社員が勝手にChatGPTを使っている会社が最初にやるべきこと

こんにちは、meguliの平岡です。今回は、社員が会社の許可なくChatGPTなどの生成AIを使っているかもしれないときに、会社が最初に取り組むべきことを解説します。全面禁止ではなく、情報を守りながらAI活用を進めるための現実的なルール作りがテーマです。

「うちはAIを禁止しています」と話す経営者の方は少なくありません。情報漏洩や、AIが作った誤った文章をそのまま使ってしまうリスクを考えれば、禁止したくなる気持ちはよくわかります。

一方で、会社のパソコンやネットワークを制限しても、社員が個人のスマートフォンや自宅のパソコンからAIを使うことまでは、簡単に防げません。禁止というルールが、利用をなくすのではなく、会社から見えない場所へ移しているだけだとしたら、別の対策が必要です。

この記事でわかること

• AI全面禁止が現場で守られにくい理由がわかります
• シャドーITによって起こり得る情報漏洩や信用低下のリスクがわかります
• AIに入力してよい情報と、入力してはいけない情報の線引きを判断できます
• 社員が使いたいAIツールを申請できる窓口の作り方がわかります
• 中小企業でも運用しやすい生成AIガイドラインの整え方がわかります

こんな方におすすめです

• 社員が個人アカウントで生成AIを使っていないか不安な経営者の方
• AIを禁止しているものの、実際に守られているか判断できていない情報システム担当者の方
• 生成AIを活用したい一方で、情報漏洩や成果物の品質に懸念がある管理職の方

AI禁止が現場で機能しにくい理由

会社が支給するパソコンでは、アクセスしたウェブサイトやインストールしたソフトのログを取得していることがあります。そのため、会社のパソコンからChatGPTを使うことは止められるかもしれません。

しかし、個人のスマートフォンはどうでしょうか。職場への持ち込み自体が禁止されていなければ、個人のGoogleアカウントやApple IDでChatGPTのアプリを開けます。会社のWi-Fiを使わせないようにしても、個人のモバイル通信を使われれば、会社側からは把握できません。

つまり、技術的な制限だけで社員のAI利用をゼロにするのは困難です。ルールを強化する前に、ルールが実際に届く範囲と、届かない範囲を分けて考える必要があります。

禁止が生むシャドーITと見えないリスク

会社が公式に許可していないツールやサービスを、社員が個人の判断で業務に使う状態を、ITの世界では「シャドーIT」と呼びます。AIを厳しく禁止している会社ほど、利用が会社から見えない場所に移る可能性があります。

社員がAIを使う理由の多くは、悪意ではありません。報告書の下書き、英語メールの作成、文章の言い換えなどを効率化し、自分の仕事を少しでも早く終わらせたいという動機です。今まで長い時間がかかっていた作業を短時間で終えられる可能性があれば、業務量が多く時間に追われている人ほど、AIを使いたいと考えるでしょう。

ここで、AIを使えないことで生じる不便は現場の社員が負担し、AIを使わないことで得られる情報漏洩回避のメリットは主に会社が受け取る、というずれが生じます。コストを負う人と便益を得る人が異なるルールは、守られにくくなります。

実際に、会社がClaudeやGeminiを公式ツールとして契約していても、画像生成機能への不満から、社員が個人アカウントでChatGPTを使っていた事例があります。目的は、顧客に喜ばれる見栄えのよい資料を作ることでした。公式ツールにない機能を社員が自分で補おうとしただけであり、単純な禁止では、こうした工夫の芽まで摘んでしまいます。

シャドーITで起こり得る情報漏洩と信用低下

社員が個人アカウントでAIを使うと、会社が知らないうちに重要な情報が外部サービスへ送信される可能性があります。たとえば、顧客リストを業界別に分類させたり、見積書を丁寧な表現に書き換えさせたり、開発中の新製品に関する企画書を要約させたりするケースです。本人に悪意がなくても、会社の情報資産が個人アカウントを経由して外部へ渡ることになります。

また、AIが生成した文章やデータには、もっともらしい誤情報、いわゆるハルシネーションが含まれることがあります。存在しない法律の条文や架空の統計データを、社員が確認せず提案書や報告書に使えば、顧客からの信用を失う可能性があります。成果物が会社名義で提出される以上、AIの誤りであっても会社の品質として受け取られます。

法人契約やシングルサインオンを導入することは重要ですが、それだけで十分とは限りません。技術的な仕組みで管理できるのは、会社が用意した公式の入口からの利用です。個人のスマートフォンや個人アカウントという裏口は、法人契約の外側に残ります。

