組織の AI 利用ルール — 越権せず、上申する、組織人としての規律

第9章 Lesson 1 で「独自情報・独自視点の番人」という AI 時代の中心テーマを置きました。 本記事はそこから一歩具体に降りて、AI を業務に組み込むときの組織的な規律の話です。 AI ツールの議論はツール選び・プロンプト(AI への指示文)の話から入りがちですが、本記事の立場は違います。 ツール・プロンプトの前に「社内ルールの確認」 が大前提です。 担当者は組織人として、自分の領分と上申すべき範囲を見極める必要があります。

1. AI を触る前に「社内ルールの確認」が大前提

AI を業務に組み込む話は、ツール選びでもプロンプトでもなく、社内ルールから始まる

新しいツールを触りたい気持ちは自然なものですが、組織人として動く以上、最初の一歩は社内ルールの確認です。 ルールなしでツールを触り始めると、後で大きな組織リスクになります。

本来は 第2章 Lesson 1 の企画段階で「AI 利用ルールが必要か」を確認しているはず

第2章 Lesson 1 で企画段階に置いた前提条件の中に「AI 利用ルール」を含めていれば、本 Lesson の議論はその確認の延長線です。 確認が済んでいないなら、本 Lesson の議論より先にそこに戻ります。

ルールがあれば従う、ない場合は決定権者(情報システム部門〈情シス〉・経営層・法務)に確認を上げる

• ルールがある → 内容を確認、自分の業務での適用を整理
• ルールがない → 独断で動かず、決定権者に確認上申
• 「ルールがないからやって良い」ではない

担当者が個人判断で AI 導入を始めると、後から大問題になるリスクが極めて高い

「便利だから」「業務効率化のため」で個人判断すると、情報漏洩・著作権・契約違反・社内信用などの問題が後から噴出します。 その時、責任を取るのは個人判断した担当者です。

「すぐ使えそう」と「すぐ使って良い」は別の話、現場の便利さで突っ走らない

技術的に使えることと、組織として使って良いことは別の論点です。 現場の便利さで突っ走ると、組織としての責任構造が崩れます。 便利さを発見しても、まず確認するのが組織人の姿勢です。

2. 確認すべき項目 — ツール・範囲・条件

使って良いツール / 使ってはいけないツール

• 社内の指定ツール(法人契約済みのツール)
• 利用禁止リスト(セキュリティ・契約・データポリシーの問題で使えないツール)
• 「個人で契約していても業務では使えない」の線引き

利用範囲

• どの業務で使って良いか
• どの業務はダメか
• 顧客名・社外秘情報を含む業務は別扱いか

利用条件

• 法人契約必須か(個人プラン不可)
• 学習機能オフ必須か
• 履歴の管理ルール
• 出力の二次利用

入力してはいけない情報

• 個人情報
• 顧客情報
• 社外秘・経営情報
• 未公開情報

出力の扱い

• 著作権の扱い
• 引用ルール
• 社外公開時のチェック

業界・業種の追加ルール

医療・金融・法務・公的機関など、業界ごとに追加の規制があります。 これらは個別の業界ガイドラインを確認します。

3. グレーゾーンの扱い — 明確にルール化されていない領域

「禁止と書いていない = やって良い」ではない

ルールに明示されていないからやって良い、という発想は組織人としての規律から外れます。 明示されていない領域は「明示されていないだけ」で、組織として問題があるかは別の論点です。

