生成AIを安全に使うには｜「なんとなく禁止」が現場を止めている

人事の担当者とお話ししていると、生成AIについて二つの声が同時に聞こえてきます。「社員が個人のチャットAIに社内の情報を入れていないか不安だ」という声と、「禁止したら取り残されそうで、それも怖い」という声です。

どちらも、根っこは同じだと私たちは考えています。使ってよい範囲が決まっていないことです。そして、範囲を決めるのは情報システム部門だけの仕事ではありません。ルールをつくり、権限を割り振り、社員に伝えて定着させる。これは就業規則や職務権限を扱ってきた人事・労務の得意分野でもあります。

この記事では、OhEN Funwork Studiosが人事・組織づくりの立場から、生成AIを安全に使える職場の土台について整理します。

ルールがない職場で起きていること

はっきり禁じてもいないし、正式に認めてもいない。いまの多くの会社は、そんな「なんとなく禁止」の状態にあります。

この状態では、社員の行動が二つに割れます。「たぶん駄目だろう」と考えて手を出さない人と、自分の判断で個人アカウントを使ってしまう人です。後者のような、会社の目が届かないAI利用は「シャドーAI」と呼ばれます。何を入力したのか記録がないので、問題が起きても会社は気づけません。

人事として見逃せないのは、もう一つの影響です。自制した人は手間のかかるやり方で働き続け、気にしない人だけが楽をする。ルールの不在は、規律を守る人ほど不利になる職場をつくってしまいます。「まじめにやっても報われない」という空気は、評価制度をいくら整えても簡単には消えません。その間にも、AIを使いこなす他社との生産性の差は広がっていきます。

不安を「三つの穴」に分けて考える

「AIに入れると情報が漏れる」という不安は、ひとまとめにすると対策が立てにくくなります。分けてみると、穴は大きく三つです。

• 学習への利用: 無料版や個人向けのプランでは、入力した内容がAIの改善に使われることがあります。法人向けの契約や設定で、使わせないようにできます
• アカウントと履歴の管理: 辞めた社員のアカウントが生きたまま、会話の共有リンクが外から見える、といった運用の抜け
• うっかりミス: 人が機密と公開情報を区別せずに入力する、AIが触れてはいけないファイルを開いてしまう

このうち二つ目は、ほぼ人事・労務の領域です。入社時にアカウントを発行し、異動で権限を見直し、退職時に必ず止める。社用PCや入館証と同じ扱いで、入退社の手続きにAIのアカウントを組み込んでおくのが確実です。

「相談相手」型と「部下」型で、ルールの重さを変える

ChatGPTやClaudeをブラウザで使うチャット型のAIなら、法人契約にする、学習に使わせない設定にする、アカウントを会社でまとめて管理する。この三つでおおむね守れます。

注意が要るのは、Claude Codeのように社員のPCの中でファイルを開いて作業までこなすAIエージェントです。仕事を引き取ってくれる部下のような存在なので、その分、「どこまで触らせるか」「何をさせてよいか」を決めておかないと、影響の大きさがチャット型とは比べものになりません。新しく入った人に、初日から全部屋の鍵を渡さないのと同じ発想が必要です。

就業規則・権限表・監査ログに置き換えて考える

私たちは、AIエージェントのための安全の仕組みを「セキュリティガードレール」と呼び、三つの層で組み立てています。人事の方には、社内のおなじみの道具に置き換えると伝わりやすいと思います。

1. ルールファイル＝AI向けの就業規則

AIが作業に取りかかる前に、毎回かならず読み込む決まりごとをファイルで用意します。機密は読まない、パスワードなどの認証情報は表に出さない、消す操作の前には人に確認する、といった内容です。人の就業規則と違うのは、読み飛ばしがないことです。

2. 権限設定＝職務権限表

開いてよいフォルダと、実行してよい操作を、あらかじめ許可したものだけに絞ります。規則で「守ってね」とお願いするのではなく、最初から扉に鍵をかけておく考え方です。機密のフォルダには入れない、外へ送れる先も限られる。うっかりでも、わざとでも、越えられません。

3. 監視と自動ブロック＝監査ログと安全装置

AIの操作を一つずつ機械が確かめ、危ないものは実行前に止め、すべての履歴を残します。あとから「誰が・いつ・何をしたか」をたどれることは、内部統制の面でも安心材料になります。

三つに共通するのは、個人の注意深さを当てにしないことです。工場の安全対策が「気をつけよう」の掛け声ではなく、手が入らない構造で事故を防ぐのと同じ考え方です。

人事が担いたい三つの仕事

ガードレールは土台にすぎません。その上で、組織に根づかせるのは人の仕事です。

• 利用ポリシーを言葉にする: 入れてよい情報・駄目な情報、使ってよいツール、迷ったときの相談先を、社員が読んで分かる文章にします。就業規則や情報管理規程とつなげておくと、運用がぶれません
• 研修で「安心して使える理由」を伝える: 怖くて使えない社員には、禁止事項の説明だけでは足りません。なぜ安心して使えるのかを、仕組みとあわせて説明する場が必要です
• 小さく始めて、評価で後押しする: 先に試す部署を決めてから広げる。使いこなして業務を改善した人がきちんと評価される形にしておくと、「勝手に使った人が得をする」状態から抜け出せます

順番も大切です。柵がないまま全社に広げると、事故への不安から結局また「なんとなく禁止」に戻ってしまいます。

自社の現在地を確かめる6つの問い

• 生成AIの使い方について、文書になったルールがあるか
• 会社が把握しているアカウントで使われているか
• 入力した内容が学習に回らない契約・設定になっているか
• AIエージェントに触らせる範囲と操作を絞る設定があるか
• AIの操作履歴が残り、あとから確かめられるか
• 怖がって使わない社員に、安全な理由を説明できているか

「いいえ」が3つ以上なら、まずは土台づくりからが近道です。

おわりに

生成AIの安全は、禁止するか解禁するかの二択ではありません。仕組みで守る範囲を決め、ルールを言葉にし、社員に伝え、使った人が報われるようにする。後半の多くは、人事と組織づくりの仕事です。

OhEN Funwork Studiosは、採用支援と人事・組織づくりを仕事にしている会社です。「AIの利用ルールを就業規則や評価とどうつなげればいいか」といった段階からご相談をお受けしています。お気軽にお声がけください。

AIの活用を社内でどう進めるかは、AI活用支援でもご紹介しています。ご相談はお問い合わせフォームから、お気軽にどうぞ。

あわせて読みたい

• AIで職務が入れ替わるとき、人事は何をすべきか｜肩書きはそのまま「失業」した代表の実体験から
• ChatGPTとClaude Codeは何が違う？｜「相談相手」を雇うのか、「部下」を迎えるのか
• AIを「自分好みの部下」に育てる｜メモリ活用は、オンボーディング設計そのもの

この記事の要点

• 利用ルールのない「なんとなく禁止」は、シャドーAIを生むうえに、まじめな社員ほど不利になる不公平まで招く
• 情報漏えいの不安は「学習への利用・アカウント管理・うっかりミス」に分けられ、アカウント管理は入退社の手続きに組み込める
• AIエージェントの安全は、就業規則（ルールファイル）・職務権限表（権限設定）・監査ログ（監視と自動ブロック）の3層で、個人の注意に頼らずに守る
• その土台の上で、人事が利用ポリシーの文書化・研修・評価での後押しを担う