ChatGPT社内利用ルール整備の手順｜管理部門が先に決める6つのこと
77509664・ChatGPT社内利用のルール整備で最初に決める6つの事項を解説
・「とりあえず使っていい」は情報漏洩・内部統制リスクの入口になる
・ルール整備は管理部門主導で2週間以内に初版を作れる
・監査法人・内部監査への説明を見据えた構成にする
はじめに
ChatGPTが企業に急速に普及する中、多くの管理部門が「ルールを作らなければ」と感じながらも、何から手をつけるべきか迷っている。
結論から言えば、最初に決めるべきことは6つだ。この6つを決めてしまえば、後はテンプレートを使って規程の初版を作成できる。
本記事では、公認会計士・内部統制の実務視点から、ChatGPT社内利用ルール整備の実際の手順を解説する。
目次
1. なぜ「まずルール」なのか
「業務効率化のためにChatGPTを活用したい」という声は正当だ。しかし、ルールなしに全社展開すると以下のリスクが現実化する。
実際に起きやすいインシデント：
- 顧客名・取引先名・受注金額を含むメールをChatGPTに貼り付け要約
- 未公表の決算資料の文章化にChatGPTを使用
- 採用候補者の評価文書を外部AIで作成
- 契約書の全文をAIに貼り付けてリスク確認
これらは「うっかりミス」だが、情報漏洩・秘密保持義務違反・個人情報保護法違反として問題になる可能性がある。規程があれば「違反の認識が持てた」状況を作れる。
2. 管理部門が先に決める6つのこと
① 入力禁止情報の定義
最初に決めるべき最重要事項。具体的に何を入力してはいけないかを列挙する。
禁止する情報の例：
- 顧客・取引先の固有名詞・連絡先・契約情報
- 未公表の財務情報（決算数値・業績予測）
- 個人情報（社員・顧客）
- 秘密保持契約の対象となる情報
- 法的文書・社内機密文書の全文
曖昧な表現（「機密情報は入力禁止」）より、具体的な列挙の方が運用しやすい。
② 利用申請・承認の手続
誰でも自由に使ってよいのか、申請が必要なのかを決める。
現実的な運用例：
- 個人利用（無料版）：申請不要。ただし入力禁止情報の遵守を誓約
- 業務利用（課金版）：管理部門への利用申請・承認
- チームへの展開（企業プラン）：IT・管理部門の承認必須
最初から厳格すぎる承認フローにすると現場の反発を招く。段階的に始めるのが現実的だ。
③ 使ってよいツールの範囲
ChatGPTだけでなく、Claude・Gemini・Microsoft Copilot・各種AIツールが存在する。「ChatGPTのみ許可」か「ChatGPTおよびClaudeを許可」か「申請があれば他のツールも可」かを決める。
「どんなAIツールでも可」は管理困難につながる。最初は範囲を絞るか、申請制にすることを推奨する。
④ 問い合わせ・違反報告の窓口
「迷ったときにどこに聞けばよいか」「うっかり禁止情報を入力してしまったときの報告先」を明確にする。窓口が不明確だと、違反が隠蔽されやすくなる。
推奨： 管理部門（総務・法務・情報システム）に集約する。メールまたはチャットツールで相談・報告できる経路を作る。
⑤ 研修・周知の方法
規程を作っても周知しなければ意味がない。「全社員向けのオンライン研修（30分以内）」「入社時研修への組み込み」「年1回の更新研修」を最低限確保する。
受講記録を残すことで、「知らなかった」という事後弁解を防げる。
⑥ 規程の見直しサイクル
生成AI技術は急速に変化する。「年1回以上の定期見直し」と「重要なサービス変更・法改正時の随時見直し」を規定に盛り込む。
3. ChatGPT特有のリスクへの対応
ChatGPTは便利なツールだが、企業利用では以下の特有リスクを理解しておく必要がある。
| リスク | 内容 | 対応 |
|---|---|---|
| 学習データへの組込み | 無料版・一部プランでは入力内容が学習に使われる可能性 | 学習設定をオフにするか企業プランを利用 |
| 誤情報（ハルシネーション） | 事実と異なる情報を自信を持って提示する | AI出力の必ず人間によるレビュー |
| 外部サービス利用 | 入力データがOpenAIのサーバーに送信される | データ送信の法的・契約的問題を確認 |
| バージョン変化 | モデルアップデートで出力特性が変わる | 業務プロセスへの組込み方法の定期確認 |
Enterprise版（ChatGPT Enterprise）では、学習への利用オプトアウト・データの保護強化・管理コンソール等が提供されており、企業利用では検討に値する。
4. 規程整備のタイムライン
| 期間 | 作業内容 |
|---|---|
| Week 1 | 現状把握（誰が何を使っているか調査）・方針決定 |
| Week 2 | 規程初版作成（テンプレート活用）・法務確認 |
| Week 3 | 経営会議承認・全社周知・研修実施 |
| Week 4以降 | モニタリング開始・3ヶ月後初回見直し |
テンプレートを活用すれば、Week1〜2の作業時間は大幅に短縮できる。
5. 内部統制・監査対応への組み込み
ChatGPT利用ルールを「社内慣習」ではなく「内部統制の構成要素」として位置づけることが重要だ。
内部統制上の整備ポイント：
- 業務フローへのAI利用プロセスの記載
- コントロール（統制活動）としての承認・レビュー手続の文書化
- 研修受講記録・利用申請記録の保管
- インシデント発生時の対応記録
これらが整備されていれば、監査法人・内部監査から質問を受けた際に資料として提示できる。
AI利用規程テンプレート
本記事で解説した6つの事項を盛り込んだWord形式の規程テンプレート。管理部門が2〜3時間で初版を作成できるよう設計されています。
価格：9,800円（税込）
よくある質問（FAQ）
Q1. ChatGPTのTeamプランとEnterpriseプランはどう違いますか？
A. Teamプランはチーム単位での利用向けで、会話履歴の学習オプトアウトが可能です。Enterpriseプランはより高度なデータ保護・管理機能を提供します。企業の規模・セキュリティ要件に応じて選択してください。
Q2. 「プロンプトインジェクション」はどういうリスクですか？
A. 悪意のあるプロンプトを通じてAIを操作する攻撃です。外部から受け取った文書をそのままAIに入力する業務フローがある場合は注意が必要です。
Q3. 規程違反が発生した場合の対応はどうすればよいですか？
A. まず事実確認（何を入力したか・どのサービスに送信されたか）を実施し、被害状況を把握します。必要に応じてサービスプロバイダへの照会・法務専門家への相談・関係者への報告を行います。
Q4. 「AIを使ってはいけない業務」はどう定めますか？
A. 入力禁止情報に加え、「AI単独での最終判断が不可な業務」（法的判断・財務確定処理・重要な意思決定）も明記するとよいでしょう。AIはあくまで補助ツールとして位置づけることが重要です。
注意事項
本記事は一般的な情報提供を目的としています。個別のツール選定・規程内容の法的妥当性・セキュリティ対策については、専門家にご相談ください。
関連記事
- AI利用規程テンプレートの作り方｜7つの条項
- ChatGPT業務利用のリスクと対応
- 生成AI利用規程テンプレートの実例
- AIガバナンス簡易診断シート
Follow me!
