「決めて使う」の流れは、守秘義務を負う士業の世界でも進んでいます。主な動きは次のとおりです。

団体	出されたもの	時期
日本税理士会連合会	税理士事務所のためのAI・クラウド活用ガイドライン(会員向け)	2026年9月
全国社会保険労務士会連合会	社会保険労務士向け生成AI活用ガイドブック(会員向け)	2024年9月
日本弁護士連合会	生成AIの利活用等に関する注意事項(AI戦略ワーキンググループ、会員向け)	2025年9月
東京弁護士会	生成AIサービスの適正利用ガイドライン	2025年3月
日本弁理士会	弁理士業務AI利活用ガイドライン(一般公開)	2025年4月

税理士も弁護士も、お客様の秘密を守る義務を法律で負っている職業です。その団体が出したのは「使うな」ではなく、「条件を守って使う」ためのガイドラインでした。

会員向けの資料は中身が公開されていません。ただ、全文が公開されている弁理士会のガイドラインと、東京弁護士会が会報で紹介した内容を読むと、次の3点が共通しています。

1. 入力した内容が学習に使われないサービスを選ぶ
2. AIの出力は、人が確認してから使う(最終的な責任は人が負う)
3. お客様の秘密を入れる場合は、説明して了解を得る

中でも具体的なのが、日本税理士会連合会のガイドラインです。原文は会員向けですが、内容を読んだ税理士の方が解説を公開しています。その解説によると、AIに入れる情報を次のように分けて扱うとされています。

区分	中身	扱い
マイナンバー	マイナンバーを含む情報	AIには入力しない
区分A	顧問先や事務所の機密情報・個人情報(財務データ、氏名・住所など)	3つの要件を満たすツールでのみ扱う
区分B	公開情報、一般的な情報、匿名化した情報	事務所が認めたツールで扱える
判断に迷うもの	上のどれにも当てはまらない情報	管理責任者に相談して決める

区分Aを扱うための3つの要件は、次のとおりです。

1. ビジネス向けの有料プランであること
2. データ処理契約(DPA)を結べるプランで、学習利用がオフになっていることを確認し、記録すること……DPAは、入力したデータの扱いをサービスの提供者と取り決める契約です
3. 事務所のルールと教育で管理すること……個人のアカウントや無料版を勝手に使う「シャドーIT」を防ぎます

つまり、顧問先の財務データのような大事な情報も、「一切禁止」ではなく「条件を満たした環境でなら扱える」という整理です。

※日本税理士会連合会のガイドラインの原文は会員限定のため、当社では確認できていません。上の区分と要件は、税理士の方による解説(税理士法人レガシィの解説記事など)を参考に整理したものです。正確な内容は原文でご確認ください。

ここまでの考え方は、士業でなくても、どの会社にもそのまま当てはまります。次の章で、中小企業向けに置き換えてみます。

最低限決める3項目

1. 入力してよい情報の線引き

いちばん大事なのがここです。社内の情報を、次のように分けて考えます。

区分	例	扱い
公開している情報	ホームページ、チラシ、公開済みの資料	入力してよい
社内の情報	社内の手順書、会議のメモ、企画のたたき台	会社が指定したツールなら入力してよい
個人情報・取引先の秘密	顧客名簿、従業員の給与や勤怠、取引先から預かった資料	下の3つの条件をそろえた環境でのみ入力してよい
マイナンバー	従業員やお客様のマイナンバー	入力しない

個人情報や取引先の情報も、「一切入れてはいけない」と決める必要はありません。税理士会のガイドラインの整理にならって、次の3つの条件をそろえた環境でなら扱える、と決めておく方法があります。

1. 法人向けの有料プランを、会社として契約している
2. 入力した内容が学習に使われない設定になっていることを確認し、確認した日を記録している(データの扱いを定めた契約を結べるプランであれば、なお安心です)
3. 社内ルールを決めて、社員に伝えている(個人のアカウントや無料版では扱わない)

