AIの利用規約：含めるべき10項目

貴社の従業員の多くは既にAIツールを使用しているでしょう。誰も読まないポリシーは誰をも守りません。人々が理解し、従う方法を知っているポリシーこそが、誰をも守るのです。

これが緊急の理由です。2026年5月3日現在、米国の企業の19.8%がAIを使用していると報告しており、その割合は規模とともに上昇しています。従業員250人以上の企業では37%、100人から249人の企業では32%です。米国国勢調査局：従業員20人以上の大企業がAIの最大ユーザー（アーカイブ版）。企業規模が大きいほど、AIが既に利用されている可能性が高くなります。

この記事では、含めるべき10のセクション、あらゆるツールリクエストに対応する5つの質問からなるテスト、5つのデータ例、そして30分間のセッションプランを提供します。これは、そのまま採用できるポリシーテキストではなく、構造と平易な英語の例文を示しています。これは一般的な情報であり、法的助言ではありません。

AIの利用規約が必要な理由

ツールの利用はルールよりも速く進展する。人々は10分を節約するために、悪意もなく、そのテキストがどこに送られるかも知らずに、顧客のメールをチャットボットに貼り付ける。ポリシーは、そのような事態が発生する前に、何が許容範囲で何が許容範囲外なのか、誰に問い合わせるべきなのかといった期待値を明確にする。

これは管理者にとっても役立ちます。AIがないと、「これにAIを使ってもいいか？」という質問はすべて個別の判断となり、管理者によって回答が異なる可能性があります。

ポリシーは法的要件ですか? 一般的にはそうではありません。EU AI法はAIリテラシーなどの義務を定めており、欧州委員会はAIリテラシー義務が2025年2月2日から適用されていると述べていますが、同法の概要では許容使用ポリシーを要件として挙げていません (欧州委員会：AI法規制枠組みそのページはEUの規則のみを扱っています。事業を展開する地域で適用される規則を確認してください。

含めるべき10のセクション

以下に5つの項目からなる2つのセットを示します。セットAは範囲と承認済みツールに関するもので、セットBはデータと行動に関するものです。各セクションには平易な英語で書かれた例文が示されています。これらはあくまでも参考例であり、会社の方針ではありません。

セットA：適用範囲と承認済みツール

目的。 その政策が存在する理由を1、2文で説明してください。 例：「お客様、同僚、または会社にリスクを負わせることなく、AIツールを活用して業務効率を向上させていただきたいと考えています。」
対象となる人々。 従業員、契約社員、インターン、および会社のためにAIを使用するすべての人。 例：「これは、あらゆるデバイスで当社の業務を行うすべての人に適用されます。」
承認済みツールと禁止ツール。 簡潔なリストを、誰でも見つけられる場所に保管しておく。 例：「承認リストに記載されているツールのみを使用してください。それ以外のツールを使用する場合は、事前に承認を得る必要があります。」
新しいツールをリクエストする方法。 応答時間を指定した名前付きルート。 例：「IT部門に申請書を送ってください。5営業日以内に回答いたします。」
説明責任 保険契約の所有者は誰で、質問への回答者は誰ですか。例：「送信した内容については、それがあなた自身によって作成されたものであろうと、ツールによって作成されたものであろうと、すべてあなたの責任となります。」

セットAで私たちが選んだのは、説明責任です。 覚えておくべき重要な点は、ツールが作成したものをあなたが送信した場合、それはあなたの所有物になるということです。

セットB：データと行動

ツールに決して組み込まれないデータとはどのようなものか。 カテゴリー名を挙げてください。 例：「顧客情報、パスワード、契約書、その他機密情報と明記されているものは、承認されていないツールには絶対に入力しないでください。」
個人データおよび顧客データ。 何が許可されているのか、どの承認済みツールで許可されているのか、そして何が許可されていないのかを明記してください。 例：「一般的なチャットボットに名前、メールアドレス、口座番号などを貼り付けないでください。」
AIの出力結果をチェックし、ラベル付けする。 人々は共有する前に確認する。例：「AIの出力結果を使用する前に、事実、数値、名前を信頼できる情報源と照合してください。クライアントやマネージャーから質問された場合は、AIが役立ったことを説明してください。」
知的財産権と著作権。 入ってくるものと出ていくものを覆い隠す。 例：「他社の機密情報にアクセスしないでください。AIが作成した画像やテキストを自分の作品として公開する前に、必ず許可を得てください。」
問題の報告方法 簡単で安全なものにしましょう。例：「ツールがデータ漏洩を起こしたり、有害な情報を提供したりした場合は、このポリシーの所有者に直ちに報告してください。早期の報告は歓迎します。」

