スタッフ5人の美容室。
ある日、店長がスタッフのスマホをのぞくと、お客様のカルテの内容をそのまま生成AIに貼り付けて、次回来店のご案内メッセージを作らせていました。悪気はまったくありません。
ただ、お店として「使っていいのか」「何を入れてはいけないのか」を、誰も決めていなかったのです。
AIの性能は急速に上がっています。2026年9月には、OpenAIが新しいモデルのサイバーセキュリティ分野の能力を、自社のリスク評価の枠組みで「重大（Critical）」に該当すると判定したと報じられました。
同じ月には、AnthropicのCEOが、外部の評価者の受け入れや企業間での安全基準の共有など、AI開発のペースに歯止めをかける仕組みを提言しています。
作る側の企業がリスクを重く見ている今、使う側の中小企業にも「ルールを決めて使う」姿勢が求められています。
結論からお伝えすると、小さな会社のルールはA4一枚、5つの項目から始めれば十分です。
中小企業の生成AI利用、実態はどうなっている？
不安はあるのに、ルールがない
ヤマネックス株式会社が2026年8月に公開した調査では、次のような結果が出ています。
| 調査結果 | 割合 |
|---|---|
| 機密情報をAIに入力することに強い不安がある | 87.7% |
| 社内の利用ルールが「ない」「形骸化している」 | 74.6% |
（ヤマネックス株式会社調べ。全国の中小企業の勤務者などを対象にしたインターネット調査、114名。調査結果の詳細はこちら）
9割近くが不安を感じているのに、4人に3人の職場ではルールが機能していない——このギャップが、冒頭の美容室のような場面を生んでいます。
同社が中国地方5県の中小企業を対象に行った別の調査では、AIやDXを推進できる人材・体制が社内にも社外にもないと答えた人が43.3%にのぼりました。
専任の担当者を置けない小さな会社ほど、ルールづくりは後回しになりがちです。
だからこそ、担当者がいなくても作れる最小限のルールから始めることが大切です。
ルールがある会社は、リスクが約半分
同じ調査では、機密情報を入力してしまうリスクがある人の割合が、ルールがない・形骸化している層では55.3%だったのに対し、明確なルールがある層では26.9%でした。
サンプル数の小さい一つの調査ではありますが、ルールを決めるだけでリスクが大きく下がる傾向が読み取れます。
「禁止」がうまくいかない理由
禁止すると、隠れて使われる
情報漏えいが怖いからと「生成AIは使用禁止」とする会社もあります。
しかし、社員は私物のスマホで簡単にAIを使えます。
禁止しても便利さは変わらないため、会社が把握できないところで使われるようになりがちです。
こうした状態は「シャドーAI」と呼ばれます。
会社が知らない使われ方なので、何が入力されたのかを後から確かめることもできません。
禁止したつもりで、かえってリスクが見えなくなってしまうのです。
大切なのは「安全な使い方」を示すこと
社員が求めているのは、使ってよいかどうかの線引きです。
「この範囲なら使ってよい」と会社が示せば、社員は安心して使えますし、会社もリスクを管理できます。
A4一枚で決める5項目
就業規則を改定するような大がかりな作業は必要ありません。
次の5項目を1枚の紙にまとめれば、まずは十分です。
①使ってよいツールとアカウント
会社として使ってよいAIサービスを決めます。
特に大切なのは、個人の無料アカウントを業務で使わないことです。
サービスによっては、入力した内容がAIの学習に使われる設定になっている場合があります。
②入力してはいけない情報
「お客様の個人情報」「公表前の売上や価格」「取引先から預かった情報」など、具体例を挙げて書き出します。
迷ったら入れない、という原則を添えておくと判断しやすくなります。
どうしても個別の事例をもとに文章を作りたいときは、名前を「Aさん」に、店名を「当店」に置き換えるなど、誰のことか分からない形にしてから入力するやり方もあわせて示しておくと、現場で使いやすいルールになります。
③出力の確認ルール
AIの答えには誤りが含まれることがあります。
お客様や取引先に出す文章は、必ず人が確認してから使うと決めておきます。
他人の文章や画像に似ていないかの確認も必要です。
著作権の考え方は生成AIの「著作権」と「機密保持」の基本で解説しています。
④困ったときの相談先
「これは入れていいのか」と迷ったときに聞ける人を、社内で1人決めます。
社長自身でも構いません。
⑤見直しのタイミング
AIのサービスは数か月単位で変わります。
半年に一度など、見直す時期をあらかじめ決めておきます。
記入例：冒頭の美容室の場合
5項目を埋めると、たとえば次のようになります。
これだけで、A4一枚に十分収まります。
| 項目 | 記入例 |
|---|---|
| 使ってよいツール | お店で契約した有料版のAIサービスのみ。個人の無料アカウントは使わない |
| 入れてはいけない情報 | お客様の氏名・電話番号・カルテの内容、スタッフの個人情報 |
| 出力の確認 | お客様に送る文章は、送信前に店長が目を通す |
| 相談先 | 店長 |
| 見直し | 毎年4月と10月 |
冒頭の場面も、このルールがあれば「カルテの内容はそのまま入れない。名前を伏せて作り、送る前に店長に見せる」で解決します。
ルールを作ったら全員で一度練習する
紙を配るだけでは定着しない
ルールを作っても、配っただけでは読まれずに終わることが少なくありません。
効果的なのは、全員で同じ操作を一度体験することです。
「この情報は入れてはいけない」「出てきた答えはここを確認する」を、実際の業務の題材で練習すると、ルールの意味が腹に落ちます。
研修費用には補助金が使える場合も
大分市内の中小企業なら、社員研修の費用を補助する「人材育成応援事業」が使える可能性があります。
国のデジタルスキル標準に沿ったDX研修なら、補助率は3分の2です。
当事務所の情報セキュリティ研修・生成AI研修も、この制度の活用を前提に設計しています。
参考になる公的なひな形
より詳しいルールを作りたい場合は、一般社団法人日本ディープラーニング協会（JDLA）が公開している「生成AIの利用ガイドライン」のひな形が参考になります。
JDLAの資料室から無料で入手できます。
ただし中堅以上の企業も想定した内容なので、まずは今回の5項目で始め、必要に応じて足していく進め方をおすすめします。
まとめ
- 中小企業の多くが生成AIに不安を感じながら、ルールがないまま使われているのが実態です
- 禁止すると隠れて使われ、かえってリスクが見えなくなります
- A4一枚・5項目のルールを作り、全員で一度練習するところから始めましょう
「何から決めればいいか分からない」「うちの業務に合わせたルールにしたい」という方は、お気軽にご相談ください。ルールづくりから社内研修まで、一緒に進めます。
初回相談は無料です。
スマホひとつで始める生成AI活用の無料セミナーを、毎月第4土曜に大分で開催しています。
※本記事で紹介したAI各社の動向は、2026年9月時点の報道・公表情報にもとづいています。
あわせて読みたい
- 「ChatGPT」って何？大分の社長が話し相手（AI）を持つべき3つの理由
- 生成AIを使うときに注意したい「著作権」と「機密保持」の基本
- 「うちは小さいから狙われない」が一番危ない！大分の事業者が守るべき最低限のルール
- Claudeのチャットと「Cowork」が一つに。中小企業の仕事はどう変わる？
- GeminiのWindowsアプリが登場。Alt+Spaceで呼び出す使い方と、会社で入れる前の確認ポイント
＼ 最新情報をチェック ／
