生成AIは、問い合わせ文の下書き、社内資料の整理、店舗情報の更新案、議事録の要約などに使いやすいツールです。一方で、何を入力してよいか、誰が確認するか、社外に出す前にどこまで直すかを決めないまま使い始めると、社員ごとに判断がばらつきます。
この記事では、中小企業が生成AIを社内利用する前に決めておきたい基本ルールを、情報漏えい対策と研修テーマの両面から整理します。生成AIを止めるためではなく、安全に使える範囲を先に決めるための実務チェックリストです。
生成AIの社内利用は、便利さより先にルールを決める
生成AIは、文章作成や調査メモ、アイデア出しを短時間で進める助けになります。ただし、便利だからといって社員ごとの判断に任せると、顧客情報、未公開資料、契約条件、社内の人事情報などが不用意に入力される可能性があります。
個人情報保護委員会は、生成AIサービスの利用に関して、個人情報の取扱いや入力内容への注意を呼びかけています。これは「生成AIを使ってはいけない」という意味ではなく、サービスの利用条件やデータの扱いを確認し、入力する情報を選ぶ必要があるということです。
まず決めたいのは、難しい規程文ではありません。最初は次の3つで十分です。
- 使ってよい業務
- 入力してはいけない情報
- 社外に出す前の確認担当
この3点がないまま研修やツール導入だけを進めると、「便利な使い方」は増えても、現場が迷ったときの判断基準が残りません。
入力してよい情報・避けるべき情報を分ける
生成AIの社内利用ルールで最初に決めたいのは、入力してよい情報と避けるべき情報の線引きです。細かい例外を最初から作り込みすぎるより、まずは現場で判断しやすい分類にします。
原則として入力を避けたい情報
次の情報は、少なくとも社内確認なしに生成AIへ入力しないルールにしておくと安全です。
- 顧客名、住所、電話番号、メールアドレスなどの個人情報
- 問い合わせ内容、予約内容、契約内容など個別顧客に紐づく情報
- 未公開の価格表、提案書、契約書、請求書、社内資料
- 採用、人事、評価、労務に関する情報
- 取引先から秘密として受け取った資料
- 公開前のキャンペーン、サービス変更、決算・売上などの内部情報
重要なのは、「この情報は本当に入力してよいか」と迷った時点で、そのまま貼り付けないことです。迷う情報は、伏せる、要約する、社内確認する、の順番で扱います。
入力しやすい情報
一方で、次のような情報は比較的扱いやすい領域です。
- すでに公開しているWebサイトやチラシの文章
- 個人や企業を特定できない一般化した相談文
- 架空の例に置き換えた問い合わせ文
- 社外公開しても問題ないサービス説明
- 社内で共有済みの一般的な作業手順
たとえば、実際の顧客メールをそのまま貼り付けるのではなく、「30代女性のお客様から予約変更について相談があった。個人情報は含めず、丁寧な返信案を作って」と一般化します。
生成AIの回答をそのまま使わず、人が確認する範囲を決める
生成AIの回答は、文章として自然に見えても、事実関係、数字、社内ルール、法令・業界規制、価格条件が間違っている場合があります。特に社外に出る文章では、担当者による確認範囲を決めておくことが重要です。
確認項目は、次のように分けると運用しやすくなります。
- 事実確認: 日付、料金、営業時間、所在地、サービス内容が正しいか
- 表現確認: 誇張、断定、失礼な表現、個人情報が含まれていないか
- 責任確認: 誰の判断で社外公開するか
- 保存確認: 最終版をどこに残すか
価格、契約条件、医療・法律・安全に関わる内容は、特に慎重に扱います。生成AIの下書きはあくまで下書きです。最終判断をAIに任せるのではなく、人が確認する前提で業務フローに組み込みます。
AI Agentや自動化ツールを使う場合も同じです。記事作成、投稿、リンク設計、品質判定などの一部を効率化できても、公開前レビュー、権限管理、承認履歴の確認は人間側の運用として残しておく方が安全です。Web担当者がWordPressやNetlifyで記事を更新する場合も、下書き作成、メタ情報確認、公開操作、公開後チェックを分けておくと、誤公開や古い情報の残存を避けやすくなります。
AI研修で扱いたい実務テーマ
中小企業のAI研修では、便利な入力例をたくさん覚えるより先に、入力禁止情報と確認フローを練習する方が実務に結びつきやすくなります。研修テーマは、実際に使う業務に合わせて選びます。
問い合わせ対応：返信案を作る前に顧客情報を伏せる
問い合わせ返信の下書きは、生成AIと相性のよい業務です。ただし、顧客名、メールアドレス、予約日時、具体的な相談内容をそのまま入力しないようにします。
研修では、実際のメールではなく匿名化した例文を使い、「丁寧に断る」「追加確認をお願いする」「来店前の不安を減らす」など、目的別に返信案を作る練習をします。
資料作成：社外公開できる情報と社内資料を分ける
営業資料、サービス説明、社内マニュアルのたたき台作成にも生成AIは使えます。ただし、未公開の価格、取引条件、顧客別の提案内容を混ぜると、情報管理が難しくなります。
