生成AI利用規程に書く3つの項目——入力可否・ログ管理・外部送信の決め方

AIツールを試験導入した段階では、社員が個人の判断で使い始めることが多い。だが正式採用を前に「何を入力してよいか」「ログはどう扱うか」「データは社外に出るのか」を規程として明文化しておかないと、後から整理する手間が一気に増える。試験段階を終え本格運用に移る前が、規程を整える適切なタイミングだ。この記事では、発注側が社内規程に書いておくべき項目を3つに絞って整理する。

入力してよい情報の範囲を最初に決める

最初に定めるのは「何を入力してよいか」の線引きだ。多くの会社では情報を4段階（公開・社内・機密・極秘）に分類しているが、AI利用規程ではこの分類をそのまま流用できる。既存の情報管理規程がない会社は、AI規程の策定を機に情報分類から整備することも選択肢になる。

規程に書く最低限の項目：

• 入力を許可する情報カテゴリ（例：公開情報・社内一般情報まで可、機密以上は不可）
• 個人情報・顧客情報の取り扱い（原則禁止か、仮名化・匿名化を条件に許可か）
• 社外秘の業務データに関する制限（製品仕様・価格・契約内容等）

「原則禁止だが例外申請できる」という書き方も有効だ。全面禁止にすると実務が止まり、全面許可にすると歯止めがなくなる。申請フローを設けることで、どのデータが実際に使われているかの把握にもつながる。

AI導入が「試せる段階」から「使わなければならない段階」へ移るとき、ガバナンス整備の遅れが壁になるケースは多い。AI導入が進まない原因を5層で切り分ける記事でも、技術以外のハードルとして規程の未整備を挙げている。

ログの保持期間とアクセス権限を規程に書く

AIツールの多くは、入力したプロンプトと出力の内容をログとして自動保存する。ツールによっては、プロンプトの内容・生成された回答・操作ユーザーのID・タイムスタンプをセットで記録するものもある。これらは内部監査や情報漏洩調査の証跡として機能する一方、適切に管理されなければそれ自体が漏洩リスクになる。

ログの存在を把握せずに使い続けた結果、退職者の入力内容がシステム上に残り続けていた——そのような状況は珍しくない。

保持期間については、業務上の証跡として必要な期間と、プライバシー保護の観点から削除すべき期間のバランスを検討する。ログにアクセスできる役職・部署を限定することで、内部からの情報漏洩リスクを低減できる。退職者アカウントに紐づくログの扱いも、規程に明示しておくと後々の運用が楽になる。

外部送信の可否とベンダーとの契約確認

AIツールに入力した情報がどこに送られるかは、ツールの種類によって異なる。コンシューマー向けサービスの多くは、規約上データをサービス改善やモデル訓練に利用できる設定になっている。企業向けプランやAPIを使った自社環境への切り替えによって、この問題を回避できる場合がある。

規程に書いておく確認事項：

1. 利用しているサービスがデータをモデルの再学習に使うかどうか
2. データの保存場所（国内か海外か）
3. データ処理契約（DPA）の締結状況

特に、ベンダーとのDPA（Data Processing Agreement）が未締結のまま個人情報を含む業務データを入力しているケースは、個人情報保護法上の問題になりうる。発注側がベンダーに書面での確認を求める手続きを、規程に組み込んでおくことが望ましい。

生成AI導入のPoCが本番に進まない理由の一つに「法務・情シスの承認が取れない」がある。その背景には、規程の整備が後回しになっていることが多い。導入の初期段階でこの3項目を明文化しておくことで、本番移行の承認を取りやすくなる。規程の書き方や運用設計の相談は、DX伴走支援「しぼる」でも受け付けている。