生成AIを入れる前の30項目。契約、アカウント、ルール、記録、端末、伝え方

生成AIの利用を会社として整えるとき、確認することはそれほど多くありません。これまでの記事で書いてきた要点を30項目にまとめました。契約、アカウント、ルール、記録、端末、伝え方の順です。この並びは、整え終わったあとの形の順です。どこから手を付けるかは、最後の節に書きました。

上から順に見て、チェックが付かない項目があれば、各節の最後に書いた元の記事を見てください。すべてに付かなくても、生成AIの利用を始めて構いません。付かない項目は当面は運用で補う、と社内で共有しておくほうが大事です。

契約は、プランの正式名称と規約の4か所で決まる

• 業務で使う生成AIサービスの一覧があり、それぞれ契約するプランの正式名称まで書いてある
• 各プランで、入力した内容が初期設定のままAIの学習に使われるかどうかを、ヘルプ記事のURLと確認日つきで記録している
• 会話を削除してからシステムから完全に消えるまでの期間と、削除しても残る範囲（すでに学習に取り込まれた分など）を把握している
• サービス提供者が自社のデータをさらに預ける先の会社（再委託先）の一覧のURLと、追加されるときに何日前に通知が来るかを記録している
• トラブルのときにどの国の法律で判断されるか（準拠法）と、どこの裁判所で争うか（裁判管轄）を、法務か顧問弁護士が確認している

元の記事: 生成AIの規約は4か所だけ読む

アカウントは、業務では会社契約のものを使う

• 業務では会社契約のアカウントを使う、と決めている
• 業務端末から、生成AIサービスに個人アカウントでサインインできる状態かどうかを確認した
• 個人アカウントでの利用を止められないサービスについて、学習に使わせない設定がどこにあるかを実際の画面で確かめてから、設定手順を配っている
• 回答の評価（フィードバック）ボタンを押すと、学習をオフにしていてもその会話が学習に使われることがある、と周知に含めている
• 従業員が会社アカウントと個人アカウントのどちらで使っているかを、画面の表示か利用記録で見分けられる

元の記事: 会話を学習に使わせない設定は、どこにあるか／業務端末で、生成AIを個人アカウントで使わせない方法

ルールは、サービス名ではなく操作と情報で書く

• ガイドラインが、サービス名ではなく、操作と情報の種類の単位で書かれている。操作とは入力、貼り付け、アップロード
• 入力してはいけない情報が、個人情報、顧客情報、ソースコードなど具体名で列挙されている
• 会社アカウントと個人アカウントという言葉の意味が、ガイドラインの中で定義されている
• 生成AIが作った文章や資料を社外に出す前に、誰が何を確認するかが決まっている
• 相談窓口と、誤送信したときの連絡先が決まっていて、1行で書ける

元の記事: 生成AI利用ガイドラインの作り方／AIの回答を社外に出す前に見る3点

記録は、止めずに取るところから始める

• 記録の取得項目、暗号化の有無、保存期間を決めている
• いきなりブロックせずに、記録だけを取る期間を2〜4週間置く計画がある
• 心当たりがないのに警告が出たとき（過検知）の報告先を決めて、従業員に伝えている
• ブロックに切り替える基準を、感覚ではなく記録の件数などの数字で決めている
• 事故が疑われたとき、誰が、いつ、どのサービスで、何をしたかを記録から説明できる

元の記事: 監視から始める段階導入プレイブック／生成AIの情報漏えいは、どの操作で起きたのか／生成AIへの誤送信が起きたとき

端末では、拡張機能とAIの接続先を見る

• 業務端末のブラウザに入っている拡張機能の一覧があり、すべてのサイトのデータを読み書きできる権限を持つものに印が付いている
• 拡張機能を従業員が自由に追加できないように、インストールを管理者側で制御している
• 拡張機能の棚卸しを、一度きりではなく定期にしている。権限は更新であとから増える
• AIを社内のデータやツールにつなぐ規格（MCP）や、AIが人の代わりに操作を進める機能（エージェント機能）を使うサービスについて、接続先と権限を把握している
• 承認済みのサービスに、自律的な操作や外部連携の機能が追加されたとき、次の棚卸しの期日を待たずに見直す決まりがある

元の記事: 拡張機能の権限を読む／MCPとは何か

伝えるときは、従業員には3通のお知らせ、経営層には決まった型の報告を出す

• 記録を始めるとき、警告を出し始めるとき、誤送信の連絡先を知らせるときの、3通のお知らせの文面がある
• お知らせに、何を記録するか、何を記録しないか、連絡先、次に何が起きるかが入っている
• お知らせの差出人が、個人名ではなく部門名になっている
• 経営層への報告の型が決まっていて、毎回同じ項目で出している
• 報告に調査会社などの外部の数字を使うとき、その数字の定義と分母（何を母数にした割合か）を確かめている

元の記事: 従業員に送るメールの文例3通／AIのリスクを取締役会にどう説明するか

半分以上に付かないなら、記録から始める

記録を取るところから始めるのが現実的です。契約とルールは、記録を見てから決めるほうが実態に合います。何が使われているか分からないまま契約を選ぶと、使われていないサービスにお金を払い、使われているサービスがルールの外に残ります。

逆に、記録の節だけにチェックが付いているなら、あとは順番の問題です。記録があれば、契約もルールも周知も、推測ではなく数字で決められます。上の並びのとおり、契約から順に埋めてください。

半分以上に付いているなら、付かなかった項目の元の記事を読んで、その項目だけ埋めれば足ります。