生成AIを会社で使う前に決めておきたいこと｜入力してよい情報・人が確認する仕事

会社でChatGPT・Claude・Geminiなどを使い始めると、

「顧客名を入れてもいい？」
「社内資料をそのまま読み込ませて大丈夫？」
「AIが作ったメールはそのまま送っていい？」
「どこまでAIに任せて、どこから人が確認する？」

という問題が出てきます。

結論からいうと、会社で生成AIを使うなら、最初から細かいAI規程を作るより、まず「何を入力してよいか」と「何を人が確認するか」の2つを決めておくことが重要です。

IPAの生成AI導入・運用ガイドラインでも、組織で利用する際には、利用制限、入力制限、入出力内容の扱いなどを定めた利用ガイドラインを策定することが重要とされています。入力ルールがなければ、利用者が自己判断し、個人情報や機密情報を入力してしまう可能性も指摘されています。

小さい会社なら、最初は次のようなルールだけでも構いません。

入力してよい情報を決める。
AIの回答をそのまま使ってよい仕事・人が確認する仕事を決める。
利用するAIサービスを会社で決める。

ここから始める方が現実的です。

最初に決めたいのは「AIへ入力してよい情報」

会社で一番避けたいのは、

社員が便利だからという理由で、

顧客情報
契約書
社内資料
見積情報
従業員情報

を何でも生成AIへ入力してしまう状態です。

個人情報保護委員会は、事業者が生成AIへ個人情報を含むプロンプトを入力する場合、その個人情報の利用目的を達成するために必要な範囲内かを確認する必要があると注意喚起しています。

また、本人の同意なく個人データを入力し、それが回答生成以外の目的で利用される場合には、個人情報保護法上の問題となる可能性があるため、サービス提供者が機械学習等に利用しないことなどを確認する必要があるとしています。

つまり、

「AIだから入力禁止」
でも、
「法人プランだから何でも入力してよい」

でもありません。

情報ごとに判断します。

まず4段階くらいに分ければ十分

小規模企業なら、最初は情報を細かく分類しすぎなくても構いません。

たとえば次の4段階です。

情報	例	初期ルール
公開情報	HP、公開資料、商品説明	入力可
社内一般情報	社内用文章、一般的な業務メモ	利用サービスを限定して入力
機密情報	未公開価格、契約内容、経営情報	原則慎重・必要性を確認
個人情報・重要情報	顧客名、住所、従業員情報等	原則そのまま入力しない