研修では、公開済み情報をもとにした資料作成と、社内限定情報を含む資料作成を分け、後者は入力前に管理者確認を挟む運用を確認します。
店舗・施設情報の発信：営業時間、サービス内容、写真説明の確認を残す
店舗や施設の情報発信では、SNS投稿、Googleビジネスプロフィール、自社サイトのお知らせ文などに生成AIを使えます。ここでは、営業時間、料金、サービス内容、写真説明が最新かどうかを人が確認することが大切です。
生成AIで文章を整える前に、正しい元情報を用意します。元情報が古ければ、自然な文章になっても誤案内になります。
議事録・業務記録：録音・個人名・未公開情報の扱いを決める
議事録や業務記録の要約では、録音データ、個人名、顧客名、取引条件が含まれることがあります。研修では、記録を要約する前に、どの情報を残すか、伏せるか、社外に出さないかを決めます。
「要約できるか」だけでなく、「要約してよい情報か」を判断する練習が必要です。
小さく始める導入手順とチェックリスト
生成AIの社内利用ルールは、最初から全社規程として完璧に作る必要はありません。まずは1つの業務で試し、実際に出た迷いをルールに反映します。
導入の順番は次の通りです。
1. 使う業務を1つ選ぶ
2. 入力してよい情報・避ける情報を定義する
3. 生成AIの出力を保存し、よくあるミスを集める
4. 社外公開前の確認担当を決める
5. 利用ツールのプライバシー・セキュリティ設定を確認する
6. 1か月後にルールを見直す
チェックリストとしては、次の項目を用意しておくと使いやすくなります。
- 顧客情報を入力していないか
- 未公開資料を貼り付けていないか
- AIの回答に未確認の数字や断定がないか
- 社外公開前に担当者が確認したか
- 最終版の保存場所が決まっているか
- 利用ツールのデータ利用条件を確認したか
Microsoft 365 CopilotやGoogle Workspace with Geminiなど、法人向けの生成AI機能を使う場合は、各サービスの公式情報でデータ、プライバシー、セキュリティ、管理者設定を確認します。個人向けサービスと法人向けサービスでは、データ利用や管理機能が異なる場合があるため、同じ「AI」として一括りにしないことが大切です。
よくある失敗と避け方
生成AI導入で起こりやすい失敗は、ツール選定よりも運用の未整理から生まれます。
- 便利だから何でも入力する: 顧客情報や未公開資料をそのまま貼り付けないよう、入力禁止情報を先に決めます。
- AIが作った文章を事実確認せずに公開する: 料金、日時、サービス内容、住所、リンクは人が確認します。
- 個人向けAIと法人向けAIの違いを確認しない: 利用条件、データ利用、管理者設定を公式情報で確認します。
- 研修を一度だけで終わらせる: 現場から出た質問を集め、1か月後にルールを更新します。
- 公開後の修正フローがない: 誤りに気づいた時に、誰がどこを直すかを決めておきます。
生成AIの社内利用は、成果を保証するものではありません。ただし、使う業務、入力情報、確認範囲を整理しておくことで、現場が安心して試しやすくなります。
Asobeに相談できること
Asobeでは、生成AIを「流行のツール」として導入するのではなく、店舗・施設・中小企業の実務に合わせて、使う業務と使わない業務を整理するところから支援します。 社内ルール作成や研修テーマを相談することもできます。
相談できる内容は、たとえば次のようなものです。
- AIを使う業務と使わない業務の整理
- 情報漏えいを避ける入力ルールのたたき台作成
- 問い合わせ対応、資料作成、店舗情報発信、議事録整理の研修テーマ設計
- WordPressやNetlifyなどWeb更新フローでの下書き・確認・公開手順の整理
- AIで作った文章を公開前に確認するチェックリスト作成
「生成AIを使いたいが、何を入力してよいか不安」「研修をしたいが、便利な入力例だけで終わらせたくない」という段階でも、まずは無料相談で現状を整理できます。
FAQ
ChatGPTに顧客情報を入力してもよいですか？
社内確認なしに、顧客名、連絡先、問い合わせ内容、契約条件などをそのまま入力することは避けるのが安全です。入力する場合は、利用サービスのデータ取扱いを確認し、匿名化・一般化したうえで扱うルールを決めます。
中小企業のAI研修では何から始めるべきですか？
最初は便利な入力例よりも、入力してはいけない情報、社外公開前の確認、よくあるミスの見つけ方を扱うと実務に結びつきやすくなります。その後、問い合わせ対応や資料作成など、具体業務ごとの練習に進みます。
生成AIで作った文章をそのまま公開してもよいですか？
おすすめしません。文章が自然でも、料金、営業時間、サービス内容、法的・専門的な表現が誤っている場合があります。社外に出す前に、担当者が事実確認と表現確認を行う前提で使います。
個人向けAIと法人向けAIは何を確認すべきですか？
データの利用条件、管理者設定、アクセス権限、監査機能、保存期間、学習への利用有無などを公式情報で確認します。サービスごとに条件が異なるため、導入前に自社の情報管理ルールと照らし合わせます。