セットBのおすすめは、データルールです。 間違ったツールに貼り付けるとデータ漏洩につながる可能性があるため、ここでは明確で具体的なルールが最も重要となる。

承認されたツール：5問のテスト

リストは常に、人々が見つけるツールに追いつかないものです。スタッフが何か新しいことを試す前に、必ず5つのイエス・ノーで答えられる質問をするように指示しましょう。

承認リストに載っていますか？ そうでない場合は、使用する前に確認してください。
自分のデータがどこに送られるか、把握していますか？ このツールは誰が実行していて、入力した内容はどこに保存されるのですか？
入力した内容が保存されるかどうか分かりますか？ 入力内容を保存するのか、それともツールの学習に利用するのかを確認してください。
出力物の所有者が誰なのか、私は知っていますか？ ツールが生成するデータをどのように使用できるかについては、利用規約を確認してください。
誰に聞けばいいか分かっているだろうか？ ポリシーのセクション4に記載されているリクエストルートを使用してください。

どれかに「いいえ」または「わかりません」と答えた場合は、推測するのではなく、立ち止まって質問してください。参考までに、NIST は AI リスク思考のための自主的なフレームワークを公開しており、それに付随する生成型 AI プロファイル (NIST：AIリスク管理フレームワークこれは遵守すべき標準規格ではなく、NISTは改訂中であると述べていますが、ツールを承認する人々にとってリスクに関する質問の有用な情報源となります。

私たちのおすすめは、質問2「あなたのデータはどこに送られるのか」です。 これは簡単に飛ばせる問題で、その答えを見れば他の4つの問題が重要かどうかが分かる。

データルールの実践例：5つの事例

ルールは、実際の業務に適用されるまでは抽象的なものに過ぎません。ここで紹介する5つの例は、会社の規定ではなく、ご自身のツールやルールに合わせて適用するためのものです。

メールを作成中。 承認されたツールを使用する場合は、個人情報を記載せず、送信前に結果を確認すれば、概ね問題ありません。
会議の要約。 使用するツールによります。会議の録画や貼り付けは、その用途が承認されているツールのみで行い、参加者にもその旨を伝えてください。
顧客レコードを貼り付けています。 顧客データに関する承認を受けたツールでない限り、使用しないでください。文言のみを修正する必要がある場合は、名前と数字をプレースホルダーに置き換えてください。
契約書をアップロードしています。 機密情報として扱ってください。組織が承認したツールのみを使用するか、使用しないでください。
画像を生成します。 社内での下書きとしては問題ありません。公開する前に、著作権に関するポリシーを確認し、不明な点があれば問い合わせてください。

私たちが選んだのは、例3、顧客記録です。 これはよくあるミスで、プレースホルダーを用意するのに10秒しかかかりません。

スタッフへの研修：30分プラン

方針は、人々がそれについて十分に話し合って初めて行動を変えるものです。各チームごとに30分間のセッションを1回実施し、ツールやルールが変更された際には再度実施してください。国勢調査の数字を思い出してください。大企業の約3分の1がAIを使用しているとすれば、あなたの会社の従業員の中にもAIを使用している人がいる可能性が高いでしょう。

