生成AIを社内に定着させる進め方【禁止せず「入れない情報」だけ決める】

社内でChatGPTやGeminiを使ってみた方、もう結構いると思います。個人のアカウントで文章の下書きをさせてみた、資料のたたき台を作らせてみた、という会社はこの1、2年で一気に増えました。ただ、そこから「会社としてどう使わせるか」で止まっている会社も同じくらい多いです。

理由はだいたい共通しています。情報漏洩が怖くて、経営側が「業務ではあまり使わないように」というニュアンスのアナウンスを出す。すると、真面目な社員ほど使うのをやめてしまい、結果的に社内でAIがほとんど活用されなくなる。その一方で、詳しい社員は個人アカウントでこっそり使い続ける。会社が把握していないところでAIが使われている状態です。これは「シャドーAI」と呼ばれていて、会社が承認していない生成AIを従業員が業務で無断利用している状態を指します。パソコンやクラウドサービスを会社に無断で使う「シャドーIT」の生成AI版だと考えると分かりやすいです。禁止しようとした結果、逆に見えないところでリスクが増える、という皮肉な状況です。

この記事では、「まず何を試すか」という導入の話ではなく、既にAIを触っている会社が次にぶつかる「どう社内に定着させるか」を書きます。TAIDAI自身、自社でAIを日常的に使う中で試行錯誤してきた進め方です。特定のツールを売るための記事ではありません。

この記事はこんな方向けです

• 社員に生成AIを触らせてみたが、情報漏洩が不安で「あまり使わないように」という空気になっている経営者・DX担当の方
• 一部の社員だけがこっそりAIを使っていて、会社として使い方を把握できていない方
• 全面禁止と野放しの間で、ちょうどいいルールの作り方が分からない方

すでに何らかの形でAIに触れている前提で書いています。ツールの使い方の説明ではなく、社内に浸透させる考え方を中心に読み進めてもらえればと思います。

禁止のジレンマ

生成AIの社内活用でつまずく会社の多くは、「情報漏洩が怖いから、とりあえず禁止気味にしておく」という判断をしています。気持ちはよく分かります。入力した内容が学習に使われて外部に漏れるかもしれない、という不安は実際にあります。

ただ、全面禁止は思ったほど機能しません。理由は単純で、AIはもう個人のスマートフォンやブラウザから誰でも触れる場所にあるからです。会社が禁止しても、社員は個人のアカウントで、会社のパソコンやスマートフォンから触り続けます。むしろ会社が把握していない場所で使われる分、何が入力されているか誰も分からなくなります。これがシャドーAI化です。禁止するほど、リスクが管理された場所から管理されていない場所へ移動してしまう、というジレンマです。

このジレンマから抜け出す考え方はシンプルで、「使わせるかどうか」ではなく「何を入れさせないか」を先に決める、という順番に切り替えることです。全部を許可するのでも全部を禁止するのでもなく、線を引く場所を変えます。

無料でできる: 今日から始める2つの線引き

ここからは、コストをかけずに今日から着手できる範囲です。

(a) 入れてよい情報とダメな情報を決める

まず決めるべきは、ツールの選び方ではなく「何を入力してはいけないか」です。細かいルールを積み上げる前に、次の3つだけを先に決めてしまうのが現実的です。

• 顧客データ(氏名・連絡先・取引内容など)は入れない
• 社外に出していない未公開情報(契約条件・人事情報・未発表の新製品情報など)は入れない
• 個人情報(従業員・取引先の個人が特定できる情報)は入れない

そして、この3つに当てはまるかどうか迷った場合は「入れない」を基本にし、判断がつかないときの相談先(情報システム担当や管理職など)を決めておきます。細かい例外ケースを全部先に洗い出そうとすると、いつまで経ってもルールが完成しません。「迷ったら入れない、迷ったら相談する」というシンプルな原則にしておくほうが、実際に運用が回ります。

(b) 安全な使い道を会社が用意する

線引きを決めたら、次に会社側で「安全な使い方の選択肢」を用意します。ここでよく誤解されているのが、AIへの入力データの学習利用に関する扱いです。

ChatGPTの個人向けプラン(無料・Plus・Pro)では、入力した会話が既定でAIの学習に使われる設定になっています。これは、設定内のデータコントロールに関する項目から学習利用をオフにすることで、以後の会話を学習対象から外すことができます(ただし、それより前に学習済みのデータは遡って削除できません)。また、履歴に残らず学習にも使われない一時的なチャットのモードも用意されています。

一方、業務利用向けのBusiness(旧Team)・Enterpriseといったプランでは、会話が既定で学習に使われません。個人向けプランのように設定をオフにする作業自体が不要になります。つまり、会社として「業務向けプランに切り替える」「個人向けプランを使う場合は学習利用をオフにする設定を全員で徹底する」のどちらかを、会社側の準備として決めておく必要がある、ということです。ここを社員任せにすると、詳しい人だけが設定を知っていて、他の人は既定のまま使い続ける、という状態になります。

