禁止すると、社員は
隠れて使うようになります。

ここが対策の8割です。費用は1円もかかりません。自社で扱う情報を、4つに分けるだけ。

1. 上の4段階を、自社の言葉で書き直す（業種によって中身が違います）
2. とくにD（禁止情報）を、具体的に列挙する（「機密情報」では伝わりません）
3. A4に印刷して、事務所に貼る
4. 朝礼などで1回だけ口頭で説明する

2番が重要です。「機密情報は入れないこと」では、誰も判断できません。「お客様の氏名・住所・電話番号」「仕入価格と原価率」「〇〇社との契約条件」——このくらい具体的に書いてはじめて、現場で使えるルールになります。

線を引いただけでは足りません。「じゃあ何を使えばいいのか」を示すところまでが1セットです。ここを飛ばすと、シャドーAIが生まれます。

会社が把握していないところで、社員が個人のアカウントや私物の端末でAIを使っている状態のことです。会社が最も統制しづらい、最悪の状態とされています。理由は明快で——何を入力したか、どのサービスを使ったか、会社側が一切分からないから。事故が起きても、把握すらできません。

1. 会社が契約した環境——学習に使われない扱いの法人プラン（第14回）
2. 使ってよいツールの一覧——「これ以外を業務で使うときは、事前に相談」
3. 相談先——迷ったときに聞ける人と、その連絡方法

3番を書いていない会社が、驚くほど多いです。相談先が無いと、社員は「聞くのが面倒だから、黙って使う」か「面倒だから使わない」のどちらかになります。どちらも会社にとって損です。

サインに気づいたとき、絶対にやってはいけないのが「犯人探し」です。責めると隠れます。正しい対応は「便利だと思ったなら、会社の環境で堂々と使ってほしい」と伝えること。むしろ使い始めた社員は、社内で最も貴重な人材です。推進担当になってもらってください。

重い規程は要りません。下のテンプレをコピーして、〔　〕を埋めるだけ。今日中に配れます。

■ 生成AI利用ルール（〔会社名〕）
制定日：〔　〕　次回見直し：〔1年後〕

【1. なぜ作るのか】
 AIを安全に、堂々と使えるようにするためのルールです。
 使うことを制限するためではありません。迷ったら相談してください。

【2. 誰に適用されるか】
 役員・従業員・パート・派遣・業務委託を含む、業務に関わる全員。

【3. 業務で使ってよいAI】
 ① 〔会社が契約した環境。例：ChatGPT Business〕
 ② 〔　〕
 ※これ以外を業務で使う場合は、事前に〔相談先〕へ相談すること。
 ※個人アカウントでの業務利用は禁止します。

【4. 入力してはいけない情報】
 ① お客様・取引先の氏名、住所、電話番号、メールアドレス
 ② お客様の契約内容・購買履歴・口座情報
 ③ 従業員の給与、人事評価、健康に関する情報
 ④ 病歴・信条・犯罪歴など、特に配慮を要する情報
 ⑤ マイナンバーおよびこれに準ずる番号
 ⑥ 原価・仕入価格・利益率
 ⑦ 秘密保持契約の対象となる情報、未公表の経営数値
 ⑧ 〔自社で追加するもの〕

【5. 加工すれば使える場合】
 個人名を伏せる、金額を丸める等の加工をしたうえで、
 〔上長〕に一報を入れること。

【6. 生成物の扱い】
 ・そのまま使わない。数字・固有名詞・事実関係は人が確認する。
 ・社外に出す前に、〔　〕の確認を受けること。
 ・他人の権利（著作権・商標・肖像権）を侵害していないか確認する。
 ・根拠のない「No.1」等の表現を使わない。

【7. 迷ったときの相談先】
 〔役職・連絡方法〕
 ※判断に迷ったら、使う前に相談してください。相談は歓迎です。

【8. おかしいと思ったら】
 入力してはいけない情報を入れてしまった、または
 その疑いがある場合は、隠さずすぐに〔相談先〕へ連絡すること。
 早く言ってくれた人を、責めません。

起きないのがいちばんですが、起きたときに慌てないほうが、被害は小さくなります。決めておくのは5つだけです。

【発生日時】〔　〕　【報告日時】〔　〕
【報告者】〔役職〕　【受付者】〔役職〕

【何が起きたか】
 〔例：見積書のPDFを、個人アカウントのAIにアップロードした〕

【入力した情報の内容】
 ・個人情報の有無：あり／なし　→ ありの場合、対象は約〔　〕件
 ・取引先名の有無：あり／なし
 ・金額・条件の有無：あり／なし

【使用したサービス】〔サービス名・プラン・個人／法人〕
【学習利用の設定】〔オフ／オン／不明〕

【すでに実施した対応】
 〔例：会話を削除、共有リンクを無効化、当該アカウントの利用停止〕

【外部への影響】
 ・第三者が閲覧できる状態だったか：はい／いいえ／不明
 ・公開・送信されたか：はい／いいえ

【専門家への相談】要／不要　相談先：〔　〕
【監督官庁への報告】要／不要／判断中

【再発防止策】
 〔　〕
【ルール改訂の要否】要／不要　改訂内容：〔　〕

このシートの価値は、慌てている人でも、埋めれば必要な情報が揃うことです。事故の直後は、誰でも冷静ではいられません。考えなくても手が動く形にしておくのが、備えるということです。

規程を配っただけでは、読まれません。1回30分の説明で十分ですが、やり方にコツがあります。

1. 5分：なぜ使うのか（禁止ではなく、安全に使うための話だと伝える）
2. 10分：入れてはいけない情報を、自社の具体例で説明する
3. 5分：会社が用意した環境の入り方を、画面を見せながら
4. 5分：おかしいと思ったときの連絡先（責めないと明言する）
5. 5分：質問を受ける（ここで出た質問が、次の改訂のネタになります）

2番を抽象論でやらないのがコツです。「機密情報を入れないように」ではなく、「うちで言えば、この見積書と、この名簿です」と実物に近い形で示す。これだけで理解度がまったく違います。

最後です。作って終わりにしない仕組みと、これから確実に来る取引先からの問い合わせへの備えを整えます。

1. 使ってよいツールの一覧は、今も実態と合っているか
2. この1年でヒヤリとした事例はなかったか（あれば規程に反映）
3. 第11回のマイGPT台帳、第12回の接続一覧の棚卸し
4. 退職者のアカウント・連携が残っていないか
5. 法令・ガイドラインに大きな変更がなかったか

4番は特に忘れられがちです。退職者の個人アカウントでつないだ連携は、本人しか解除できないことがあります（第12回）。退職手続きのチェックリストに「AI関連の接続解除」を1行足しておいてください。

2026年度から、国のサプライチェーン向けセキュリティ対策の評価制度が運用開始予定とされています。これが意味するのは——大企業と取引する中小企業が、「おたくのセキュリティ対策は？」と聞かれる場面が増えるということです。

また、国のAI事業者向けガイドラインは法的な強制力を持つものではありませんが、万一の事故の際に「ガイドラインを踏まえた対策をしていたか」が問われる材料になり得ると指摘されています。作っておくこと自体に、守りの価値があるということです。

この3点セットがあれば、取引先にも金融機関にも、堂々と説明できます。逆に何も無いと、「対策していない会社」として扱われかねません。作るのに費用はかかりません。かかるのは、数時間だけです。