準備する： 1ページの政策概要、上記のスライド上のデータ例、およびアンケート。

0分から5分：その理由。 「職場ではどのようなAIツールを使っていますか？」という質問から始めましょう。回答を共有し、なぜそのポリシーが存在するのかを説明してください。
5分から12分まで：10のセクション。 2つの条項を、それぞれ例文を1行ずつ挙げながら、分かりやすい言葉で説明してください。ポリシーを声に出して読む必要はありません。
12分から22分：シナリオ。 5つのデータ例を1つずつ提示します。「これはAIツールに組み込めるだろうか？」と問いかけ、答えを発表する前に1分間の投票時間を設けます。
22分から27分：質疑応答。 匿名での質問を受け付けています。人々は、「これは先月すでにやったのですが、問題になりますか？」など、普段は口に出さないようなことを質問してくるでしょう。
27分から30分：終了。 全員に、ポリシーを読んだこと、そして誰に質問すればよいかを知っていることを確認してもらいましょう。

国勢調査の数字で締めくくりましょう。AIの利用は企業規模とともに増加するため、後で漏洩を解消するよりも、今短時間のセッションを行う方が安上がりです。より詳細な分析が必要な場合は、次の記事をご覧ください。 AIリテラシートレーニングスキルとそれが定着したかどうかの尺度を網羅し、データ分類レベルどのデータをどのツールに含めるべきかを判断するのに役立ちます。

私たちのおすすめ：シナリオブロック。 実際の事例に基づいて投票する方が、規則を聞くよりも記憶に残りやすい。

AI政策セッションを開催する方法 AhaSlides

このセッションは、参加者が聞くよりも答える方が効果的です。この記事の例を参考に作成した、以下のスライドタイプをご活用ください。

答えを選んでください: 各データ例に対して、「これはAIツールに組み込めますか？」という質問が表示され、「はい、承認されたツールであれば使用可能です」、「名前を削除した場合のみ使用可能です」、「いいえ」などの選択肢が表示されます。
ワードクラウド： 「どのようなAIツールを使っていますか？」と聞かれると、リストに載っていないものも含め、実際に使われているツールが明らかになります。
評価尺度: 「各セクションはどの程度明確か？」最後にこのテストを実施し、最も評価の低いセクションから書き直してください。
自由回答形式： 「どのようなAIタスクでお手伝いが必要ですか？」あなたのポリシーが見落としていた点が分かります。
Q＆A： 匿名なので、人々は部屋の中では聞けないような質問をすることができます。質疑応答セッションを実施する役立ちます。

職場におけるAIの適切な利用に関するコーステンプレートには、すぐに活用できるスライドが用意されているため、上記の5つのデータ例を投票形式で実行できます。

よくある質問

AIの利用規約には何を含めるべきでしょうか？

適用範囲、承認済みツール、データルール、出力チェック、知的財産、および問題報告方法。上記の10項目は、これらの項目をそれぞれ網羅しており、各項目について例文が示されています。

AIに関する方針は法律で義務付けられているのか？

一般的にはそうではありません。EUのAI法ではAIリテラシーなどの義務が定められていますが、欧州委員会の概要では、許容利用ポリシーを要件として明記していません。規則は国や分野によって異なるため、組織に適用される規則を確認してください。

AIツールに決して入力してはいけないデータとは？

顧客情報、個人情報、契約データなど、ポリシーで機密情報として指定されているものは、ツールがそのようなデータへのアクセスを承認されていない限り、アクセスできません。不明な場合は、アクセス禁止事項として扱い、問い合わせてください。

NIST AI RMFは必須ですか？

いいえ。NISTは、このフレームワークは任意での利用を想定していると述べています。これはAIリスクについて考えるための参考資料であり、NISTは現在改訂作業を進めているとのことです。

トレーニングセッションはどのくらいの時間で行うべきですか？

特に決まった時間はありません。30分間のセッションは実践的な入門編として最適で、その後は使用するツールやルールが変わるたびに短い復習を行うのが良いでしょう。

どこから始めれば

最も重要なデータルールを最初に作成してください。次に、AIを最も頻繁に使用するチーム向けに30分間のセッションを予約し、ポリシーに何が欠けているかを尋ねてください。AIを適切に判断して使用するためのより広い視野については、以下を参照してください。 AI人材育成と人間の判断プライバシー面では、 AIに関するドキュメント作成とプライバシーに関するトレーニング下のボタンをクリックすると、職場におけるAIの適切な利用に関するテンプレートが開きます。

このテンプレートを使用する

AIの利用規約：含めるべき内容（および研修計画）