会社によって線引きは変わりますが、

社員が毎回迷わない

ことが重要です。

公開済み情報は比較的使いやすい

たとえば、

会社ホームページ
公開済み商品情報
公開求人情報
官公庁資料
公開されている業界資料

などです。

これらをAIへ入れて、

営業文案
要約
FAQ
説明文

を作るのは比較的始めやすいでしょう。

すでに一般公開されているため、会社独自の秘密をAIへ渡すリスクは小さくなります。

最初の生成AI活用を、

公開情報中心

から始めるのは安全な方法です。

顧客名は必要がなければ消す

たとえば、

「株式会社○○の田中様へ、昨日の商談のお礼メールを書いて」

と入れなくても、

「製造業の取引先担当者へ、昨日の商談のお礼メールを書いて」

で十分な場合があります。

AIに必要なのは、

相手の実名

ではなく、

相手との関係
商談内容
伝えたいこと
文体

だけかもしれません。

この場合、

個人名を入れない
会社名を一般化する

だけでリスクを下げられます。

生成AIへ入力する情報は、

AIが仕事をするために本当に必要な最小限

にするのが基本です。

契約書をAIに読ませるなら、そのまま入れる前に考える

契約書を要約してもらう使い方は便利です。

しかし契約書には、

取引先名
金額
秘密保持情報
担当者名
未公開条件

などが含まれる場合があります。

そのため、

「契約書をAIで要約できるか」

ではなく、

その契約書をそのAIサービスへ渡してよいか

を先に判断します。

必要なら、

会社名を伏せる
金額を削る
個人名を消す
該当部分だけ入力する

などの方法があります。

AI利用では、

ファイル丸ごと投入が一番簡単

ですが、

本当に全部必要か

を一度考えた方がよいでしょう。

顧客情報を使う業務は、法人向けサービスだから自動的にOKではない

ChatGPT Businessなど、企業向け生成AIサービスでは企業データをモデル学習に使わないなどのデータ保護策があります。

ただし、

サービス側が学習に使わない
ことと、
会社側が個人情報を入力してよい
ことは別の問題です。

個人情報保護委員会も、個人情報を入力する場合には利用目的の範囲内であるか確認することを求めています。

つまり会社としては、

サービスのデータ取扱い
＋
自社の個人情報取扱い

の両方を確認します。

最初は「入力禁止」ではなく「入力する必要がない情報」を減らす

厳しくしすぎると、

「何も入力してはいけない」

となり、AIが使われなくなります。

そこで、

匿名化・一般化して使えるか

を考えます。

たとえば、

「○○株式会社、売上3億円、社員27名」

ではなく、

「従業員30人程度の製造業」

にする。

「山田太郎さんからクレーム」

ではなく、

「顧客から納期に関するクレーム」

にする。

これだけでも多くの文章作成・相談業務はできます。

次に決めたいのが「AIの回答を誰が確認するか」

生成AIは、自然で説得力のある文章を作ります。

しかし、

自然な文章＝正しい文章

ではありません。

IPAも生成AIの利用上、誤った情報、偏った情報、古い情報、出典不明の情報などが含まれる可能性に注意する必要があるとしています。

そのため会社では、

AIが作ってよい仕事

と、

AIだけで完結させてはいけない仕事

を分けます。

AIだけでも比較的使いやすいのは「下書き」

たとえば、

社内メールの下書き
文章の言い換え
見出し案
アイデア出し
会議メモの整理

などです。

AIが少し間違っていても、人がすぐ修正できます。

このような仕事では、

AI＝下書き担当

と考えると安全です。

外部へ出す文章は基本的に人が確認する

たとえば、

顧客メール
見積説明
求人文章
ホームページ
SNS投稿
営業資料

などです。

AIで初稿を作ることはできます。

しかし、

会社名
価格
納期
制度
商品仕様

などを間違える可能性があります。

そのため、

AI作成
↓
担当者確認
↓
外部送信

という流れにします。

特に最初の導入段階では、

AIから外部へ直接送信

まで自動化しない方が管理しやすいでしょう。

お金が動く判断は人が確認する

たとえば、

見積金額
値引率
支払条件
発注量
経費判断

などです。

AIに、

「この金額でいい？」

と相談することはできます。

しかし、

AIだけで決定
↓
そのまま発注

は慎重にすべきです。

金銭的損失につながる業務は、

AI＝判断材料
人＝最終決定

と分けます。

契約・法務・税務は人による確認を残す

契約書の要約。

法律の一般的な説明。

税務資料の整理。

こうした補助には生成AIを使えます。

しかし、

「この契約なら法的に問題ない」

「この処理なら税務上正しい」

という最終判断を生成AIだけへ任せるのは避けた方がよいでしょう。

経済産業省のAI事業者ガイドラインでも、AIへの過度な依存、いわゆる自動化バイアスへの注意が求められています。社会的影響の大きい判断等では、人が最終判断することが有用とされています。