もう1つ、線引きの一部として決めておきたいのが、AIが出した文章やデータを人が確認するルールです。生成AIは、はっきり分かっていないことでも「たぶんこうだろう」ともっともらしく答えてしまうことがあります。これはハルシネーション(AIが事実に基づかない情報をもっともらしく生成してしまう現象)と呼ばれています。数字や固有名詞が絡む内容は、必ず人が原文や一次情報と照らし合わせてから外部に出す、というのを最初のルールに含めておくと、後で大きなトラブルになりにくいです。

ここまでの内容は、A4一枚程度の暫定的なガイドラインとして書き出してしまうのが一番早いです。完璧なルールブックを作ろうとすると時間がかかりすぎて、その間もシャドーAI化は進みます。日本ディープラーニング協会(JDLA)が生成AIの利用ガイドラインの雛形を無料で公開しているので、こうしたものをたたき台にして自社版に書き換える方法もあります。

仕組み化する: ルールは作っただけでは守られない

ここまでのA4一枚のガイドラインは、あくまで入口です。作って配って終わりにすると、多くの会社で数か月後には誰も見返さない紙になっています。

ルールを定着させるには、日常の業務の中に組み込む工夫が要ります。ルールを一方的に伝えるだけでなく、「こう使ったらうまくいった」という成功体験を先に見せてから、線引きの話をセットで伝えるほうが、社員の側の腹落ちが早いです。

禁止から入ると、社員はAIを「触ってはいけないもの」として避けるようになります。逆に、まず安全な使い方で成功体験を作り、その延長線上で線引きを伝えると、「使っていい範囲の中で、もっとうまく使うには」という発想に変わっていきます。この順番の違いが、シャドーAI化するか、社内の標準として根づくかを分けます。

新しく入った社員にも同じ考え方を引き継げるように、ガイドラインの見直しと共有を定期的な場(月次の会議や、朝会の一部など)に組み込んでおくと、担当者が変わっても運用が途切れにくくなります。

定着の先にあるもの(Claude Codeで一段上へ)

ここまでは、社員一人ひとりがAIを安全に使える状態を作る話でした。定着が進んだ会社の次の課題は、AIを「個人の作業を助けるもの」で終わらせず、業務のフローそのものに組み込むことです。

僕が普段使っているClaude Codeという開発環境は、単発の質問に答えるだけでなく、決めたルールに沿って一連の作業を任せるところまでできます。たとえば、入れてよい情報の線引きに沿って社内文書のたたき台を作らせる、既存の業務データを整理させる、といった具合に、日々の業務フローの中にAIの活用そのものを組み立てていくイメージです。

こうなると、AIは「使っていいか迷いながら使うもの」ではなく、業務の当たり前の一部として動き続けるようになります。ここは業務の中身や社内の情報の扱い方が会社ごとに違うため、記事だけで一般化できる範囲を超えています。定着の先の設計まで含めて相談したい場合は、実際に自社で運用しながら検証している立場として伴走できます。

よくある質問

情報漏洩が心配です。全面禁止ではダメですか?

全面禁止は一見安全に見えますが、実際には個人のアカウントでの利用を見えなくするだけで、リスクを減らすどころか把握しづらくする方向に働きます。禁止するのではなく、入れてはいけない情報を決めて、その範囲内で使ってもらうほうが、結果として会社が状況を把握しやすくなります。

無料プランを業務で使わせても大丈夫ですか?

無料プランは既定で会話が学習に使われる設定になっているため、顧客情報や未公開情報を扱う業務にはそのまま向きません。設定でオフにする、あるいは業務向けのプランに切り替える、といった対応をセットで用意したうえで使うのが安全です。

自社だけでルールを作れますか? どこからプロに頼むのがいいですか?

入れてよい情報の線引きや、A4一枚の暫定ガイドラインを作るところまでは、自社だけで十分に進められます。それを社内に浸透させる仕組みや、業務フローそのものにAIを組み込むところまでとなると、会社ごとの事情に合わせた設計が必要になるため、プロと組んだほうが早く確実に進められます。

まとめ、そして次の一歩

生成AIの社内定着でつまずく多くの会社は、「使わせるか、禁止するか」という二択で考えてしまっています。実際に効くのは、「入れてはいけない情報だけ先に決めて、あとは安全な使い方を用意したうえで使わせる」という順番です。禁止から入るとシャドーAI化が進み、会社が把握できない場所でリスクが積み上がります。

まずはA4一枚のガイドラインを書き出すところから始めてみてください。そこから、日常の業務に組み込む仕組みづくり、そして業務フローそのものにAIを組み込む段階まで、どう詰めればよいか相談したい場合は、お気軽にご相談ください。

無料相談はこちら