「社員がChatGPTを仕事で使い始めているけれど、このままで大丈夫だろうか」
社内にIT担当者がいない中小企業では、このような問題が起きやすくなっています。
ChatGPTなどの生成AIは、文章作成、アイデア出し、情報整理などさまざまな業務に活用できます。一方で、会社として何も決めないまま社員それぞれの判断で使い始めると、顧客情報や社内情報の入力、アカウント管理、生成された内容の確認などで問題が起きる可能性があります。
大切なのは、「AIを使わせない」ことではなく、「何に使ってよく、何をしてはいけないのか」を会社として決めることです。
特に専任のIT担当者がいない会社では、AI導入と同時に最低限の利用ルールを整えておくことをおすすめします。
社員が個人判断でChatGPTを使っていても大丈夫？
会社として何も決めず、すべてを社員個人の判断に任せることはおすすめできません。
問題になるのはChatGPTを使うこと自体ではなく、どの情報を入力してよいのか、誰がどのアカウントを使うのか、出力された内容をどう確認するのかが決まっていない状態です。
例えば、仕事を早く終わらせようとして社員が次のような情報を入力する可能性があります。
- 顧客や取引先に関する情報
- 社員に関する情報
- 契約書や社内文書の内容
- 売上や原価など社外に出していない情報
- ID、パスワードなどの認証情報
- 業務システムからコピーしたデータ
- 公開前の商品・サービスに関する情報
本人には情報を持ち出している意識がなくても、「この文章を要約して」「このメールへの返信を考えて」と全文を貼り付けることで、業務上取り扱いに注意すべき情報まで入力してしまうことがあります。
そのため、AIを業務利用するなら、まず入力してよい情報と入力してはいけない情報を決める必要があります。
最初から細かすぎるAI利用規程は必要？
必ずしも、最初から何十ページもの規程を作る必要はありません。
小規模な会社であれば、まずは社員が迷わない最低限のルールから始める方法があります。
例えば、会社として次の点を決めます。
1．AIに入力してはいけない情報
「機密情報を入力しない」だけでは、人によって機密情報の解釈が違ってしまいます。
顧客の氏名や連絡先、社内だけで使用する資料、パスワードなど、実際の業務を想定して具体例を示すことが重要です。
自社で扱う情報の種類によっても判断基準は変わります。
2．何の業務に利用してよいか
例えば、公開済み情報をもとにした文章案の作成や、個人情報を含まない文章の整理など、利用を認める業務の範囲を決めます。
反対に、契約・採用・重要な経営判断など、AIの回答だけで判断してはいけない業務についても考えておく必要があります。
3．AIの回答をそのまま使わない
生成AIは、もっともらしく見えても内容が正しいとは限りません。
商品仕様、法律、制度、料金、日付、取引先に伝える情報などは、必要に応じて公式情報や原文を確認する必要があります。
「ChatGPTがそう回答したから正しい」ではなく、最終的な確認は人が行うというルールが必要です。
4．誰がどのアカウントを利用するか
社員個人のアカウントを業務に使用するのか、会社として用意・管理するのかも検討事項です。
社員の入社や退職がある会社では特に、AIだけを単独で考えるのではなく、Microsoft 365やGoogle Workspace、メール、クラウドサービスなども含めて、会社が利用しているアカウントを把握しておくことが重要です。
「無料版だから危険、有料版なら安全」と考えてよい？
料金プランだけで安全性を判断するのは避けた方がよいでしょう。
生成AIを会社で利用するときは、契約するサービスやプランについて、提供元が公開している最新の利用規約、データの取り扱い、管理機能などを確認したうえで、自社が扱う情報や利用目的に合っているかを判断する必要があります。
また、サービス側に安全のための機能があったとしても、社員が何を入力してよいか分からなければ、それだけで社内のAI利用が安全になるわけではありません。
サービスの選定と社内ルールの両方が必要です。
IT担当者がいない会社は誰がAIを管理する？
専任IT担当者がいない場合でも、「誰も管理していない状態」にはしないことが重要です。
少なくとも、
- 利用を認めるAIサービス
- 利用しているアカウント
- 社内の問い合わせ先
- 入力禁止情報
- 利用してよい業務
- 問題が起きた場合の連絡先
- 退職者が出たときのアカウント処理
などについて、会社として管理する担当者を決めておくとよいでしょう。
ただし、その担当者がAIやITに詳しい必要があるとは限りません。
社内で判断できない部分を外部のIT担当者に相談する方法もあります。
ChatGPTだけルールを作れば十分？
今後を考えると、ChatGPTだけに限定しすぎない方が管理しやすい場合があります。
社員が利用する生成AIは一つとは限りません。新しいサービスが登場したり、現在使用している業務サービスへAI機能が追加されたりすることも考えられます。
そのため、「ChatGPTでは○○禁止」だけではなく、「会社の情報を外部の生成AIサービスへ入力するときのルール」として基本方針を決めておく方法があります。
そのうえで、利用を認めるサービスや具体的な操作について個別に決めると、サービスが変わったときにも見直しやすくなります。
AI導入をきっかけに会社のIT管理も確認する
生成AIの利用状況を調べてみると、AI以外のIT管理上の問題が見つかることがあります。
例えば、「会社で使っているクラウドサービスを一覧にしていない」「社員がそれぞれ個人アカウントを作っている」「退職した社員のアカウントが残っている」「パスワードの管理方法が決まっていない」といった状態です。
この場合、AIだけにルールを追加しても根本的な管理改善にはなりません。
PC、メール、クラウドサービス、Wi-Fi、ホームページなどを含め、誰が何を管理しているのかを整理することが必要です。
特に社員の入退社がある会社では、「入社時に用意するもの」「退職時に停止・回収するもの」を決めておくと、AIを含む各種アカウントの管理漏れを防ぎやすくなります。
自社だけで決めるのが難しい場合は？
まず、自社で現在どのようにAIが使われているのかを確認するところから始められます。
いきなり設定を変更したり利用を禁止したりする前に、
- 誰が利用しているか
- どのサービスを利用しているか
- どんな業務に使っているか
- どのような情報を入力しているか
- 会社として管理しているアカウントか
を整理します。
そのうえで、自社で判断できない部分があれば専門家へ相談します。
特に顧客情報や個人情報などを扱う場合や、複数の社員がすでに業務利用している場合は、社員一人の設定だけで考えず、会社全体のIT管理として確認した方がよいでしょう。
まとめ｜AIを導入するなら「使い方」と「管理する人」を決めておく
ChatGPTなどの生成AIは便利ですが、会社で使う場合は社員それぞれの判断だけに任せないことが重要です。
最低限でも、
- 何に利用してよいか
- 何を入力してはいけないか
- 回答を誰が確認するか
- どのサービス・アカウントを利用するか
- 誰が社内で管理するか
を決めておきましょう。
特にIT担当者がいない中小企業では、AIのルール作りをきっかけに、PC、メール、クラウドサービス、アカウント、パスワードなどの管理状況も一緒に確認すると、社内IT全体の属人化を見直す機会になります。
アポロン7では、社内に専任IT担当者がいない企業・店舗・事業所向けに、ホームページだけでなく、PC、メール、Wi-Fi、クラウドサービス、アカウント管理など会社のIT環境をまとめてご相談いただけます。
「ChatGPTを使い始めたいが、何を決めればよいか分からない」「すでに社員が使っていて、一度整理したい」といった段階でも構いません。
水戸市を中心に、ひたちなか市、那珂市、茨城町、笠間市、常総市など茨城県内で、スポットでのご相談から継続的なIT管理まで対応しています。
