---
name: ai-use-policy-draft
description: 社内の生成AI利用ルール（AI利用ポリシー・ガイドライン）の短い草案をつくる。使ってよいツール、AIに貼り付けてはいけないデータ、人がAIの出力を確認する場面、AIを使ったことを開示する場面、ポリシーの責任者と新しいツールの承認者を決め、法務の確認が要る点をすべて洗い出す。創業者・管理部門・マネージャーから、AIポリシー、ChatGPTの社内ルール、生成AIガイドライン、業務でのAI利用規程をつくりたいと頼まれたときに使う。
---

# 社内AI利用ポリシーの草案

> 法的助言ではない。弁護士の確認に向けた最初の草案であり、その確認の代わりにはならない。

守られるポリシーはA4で2枚に収まり、4つの問いに答えている。どのツールを使うか、何を入れてはいけないか、いつ人が出力を確認するか、だれに聞けばよいか。英国の国家サイバーセキュリティセンター（NCSC）は、公開されているAIツールに機密情報を入れないよう勧めている。提供元が入力内容を見られ、サービスの開発に使うことがあるためだ。だからポリシーの中心は、例のついた短く具体的なデータ区分の一覧と、どのツールが法人向けの契約かを示した承認ツールの一覧になる。

## 使う場面

- 社内やチームでChatGPT、Claude、Gemini、Copilotがルールなしに使われている。
- AIツールを全社に導入する前。
- 顧客や投資家から「AIポリシーはありますか」と聞かれた。
- AIガバナンスやリスク管理の体制全体づくり、顧客に提供するAI製品の規約には使わない。法務とセキュリティの専門家が要る。

## 用意するもの

- 使っている、または使う予定のAIツールと、それぞれが法人プランか個人アカウントか。
- 会社が扱うデータ：顧客データ、健康・金融に関するデータ、ソースコード、契約書、従業員のデータ。
- データの扱いを制限する法令や顧客との契約。推測で書かない。わからなければ「[要確認: 法務]」と書く。
- ポリシーの責任者（個人名）と、新しいツールを承認する人。

## 手順

1. **目的を2文で書く。** 活用を勧めること、データと顧客を守ること。対象は全従業員と業務委託者で、業務に使うなら端末を問わないと書く。
2. **承認ツールを一覧にする。** ツール名、プラン、承認する用途、会社アカウントの設定で入力データが学習に使われるかどうか [要確認: 各ツールの提供元の規約]。一覧にないものは、会社のデータには使えない。新しいツールの申請方法も書く。
3. **データ区分を例つきで決める。** このスキルの既定は3区分。入力禁止：パスワードや鍵、顧客・従業員の個人データ、健康・金融口座に関するデータ、公表前の財務情報、契約書と法務案件、顧客との契約で制限されているもの。承認ツールのみ可：社内文書、非公開の計画、ソースコード [要確認: 法務・セキュリティ]。どのツールでも可：公開情報と、機密を含まない自分の文章。区分ごとに、この会社の業務から例を2〜3個あげる。
4. **確認のルールを決める。** 社外に送る前、公開する前、人に関する判断（採用・評価・給与）に使う前、法務・財務・医療・セキュリティの案件に使う前には、人がAIの出力を確認する。責任は使った本人が負う。事実、数字、引用、出典は元の資料と照らし合わせる。
5. **開示のルールを決める。** 顧客や読み手にAIを使ったと伝える場面。このスキルの既定は、チャットボットと自動返信はそう明示する、AIが主につくった内容は顧客との契約・プラットフォームの規約・法令が求める場合に開示する [要確認: 事業を行う国・地域の法令（法務）]。誤解を招く形で、AIの出力を特定の個人の仕事として出さない。
6. **責任者と見直しの周期を決める。** ポリシーの責任者（個人）、ツールを承認する人、誤りやデータ漏えいの報告先と期限、見直しの日。このスキルの既定は6か月ごと。ツールも規約も変わるため。
7. **法務に確認する点を挙げる。** 法令・契約・提供元の規約に左右される点に、すべて「[要確認: 法務]」をつける。個人情報の保護、業界ごとの規制、顧客との契約条項、出力の知的財産権、従業員のモニタリング、開示の義務。

