ChatGPTの業務利用ルールは、「何を禁止し、何を許可するか」の線引きを明確にすることで初めて機能します。前回の連載第1回では生成AI全般を対象に全社展開前に決めるべき10項目を整理しましたが、本記事では特にChatGPTを対象に、禁止事項と許可範囲の具体的な線引き基準と、それを組織に定着させる手順を示します。曖昧な「原則禁止」で現場を萎縮させず、かつリスクを統制できる実装可能なルール設計を目指します。
ChatGPT業務利用ルールで線引きすべき4つの軸
ChatGPTの利用ルールは、次の4軸で整理すると組織全体に適用しやすくなります。どの軸も「禁止」と「許可」の境界を明文化し、判断に迷う余地を残さないことが重要です。
- 入力可能な情報の範囲 — 個人情報・機密情報・公開情報の区別と取り扱い基準
- 利用シーンの区分 — アイデア出し・文章作成・分析支援など用途ごとの可否
- アカウント種別の選択 — 無料版・有料版・API・Azure OpenAI Serviceの使い分け
- 承認フローの有無 — 事前承認が必要なケースと自己判断で進められるケースの境界
この4軸を組み合わせることで、「この業務でChatGPTを使ってよいか」の判断を現場が自律的に行えるようになります。
禁止事項の線引き基準 — 入力してはならない情報の定義
ChatGPTの業務利用ルールで最も優先度が高いのは、入力禁止情報の定義です。以下の3分類で境界を明示します。
絶対禁止: 個人情報と機密情報
次の情報は、どのバージョン・プランのChatGPTであっても入力を禁止します。
- 個人を特定できる情報(氏名・メールアドレス・社員番号・顧客ID等)
- 法令で保護が義務付けられた情報(マイナンバー・要配慮個人情報等)
- 社内の機密区分で「機密」「極秘」に分類された情報(経営計画・未発表の製品仕様・契約条件等)
- 他社から秘密保持契約(NDA)のもとで受領した情報
この境界は例外を認めず、技術部門・法務部門・情報セキュリティ部門の合意のもとで文書化します。個人情報保護委員会が公表する生成AIと個人情報の取扱いに関する資料も参考にしながら、自社の個人情報管理規程と整合させることが必要です。
条件付き許可: 加工後の社内情報
次の情報は、匿名化・抽象化の処理を施した後であれば入力を許可できます。
- 統計データ(個人を特定できない集計値)
- 業務フロー図(固有名詞・部署名を削除したもの)
- 過去の議事録(発言者名・日時・プロジェクト名を削除し、論点のみを残したもの)
「加工の程度」は、元の情報を復元できないレベルを基準とします。例えば売上データであれば「2024年第3四半期の売上は前年比◯%増」という形ではなく、「成長率が鈍化した四半期の要因分析」のように抽象化します。
原則許可: 公開情報と一般知識
次の情報は、そのまま入力して問題ありません。
- 自社の公式サイト・プレスリリースで既に公開されている情報
- 業界の一般的な知識・用語の定義
- 公開されている法令・ガイドライン・統計資料の名称(ただし内容を引用する際は一次資料で正確性を確認済みのものに限る)
公開情報であっても、複数の断片を組み合わせることで機密性が生じる場合(モザイク問題)は注意が必要です。入力前に「この組み合わせで推測できる情報はないか」を確認するチェックリストを用意します。
許可範囲の設計 — 利用シーンごとの可否判断
入力情報の線引きに加えて、ChatGPTを「どの業務に使ってよいか」の判断基準を設けます。以下は代表的な利用シーンと推奨される可否判断の例です。
利用シーン | 可否 | 条件 |
|---|---|---|
アイデアのブレインストーミング | ○ | 公開情報・一般論のみ入力 |
文章の校正・要約 | △ | 機密情報を含まない文書に限る |
プログラムコードの生成 | △ | 社内システムの構成・認証情報を含まないこと |
顧客対応メールの下書き | × | 顧客情報を含むため原則禁止(テンプレート作成は可) |