会社業務でも同じ考え方が使えます。

採用の合否もAIだけに決めさせない

生成AIに、

履歴書を要約
面接メモを整理
候補者ごとの質問案を作成

してもらうことはできます。

しかし、

「この人を採用する／しない」

をAIだけで決定するのは別です。

人に重大な影響を与える判断では、

AIの出力を補助情報として使い、

最終判断は人間が行う

方が安全です。

AIの確認レベルを3段階にすると運用しやすい

小規模企業なら、たとえば次の3段階です。

レベル1｜そのまま使える

アイデア
内部メモ
文章の言い換え

誤りがあっても重大な影響がない。

レベル2｜担当者確認

メール
資料
社内通知
議事録
FAQ

通常の業務担当者が確認する。

レベル3｜責任者・専門家確認

契約
法務
税務
金額
採用判断
重要な顧客対応

AIだけでは決めない。

これだけでも、

社員が、

「これはそのまま使っていい？」
「上司に確認する？」

と迷いにくくなります。

「人が確認する」だけでは不十分なこともある

確認担当者が、

AIの回答が正しいか判断できない

場合です。

たとえば専門知識のない社員が、

AIが作った法律説明を確認

しても、

誤りを見抜けない可能性があります。

そのため確認者は、

その仕事について判断できる人

である必要があります。

AI導入の目的は、

専門家を不要にすること

ではなく、

専門家がゼロから作る時間を減らすこと

です。

AIが作った数字や固有名詞は特に確認する

生成AIの文章では、

数字
日付
会社名
制度名
法律名
URL

などがもっともらしく出てくることがあります。

この部分は間違えると影響が大きいため、

元資料
公式サイト
社内データ

と照合します。

特に、

営業資料
顧客回答
経営判断資料

では、

数字と根拠はAI任せにしない

と決めておくとよいでしょう。

出典のある仕事は出典確認まで人が行う

AIに、

「○○制度を調べて」

と依頼すると、回答と一緒に出典を出す場合があります。

しかし、

リンクが存在するから正しい

とは限りません。

重要な外部情報では、

元ページを開く
↓
該当箇所を見る
↓
AIの説明と一致しているか確認

まで行います。

AIは、

調査の入口を速くするもの

として使い、

重要事実の最終確認は一次情報で行います。

社員が個人アカウントで勝手に使う「シャドーAI」も決めておく

2026年にIPAが公表した「セキュリティ担当者のための生成AIセキュリティ」でも、全社AIガバナンスの中でシャドーAIへの対応方針が扱われています。

会社で正式なAIを決めていないと、

社員A：個人ChatGPT
社員B：Gemini
社員C：無料AIサービス

のようになる可能性があります。

すると会社は、

どのサービスへ
どの情報が
入力されているか

分からなくなります。

そのため小さい会社でも、

業務で使ってよいAIサービスを決める

ことには意味があります。

無料AIを全部禁止する必要はないが、用途を分ける

たとえば、

無料AI
→ 公開情報・一般文章だけ

会社指定AI
→ 社内情報を扱う業務

という分け方もできます。

これなら、

「AI禁止」

にしなくても、

重要情報がどこへ入力されるかを管理しやすくなります。

会社ごとに情報管理方針は違うため、実際には契約中サービスのデータ取扱条件も確認してください。

最初に決めるルールは5つで十分

小さい会社なら、まず次の5つです。

業務で使ってよいAIサービス
入力してよい情報
入力してはいけない情報
AI出力を人が確認する業務
問題があったとき誰へ相談するか

IPAの生成AI導入・運用ガイドラインでも、利用制限、入力制限、入出力内容の扱い等を利用ガイドラインへ盛り込むことが重要とされています。

100ページの規程でなくても、

まずこの5項目を1〜2枚にまとめるだけで違います。

たとえば社員5人ならこのくらいでも始められる

社内ルール例としては、

会社指定の生成AIのみ業務利用可
公開情報・一般的な業務文章は入力可
顧客名・住所・電話番号などは原則入力しない
契約書・未公開資料は責任者確認後
AI作成メールは送信前に担当者が確認
金額・法律・税務・採用はAIだけで決定しない
不明な場合は入力しないで責任者へ確認

くらいです。

これだけでも、

「顧客名入れていいのかな」

を社員個人の感覚へ任せる状態から抜けられます。

ルールは一度作って終わりではない

AIサービスは変わります。

会社の使い方も、

最初：
メール

その後：
議事録

さらに：
社内資料検索

と広がるかもしれません。

経済産業省のAI事業者ガイドラインも、変化するAI環境に対応する「Living Document」として継続更新されています。2026年3月31日には第1.2版が公表されています。

