中小企業が迷わない生成AIの社内利用ガイドラインの作り方と運用

生成AIを使い始めたものの、「顧客名を入力してよいのか」「提案書の下書きは任せてよいのか」「社員ごとに使い方が違って大丈夫なのか」と判断に迷う会社は少なくありません。生成AIの社内利用ガイドラインは、利用を止めるための規則ではなく、会社の信用を守りながら仕事を進めるための共通言語です。

特に中小企業では、Web担当者、営業、総務、経営者が兼任で動くことも多くあります。細かすぎる規程を作っても読まれず、反対に「各自で注意して使う」だけでは、情報管理も成果物の品質も担当者任せになります。最初から完璧な文書を目指すより、自社の仕事に合った判断基準を決め、運用の中で育てるほうが現実的です。

生成AIの社内利用ガイドラインで決めるべきこと

ガイドラインで先に整理したいのは、ツールの機能ではなく、会社として守る範囲です。生成AIは文章作成、要約、アイデア出し、表計算の補助などに役立ちます。ただし、入力した情報の扱い、出力内容の正確さ、著作権や契約上の制約は、利用するサービスや業務内容によって変わります。

そのため、「生成AIは使ってよい」「機密情報は入れない」といった一文だけでは、現場で迷いが残ります。例えば営業担当者が顧客へのメール案を作る場合、会社名や担当者名を伏せればよいのか、商談内容そのものを要約して入力してよいのかは、取引先との契約や利用するAIの設定によっても判断が異なります。

まずは、次の三つを分けて考えると整理しやすくなります。第一に、何を入力してよいか。第二に、何の業務に使ってよいか。第三に、誰が最終確認をするかです。この三つが明確になると、禁止だけを並べた規程よりも、社員が日々の業務で使いやすいルールになります。

「入力」と「出力」を別々に管理する

生成AI利用で見落とされやすいのが、入力情報と出力情報は別の問題だという点です。入力では、顧客情報、見積金額、未公開の商品情報、従業員情報、パスワード、管理画面の情報などを扱います。これらは原則として外部の生成AIに入力しない、と決める会社が多い領域です。

一方、出力では、もっともらしい誤り、古い情報、他社と似た表現、根拠のない数値が問題になります。AIが作った文章をそのままホームページ、LP、採用ページ、メールマガジンに掲載すれば、会社の信用に関わります。誤った営業時間やサービス内容が公開されれば、見込み客の問い合わせを逃すだけでなく、既存顧客にも余計な負担をかけます。

したがって、ガイドラインには「公開物、顧客提出物、契約や法令に関わる文書は、担当者または責任者が事実確認をしてから使用する」と明記しておくとよいでしょう。確認する人を曖昧にしないことが大切です。AIは下書きの時間を短くできますが、会社として出す答えの責任までは引き受けません。

入力を許可する情報は、例で示す

「機密情報を入力しない」という表現は正しいものの、社員によって機密の受け止め方が異なります。そこで、入力可否を具体例で示します。

公開済みの自社サイト文章、一般公開されている商品説明、匿名化した相談内容、社内で作成した一般的な文案などは、利用目的とサービスの設定を確認したうえで扱いやすい情報です。対して、個人を特定できる顧客情報、取引先から預かった資料、未公開の売上データ、ログイン情報、ソースコードや脆弱性に関する詳細は、入力禁止としておく判断が基本になります。

ただし、社内専用環境で契約し、入力データが学習に使われない設定を確認できる場合は、利用範囲を広げられることがあります。この場合も「契約しているから何でも入力できる」とはせず、管理者、利用者、対象業務を記録しておくと、担当交代の際にも混乱しません。

生成AIの社内利用ガイドラインは業務別に決める

全社員に同じルールを配るだけでは、実際の作業に落とし込みにくいことがあります。営業、総務、Web運用、制作では、扱う情報も成果物も異なるためです。共通ルールに加えて、部署や業務ごとの補足を短く設けると運用しやすくなります。

営業では、商談の論点整理や一般的なメール文のたたき台には使えても、顧客固有の条件や見積内容をそのまま入力しないルールが必要です。総務では、社内文書の表現整理には役立ちますが、従業員の評価や健康情報の取り扱いには慎重さが求められます。

ホームページ運用では、既存記事の要約、見出し候補、FAQのたたき台、アクセスレポートの説明文づくりなどで活用できます。ただし、検索順位の保証、専門資格が必要な内容、法改正に関わる説明、医療や金融などの助言は、AIの出力だけで公開しないことが前提です。公開前に一次情報を確認し、自社の実態に合う表現へ直す工程を残します。

販促物でも同じです。パンフレット、営業資料、LP、広告文は、読みやすい文章を作るだけでは足りません。誰に何を伝え、どの相談導線へ進んでもらうかという設計が必要です。生成AIは素材づくりを補助できますが、会社の強みや顧客との約束を決める役割とは分けて考えたほうが、Web資産として長く使える内容になります。

禁止事項より「確認の手順」を書く

利用ルールが守られない理由は、意識の低さとは限りません。急いでいるときに、何を確認すればよいか分からないことが大きな原因です。そこでガイドラインには、迷ったときの手順を入れておくと効果があります。

