ChatGPTを会社で使う前に決めておく3つのこと（社員10人版）

読了目安 8分（2026年9月 全面改訂）

「社員がChatGPTを勝手に使っているらしい」。禁止するか、放置するか。どちらでもなく、決めることは3つだけです。10人の会社なら、A4一枚で足ります。この記事では、その3つを、個人情報保護委員会の注意喚起とIPAの調査、それから私の事務所で実際に決めている運用をもとに書きます。

止まっている理由は「ルールが作れない」が4割

情報処理推進機構（IPA）の「DX動向2025」によると、日本企業の生成AI導入の課題は「効果やリスクに関する理解が不足している」が48.6％、「誤った回答を信じて業務に利用してしまう」が40.5％、「適切な利用を管理するためのルールや基準の作成が難しい」が37.8％でした（IPA「DX動向2025」）。ルールが作れないから止まる。ならば、ルールを小さくすればいい。大企業は数十ページのガイドラインを作りますが、10人の会社に要るのは3つです。

1. 「入れてはいけない情報」を3つ決める

決めるのは「これだけは入れない」という3つです。たとえば、お客様の名前・住所・電話番号、取引先との契約金額・見積もり、社員の個人情報（給与・評価・健康）。この3つを紙に書いて、全員に見せる。それ以外は使っていい、と決める。禁止事項が少ないほど守られます。

1つ目の「お客様の情報」は、法律の話でもあります。個人情報保護委員会は2023年6月に、生成AIサービスの利用について注意喚起を出しています。事業者向けの注意点として、「あらかじめ本人の同意を得ることなく生成AIサービスに個人データを含むプロンプトを入力し、当該個人データが当該プロンプトに対する応答結果の出力以外の目的で取り扱われる場合、当該個人情報取扱事業者は個人情報保護法の規定に違反することとなる可能性がある」とし、そのため「当該生成AIサービスを提供する事業者が、当該個人データを機械学習に利用しないこと等を十分に確認すること」と書いています（個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」2023年6月2日）。

3つ目の「社員の個人情報」も同じ注意喚起に根拠があります。一般の利用者向けの留意点として、「入力された個人情報が、生成AIの機械学習に利用されることがあり、他の情報と統計的に結びついた上で、また、正確又は不正確な内容で、生成AIサービスから出力されるリスクがある」と書かれています。給与や評価をAIに入れて要約させると、その内容が、形を変えてどこかに出てくる可能性がある、ということです。社員10人の会社で、社員の給与が外に漏れたときの損害は、金額では測れません。

要するに、お客様の個人情報をAIに入れるなら、そのAIが学習に使わない設定になっていることを確認しておく必要がある、ということです。確認していないなら、入れない。それが1つ目のルールの根拠です。

2. 「会社のアカウント」で使う

2つ目は、上の「学習に使わない設定の確認」を、会社として一度だけやる、ということです。無料版を個人アカウントで使うと、入力した内容が学習に使われる設定になっていることがあります。会社で契約するプランには、学習に使わない設定があり、誰が何に使ったかも管理できます。社員が個人のスマホで、個人のアカウントで、お客様の名前を入れている状態は、会社が確認のしようがない状態です。

費用は、どのサービスを選ぶかで変わりますが、10人分で月に数万円の範囲に収まることが多いです。個人アカウントの放置は、費用がゼロに見えて、上の注意喚起に触れるリスクを会社が抱えている状態です。安いのは、会社のアカウントのほうです。

3. 「AIの答えに○×をつける人」を決める

3つ目は、この記事を最初に書いたときと変えました。以前は「うまくいった使い方を月1回共有する」と書いていましたが、それより先に決めるべきことがあると、自分の事務所で使ってみて分かりました。AIが出したものを、誰が、どこで確認するか。これを決めることです。

IPAの調査で2番目に多かった課題は「誤った回答を信じて業務に利用してしまう」でした。個人情報保護委員会の注意喚起にも、応答結果に「不正確な内容が含まれることがある」とあります。これは、AIを賢くしても解決しません。解決するのは、AIの答えに○×をつける人を置くことです。

私はこの事務所のほかにプロジェクト管理の仕事も請けていて、その案件情報のサイトから自分に合う案件の候補を選ぶ作業をAIに任せていますが、AIが出した候補を私が見て、承認か却下かを必ず押します。却下のときは理由を一言つける。この○×の記録が、あとで「AIの選び方をどう直すか」の材料になります。詳しくは「社員に生成AIを使わせたい。何から始めるか」に書きました。最初にAIが出した4件を私は全部却下しましたが、却下の理由を集めて基準を直したら、翌日は4件中2件を承認できた。○×をつける人がいなければ、この修正は起きません。

社員10人の会社で決めるのは、「AIが作ったメールの下書きは、送る前に誰が見るか」「AIが要約した議事録は、誰が原文と照らすか」という程度のことです。決めておかないと、「AIが言っていたので」が社内で通るようになる。それが一番危ない。

「うまくいった使い方」の共有は、3つが回ってから

以前この記事で勧めていた「月1回、5分、うまくいった使い方を1人が話す」は、今でも有効だと思っています。ただ、順番は上の3つのあとです。何を入れてはいけないか、どのアカウントで使うか、誰が○×をつけるか。この3つが決まっていない状態で使い方だけ共有すると、危ない使い方も一緒に広がります。

3つが決まっていれば、共有はむしろ簡単です。「この業務で、こう使って、○の割合がこう上がった」と、数字で話せるからです。数字のない共有は、感想の交換で終わります。

決めるのは3つ、紙は1枚

• 入れない情報3つ（お客様の個人情報は、学習に使わない設定を確認するまで入れない）
• 会社のアカウントで使う（その確認を会社として一度だけやる）
• AIの答えに○×をつける人を、業務ごとに決める

これを決めたら、あとは使いながら直せばいいです。最初から完璧なルールを作ろうとすると、決まる前に社員が勝手に使い始めます。IPAの数字が示しているのは、まさにその状態です。ルールが作れずに止まっている間に、現場は個人アカウントで動いている。3つなら、今週決められます。