meguli
業務効率化読了 約12分

生成AIガイドラインの作り方｜誤入力時の報告・初動を決める

生成AIガイドラインの作り方を、利用実態の把握から入力ルール、誤入力時の報告・初動、記録、再発防止まで時系列で解説します。中小企業が社内手順を作る際の確認項目も紹介します。

こんにちは、平岡です。生成AIガイドラインの作り方で大切なのは、入力禁止事項を並べるだけでなく、誤入力に気づいた後の報告先、確認項目、記録、再発防止までを一連の手順にすることです。

弊社では、策定を「利用実態の把握」「入力・用途・サービスのルール決め」「誤入力時の初動設計」「周知と見直し」の順で進めることを勧めています。発覚直後に誰が何をするかを先に決め、社員が迷わず報告できる状態を作ることが、ガイドライン運用の要です。

生成AIガイドライン策定前に利用実態と対象範囲を把握する

策定前の確認事項

最初に、社内のどの部署が、どの生成AIサービスを、何の業務に使っているかを書き出します。管理部門や情シスが把握している利用だけではなく、営業の提案書作成、総務の社内文書の下書き、開発部門のコード補助など、現場での利用も対象です。

サービス名や利用者に加えて、入力する情報の種類、生成物の利用先、アカウントの管理者、社外への共有の有無も記録します。個人アカウントでの利用がある場合は、業務用アカウントと区別し、まず実態を確認します。

管理部門・情シスだけで線引きすると、現場の使い方や情報の扱いを見落とすことがあります。法務には契約や個人情報、人事には従業員情報、営業には顧客情報や提案資料、現場部門には実際の入力例を聞きます。IPAの「テキスト生成AIの導入・運用ガイドライン」も、導入担当者と運用担当者が連携して利用ガイドラインを策定し、禁止事項や入出力内容の取扱いを盛り込むよう記載しています。

公的資料を参照するときは、策定時点の名称と版を確かめます。経済産業省・総務省の「AI事業者ガイドライン」は、2026年3月31日付の第1.2版が公開されています。

  • 部署・利用者・利用サービス
  • 業務の目的と生成物の使い道
  • 入力する情報の種類（顧客情報、個人情報、社内資料など）
  • アカウント管理者と共有範囲
  • 利用を認める業務、判断を保留する業務

入力可否・利用用途・利用サービスのルールを決める

利用ルールの基本

「機密情報は入力しない」だけでは、社員が入力してよい情報か判断できません。情報を種類ごとに分け、入力禁止、承認があれば利用可、入力可のようにルールを具体化します。たとえば、顧客名や未公開の見積金額を含む資料は入力禁止とし、公開済みの商品説明を要約する用途は許可する、といった線引きです。

個人情報保護委員会は、生成AIサービスに入力した個人情報が機械学習に利用され、別の出力として現れるリスクに注意を促しています。本人の同意なく個人データを入力する場合には、サービス提供者がその個人データを機械学習に利用しないことなどを確認するよう示しています。個人情報を含む業務では、入力の可否を現場だけで判断させず、情報管理や法務の相談先につなぐ設計が必要です。

サービス名もルールに明記します。OpenAIは、ChatGPT Business・EnterpriseおよびAPIでは、組織の入力・出力データをデフォルトでモデル学習に使用しないとしています。ただし、この情報だけで、あらゆる情報を入力してよいとは判断できません。社内で認めるサービス、アカウント、用途を分け、無料版や個人アカウントを業務利用の対象に含めるかも明文化します。

迷ったときの線引き

入力可否が判断できない情報は、入力を止めて指定窓口へ相談する運用にします。窓口名だけでなく、連絡手段と、窓口が不在のときの代替連絡先も決めておくと、現場で判断が止まりません。

ガイドラインに盛り込む項目とひな形の考え方

文書に含める項目

ガイドラインには、利用目的や対象者だけでなく、生成物の確認責任と、誤入力時の報告方法を入れます。既存の情報管理規程や個人情報保護規程と同じ内容を重複させるのではなく、参照先と生成AI固有の手順を分けると、改定時に差分を追いやすくなります。