条件がそろうまでは、名前や金額を伏せてから入力するか、入力しないことにします。迷ったときは「この情報が社外に出たら、誰が困るか」を考えると判断しやすくなります。

2. 使うツールとプランの指定

同じ生成AIでも、無料版・個人向けの有料版・法人向けのプランで、入力した内容の扱いが違います。法人向けのプランは、入力した内容がAIの学習に使われない設定が標準になっているものが多いです。

私も支援先には、業務で使うなら法人向けのプランにしてくださいとお伝えしてきました。セミナーでも「業務利用なら有料版を」「個人情報や機密情報は直接入力しない」は毎回繰り返しています。当社も、学習に使われない法人プランに統一しています。

ルールには「業務で使ってよいのは、会社が契約した〇〇だけ」と、ツール名まで書いておきます。ただし、規約や設定は変わることがあります。契約時に、学習に使われない設定になっているかを確認し、確認した日を記録しておきます。

3. 最終確認の責任

生成AIは、もっともらしい間違いを書くことがあります。数字、日付、制度の内容、人の名前などは特に注意が必要です。

ルールには「AIが作ったものを社外に出すときは、必ず人が確認する」「確認した人が責任を持つ」と書いておきます。士業のガイドラインでも、ここは必ず書かれているポイントです。

厳しすぎるルールは、守られない

ルールを作り始めると、心配な点を全部書きたくなります。ですが、何十ページもある規程は、まず読まれません。読まれないルールは、ないのと同じです。

厳しすぎるルールにも同じ問題があります。手続きが面倒だと、冒頭でお話しした「裏AI利用」に戻ってしまいます。

最初はA4一枚に収まる量で十分です。使っていくうちに出てきた疑問を、少しずつ書き足していけばよいのです。

ルールを決めるのは、経営者の仕事

現場の若手がAIを使い始めるのは、とても良いことです。ただ、「どの情報なら入れてよいか」は、社員一人ひとりが判断できることではありません。取引先との約束や、会社としてのリスクの取り方に関わるからです。

操作に詳しくなる必要はありません。経営者がやるべきなのは、線を引いて「ここまではOK」と示すことです。それだけで、社員は安心して使えるようになります。

南あわじ市商工会のセミナーでいただいた「このデータ、入れて大丈夫?」への答えは、開催レポートにもまとめています。

明日からやれること:「入れてはいけない情報」だけ決める

3項目を一度に整えなくても大丈夫です。まずは、1つ目の線引きのうち「入れてはいけない情報」だけを決めて、朝礼や社内チャットで伝えてみてください。

たたき台として、A4一枚のひな形を置いておきます。自社に合わせて書き換えてお使いください。

生成AI 利用ルール(〇年〇月〇日 制定)
使ってよいツール	会社が契約した〇〇(法人プラン)のみ。個人のアカウントや無料版は業務に使わない
入れてはいけない情報	マイナンバー。お客様・従業員の個人情報や取引先から預かった資料は、会社が契約した〇〇(法人プラン)以外には入れない
迷ったとき	入れる前に〇〇さんに相談する
社外に出すとき	AIが作ったものは、必ず人が内容を確認してから出す
見直し	半年に1回、困ったことや追加したいことを集めて見直す

「迷ったときの相談先」を1人決めておくのがポイントです。判断に迷ったケースが集まると、それが次のルールの材料になります。

まとめ

生成AIの社内ルールは、禁止でも放置でもなく「決めて使う」ためのものです。

• 入力してよい情報の線引き……個人情報や取引先の情報は「禁止」ではなく、条件をそろえた環境でのみ扱う。マイナンバーは入れない
• 使うツールとプランの指定……学習に使われない法人向けのプランに統一する
• 最終確認の責任……社外に出す前に、人が確認する

税理士会や弁護士会など、守秘義務を負う専門家の団体も、同じ方向でルールを整えています。まずはA4一枚から始めてみてください。

「ルールを作ったあと、社員にどう伝えればいいか」「使い方も含めて一度に教えてほしい」という場合は、社内研修で承ります。ルールの考え方と使い方を、御社の業務に合わせてお伝えします。