契約書の要点整理 | × | 自社が当事者となる契約内容は機密情報のため禁止(公開されたひな形の分析は可) |
市場調査の仮説生成 | ○ | 公開データのみを前提とする |
この表は、業種・職種ごとにカスタマイズして配布します。重要なのは「△(条件付き許可)」の境界を曖昧にせず、満たすべき条件を箇条書きで示すことです。
アカウント種別による利用範囲の違い
ChatGPTは提供形態によってデータの取り扱いが異なるため、アカウント種別ごとに利用範囲を定める必要があります。
無料版ChatGPT
- 入力データが学習に利用される可能性があるため、業務利用は原則禁止
- 例外として、完全に公開された情報のみを扱う用途(例: 業界用語の確認)に限り許可
ChatGPT Plus / Team / Enterprise
- 有料プランでは入力データを学習に使用しない設定が可能(オプトアウト)
- Teamプラン以上では管理者による利用状況の可視化が可能
- Enterpriseプランでは、SSO(シングルサインオン)とログ管理機能を前提に、社内承認を経た用途での利用を許可
Azure OpenAI Service / API
- データが学習に使われず、データ所在地を指定可能
- 機密性の高い業務(例: 社内FAQ検索、議事録要約)での利用を許可
- ただしAPI経由でも、入力前の情報分類(前述の3分類)は遵守する
これらの区分は、IT部門が契約内容とデータ処理の条件を確認したうえで、社内ポータルに一覧表として掲載します。
承認フローの設計 — 自己判断と事前承認の境界
全ての利用に事前承認を求めると現場の生産性が下がり、逆に全てを自己判断に委ねるとリスクが統制できません。次の3段階で承認フローを設計します。
レベル1: 自己判断で利用可(事後報告不要)
次の条件を全て満たす場合、従業員は上長への相談なく利用できます。
- 入力する情報が「原則許可」区分に該当
- 利用シーンが「○」に分類されている
- 有料プラン(Plus以上)またはAzure OpenAI Serviceを使用
レベル2: 上長承認が必要(事前申請)
次のいずれかに該当する場合、利用前に上長または部門責任者の承認を得ます。
- 利用シーンが「△(条件付き許可)」に該当
- 加工後の社内情報を入力する
- 複数の公開情報を組み合わせて分析する
承認は、社内ワークフローシステム(例: kintone、Slack承認フロー)で記録を残します。申請時には入力予定の情報の概要と利用目的を記載させます。
レベル3: 情報セキュリティ部門・法務部門の審査が必要
次のケースでは、専門部門による事前審査を必須とします。
- 新規プロジェクトでChatGPTを組み込んだシステムを開発する
- 顧客向けサービスにChatGPTを組み込む
- 他社との共同プロジェクトでChatGPTを利用する
審査では、データフロー図・リスク評価シート・契約条件の確認を行います。承認後もプロジェクト期間中は定期的なレビューを実施します。
ルールの周知と定着 — 教育とモニタリングの実装
策定したルールは、次の手順で組織に定着させます。
ステップ1: 全従業員向けeラーニング(所要時間30分)
次の内容を含む動画またはスライド教材を作成し、全従業員に受講を義務付けます。
- ChatGPT利用ルールの目的(リスク統制と生産性向上の両立)
- 禁止事項の具体例(NG例を5件以上)
- 許可範囲と承認フローの判断フローチャート
- 違反事例が発生した場合の報告先と対応手順
受講後は理解度テストを実施し、合格者のみ業務利用を許可します。
ステップ2: 部門別ワークショップ(各2時間)
部門ごとに異なる利用シーンを想定し、実際の業務フローに即した演習を行います。例えば営業部門であれば「顧客提案書のアイデア出しにChatGPTを使う際の手順」を、技術部門であれば「コードレビュー支援での利用範囲」を扱います。
ステップ3: 利用状況のモニタリング(月次)
