【コピペでOK】ChatGPT社内利用ガイドラインのテンプレート、そのまま使える版

以前、ChatGPTの情報漏洩対策についての記事で「社内ガイドラインを作りましょう」と書いておきながら、正直「言うだけなら簡単だよな…」とずっと思ってました。

うちも情シス部門なんてないですし、法務に相談しようにも「そもそも何を相談すればいいのか」からわからない。結局、自分で調べてたたき台を作るしかなかったんですよね。

というわけで今回は、その時に作った内容を整理して、テンプレートとして公開します。文言を変えるだけで、そのまま使える形にしてあります。

なぜ「ルールなし」がいちばん危ないのか
ガイドラインに入れるべき項目(全体像)
そのままコピペできるテンプレート
運用してみて感じた、現場目線の注意点
まとめ

なぜ「ルールなし」がいちばん危ないのか

「うちはまだ小さい会社だから、そこまで厳密なルールは要らないでしょ」

これ、私も最初はそう思ってました。でも実際は逆で、ルールがない状態がいちばん怖いです。理由はシンプルで、禁止されていないと、社員は「たぶん大丈夫だろう」で使ってしまうからです。

悪気があるわけじゃなく、単に「どこまでがOKか」を誰も知らないだけ。そして、それが原因で情報が漏れたときに困るのは、現場の一社員ではなく管理職の自分だったりします。だったら先に線引きしておいたほうが、自分のためでもあるなと思い直しました。

ガイドラインに入れるべき項目(全体像)

いろいろな企業の事例やテンプレートを見比べた結果、最低限これだけは押さえておきたい、という項目が見えてきました。

目的と適用範囲
用語の定義(生成AI、出力物、入力禁止情報など)
利用してよいツールの明示
推奨される使い方(業務範囲)
入力してはいけない情報の具体例
出力物の取り扱いルール
違反時・インシデント発生時の対応フロー
運用体制(見直しの頻度・担当)

多いように見えますが、1つずつは大したボリュームではありません。次の章から、実際にコピペして使える文面にしていきます。

そのままコピペできるテンプレート

自社名や部署名の部分だけ差し替えれば使える形にしてあります。[ ]部分を書き換えてください。

第1条(目的)
本ガイドラインは、[会社名]における生成AI(ChatGPT等)の業務利用に関する基本方針および遵守事項を定め、情報漏洩等のリスクを防止しつつ、業務効率化を図ることを目的とする。

第2条(適用範囲)
本ガイドラインは、[会社名]の全従業員(正社員・契約社員・派遣社員・業務委託先を含む)を対象とし、生成AIを業務で利用する全ての場面に適用する。

第3条(利用してよいツール)
業務での利用が認められる生成AIサービスは、以下の通りとする。
・[例:ChatGPT Business/Enterprise、Microsoft Copilot等、会社が契約したもの]
上記以外の無料版・個人契約サービスを業務利用する場合は、事前に[承認者・部署]の許可を得るものとする。

第4条(推奨される利用範囲)
以下の業務での利用を推奨する。
・文書やメールの下書き作成
・議事録の要約・整理
・資料構成のたたき台作成
・調査・リサーチの補助
・プログラムコードの作成支援

第5条(入力禁止情報)
以下に該当する情報は、いかなる場合も生成AIへ入力してはならない。
・顧客の個人情報(氏名、連絡先、契約内容など)
・取引先との契約内容、未公表の取引情報
・未公表の経営情報、決算情報
・従業員の人事情報、評価情報
・ソースコードのうち自社の競争優位に関わる部分
・ID、パスワード等の認証情報
・その他、社外に出た場合に会社または第三者に不利益を与える情報

第6条(出力物の取り扱い)
生成AIが出力した内容は、以下のルールに従って取り扱うものとする。
・事実関係を必ず自分で確認すること(ファクトチェック)
・第三者の著作権を侵害していないか確認すること
・社外に公開・提出する前に、上長または担当者の確認を受けること

第7条(違反時の対応)
本ガイドラインに違反した利用が判明した場合、または情報漏洩等のインシデントが発生した場合は、速やかに[報告先]へ報告するものとする。報告を怠った場合、故意・過失の程度に応じて社内規定に基づく対応を行うことがある。

第8条(見直し)
本ガイドラインは、[運用担当部署]が年1回、または重大な法改正・インシデント発生時に見直しを行うものとする。