機械部品を扱う、社員20人ほどの卸売会社。社長からこう言われたとします。

「うちはまだ、AIのルールが何もないんです。まあ、社員もまだ誰も使っていないと思いますけど」

私なら、ルールのひな形を出す前に、社内でいまAIがどう使われているかを聞きます。

営業・総務・広報が、もうAIを使っていた

社員には、どの仕事で、どのAIを使っているかを聞きます。契約しているのは会社か、個人か。何を入力し、どのファイルにアクセスさせ、回答を何に使い、操作をどこまで任せているかも確かめます。第1回の4つの問いに沿った聞き取りです。

社長と何人かの社員に聞くと、次の使い方が分かりました。

社長が思っていた以上に、社員はAIを使っていました。

顧客情報の扱いや公開前の確認は、すでに決まっていた

情報の扱いについても聞いておきます。

「AIのルールはなくても、情報の扱いについて、すでに決めていることはありませんか」

この会社では、こんな答えが返ってきました。

二つ星の宣言やルールの有無に加えて、社員が実際にどう仕事をしているかも確かめます。この会社では、AIを使わない仕事では顧客情報のルールが守られ、AIで作ったSNSの投稿文も上長が読んでいました。

一方、顧客のメールをAIに貼り付けることや、フォルダをAIにつなぐことは、社内ルールに照らして確かめられていませんでした。

社内ルールを、メール・フォルダ・SNSに当てはめる

顧客のメールをAIに貼り付けること、共有フォルダをAIに読ませること、AIで作った文章をSNSで公開すること。それぞれについて、社内ルールで判断できるかを確かめます。第4回の見取り図でいえば、順に「入力」「処理」「出力」の場面です。

表1　適用できるルールと、新たに決めること
使い方聞いて分かったこと適用できるルール／新たに決めること
① 問い合わせメールの返信（入力）個人契約のAIに、担当者名や値引き条件の入ったメールを貼り付けている適用できるルール：顧客の情報は、会社で契約したサービスで扱う。個人契約のAIに貼り付けるのは、このルールから外れている
新たに決めること：問い合わせ対応に使う、会社契約のAIはどれか。そのAIに入力してよい情報はどこまでか
② 共有フォルダの書類探し（処理）見積書や契約書の入ったフォルダをつないでいる。AIが読める範囲や、今の閲覧制限がAI経由の利用にも適用されるかは、つないだ本人も確かめていない適用できるルール：AIをフォルダにつなぐことについてのルールはない
新たに決めること：AIにつないでよいフォルダはどれか。その範囲を誰が判断するか
③ SNSの投稿文（出力）公開済みの商品情報をもとに投稿文を作り、公開前に上長が読んでいる適用できるルール：公開前に上長が読む。AIが作った文章も、この手順で確認している
新たに決めること：特にない

まだ聞いていない項目は、ルールがないと決めつけず、確認が必要な項目として残します。

AIにも使える、IPA自社診断の確認項目

IPAの自社診断には、データの共有範囲を必要な人に限っているかという項目があります。AIに読ませるフォルダの範囲を決めるときにも、この項目が参考になります。

外部サービスの安全性や信頼性を確かめて選んでいるかという項目は、問い合わせ対応に使うAIを選ぶときに通じます。

公開すべきでない情報を公開していないかという項目は、SNSの投稿文を公開前に上長が読む手順に関わります。

※ 自社診断のNo.4・No.23・No.19。IPA「5分でできる！情報セキュリティ自社診断」（2026年6月 Version 6.0）は、中小企業の情報セキュリティ対策ガイドラインのページから入手できます。https://www.ipa.go.jp/security/guide/sme/about.html

社内ルールの有無に応じた進め方

この会社では、SNSの投稿文には今の確認手順がそのまま使えました。一方、顧客のメールを貼り付けるAIや、AIにつないでよいフォルダは、新たに決める必要がありました。支援先によって、今のルールがどこまで使えるかは異なります。

支援先の状態進め方
今あるルールが、AIの使い方にもそのまま当てはまるAIを使う場面を例に挙げて、そのルールがAIにも当てはまることを社員に伝える
ルールはあるが、AIを使うときにどう守るかが決まっていないこの記事のように、使い方ごとに社内ルールと照らし合わせ、新たに決めることを書き出す
情報の扱いについてのルールがない今の使い方を聞き、問題の起こりやすさと影響の大きさで、最初にルールを作る使い方を選ぶ

顧客メールと共有フォルダを先に確認する

顧客のメールには値引き条件が書かれていて、共有フォルダには見積書や契約書が入っています。これらが見せてはいけない相手に見えると、顧客との取引に響きます。

対応の順番は、問題の起こりやすさと、起きたときの影響の大きさで考えます。情報セキュリティで対策の優先順位を決めるときの、基本的な考え方です。

起こりやすさは、AIを使う頻度と、入力やアクセスを制限する対策があるかで考えます。

影響の大きさは、誰が困るか、間違った内容がどんな判断に使われるか、あとから訂正や取り消しができるかで考えます。第3回で書いた、AIの回答を何に使うかで確認の重さを変える、という話と同じ考え方です。

この会社では、顧客のメールがそのAIでどう扱われるかも、AIが読めるフォルダの範囲も分かっていません。起こりやすさを判断するためにも、この二つを先に確かめます。SNSの投稿文は公開済みの情報を使い、上長も読んでいるので、今の手順を続けます。

表2　この会社で次にすること
使い方判断の理由次にすること
① 問い合わせメールの返信顧客情報を会社契約のサービスで扱うルールが、守られていない。メールには、ほかの顧客に知られると困る値引き条件も入っている個人契約のAIに顧客のメールを貼り付けるのを止める。そのうえで、AIサービスでのデータの扱いを確かめ、問い合わせ対応に使うAIと、入力してよい情報の範囲を会社で決める
② 共有フォルダの書類探し見積書や契約書のあるフォルダをつないでいて、業務に必要な範囲を超えてAIが読める可能性がある。今の閲覧制限がAI経由の利用にも適用されるかは分かっていないAIが読める範囲を確かめ、つないでよいフォルダと、その範囲を判断する担当者を決める
③ SNSの投稿文材料は公開済みの情報で、公開前に上長が読む手順がある今の手順を続ける

①と②のどちらを先にするかは、ここでは決めません。②のフォルダに入っている情報の種類や範囲によっては、②を急いだほうがよいこともあります。

私なら、社長にこう言います。

「顧客からのメールをどのAIに貼り付けてよいか。どのフォルダをAIにつないでよいか。まず、この二つから決めませんか」

本稿は2026年10月時点の考え方に基づいています。生成AIの機能や設定は日々変わるため、実際に運用するときは各社の公式情報をご確認ください。