生成AIを法的に安心して使うために｜企業のAI活用支援

生成AIを安心して業務に使うために、何を整えればよいのでしょうか

社員が生成AIを使い始めたものの、会社として利用状況を把握できていない。利用規程は作ったが、実際の業務で守られているか分からない。顧客情報を入力してよいか、AIで作った成果物を社外に出してよいか、担当者ごとに判断が分かれている。

こうした状態で規程のひな形だけを追加しても、現場の迷いは解消しません。生成AIの利用には、サービスの契約条件、入力する情報、取引先との契約、社内規程、成果物の確認、事故時の連絡など、複数の課題が関係します。会社ごとに利用方法や既存の管理体制が異なるため、まず現在地を確認し、対応の順番を決める必要があります。

弁護士法人ブライトは、生成AIを法的なリスクに配慮して業務に使うために、利用状況・契約・社内ルールを確認し、自社で必要な対応を整理するお手伝いをします。現状を点検する「法務ドック」を入口に、課題と優先順位を明らかにします。診断結果をご説明したうえで、ご希望に応じて規程や運用書式などの整備を個別に支援し、整備後の運用を再点検します。

生成AIの業務利用について相談する

このような企業に向いています

• 会社が認めたもの以外の生成AIを社員が使っていないか把握できていない
• 個人アカウントや私物端末での業務利用が気になっている
• 顧客情報、従業員情報、取引先資料を入力できる条件が決まっていない
• 生成AI利用規程を作ったが、就業規則や情報管理規程との関係を確認していない
• AIで作成した文章、画像、提案書などの社外利用に統一した確認手順がない
• 新しいAIサービスや外部連携機能を導入する際の申請・承認方法がない
• 誤入力や誤送信が起きたとき、誰が何を確認するか決まっていない
• 全部を一度に直すのではなく、優先順位をつけて整えたい

安心して使うために確認したい、6つのポイント

1. 利用サービス・アカウント・権限

利用中または導入予定の生成AIについて、サービス名だけでなく、契約プラン、会社・個人のアカウント、利用できる機能、外部連携、参照する社内データ、利用者の範囲を確認します。異動・退職時の権限変更や、新機能を有効にするときの再確認方法も点検します。

2. 入力情報・個人情報・秘密情報

顧客情報、従業員情報、取引先から預かった資料、未公表の営業・技術情報などについて、「どの業務で、どの情報を、どの環境へ入力するか」を整理します。情報を削る方法や入力を保留する条件、担当者の確認が必要な範囲を点検します。

3. AIサービスと取引先との契約

AIサービスの利用規約、保存・学習等の取扱い、外部連携などの条件を確認します。あわせて、取引先との秘密保持契約や業務委託契約にある第三者開示、外部保管、再委託、成果物の権利・保証などの条件と、実際の利用方法が合っているかを整理します。

4. 成果物の確認と社外利用

AIが作った文章、画像、提案書、分析結果などについて、事実、出典、第三者の権利、秘密情報、契約条件を誰が確認するかを点検します。作成の許可と、顧客への送付・公開・納品の承認を分け、確認記録を残せる流れになっているかを確認します。

5. 社内規程・申請・周知

生成AI利用規程だけでなく、就業規則、情報管理規程、個人情報に関する規程、セキュリティ手順との関係を点検します。新規利用や例外利用の申請、承認条件の記録、社員への周知、ルール違反が疑われる場合の事実確認など、規程を日常業務で動かす仕組みを確認します。

6. 誤入力・誤送信等の初動と見直し

誤入力、誤送信、無断利用、権限設定の不備などが分かったときの報告先、利用停止の判断者、記録の保全、調査項目を確認します。サービス条件、法令、業務内容の変更や事故を受けて、誰がいつルールを見直すかも点検します。

自社で何をすればよいか、対応の優先順位をお伝えします

診断の対象範囲に応じて、次の内容をまとめます。

• 現在の利用状況と管理体制の整理
• 6つの診断テーマごとの確認結果
• 未整備・不明・運用とのずれがある事項の一覧
• 対応の優先順位と、その理由
• まず行う事項と、その後に検討する事項の整理
• 規程や契約、運用書式の整備が必要な箇所
• 個別の整備支援をご希望の場合の対象範囲

診断は、形式的な点数だけで安全性を判定するものではありません。同じ未整備事項でも、扱う情報、利用部門、社外への影響によって優先度は異なります。確認できた事実と未確認事項を分け、会社が次に判断できる形で結果をご説明します。

診断後の個別整備支援

診断結果を受け、必要な項目について個別の整備支援をご依頼いただけます。整備する内容は会社の利用状況と既存文書に応じて決めます。

成果物の例は次のとおりです。

• 生成AI利用規程案または既存規程の改定案
• 利用可能な業務・情報・サービスと承認条件を示す情報取扱表
• 新規利用・例外利用の申請書
• 社外利用前の成果物確認票
• 誤入力・誤送信等の事故報告票
• 承認者、情報管理担当者、業務責任者の役割整理
• 利用開始、変更、異動・退職、事故発生時の運用手順
• 施行、社内周知、定期的な見直しに向けた実施事項一覧

