AI 利用ポリシー策定の実務

この記事の目的

「使ってよいか分からないから使わない/こっそり使う」状態を解消する AI 利用ポリシーを、策定から浸透まで運用できるようになります。ポリシーの構成要素・策定プロセス・浸透の設計・例外申請と改定・シャドー AI への向き合い方を、社内ルール作りの実務として持ち帰れる状態を目指します。

対象読者

• 社内の AI 利用ルールを作り・浸透させる立場の情報システム部門・ガバナンス担当・部門責任者
• 「禁止一覧を配ったが守られない/こっそり使われる」を解消したい人

前提知識

• コンプライアンスとガバナンス — 規制側の要求(本記事は社内ルール作りの実務)
• AI と著作権・知的財産の入口マップ — 成果物の扱いの確認入口

本文

概要: ポリシーの目的は「安全に使えるようにする」こと

AI 利用ポリシーというと「禁止事項の一覧」を思い浮かべがちですが、それでは目的を外します。ポリシーの本当の目的は、利用者が安全に・迷わず使えるようにすることです。「使ってよいか分からない」状態は、有用な活用を止めるか、逆に無許可の利用(シャドー AI)を生みます。

本記事は、社内ルールを作って浸透させる実務を扱います。規制側の要求(何を守る義務があるか)は コンプライアンスとガバナンス が正本で、両者は分担します——規制要求 = コンプライアンス側、それを踏まえた社内ルール作り = 本記事、という関係です。

ポリシーの構成要素

利用ポリシーには、押さえるべき構成要素があります。禁止だけでなく、使い方の指針を含めます。

• 用途の分類(可・条件付き・不可): どんな用途は自由に使ってよいか、どんな用途は条件付きか、何が不可かを分類します。「全部ダメ」でも「全部自由」でもなく、リスクに応じた区分にします
• データの入力基準: どんなデータを AI に入力してよいか(機密区分ごと)を定めます。機微な情報をどこまで入れてよいかは、利用者が最も迷う点です
• 承認済みツール一覧: 使ってよいツール・サービスを明示します。正規経路が業務要件を満たすかを確認し、未承認ツールへ流れる理由を減らします。
• 成果物の扱い: 生成物の権利・利用範囲・確認義務を定めます(権利の確認先は AI と著作権・知的財産の入口マップ)
• インシデント時の報告: 問題が起きたときの報告経路を定めます。報告を責めない文化とセットにします

策定プロセス(巻き込み)

ポリシーは、一部の部門が密室で作ると、現場に合わず守られません。関係部門と現場を巻き込んで作ります。

• 関係部門を巻き込む: 情報システム・法務・セキュリティ・事業部門など、関係する部門を策定に巻き込みます。後から反対されて形骸化するのを防ぎます
• 現場の実態を反映する: 現場が実際にどう使いたいか・何に困っているかを聞き、実態に合うポリシーにします。理想論だけのポリシーは守られません
• 既存ルールと整合させる: 情報セキュリティ規程・就業規則など既存のルールと矛盾しないよう整合させます

浸透の設計(禁止一覧で終わらせない)

ポリシーは作って配って終わりではありません。浸透まで設計します。「禁止一覧」を配るだけでは、読まれず守られません。

• 研修・ガイドで伝える: ポリシーの意図と使い方を、研修やガイドで伝えます。何がダメかだけでなく、何をどう使えばよいかを示します
• チェックリスト・具体例: 抽象的なルールより、具体的なチェックリスト・良い例/悪い例のほうが使えます
• 相談窓口を置く: 「これは使ってよいか」を気軽に聞ける窓口を置きます。判断に迷ったとき相談できると、こっそり使う必要がなくなります
• 禁止で終わらせない: 「禁止一覧」で終わると、利用者は萎縮するか無視します。安全な使い方への導きとセットにします

例外申請と改定サイクル

ポリシーは、想定外のケースと変化に対応できる運用が要ります。

• 例外申請の経路: ポリシーで想定していない用途への例外申請を、迅速に処理できる経路を用意します。例外が申請できないと、無許可の利用に流れます
• 改定サイクル: AI の進化・新しいツール・新たなリスクに合わせ、ポリシーを定期的に見直します。古いポリシーは実態と乖離し、守られなくなります
• 一度作って放置しない: ポリシーは生き物です。フィードバック・インシデント・技術変化を反映し続けます

シャドー AI への現実的な向き合い

無許可の AI 利用(シャドー AI)の有無・理由を、自社の調査で把握します。禁止の周知に加え、正規経路の使いやすさと実効的な制御を確認します。

• 禁止では止まらない: 「使うな」だけでは、便利さゆえにこっそり使われます。「安全に使える正規の経路がない」ことは原因候補の 1 つであり、認知不足や機能不足なども調べます
• 正規の経路を用意する: 承認済みツール・明確な使い方を用意し、正規の経路のほうが使いやすい状態にします。正規経路を用意しても無許可利用がなくなるとは限らないため、周知・相談・検知を組み合わせます。
• 責めずに実態を把握する: シャドー AI を頭ごなしに責めると、地下に潜って把握できなくなります。実態を把握し、正規化する姿勢で臨みます

実務での注意点

アンチパターン

チェックリスト

関連トピック

• コンプライアンスとガバナンス — 規制側の要求(本記事は社内ルール作りの実務)
• AI と著作権・知的財産の入口マップ — 成果物の権利の確認入口
• 業界別規制の入口マップ — 業界固有の規制の確認先
• AI のためのデータガバナンス — データ入力基準の技術的な裏付け
• プロンプト・エージェント資産の組織共有 — 承認済み資産の流通(ポリシーと接続)
• スキルシフトと変化管理 — ポリシー浸透を支える変化管理

参考資料

• NIST AI RMF 1.0 — Core  — GOVERN 1・2・4 の方針、研修、役割、インシデント共有。利用ポリシーの構成案として応用しています(アクセス日: 2026-09-10)

TODO・未確認事項