  • 目的・適用範囲・対象者
  • 利用を認めるサービスと業務、利用禁止の用途
  • 入力できる情報・入力禁止情報・迷ったときの相談先
  • 生成物の事実確認、社外利用時の確認者
  • 管理責任者、問い合わせ窓口、誤入力時の報告先
  • 誤入力後の初動、記録項目、影響確認と再発防止
  • 見直し担当と、内容を確認するタイミング

ひな形や公的資料は、そのまま社内ルールにせず、自社の利用サービス、情報の分類、承認フローに合わせて調整します。たとえば、営業資料の作成を許可する場合でも、顧客名を伏せた情報だけを使うのか、生成物を誰が確認してから提出するのかまで定めます。参照する資料は、正式名称と策定時点の版を記録しておきます。

1. 目的・適用範囲
2. 利用できるサービス・業務
3. 入力情報の基準と禁止事項
4. 生成物の確認と社外利用
5. 誤入力時の報告・初動
6. 記録・影響確認・再発防止
7. 問い合わせ先・見直し

誤入力に気づいた直後の初動を決める

誤入力後の初動

機密情報や個人情報を入力したと分かったときは、追加の入力や、出力結果の共有・転送を止めます。そのうえで、決められた窓口へ速やかに報告します。本人がサービス上の操作を続けたり、痕跡を消そうとしたりする前に、誰へ連絡するかをガイドラインと簡易手順書の両方に載せておきます。

画面や履歴をむやみに削除・変更しないことも初動手順に含めます。状況を記録する前に履歴を消すと、入力内容や発生時刻などの確認が難しくなる場合があります。停止、削除、共有解除などの操作はサービスごとに異なるため、手順書には「担当者の指示を受けて行う操作」と「本人が直ちに行う操作」を分けて記載します。

ChatGPTでは、チャットを削除するとアカウント表示から直ちに消え、例外を除きシステムから30日以内に削除予定となります。一方、削除済みチャットは復元できません。会話中にアップロードしたファイルがライブラリに保存される場合があり、チャットを削除してもライブラリ内のファイルは別途削除が必要です。したがって、誤入力に気づいた社員が独断でチャットやファイルを削除する手順にはせず、まず窓口へ報告し、必要な記録と対応を確認してから操作する流れにします。

IPAの「中小企業のためのセキュリティインシデント対応の手引き」は、外部からアクセスできる状態や被害拡大のおそれがある場合の初動対応として、ネットワーク遮断、情報・機器の隔離、システム・サービス停止を挙げています。生成AIへの誤入力にこれらを一律に適用するのではなく、共有範囲や外部アクセスの状態を見て、情報管理担当者が必要な封じ込めを判断する設計にします。

削除は先にしない

誤入力に気づいた直後にチャットやファイルを消すと、復元できず、確認に必要な記録が残らないことがあります。まず追加操作と共有を止め、決めた窓口へ連絡する手順を優先します。

報告時に確認する情報と社内の連絡フロー

報告時の確認項目

報告フォームや聞き取り項目は、初動判断に必要な事実に絞ります。入力した内容そのものを広く転記するのではなく、まず情報の種類や件数、個人情報の有無を記録し、原文が必要な場合はアクセスを制限した方法で扱います。

  • 発生日時と、誤入力に気づいた日時
  • 利用したサービス、アカウント、端末
  • 入力した情報の種類と、対象者・件数の目安
  • チャットやファイルの共有設定、共有先
  • 発覚後に行った入力、削除、共有変更などの操作
  • すでに社内外へ出力・転送したかどうか

報告を受ける窓口から、情報管理担当、情シス、法務、個人情報保護の担当者へ連絡する順番を定めます。情報セキュリティ責任者が対応すべきインシデントと判断した場合、IPAの手引きは速やかに経営者へ報告するとしています。担当者不在時の代替連絡先も決め、報告が特定の一人の在席状況に左右されないようにします。

個人データの漏えい等が報告対象となる場合、個人情報保護委員会は、速報を発覚から概ね3～5日以内、確報を原則30日以内、不正目的のおそれがある場合は60日以内としています。これは、あらゆる生成AIへの誤入力に一律で当てはまる期限ではありません。報告対象に該当するか、どの時点を発覚と扱うかは、個人情報保護の担当者が事実関係を踏まえて判断できるフローにします。