すでに規程やひな形をお持ちの場合は、直ちに一から作り直すのではなく、実際の利用状況や既存規程とのずれを確認し、必要な改定範囲を整理します。

個別整備支援は、診断に当然に含まれるものではありません。診断結果とご希望を踏まえて作業範囲を定め、別途お見積りします。

ご準備いただく資料

すべての資料がそろっていなくても、まず現状を伺うことはできます。不明なものは不明として整理します。診断範囲に応じて、次の資料をご準備いただきます。

• 利用中・導入予定の生成AIサービス、契約プラン、機能、アカウントの一覧
• 生成AIを利用している部門、業務、入力情報、成果物の利用先が分かる資料
• 生成AI利用規程、情報管理規程、個人情報取扱規程、就業規則などの社内文書
• 新規サービスの申請、承認、成果物確認、事故報告に使っている書式
• AI利用に関係する取引先との秘密保持契約や業務委託契約
• 利用サービスの規約・設定について社内で確認した記録
• これまでに生じた疑問、無断利用、誤入力等の事実を整理した資料

実際の顧客情報や秘密情報は、必要性と共有方法を確認せず通常の問い合わせフォームへ入力しないでください。最初のご相談では、情報の種類と困っている場面をお知らせください。

ご相談から再点検までの流れ

1. 事前確認と診断範囲の決定

現在の利用状況、課題、保有資料を伺い、対象とする部門、業務、AIサービス、確認文書を決めます。全社を対象にするか、顧客対応や採用、広報など優先度の高い業務から始めるかも、この段階で整理します。

2. 資料確認とヒアリング

ご提供資料と実際の運用を照らし、規程に書かれていることと、現場で行われていることの両方を確認します。確認できない事項は推測で補わず、未確認事項として整理します。

3. 診断結果と優先順位のご説明

6つのテーマごとに確認結果をまとめます。早く対応すべき事項、運用を決めれば進められる事項、追加資料や個別判断が必要な事項を区別し、対応の順番をご説明します。

4. 必要な項目の個別整備（ご希望の場合）

規程、情報取扱表、申請書、成果物確認票、事故報告票、運用手順など、合意した範囲を整備します。診断のみで終了することもできます。

5. 整備後の再点検（個別に合意した範囲）

作成・改定した文書と実際の運用を照らし、担当者、承認条件、記録方法、見直しの契機がつながっているかを再確認します。再点検の対象と実施方法は、整備支援の見積時に定めます。

費用

費用は個別見積です。

診断費用は、対象とする部門・業務・AIサービスの数、確認する社内規程や契約の範囲、ヒアリングの対象などをもとにお見積りします。

診断後の個別整備支援は、作成・改定する規程や書式、契約確認、運用設計、再点検の範囲を定め、診断とは区別してお見積りします。最初から診断と整備の双方をご希望の場合も、それぞれの対象範囲が分かる形でご案内します。

よくあるご質問

生成AI利用規程がすでにあります。それでも診断できますか。

はい。規程の有無だけでなく、実際の利用サービス、入力情報、申請・承認、成果物の確認、事故報告などが規程と合っているかを確認します。既存規程の改定が必要な場合は、診断結果として対象箇所を整理します。

まだ会社として生成AIの利用を認めていません。対象になりますか。

導入前でも、想定する業務と情報、利用環境、承認方法を整理できます。社員がすでに個人アカウント等で使っている可能性がある場合は、把握できている事実と不明点を分けて確認します。

小規模な会社でも利用できますか。

会社の規模だけで必要性は決まりません。利用する業務、扱う情報、取引先との約束、社外へ出す成果物などを踏まえて診断範囲を決めます。担当者が兼務する場合も、承認を省略せずに運用できる役割分担を検討します。

規程のひな形を作ってもらうサービスですか。

規程案の作成は個別整備支援の一つです。法務ドックでは、その前に現在の利用状況と既存文書を点検し、何を優先して整えるかを明らかにします。規程だけでなく、情報取扱表や申請・確認・事故報告の書式が必要になる場合もあります。

診断だけ依頼することはできますか。

診断のみで終了する進め方も可能です。個別整備支援をご希望の場合は、診断結果を踏まえて対象範囲を定め、別途お見積りします。

顧客情報を生成AIに入力してしまった場合の対応も含まれますか。

法務ドックでは、事故時の報告先、確認項目、記録方法など、平時に整える初動手順を診断します。すでに発生した個別事案への対応は、入力した情報、利用サービス、契約、関係者などの具体的事情を確認したうえで、別途ご相談内容を検討します。

社内への周知や教育も依頼できますか。

法務ドックでは、規程の施行や周知に必要な事項、利用開始前に伝える内容、追加確認が必要になる場面を整理します。具体的な提供内容は、ご相談時に確認する支援範囲によります。

生成AIを安心して活用するために、自社のルールを整えませんか

生成AIの管理は、全面禁止か自由利用かを選ぶだけではありません。業務、情報、利用環境、契約、確認者を組み合わせ、許可する範囲と個別確認が必要な範囲を決めることが重要です。

現在の利用状況を点検し、対応の優先順位を明らかにするところから始めます。規程がまだない場合も、すでに規程がある場合も、自社の運用に合わせて整えるための入口としてご相談ください。

生成AIの業務利用について相談する

監修：代表弁護士 和氣良浩