この記事は想定ケースです。実在する企業の事例ではありません。公的な事例集に記録されている実在の事例は中小企業のDX事例は自社に当てはまるかで扱っています。
想定した会社
従業員25名の会社。部署は営業、製造、管理の3つ。就業規則はありますが、AIに関する記載はありません。
着手前の状態
何人かが個人のアカウントで生成AIを使っている、と経営者が把握した時点から始まる想定です。禁止するか、認めるかを決めかねていました。誰が何に使っているかの一覧はありません。
この順序で進めた
禁止から入らず、実態を先に見た
禁止すると申告されなくなり、実態がさらに見えなくなります。まず経費精算と法人カードの明細を3か月分さかのぼり、AIサービスへの支払いを洗い出しました。
申告しても不利益がないことを先に伝えた
調査の前に「申告した内容で不利益を受けることはない」と社内へ明示しました。これを先に言わないと、無料サービスや私物端末での利用は出てきません。
入力してよい情報を、区分で決めた
「機密情報は入力しない」では現場が判断できません。公開情報、社内の一般文書、取引先情報、個人情報の4区分に分け、上2つを承認なしで使ってよい範囲としました。
ひな形から、当てはまる条だけを残した
条文を増やすほど守られる、ということはありません。利用できるサービス、入力してよい情報、報告の3条だけを残し、残りは削りました。
数値の扱い
人数、部署数、区分の数はいずれも説明のために設定した前提です。実測値ではありません。**法的な効力や労務上の扱いについては、専門家へご確認ください。**
自社に当てはめるとどうなるか
自社に当てはめる場合、順序を変えないでください。ルールを先に作って調査を後にすると、実態と合わない条文が残ります。就業規則へ組み込むのは、運用が回ってからで間に合います。
この進め方が当てはまらない場合
すでに事故が起きている場合。ルール整備より先に初動が要ります。取引先から利用状況の確認票が届いている場合。回答期限があるため、この順序では間に合いません。
よくあるご質問
罰則を書いたほうが守られますか
報告が来なくなる方向へ働きます。事故そのものより、報告されずに時間が経つことのほうが被害を大きくします。「速やかに報告した場合、本人の責任は問わない」という一文を入れておいてください。
個人契約で使っている人がいた場合、やめさせるべきですか
まず台帳へ載せてください。会社が管理できていない契約こそ、把握する価値があります。載せたうえで、法人契約へ移すか使用をやめるかを決めます。載せずに禁止すると、見えない場所へ移るだけです。
関連する記事
生成AIに入力してはいけない情報、生成AIの社内利用状況をどう調べるか、シャドーAI対策、生成AIで事故が起きたときの初動で、判断の理由をそれぞれ扱っています。