グレーゾーンの判定基準

• 利用したら社内で問題になり得るか
• 顧客・取引先からの問い合わせで困らないか
• 法務観点で問題はないか
• これらを自問する

迷ったら使わない、もしくは決定権者に確認を上げる

迷いがあるなら一旦止めるか、決定権者に確認します。 「迷ったら止める」が組織リスクを下げる現実的な姿勢です。

「現場で先に始めて、後でルールを作ってもらう」アプローチは事故リスクが高い

現場が先行してルール後追いの構図は、事故が起きてから後悔する典型パターンです。 「先に始める」を選んだ瞬間、責任が現場に集中します。

グレーゾーンの確認自体が、社内ルールの整備を進めるきっかけにもなる

「これってどうですか?」と上申すると、組織側もルール整備の必要性に気付きます。 確認は単なる遵守だけでなく、整備の起点にもなります。

4. ありがちな三重事故 — 個人アカウント × 学習機能オン × 業務情報

個人の Gmail で登録した ChatGPT 無料版で、顧客名を入れて文章生成

「個人アカウントだから」「無料版だから」「自分の業務効率化のため」 — どれも事故の入口になります。 組織から見れば、これは情報漏洩のリスクです。

個人アカウントは学習機能(入力データの学習利用)がデフォルト ON の場合が多い

• 個人プランは学習機能 ON が初期設定
• 明示的にオフにする必要がある
• 気付かないまま使い続ける危険

入力した業務情報が、将来 AI のモデル学習に使われる可能性

入力した内容が AI モデルの学習データとして使われた場合、他のユーザーへの出力に 類似情報が出る可能性 があります。 顧客名・契約内容・社外秘が他社のチャットで出てきたら、組織として致命的です。

法人契約のビジネスプランやエンタープライズプランでは、学習機能オフが標準のことが多い

• ChatGPT Business / Enterprise / Edu / API
• Claude for Work
• Gemini for Workspace
• 2026 年時点では学習利用なしが標準のプランが多い(契約時に必ず最新ポリシーを確認)

「便利だから」「自分で使うだけだから」は事故の入口

個人判断で個人アカウントを業務に使う発想は、組織としては避けたいものです。 本人は便利に使っているつもりでも、組織から見れば情報漏洩事故になりかねません。 個人アカウント × 学習機能オン × 業務情報、この三重の組み合わせは絶対に避けたいところ です。

5. 学習機能とオプトアウト(学習利用を止める設定)を理解する

多くの AI ツールには「入力データをモデル学習に使うかどうか」の設定がある

• Data controls の設定
• 「Improve the model for everyone」のような表現
• 「学習に使う」のチェックボックス

個人プランの初期設定は学習利用 ON、明示的にオフにする必要があるツールが多い

初期設定がオフのツールもありますが、初期設定が ON のツールも多くあります。 自分が使うツールでは 必ず設定を確認 します。

法人プランは学習利用なしが標準(2026 年時点)

• ChatGPT Business / Enterprise / Edu / API
• Claude for Work
• Gemini for Workspace
• 業務利用なら法人プランが原則

設定画面で「Data controls」「Improve the model for everyone」「学習に使う」等のオプションを必ず確認

ツールごとに設定の名称・場所が違います。 利用前に 設定画面のスクリーンショットを残す ことで、後で「学習機能オフを確認した」という証跡を残せます。

契約種別だけで「安全」と判断しない

同じ法人プランでも、API 経由 / 管理画面経由 / 共有ワークスペース でデータの扱いが異なる場合があります。 実際の設定とポリシー文書を読んで確認します。

6. 個人アカウントと法人契約の違い

個人アカウント

• 設定の責任は個人
• 学習機能の初期設定が ON 寄り(ツールにより異なる)
• 社内監査の対象外
• 業務に使うのは原則 NG

法人契約

• 設定を組織が一括管理
• 学習機能オフが標準
• 利用ログを社内で管理可能
• 業務に使うならこれが原則

業務で使うなら原則「法人契約」、これは多くの社内ルールで明示される基本

法人契約は、組織として AI を業務に組み込むための基本前提です。 多くの社内ルールでも明示されています。

中小企業で法人契約の予算がない場合は、社内ルールに基づき「個人アカウントでも入力禁止情報を明確化」する

• 顧客名は入力しない
• 社外秘情報は入力しない
• 個人情報は入力しない
• これらを社内ルールに明文化

担当者が会社のお金で法人契約を進めたいなら、経営層・情シスに提案する役

法人契約の予算を確保したいなら、担当者自身が提案・上申します。 【担当者の能動的役割】 の上申ルートを使って、業務効率化の効果と組織リスク低減のメリットを伝えます。

