「便利なのは分かってます。でも、うちは禁止なんです」──画像生成AIの話をすると、現場の方からよくこう返ってきます。
使い方が分からないのではありません。使い方は分かっているのに、社内ルールで止められている。いま画像生成AIが止まっている会社の多くは、この「二階」の問題です。
止めているのは技術でも予算でもなく、リスクを分けずに全部ダメにしている線引きの不在だけ。この記事では、明日から動ける粒度で線の引き直し方を書きます。
Q01画像生成AIの社内ルールは、どう作ればいいですか？
「全社禁止か、全社解禁か」という二択のスイッチを、まず捨てることです。止めるべきリスクは、個人情報や社外秘が社外のモデルに渡ること、ただひとつ。そこに線を引けば、それ以外は安全に使える範囲として今すぐ動かせます。手順は4ステップに落とせます。
- 「全社禁止か、全社解禁か」のスイッチを捨てる：そもそもこの二択が設計ミス
- 「入れていい情報／ダメな情報」を一枚にする：凝らなくていい。先に作って回す方が大事
- 個人情報を含まない社内資料から試す：業務フロー図のような、出しても困らないものから
- 情報システム部門と2点だけ確認する：学習に使われない設定か、ログが残るか
「情報漏えいが怖い」と感じること自体は、まったく正しい判断です。問題は、中身を分けずに全部をダメにしていること。怖さの正体に線を引けば、ルールは今日から作り直せます。
Q02画像生成AIの全社禁止は、安全な選択ですか？
ゼロリスクに見えて、実は一番高い選択です。全社一律でブロックすると、安全に使える大部分の用途まで一緒に捨てることになり、見えないところで毎日コストを払い続けます。しかも禁止は、管理の面でもよく逆効果になります。
資料を作る、人に説明する、引き継ぐ。画像生成AIは毎日の仕事のあちこちで効いてくるため、全部止めると仕事の進め方の軽さをまるごと手放すことになります。周りが当たり前に使い始めている横で、自分たちだけ手足を縛って走るようなもの。差は見えないところでじわじわ開きます。
そして禁止のもうひとつの代償が、シャドー利用です。ダメと言われた人は、私用スマホや自宅PCでこっそり使う。すると誰が何を入れたのか、会社からは一切見えなくなる。禁止こそが、ログの残らない状態を作ってしまうのです。
これは現場のサボりではありません。過剰な禁止は、ルール設計の側のサボりです。
Q03AIに入れていい情報とダメな情報は、どう分けますか？
一枚の表にして配るのが実務的です。入れていいのは業務フローや概念、一般化した手順。ダメなのは実名・個人情報・顧客名・社外秘・未公開情報。凝った規程にする必要はなく、先に作って回しはじめる方が大事です。
| 区分 | 具体例 | 扱い |
|---|---|---|
| 入れていい情報 | 業務フロー、概念の説明、一般化した手順 | 画像生成AIに渡してよい |
| ダメな情報 | 実名・個人情報・顧客名・社外秘・未公開情報 | 社外のモデルに渡さない |
試す順番も同じ考え方です。いきなり機密ではなく、個人情報を含まない社内資料から。業務フロー図が一枚効けば、使い方は社内で自然に広がります。
Q04情報システム部門とは、何を確認すればいいですか？
確認するのは2点だけです。入力が学習に使われない設定やプランになっているか。そして、誰が何を入れたかログが残るか。この2点が確認できれば、「禁止」を「条件付きOK」に変えられます。
- 学習に使われない設定・プランか：入れた情報が、よそのモデルの学習材料にされない状態を確認する
- ログが残るか：誰が・何を入れたかを、会社側から追える状態にする
セキュリティ議論を全部やり切る必要はありません。この2点が「漠然と怖い」を「条件を満たせば使える」に変える鍵です。
Q05ルールを作れば、全社で回るようになりますか？
小さな範囲なら今すぐ動きますが、全社で本気で回すにはルールだけでは限界があります。「これは入れていいか」を毎回人が判断し続ける運用は続かず、判断が属人化して「面倒だから禁止でいいか」に逆戻りしがちです。本気で広げるなら、環境そのものを替える必要があります。
私自身、最初はルールだけで回そうとして失敗しました。判断が属人化して、結局また禁止に逆戻りした。苦しさはたいてい、根性ではなく仕組みの設計不良から来ます。
必要なのは、入れた情報が学習に使われず、誰が何を入れたかログが残り、個人情報を自動で外してくれる環境を、情報システム部門と一緒に用意すること。重い蓋をするのではなく、安全に使える地面を作る方が、過剰禁止からの本当の出口です。
よくある質問（FAQ）
- Q. 禁止しているのに、社員が個人のスマホで使っているようです。どうすればいいですか？
- A. 責める前に、線の引き直しを検討してください。禁止こそがログの残らない状態を作ります。条件付きOKに変えて会社の見える場所で使ってもらう方が、実は管理上も安全です。
- Q. どんな用途から試すのが安全ですか？
- A. 個人情報を含まない社内資料からです。業務フロー図のような、外に出ても困らないものが最初の一歩に向いています。一枚効けば、社内で自然に広がります。
- Q. ルールの一枚は、どこまで作り込むべきですか？
- A. 凝らなくて構いません。「入れていい情報」と「ダメな情報」の2列があれば十分です。完璧な規程を目指すより、先に作って回しながら直す方が大事です。
- Q. 線引きしても、うっかり入力は防げないのでは？
- A. その通りで、ルール運用の弱点はそこにあります。全社で本気で回すなら、個人情報を自動で外しログが残る環境側の整備が必要です。ルールは小さく始めるための第一歩と位置づけてください。
AUTHOR
黛 政隆（まゆずみ まさたか）
株式会社GembaShift 代表取締役CEO
エンジニア歴20年、PM経験50件超。生成AIの導入を、現場に入って一緒に組む仕事をしています。 この記事の内容は、著者自身が実際に手を動かして業務で検証した実体験に基づいています。