最初に作るべき「入力してよい情報」の線引き

全面禁止と全面自由のどちらかではなく、会社として境界線を引くことが現実的な着地点です。最初から分厚いガイドラインを作る必要はありません。まずは、「AIに入れてよい情報」と「入れてはいけない情報」をリストアップします。

判断に迷ったときは、その情報が普段から会社のメール、Googleドライブ、SharePointなどのクラウドストレージに置かれているかを確認します。普段からメールでやり取りしたり、社内で共有したりしている情報であれば、AIに入力しても比較的リスクは小さいと考えられます。反対に、会社のメールやドライブにも置かないような情報は、AIにも入力しないという基準です。

絶対に入力してはいけない情報としては、秘密保持契約に基づいて顧客から預かっている資料、社員の健康診断結果や人事評価、給与データ、未公表の決算情報やM&Aに関する情報、システムやウェブサービスのID・パスワードなどが挙げられます。まずはこの「絶対ダメリスト」を社内で共有することが、具体的な第一歩です。

AIツールの申請窓口を作る

情報の線引きができたら、次はAIツールの申請窓口を作ります。業務で使いたいツールを見つけた社員が、個人で勝手に契約するのではなく、会社へ相談・申請する流れを整えるためです。会社が有用性と安全性を確認し、必要であれば会社として正式に契約します。

この窓口で重要なのは、申請のハードルを極端に上げないことです。チャットで「このツールを使いたい」と一行送るだけにする、一定期間内に必ず返事をすると決めるなど、社員が気軽に相談できる運用にします。申請書や複雑な稟議を求めると、面倒になり、社員が再び個人契約へ戻る可能性があります。

社員にとっては、使いたいツールを正直に伝えられ、会社が契約してくれる可能性があります。会社にとっては、現場がどのようなツールを求めているかを把握でき、利用状況を管理できます。特定のツール名だけを固定するのではなく、変化するAIサービスに対応できる窓口として運用することが大切です。

シンプルなガイドラインとして社内に定着させる

情報の線引きと申請窓口を簡単な文書に落とし込めば、生成AIのガイドラインになります。中小企業の場合、誰も読まない長い規程にするより、実際に運用できる分量にすることが重要です。

構成は、目的、対象となるAIサービス、利用の原則、申請と管理、絶対的な禁止事項、教育の6項目に整理できます。利用の原則には、AIに入力してよい情報と禁止する情報を明記します。禁止事項には、IDやパスワードを入力しないことなどを記載します。AIサービス名を本文に固定して書かないようにすれば、ツールの入れ替わりにも対応しやすくなります。

社内へのアナウンスでは、「AI利用に関する禁止事項」といったネガティブな入り方を避けます。まず、「生成AIはここまでは使ってよい」「会社として活用を推奨する」と伝え、そのうえで、会社の情報を守るために入力してはいけない情報と、ツールの申請方法を説明します。禁止から始めず、使ってよい範囲を先に示すことが、社員の正直な相談を促します。

運用開始後に見直す

ガイドラインは作って終わりではありません。AIの世界は変化が速く、実際に運用してみなければわからない課題も出てきます。アナウンスから1か月後を目安に、振り返りの場を設けます。

確認するのは、主に二つです。一つ目は、新しいルールで運用して困ったことや、判断に迷ったことがなかったか。二つ目は、新しく使いたいAIツールが出てきたかです。現場の声をもとに情報の線引きリストを更新し、必要なツールを会社で契約します。

最初から完璧なルールを目指すのではなく、まず運用を始め、実態に合わせて修正していくことが大切です。見直しのサイクルを回すことで、ガイドラインを現場で機能する「生きたルール」にできます。

まとめ

• AI全面禁止は利用をなくすのではなく、シャドーITとして会社から見えない場所へ移す可能性があります
• 最初に「AIへ入力してよい情報」と「入力してはいけない情報」の線引きを作ることが重要です
• 社員が使いたいAIツールを相談・申請できる窓口を作り、会社として管理できる利用へ導きます

まずは、社内で扱っている情報を洗い出し、AIに入力してよい情報とダメな情報を1枚に整理してみてください。そのうえで、社員が気軽に相談できる申請窓口を設けることが、実行しやすい一歩になります。

自社の場合はどの情報を許可し、どのような申請ルールにすべきか判断に迷う場合は、株式会社meguliにご相談ください。今回のテーマをさらに動画で確認したい方は、こちらからご覧いただけます：