次の指標を月次でダッシュボード化し、経営層とガバナンス委員会に報告します。
- 部門別の利用件数(承認申請の件数を含む)
- 禁止事項への抵触が疑われるインシデントの件数と内容
- 従業員からの問い合わせ内容(ルールの不明点を特定)
モニタリング結果をもとに、四半期ごとにルールを見直します。現場から「判断に迷う」という声が多い項目は、基準を明確化する方向で改定します。
他社ガイドラインとの整合 — 国内外の動向を踏まえた設計
ChatGPTの業務利用ルールは、業界標準や政府ガイドラインと整合させることで、取引先や監査への説明責任を果たしやすくなります。例えば総務省・経済産業省が2026年3月31日に公表したAI事業者ガイドライン（第1.2版）では、AIシステムのリスク管理と透明性の確保が求められており、自社ルールにもこれらの視点を組み込みます。
またMicrosoft 365 Copilot導入ガイドなど、企業向けAIツールの公式ドキュメントには、データガバナンスとアクセス制御の設計例が示されています。これらを参考に、ChatGPTだけでなく今後導入する他のAIツールにも適用可能な共通ルール基盤を整えることが効率的です。
ルール違反時の対応手順
禁止事項への抵触が発覚した場合の対応手順を明文化し、全従業員に周知します。以下は標準的な手順です。
- 即座の利用停止 — 違反を発見した本人または上長が、該当するアカウント・プロジェクトでのChatGPT利用を停止
- 情報セキュリティ部門への報告 — 違反内容(入力した情報の種類・利用目的・アカウント種別)を24時間以内に報告
- 影響範囲の調査 — 入力した情報が外部に漏洩したか、学習データに含まれた可能性があるかを技術的に調査
- 再発防止策の策定 — 違反が起きた原因(ルールの認識不足・判断基準の曖昧さ等)を分析し、ルールまたは教育内容を改定
- 懲戒処分の検討 — 故意または重過失による違反の場合、就業規則に基づき処分を検討
重要なのは、軽微な違反であっても報告しやすい文化を作ることです。「報告すると処分される」という認識が広がると、インシデントが隠蔽され、より大きなリスクにつながります。初回違反は原則として教育指導に留め、再発防止を優先する姿勢を示します。
FAQ: ChatGPT業務利用ルールのよくある質問
ルール策定にどれくらいの期間が必要ですか?
情報セキュリティ部門・法務部門・IT部門・人事部門の4部門が関与する場合、初回の合意形成に1〜2か月、全社周知と教育に1か月、試行運用期間に1か月の計3〜4か月を見込みます。既存の情報セキュリティポリシーが整備されていれば、その枠組みを流用することで期間を短縮できます。
ルールを破った従業員への対応はどこまで厳しくすべきですか?
初回の違反が過失によるものであれば、教育指導と再受講を義務付ける程度に留めます。故意に機密情報を入力した、または違反を繰り返した場合は、就業規則に基づく懲戒処分を検討します。ただし処分の前提として、ルールが明文化され、全従業員に周知されていることが必要です。ルールが曖昧なまま処分を行うと、逆に訴訟リスクが生じます。
他部門が独自にChatGPTを契約している場合、どう統制しますか?
まず全社のアカウント棚卸を行い、契約部門・プラン・利用目的を一覧化します。その上で、情報セキュリティ部門主導で統一ルールを策定し、既存契約を全社ルールに適合させる移行期間(例: 3か月)を設けます。移行期間中は、既存契約での利用を条件付きで認めつつ、新規契約は全て全社ルールに従うことを義務付けます。
ChatGPT以外の生成AIツールにも同じルールを適用できますか?
基本的な考え方(入力情報の分類・承認フロー・教育)は共通ですが、ツールごとにデータ処理の条件が異なるため、個別に確認が必要です。例えばClaude、Gemini、Copilotなどは、それぞれ学習データへの利用可否・データ保存期間・契約上の責任範囲が異なります。全社ルールでは共通の原則を定め、ツールごとの差分は別表で管理する形が効率的です。