契約種別だけで安全性を判断しない

プラン名・契約種別だけで「学習されない」と即断しません。 サービスごとのデータポリシー差・設定差を確認、半期に 1 度は公式情報で再確認します。

7. 担当者の打ち手 — 確認と相談、決定は権限者に委ねる

担当者の役

• 既存ルールの確認
• ない場合の確認上申
• 運用での遵守

担当者の役ではない

• AI 利用ルールそのものの策定
• ツール選定の最終決定
• 社内全体への適用判断

越権しない、組織の意思決定プロセスを尊重する

Web 担当者が AI 利用ルールを独自に決めて社内に適用するのは越権です。 決めるのは情シス・経営層・法務、担当者は確認と提案の役。 自分の領分を弁えるのも組織人としての姿勢です。

ルールがない場合の進め方 — 何を確認したいか整理して、決定権者に上申

• 確認したいツール
• 使いたい業務範囲
• 想定される入力情報
• リスク評価

上申時のテンプレート

• 利用目的
• 想定ツール
• 入力する情報
• 学習機能設定
• 想定リスク
• 比較案(複数の選択肢)

8. 担当者の能動的役割 — 現場のリスク・利用ニーズを上申してルール整備を促す

「決めるのは情シス・経営層・法務」(【担当者の打ち手】)は 越権防止の主軸 ですが、「確認だけで止まり、必要な上申をしない」のも組織人としては不十分 です。担当者には 現場のリスクと利用ニーズを上申し、ルール整備を促す責任 があります。決定権は経営層、提案権は担当者 という整理で、能動的に動きます。「ルールがないから何もしない」は 「独断 ↔ 何もしない」の両端の罠 の片側です。

上申すべき 3 種類の情報

種類 1：現場で起きているリスクの上申

• 「スタッフが個人アカウントで業務情報を入れている」
• 「ルール策定前に AI で作成した社外公開資料に著作権リスクが残っている」
• 「他社事例で○○のトラブルが起きている」
• 上申のタイミング：発見時点で 即座、まとめずに個別に上げる
• 上申のフォーマット：「事実(何が起きたか)」「影響範囲」「想定される最悪のシナリオ」「再発防止案(たたき台)」

種類 2：業務で発生している利用ニーズの上申

• 「○○の業務で AI を使えれば月○時間の効率化」
• 「現在の禁止リストでは○○の用途がカバーされていない」
• 「他社では○○の用途で活用、自社でも検討の価値あり」
• 上申のタイミング：半期に 1 度 の業務棚卸し時に集約
• 上申のフォーマット：「業務名」「想定 AI 用途」「期待効果(時間・品質)」「想定リスク」「リスク対策案」

種類 3：ルール整備のたたき台

• 「現在のルールに足りない項目はこれ」
• 「他社事例から学んだルール構造」
• 「業界ガイドラインを参考にした素案」
• 上申のタイミング：経営層・情シスから要請があったとき、または半期で能動的に
• 上申のフォーマット：ルール素案 + 想定する運用フロー + 検討依頼事項

「越権」と「責任ある上申」の境界

越権 = 担当者がやってはいけないこと

• 独自判断で AI 導入を始める
• グレーゾーンに自分で踏み込む
• ルールを自分で決めて運用する

責任ある上申 = 担当者がやるべきこと

• 現場のリスク・ニーズを言語化して伝える
• ルール整備のたたき台を提案する
• 決定権者からの質問に答える、情報提供する

境界の見極め：「これは決めることか、伝えることか」を自問。

上申を効果的にするコミュニケーション設計

決定権者(情シス・経営層・法務)が 動きやすい情報の出し方：

• 要点を 3 行：何が起きているか / 何を判断してほしいか / 期日
• データの裏付け：「実際に○件の事例」「他社の○社で導入」
• 複数の選択肢：「A 案 / B 案 / C 案」で意思決定を促す
• 検討期限の提示：「次の四半期までに方針決定をお願いしたい」

「ご検討ください」の丸投げではなく、「決定の助けになる材料」 を整えます。

上申のリズム — 即時 + 半期 + 年次

• 即時上申：リスク発見時に即座(個別)
• 半期上申：業務棚卸しと利用ニーズの集約(半期定例)
• 年次上申：業界動向・他社事例・ルール改定提案(年次)
• 各タイミングをカレンダーに組み込み、「上申し忘れ」を防ぐ
• 上申の 記録を残す(送信日 / 受信者 / 内容 / 回答 / フォローアップ)