## 出力の形式

```markdown
# [会社名] AI利用ポリシー
*法務確認用の草案。法的助言ではない。第[n]版、[日付]。責任者：[氏名]*

## このポリシーの目的
[2文]

## 承認ツール
| ツール | プラン | 承認する用途 | 入力データの学習利用 |
|---|---|---|---|
| [ツール] | [法人 / エンタープライズ] | [用途] | [なし / 要確認: 提供元の規約] |
一覧にないツール：会社のデータには使えない。申請方法：[方法]

## 入力してよいもの
| 入力禁止 | 承認ツールのみ可 | どのツールでも可 |
|---|---|---|
| [例] | [例] | [例] |

## 使う前の確認
- [確認のルール]

## AIを使ったことの開示
- [開示のルール]

## 問題が起きたら
[担当者 / チャンネル]に[期限]以内に報告する：[報告する内容]

## 責任者
- ポリシー責任者：[氏名] · ツールの承認：[氏名] · 次回見直し：[日付]

## 法務に確認する点
- [ ] [確認する点] [要確認: 法務]
```

## 例

**入力：** 「株式会社みなとヘルスアナリティクス、従業員40人のポリシー。クリニック向けに、匿名化した患者データと一部の識別できる患者データを処理している。ChatGPTを使っている人がいる（個人アカウントもある）。Claude Teamを契約する予定。エンジニアはGitHub Copilot Businessを使っている。責任者は佐藤（COO）。」

**出力：**

```markdown
# 株式会社みなとヘルスアナリティクス AI利用ポリシー
*法務確認用の草案。法的助言ではない。第0.1版、11月4日（水）。責任者：佐藤*

## このポリシーの目的
全員がAIを使って仕事を速くすることを勧める。一方でクリニックの患者データを預かっているため、使ってよいツールとデータはこのルールで決める。

## 承認ツール
| ツール | プラン | 承認する用途 | 入力データの学習利用 |
|---|---|---|---|
| Claude | Team | 文章作成、社内文書の分析 | [要確認: 提供元の規約と管理者設定] |
| GitHub Copilot | Business | 会社のリポジトリのコード | [要確認: 提供元の規約] |
| ChatGPT | 個人アカウント | 法人プランが承認されるまで公開情報のみ | [要確認] |
一覧にないツール：会社のデータには使えない。申請方法：#it-requests に投稿し、佐藤が承認する。

## 入力してよいもの
| 入力禁止 | 承認ツールのみ可 | どのツールでも可 |
|---|---|---|
| 患者データ（匿名化したつもりのものも含む）、クリニックとの契約書、パスワードとAPIキー、従業員の人事記録 | 社内文書、ロードマップ、患者データを含まないコード | 公開されている研究、自分で書いた文案 |

## 使う前の確認
- クリニックに送る前、公開する前、従業員に関する判断に使う前には、人がAIの出力を確認する。
- 数字、出典、臨床に関する記述は、すべて元の資料と照らし合わせる。
- AIがつくったものは、臨床上の助言に使わない。

## AIを使ったことの開示
- クリニックへの自動返信には、自動返信であることを明記する。
- それ以外の開示は、クリニックとの契約に従う [要確認: 法務]。

## 問題が起きたら
佐藤または #security に1時間以内に報告する：入力した内容、使ったツール、日時。

## 責任者
- ポリシー責任者：佐藤 · ツールの承認：佐藤とセキュリティ責任者 · 次回見直し：5月

## 法務に確認する点
- [ ] 事業を行う各国・地域での健康データの扱い [要確認: 法務。日本では個人情報保護委員会の資料も確認]
- [ ] クリニックとの契約にある再委託とAIに関する条項 [要確認: 法務]
- [ ] 「匿名化した」データが法令上の基準を満たすか [要確認: 法務]
- [ ] 承認ツールごとの提供元のデータ利用条件 [要確認: 法務・セキュリティ]
```

## 送る前のチェック

- [ ] スキルの出力とポリシー草案の冒頭に、法的助言ではない旨が入っている。
- [ ] 「入力禁止」の区分すべてに、この会社の具体例がある。
- [ ] 承認ツールすべてにプランが書いてある。明示的に決めない限り、個人アカウントは会社のデータに使えない。
- [ ] 確認のルールが、社外への利用、人に関する判断、法務・財務・医療・セキュリティの案件を含んでいる。
- [ ] 法令・規制・提供元の規約について、事実として言い切っていない。すべて「[要確認: …]」がついている。
- [ ] 責任者が個人名で書かれ、見直しの日がある。

## よくある失敗

- AIを全面禁止にする。結局みんな個人アカウントで使い、会社からはデータが見えず管理もできなくなる。
- 例をつけずに「機密データを入力しない」とだけ書く。何が当てはまるのか、読んだ人にはわからない。
- 自社に当てはまる法令と契約を確かめずに、他社のポリシーを写す。