例えば、公開前の文章なら、事実、数値、固有名詞、引用元、著作権、顧客との約束を確認する。入力前なら、個人情報や未公開情報が含まれていないかを見る。判断が難しい場合は、ツールに入力する前に責任者へ相談する。この程度の短い手順でも、日常の事故を減らす助けになります。

また、AIで作成した画像や文章について、利用したツール名、利用日、確認者を残すかどうかも決めておくとよいでしょう。すべての下書きに厳密な記録が必要とは限りませんが、対外公開する重要な制作物や、顧客案件では履歴が役立つ場面があります。問題が起きたときに責任を追及するためではなく、修正の経緯をたどり、再発を防ぐための記録です。

最初の版はA4用紙2枚でもよい

規程づくりが止まる会社では、最初から情報セキュリティ規程と同じ水準の文書を作ろうとしていることがあります。もちろん、個人情報を多く扱う業種、厳しい取引条件がある会社、複数拠点で大人数が利用する会社は、法務や情報セキュリティの専門家を交えた整備が必要です。

一方で、少人数の会社が生成AIを使い始める段階なら、利用目的、入力禁止情報、許可する業務、公開前の確認、相談先、見直し日をA4用紙2枚程度にまとめても十分に出発できます。大切なのは、社内に存在し、説明され、実際に参照されることです。

導入後は、月に一度か四半期に一度、困った事例を持ち寄って見直します。「この依頼文は入力してよいか」「画像生成を販促物に使う際に何を確認するか」といった実例を追記すると、ガイドラインは机上の文書ではなくなります。ツールの仕様、契約内容、社内の業務も変わるため、固定したルールとして放置しない姿勢が必要です。

Web運用担当向けガイドラインに入れたい7項目

生成AIのルールを企業サイトの運用へ落とし込む場合、「機密情報を入力しない」という表現だけでは、担当者が日々の作業で判断できないことがあります。少なくとも、次の7項目は具体例と一緒に決めておくと実務で使いやすくなります。

1. 認証情報は入力しない。WordPress、サーバー、ドメイン、Googleアカウントのパスワード、APIキー、復旧コードは、AIへの相談に必要そうに見えても入力しません。
2. 画面やログは必要な部分だけを使う。管理画面のスクリーンショット、エラーログ、設定ファイルは、ユーザー名、メールアドレス、顧客情報、サイト固有の機密を除いてから扱います。
3. 問い合わせ・注文・応募情報は原文のまま渡さない。氏名や連絡先だけでなく、案件番号、注文内容、病歴、採用経歴など、本人や取引先を推測できる情報を匿名化し、必要最小限にします。
4. GA4・Search Consoleの共有範囲を決める。元データの保管先、AIへ渡す集計単位、閲覧できる担当者、数値を確認する人を決めます。
5. AIが作った公開情報を人が確認する。記事やサービス説明では、価格、対応範囲、実績、固有名詞、出典、著作権、顧客との約束を公開前に確認します。
6. AIが提案したコードや設定を本番へ直接入れない。先にバックアップを取り、検証環境または影響を限定できる場所で確認し、実施者と承認者を明確にします。
7. 異常時は操作を重ねず記録して相談する。発生時刻、症状、直前の変更、表示されたエラーを残し、社内責任者または保守会社へ連絡します。

これらはAI担当者だけのルールではありません。WordPressの更新、アクセス権限、問い合わせ情報、解析データ、公開承認と同じ管理の中に置くことで、担当者や外部委託先が変わっても判断基準を引き継ぎやすくなります。

Web運用のルールと切り離さない

生成AIの利用は、AI担当者だけの話ではありません。ホームページの更新権限、WordPressのアカウント管理、画像素材の保管、アクセス解析データの扱い、問い合わせ情報の管理ともつながっています。AI利用だけを別紙にしても、既存の運用ルールと矛盾すれば現場は迷います。

たとえば、GA4やSearch Consoleの数値をAIに要約させる場合も、画面の共有範囲、顧客情報を含むデータの有無、数値の確認者を決めておく必要があります。レポートの説明を速く作ることと、数値の意味を正しく判断することは別です。アクセス減少の理由をAIが推測しても、実際には計測設定の変更、季節性、広告出稿、検索結果の変化など、複数の要因を確認しなければなりません。

+STOCKでは、WordPress保守（Web／EC）とWeb分析レポート／改善を含め、保守、分析、改善、制作を分けずに見ることを大切にしています。生成AIも同様に、文章作成だけの便利な道具として扱うのではなく、会社の信用、Web資産、販促の流れの中で位置づけると、無理のないルールになります。

まずは、現在社内で誰がどの生成AIを何に使っているかを書き出してみてください。使い方を責めるためではなく、実態を知るためです。その上で、すぐに止めるべき入力、確認を加えれば使える業務、外部へ相談したほうがよい判断を分けることが、会社に合った運用の第一歩になります。

AI利用ルールとWordPressや解析の管理ルールが別々になっている場合は、WordPress保守引き継ぎ無料診断を利用して、管理者、契約、権限、更新、バックアップの状態から整理できます。