質問サイトでよく見かける一文があります。「特に生成AIの規定はありません」。
規定がないまま、使う人は使い、止める人は止める。判断の根拠が人によって違うので、話し合っても噛み合いません。この「規定がない状態」が実際には何を意味するのかを整理します。
調査は2026年8月5日時点です。法令・ガイドラインは改定されます。
※ 本記事は公開されている法令・ガイドラインの整理であり、法的助言ではありません。個別の判断は所属組織の法務部門や弁護士等にご確認ください。
規定がないことは「自由」ではない
先に結論を置きます。社内規定の有無にかかわらず、会社には法令上の義務がかかっています。規定がない状態は、義務だけがあって判断基準がない状態です。
個人情報保護委員会は2023年6月に、生成AIサービスの利用に関する注意喚起を公表しています。そこで示されているのは、次のような内容です。
- 個人情報を含むプロンプトを入力する場合、特定された利用目的を達成するために必要な範囲内かを十分に確認すること
- 入力した個人データが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法に違反する可能性がある
- そのため、そのサービスが当該データを機械学習に利用しないことを十分に確認する必要がある
ここで前回までの話とつながります。「学習に使われるかどうか」は、好みの問題ではなく法令上の確認事項として位置づけられています。
誰の責任になるのか
個人情報保護法が義務を課しているのは個人情報取扱事業者、つまり会社です。入力した従業員個人が法の名宛人になるわけではありません。
ただし、これは「入力した人に何も起きない」という意味にはなりません。実務上は次の二つが別々に動きます。
| 対外的な責任 | 会社が負う。監督官庁への報告義務も会社にかかる |
| 社内での扱い | 就業規則・秘密保持の定めに照らして判断される |
生成AIの規定がない会社でも、就業規則や入社時の誓約書に秘密保持の定めがあるのが通常です。「AIについては書かれていない」ことと「何を持ち出してもよい」ことは別です。多くの規定は媒体を限定せず、業務上知り得た情報の外部開示を制限する書き方になっています。
つまり、規定がない状態で起きるのは「責任がなくなる」ことではなく、「事後に既存の規定へ当てはめて判断される」ことです。使う側にとっても不利な状態だといえます。
顧客から預かった情報は別の話になる
自社の資料と、取引先から預かった資料は分けて考える必要があります。
他社から受け取った情報には、取引基本契約や秘密保持契約で取扱い方法が定められていることがあります。第三者への開示禁止、再委託の事前承諾、外部サービス利用時の通知など、条項の形はさまざまです。
この場合、社内でどう決めるかとは無関係に契約が先に効いています。社内規定を作れば解決する種類の問題ではありません。
規定はゼロから作るものではない
「規定を作るのは大変だ」という理由で先送りされている職場もあります。ただ、参照できる公開文書がすでにあります。
| 文書 | 公表元 | 位置づけ |
|---|---|---|
| AI事業者ガイドライン | 総務省・経済産業省 | 開発者・提供者・利用者に共通する指針 |
| 生成AIサービスの利用に関する注意喚起 | 個人情報保護委員会 | 個人情報を入力する際の確認事項 |
| AIと著作権について | 文化庁 | 生成物と著作権の考え方 |
AI事業者ガイドラインは2024年4月に初版が公表され、その後も改定が重ねられています。Living Document として更新していく前提で作られており、複数の既存ガイドラインを統合したものです。
示されている共通の指針には、人間中心・安全性・公平性・プライバシー保護・セキュリティ確保・透明性・説明責任・教育とリテラシーなどが並びます。自社の規定は、この枠組みに自社の事情を当てはめる形で組み立てられます。
規定がない職場で、今日できること
規定の整備は個人の裁量では進みません。それとは別に、個人の立場で取れる手当てがあります。
- 入力するものを区分する——公開情報か、社内限りか、顧客から預かったものか。三つ目は設定では解決しない
- 固有名詞を外して試す——会社名・取引先名・個人名を一般名詞に置き換えても、多くの相談は成立する
- 使っているアカウントを確認する——個人アカウントか、会社発行のアカウントか
- やり取りを記録に残す——上長に確認したなら、その事実を残す。口頭だけにしない
- 既存の秘密保持の定めを読む——就業規則・誓約書に何が書かれているかを先に見る
四番目は形式的に見えますが、後から経緯を説明できるかどうかが変わります。規定がない環境では、判断の記録そのものが根拠になります。
IT の仕事をしている立場から
ルールが未整備な領域で新しい道具が入ってくる状況は、これまでにも繰り返されてきました。私物端末の業務利用、クラウドストレージ、社外とのチャットツール。いずれも最初は規定がないまま現場が使い始めています。
その過程で共通していたのは、禁止でも黙認でもなく、条件付きの許可に落ち着いていくという流れです。何を扱ってよいか、どのアカウントを使うか、記録をどう残すか。決まったのはその三点でした。
生成AIも同じ構造にあります。「使うか使わないか」で議論が止まっている間は、決めるべきことが決まりません。
まとめ
- 規定がない状態は自由ではない。法令上の義務は会社にかかっている
- 個人情報保護委員会は、入力前に利用目的の範囲内かと機械学習に使われないかの確認を求めている
- 法の名宛人は会社だが、社内では既存の秘密保持の定めに照らして判断される
- 顧客から預かった情報は契約が先に効く。社内規定では解決しない
- 規定はゼロから作るものではない。国のガイドラインが公開されている
- 個人でできるのは区分・固有名詞を外す・アカウント確認・記録
「規定がないから使えない」でも「規定がないから自由だ」でもなく、規定がないこと自体が整理されていない状態だといえます。参照できる文書は公開されているので、着手の障壁は下がっています。
入力するデータの扱いについては、前々回に各サービスの記載を整理しています。
設定とカスタム指示でできる手当ては前回にまとめました。
※ 本記事は2026年8月5日時点で公開されている法令・ガイドラインおよび各公表資料の記載をもとに整理したものです。法令とガイドラインは改定されます。実際の判断前に必ず最新版をご確認ください。
コメント