個人情報保護委員会の漏えい等報告で扱う項目には、概要、対象データの項目、本人の数、原因、二次被害のおそれ、本人対応、公表状況、再発防止策などがあります。社内の初回報告では全項目を埋めることを求めず、後から追加確認する項目と分けておくと、報告の遅れを抑えられます。

対応の記録を残し影響確認と再発防止につなげる

事後対応の記録

対応記録は、後から経緯と判断の根拠をたどれる形にします。記録担当者を決め、発生から収束までを時系列で残します。入力内容を必要以上に複製せず、誰が記録を閲覧できるかも定めます。

  • 確認した事実と確認日時
  • 情報の種類、共有範囲、対象者・件数の見込み
  • 報告を受けた担当者と関係部署への連絡時刻
  • 実施した停止・共有解除・削除などの操作と実施者
  • 影響の判断、本人対応や公表の要否を検討した経過
  • 決定した再発防止策と担当者

影響確認では、入力情報の種類だけでなく、利用したサービスやアカウント、共有設定、出力後の転送先、発覚後の操作を関係部署で照合します。記録から、入力基準が曖昧だったのか、サービスの利用範囲が周知されていなかったのか、共有設定に問題があったのかを振り返り、ルール、教育、サービス設定のどれを改めるか決めます。

個人情報保護委員会の報告項目にも原因や再発防止策が含まれます。社内記録を報告書作成の基礎資料として使う場合は、記録の責任者と保管場所を定め、同じ事実を複数の部署が別々に管理しないようにします。

周知・教育・見直しでガイドラインを運用する

運用と見直し

ガイドラインを公開して終わりにせず、社員が誤入力時の報告先と最初の行動をすぐ確認できるようにします。本文とは別に、社内ポータルの短い手順や、報告窓口・代替連絡先をまとめた一覧を用意すると、緊急時に探す情報を絞れます。

IPAは、インシデント発生時の初動対応を事前に定義し、従業員に周知した事例を公開しています。さらに、対応体制と手順を整備したうえで、インシデント発生を想定した演習を行う教材も公開しています。自社でも「顧客情報を誤入力した」「担当者が不在だった」といった場面を使い、報告先へ連絡できるか、必要情報を聞き取れるかを机上で確かめます。

見直し担当は、ガイドラインの責任者とサービス管理者を明確にします。利用サービスや業務の変更時に内容を見直すほか、誤入力や演習で手順の不足が分かったときも改定候補にします。具体的な確認時期は社内で設定し、改定日と変更点を社員へ知らせます。

1. 追加の入力・出力共有を止める
2. 指定窓口へ速やかに連絡する
3. サービス名、アカウント、入力情報の種類、共有状況を伝える
4. 履歴やファイルを独断で削除・変更しない
5. 担当者の指示に沿って影響確認と対応を進める

まとめ

生成AIガイドラインの作り方では、入力禁止事項だけでなく、誤入力後の報告先、初動、確認項目、記録、影響確認、再発防止までを時系列で定めます。個人情報を含む可能性がある場合は、報告対象や期限の判断を社内の担当者につなぐ流れも欠かせません。

次の一歩は、部署ごとに利用サービスと入力情報を洗い出し、誤入力時の報告窓口と代替連絡先を決めることです。その情報をもとに初動手順を作り、短い演習で社員が実際に連絡できるか確かめてから、ガイドラインへ反映します。

参考・出典

#生成AI#ガイドライン#情報セキュリティ#インシデント対応
この記事をシェア
𝕏 でポストB! はてブ
m
株式会社meguli

AI×DXで、社会の巡りをよくする。中小企業の現場で使えるAI活用・業務改善の実践情報を発信しています。

ご相談・お問い合わせはこちら →

あわせて読みたい

AIエージェント開発の費用は何で変わる？業務範囲から予算を組み立てる

AI RAGの作り方｜検証から始める小規模導入の設計手順

AI導入の進め方｜業務選びから検証・展開までの実践ガイド

記事一覧へ戻る