上申管理表に 送信日・宛先・上申内容・回答状況・次回フォロー日 を残しておくと、「上げっぱなし」を防げます。

上申が動かない時の振る舞い

• 上申しても決定権者が動かないことがある(忙しい・優先度が低い・判断材料不足)
• 上申内容を再構成(より優先度が伝わるように、データを追加)
• フォローアップ(1〜2 週間後に「ご確認いただけましたか」)
• 複数の決定権者に相談(情シスだけでなく法務・経営層にも)
• 業界事例で説得力を補強(他社の事故例、業界ガイドライン)
• ただし 決定権者の判断を尊重(「動かない」を「判断結果」として受け取る場合もある)

ルール整備への貢献は「組織人としての成熟度」

• 「越権しない」と「責任を持って上申する」は両立する
• 自分の領分を守りながら、組織全体のリスク管理に貢献する姿勢
• AI 時代の担当者は 組織の AI ガバナンスを支える現場の目 という新しい役割

9. ルールに沿った範囲での実務活用 — 何に使うか

個人情報・社外秘を含まない業務から始める

リスクの低い業務から AI 活用を始めるのが現実的です。 入力情報が一般的・抽象的な業務を選びます。 たとえば「一般公開済みの業界ニュースの要約」は扱いやすい一方、「顧客名入りの提案書の要約」はルール確認なしに扱いません。

下書き(原稿・メール・要約)

• 入力情報が一般的・抽象的なら比較的安全
• テンプレート的な文章の下書き
• 長文の要約

調査・情報整理

• 一般公開された情報を整理させる
• 自社情報は出さない
• 業界トレンド・競合情報の整理

翻訳・整形・誤字チェック

• テキスト系の定型作業
• 機械的な処理が中心
• 入力情報の機微度を確認

アイデア出し

• 抽象的なテーマでブレストの相手として
• 第9章 Lesson 1 の AI 思考補助 5 領域に近い使い方

「業務効率化」と「情報の社外送信」のバランスを毎回意識

AI に入力した情報は社外サーバに送信されます。 効率化と情報送信のバランスを、毎回意識します。

10. ツール選びの基本(社内ルール内で)

ルールで指定されているツールがあれば、まずそれを使う

社内で指定された推奨ツールがあれば、まずそれを使います。 別のツールを使いたいなら、別途上申します。

選択肢がある場合の比較軸

• 法人契約有無
• データ管理ポリシー
• 業界実績
• 操作性
• コスト

主要 AI の特性は固定化しない

各ツールの強み・弱みは短期で変わるため、固定化しないで 半期に 1 度 最新動向を確認します(第8章 Lesson 5 連動)。

「最新の最強ツール」より「社内ルールに適合し、業務に組み込めるツール」が現実的

最新性能だけを追うより、社内ルールと業務フローに馴染むツールを選びます。 「最強」を追い続けると、頻繁な乗り換えで運用が不安定になります。

ツールを変える時も社内ルールの再確認から

既存ツールから別ツールに切り替える時も、社内ルールの再確認が必要です。 切り替えの度に、入力情報・学習機能・契約形態を見直します。

11. ルールが追いついていない時の担当者の振る舞い

AI の進化スピードに社内ルールが追いついていないことは多い

AI ツールは半年単位で進化するので、社内ルールが追いつかないのは現実です。 その時の担当者の振る舞いが、組織人としての姿勢を試されます。

担当者にできること

• 確認上申(【担当者の打ち手】)
• 業務での懸念事項の言語化
• 決定権者への情報提供(【担当者の能動的役割】)

担当者がやってはいけないこと

• 独自判断での導入
• グレーゾーンへの突入
• 後で報告

「ルールがないから自由」ではなく「ルールがないからまず確認」

これが組織人の姿勢です。 第9章 Lesson 1 の「無関心 ↔ 過信の両端の罠」と同じく、第9章 Lesson 2 でも「独断 ↔ 何もしない」の両端を避けます。

AI 利用ルールの話は、最初は窮屈に感じるかもしれません。でも「まず確認する」「迷ったら上げる」という二つの習慣さえ身につけば、担当者として安心して AI を業務に取り入れていけます。決めるのは情シス・経営層・法務、現場の声を届けるのが担当者 — この役割分担を意識できれば、もう組織人としての規律は十分に身についています。一歩ずつ、無理のない範囲から始めていきましょう。