会社側のルールも、

使い方が増えたら見直す

くらいでよいでしょう。

最初から完璧なAI規程を作らなくてもいい

社員5人の会社で、

AI委員会
AI監査部門
数十ページの社内規程

まで作る必要はないでしょう。

重要なのは、

社員が今日AIを使うときに判断できること

です。

「これは入力OK」
「これは入力しない」
「これは担当者確認」
「これは責任者確認」

が分かれば、かなりのリスクを減らせます。

判断表｜AIに入れていい？人が確認する？

業務・情報	初期判断
公開済みHP文章	AI利用しやすい
公開資料の要約	AI利用しやすい
社内メールの下書き	AI＋人確認
顧客メール	AI＋送信前確認
顧客実名・連絡先	原則そのまま入力しない
未公開価格	慎重
契約書	利用サービス・情報内容を確認
契約の最終判断	人・専門家
法務・税務判断	人・専門家
金額・発注判断	人が最終判断
採用合否	人が最終判断
アイデア出し	AI利用しやすい
社内一般メモ	情報内容を確認
公開前の経営情報	原則慎重

結論｜会社でAIを使うなら「入力ルール」と「人が確認する境界」を先に決める

会社で生成AIを安全に使うために、最初から複雑なAIガバナンスを作る必要はありません。

しかし、

社員各自の判断で何でもAIへ入力する

状態は避けた方がよいでしょう。

IPAの生成AI導入・運用ガイドラインでも、入力制限や利用制限を含む社内利用ルールを策定する重要性が示されています。

また個人情報保護委員会は、個人情報を生成AIへ入力する場合には利用目的の範囲内であることや、サービス提供者によるデータ利用方法などを確認する必要があると注意喚起しています。

そのため最初は、

公開情報
→ 入力しやすい

社内一般情報
→ 会社指定AIで利用

顧客情報・機密情報
→ 必要性を確認し、原則そのまま入れない

と分ける。

さらに出力側は、

アイデア・下書き
→ AIを積極利用

外部メール・資料
→ 担当者確認

契約・金額・法務・税務・採用等
→ 人が最終判断

と分けます。

経済産業省のAI事業者ガイドラインでも、AIへの過度な依存に注意し、重要な場面では人が最終判断する考え方が示されています。

つまり会社で最初に決めるのは、

どんなプロンプトを書くか

ではありません。

何をAIへ渡してよいか。
何をAIだけで決めてはいけないか。

この2つです。

社員数が少ない会社なら、まず1〜2枚程度の簡単なルールからでも十分です。

使い始めて、

議事録
営業メール
社内資料検索

など用途が増えたら、その都度ルールを追加する。

この方が、AIを全面禁止することも、無制限に使わせることも避けながら、実務へ導入しやすくなります。

次に読む記事

会社で使う生成AIサービスをまだ決めていない場合は、

「小さい会社で生成AIに課金するなら？ChatGPT・Claude・Geminiの選び方」

を確認してみてください。

会社向けプランなら顧客情報を入れてよいのか、さらに具体的に判断したい場合は、

「ChatGPT Businessなら顧客情報を入力しても大丈夫？会社利用で確認すること」

も判断材料になります。

ルールを決めた後、最初にどの業務からAIを使うか迷っている場合は、

「会社でAIを導入するなら何から始める？最初にAI化しやすい業務の見つけ方」

へ進むと、実際の試験導入へつなげられます。

出典

経済産業省｜AI事業者ガイドライン第1.2版

IPA｜テキスト生成AIの導入・運用ガイドライン

個人情報保護委員会｜生成AIサービスの利用に関する注意喚起等について

IPA｜セキュリティ担当者のための生成AIセキュリティ

この記事は、2026年8月時点の経済産業省・IPA・個人情報保護委員会の公開情報をもとに作成しています。