社員が生成AIを使い始めたら、会社が最初に決めたいこと

禁止するか、自由に使うか。その前に、用途・情報・人の確認を整理する。

最初に決めるのは、用途・情報・確認者

会社が生成AIを使い始めるときは、サービス名、何の仕事に使うか、入力する情報、出力を確認する人をそろえます。カナダのCyber Centreも、利用方針や出力の確認、事業者の情報管理を検討するよう案内しています。以下の手順は、その観点を小規模企業の相談に使うSONAEの運用例です。すべてのAIを禁止するか自由に使うかを先に決めるより、具体的な一件から、会社が許可する範囲と困ったときの相談先を明確にしましょう。

同じAIでも、仕事ごとに扱う内容を分ける

公開済みの製品説明から広報文を作る仕事と、顧客との打ち合わせを要約する仕事では、入力する情報が異なります。架空の例では、広報用の下書きは公開資料だけを使い、商談メモは承認と契約の確認が終わるまで入力しないと決めます。サービスを契約したことだけで、社内のすべての情報を渡してよいと判断しません。部署の担当へ、使っている用途と必要な情報の種類を聞き、把握できていない利用も相談できるようにします。

入力の許可は、契約と設定まで確認する

個人情報や社外秘をそのまま入力しないことを出発点に、業務で必要な場合は、その情報を扱えるサービスと条件を確認します。データの学習利用、保存、転送、アクセス、削除などは、製品とプランの正式な説明を参照します。名前だけ置き換えても、取引の事情や数値から対象が分かる場合があります。実在の情報が不要なら架空の資料を使います。利用する会社の承認と、情報の所有者の判断を、契約の機能説明とは別に残しましょう。

出力を、そのまま外へ送らない工程を置く

生成された文章の事実、数値、参照先、機密の混入、使う目的を人が確認します。見た目が自然でも正しいとは限りません。架空の広報文では、公開済みの原本と照合してから承認する役割を決めます。取引先への約束や条件の変更をAIの判断だけで確定しないようにします。確認した人、原本、修正した点を追えると、担当が交代しても説明できます。出力を確認したことを、そのAIが将来も間違えない証拠にはしません。

連携する範囲と、やめる方法も決める

チャットで文章を入力するだけなのか、社内検索、外部アプリ、送信や更新の操作まで許可するのかを分けます。連携を増やすほど、参照できる情報と実行できる操作の確認が必要になります。最初の試行は小さな用途に限定し、誰が止め、許可を解除し、保存した情報を整理するかを計画します。画面を閉じることと接続の解除は同じとは限りません。説明できない権限を便利さだけで認めず、管理担当へ確認する入口を用意しましょう。

一枚のルールを、架空の一件で読み合わせる

サービス、用途、入力してよい範囲、確認者、相談先、見直す日を短い表にします。社員が実際に迷う例を使い、どこで確認を止めるかを読み合わせます。秘密の値や顧客の資料を公開サイトへ入力する必要はありません。完了の目安は、現場と管理側が同じ一件について許可の範囲と次の行動を説明できることです。新しい機能、契約、業務へ変わったときには、前のルールを自動で引き継がず、関係する条件を見直しましょう。

入力の可否を、三つの具体例で決める

公開済みの製品説明を短くする作業は、会社が認めたサービスと用途の範囲内なら試す候補です。一方、氏名だけ消した商談メモは、案件や金額から相手が分かる可能性があり、置換しただけでは許可しません。管理担当が契約と情報の扱いを確認するまで保留します。取引先への見積回答をAIが書いた場合は、下書きの作成と送信の承認を分けます。これはSONAEのルール作成例で、個別サービスがすべて同じ条件で使えるという説明ではありません。

社員へ配る前に、例外の相談まで試す

架空の相談「急ぎの会議要約に、未承認のサービスを使いたい」を読み合わせます。回答する人、相談する方法、回答まで保留する作業を決めます。例外を認める場合は用途と期間、許可した情報、承認者を記録し、全員への恒久的な許可へ広げません。最初の配布では、使える例と止める例を一つずつ説明できるかを確認します。新しい連携や送信機能を使うときは、文章入力だけの許可をそのまま流用しないようにします。

公式資料の対応：Cyber Centre「Generative artificial intelligence」の利用方針、人による確認、事業者のデータ収集・保存・転送を参照。三つの場面の可否と例外の承認票は、特定製品の仕様ではなくSONAEの提案です。

相談前の確認表

• 承認するサービスと用途が分かる
• 入力を控える情報の具体例がある
• 外部に出す内容の確認者が決まっている
• 迷ったときの相談先とルールの見直し日がある

参考資料（確認日：2026年10月23日）：Canadian Centre for Cyber Security：Generative artificial intelligence ↗

一般的な説明とSONAEの運用提案です。製品の公式条件と自社の管理責任者の判断を確認してください。