デジタル庁の生成AIガイドラインの要点｜会社の社内ルールに取り入れる点

デジタル庁の生成AIガイドラインとは、政府職員が生成AIを調達・利用するときに守るルールを定めた「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン」のことです。民間の会社が社内ルールに取り入れる価値が高いのは、高リスクかどうかを見分ける3つの問い、約款に同意するだけのAIに機密情報を入れない線引き、権限管理とログの取得、契約前の確認項目の4つになります。AI統括責任者（CAIO）やアドバイザリーボードといった政府の体制は、そのまま写さず、経営者と経営会議に縮めて置き換えれば充分でしょう。社内ルール全体の作り方と規模別のひな形は生成AI社内ガイドラインの作り方にまとめていますので、あわせてご覧ください。

※2026年10月3日時点でデジタル庁の公表資料（第1.0版・第2.0版の本文PDF）と、デジタル庁が総務省の会合に提出した説明資料を確認した内容です。ガイドラインは随時見直されるため、実際に社内ルールへ反映する際はデジタル庁の公表ページで最新版をご確認ください。

デジタル庁の生成AIガイドラインとは｜名称・目的・位置づけ

このガイドラインは、政府の業務で生成AIの利活用促進とリスク管理を表裏一体で進めるために作られた、国の政府職員向けのルールです。デジタル社会推進標準ガイドラインの中ではDS-920という番号が付いており、政府情報システムの整備と管理で遵守する内容を定めた文書と位置付けられています。使ってよい業務の範囲を決めるだけでなく、体制づくり、調達と契約、使い始めてからの監視、トラブル時の報告までを一続きで扱っている点に特徴があります。

正式名称と2つの版

現在の版は、2026年6月12日にデジタル社会推進会議幹事会で決定された第2.0版です。最初の版である第1.0版は2025年5月27日に決定されており、第2.0版は改定履歴に載る初めての改定にあたります。第1.0版は、それまで政府で使われていた「ChatGPT等の生成AIの業務利用に関する申合せ（第2.1版）」に代わるものと位置付けられ、第2.0版でもこの申合せは廃止と明記されています。本紙のほかに、別紙1「高リスク判定シート」、別紙2「生成AIシステムの利活用ルールひな形」、別紙3「調達チェックシート」、別紙4「契約チェックシート」の4つの別紙があります。会社の社内ルールに使いやすいのは、本紙よりもむしろこの別紙の側です。

時系列で見るガイドラインの動き

公表から施行までの流れを日付で並べると、次のようになります。

• 2025年2月6日　デジタル社会推進会議幹事会事務局が「DeepSeek等の生成AIの業務利用に関する注意喚起」を出す
• 2025年5月27日　第1.0版を決定
• 2025年6月12日　先進的AI利活用アドバイザリーボードを設置（デジタル社会推進会議議長決定。デジタル庁の説明資料による）
• 2025年9月18日　アドバイザリーボードの第1回を開催（同資料による）
• 2025年10月9日　デジタル庁が総務省の会合で、ガイドラインの充実に向けた論点候補を説明
• 2026年6月12日　第2.0版を決定
• 2026年6月30日まで　AI統括責任者（CAIO）の対応事項について必要な措置を定める
• 2026年7月1日　画像・動画を扱う生成AIやAIエージェントなどを、AIガバナンスの枠組みの対象とする規定を適用
• 2026年9月1日　第2.0版を施行

2026年10月時点では、第2.0版はすでに施行済みとなっています。民間の会社が参考にするなら、第1.0版を前提にした解説ではなく、第2.0版の本文を元にするようにしましょう。

民間企業には直接適用されない｜AI事業者ガイドラインとの関係

このガイドラインは政府職員に向けたもので、民間の会社に守る義務が生じるものではありません。対象者は生成AIの調達・利活用に関わる政府職員とされ、独立行政法人と指定法人には準拠した取組を期待し、地方公共団体には必要に応じて参考にすることを期待する、という書き方になっています。政府に生成AIシステムを納める事業者についても、ガイドラインの直接の対象ではなく、政府側の企画者や提供者が契約や監督を通じて遵守を確保する、と整理されているのです。

民間の事業者向けには総務省と経済産業省の「AI事業者ガイドライン」があり、第2.0版の本文も令和8年3月31日付の第1.2版を参照する形を取っています。第2.0版の表3では、政府側のAI統括責任者（CAIO）がAI事業者ガイドラインの「経営者を含む事業執行責任者」に、利用者が「AI利用者」に当たると整理されます。ただし同じ箇所の脚注には、政府向けのガイドラインと民間向けのAI事業者ガイドラインでは対応関係が一致しない場合がある、という断りも添えられているのです。

それでも民間の会社がこのガイドラインを読む価値は、政府がすでに線を引いた判断を、社内ルールの根拠として借りられる点にあります。社員に「なぜこのAIに顧客情報を入れてはいけないのか」と聞かれたとき、政府も同じ線を引いていると説明出来れば、ルールへの納得感が変わってきます。全体の考え方はAI事業者ガイドライン、具体的な書き方や判断の物差しはデジタル庁のガイドライン、と使い分けると整理しやすいでしょう。

第1.0版から第2.0版で何が変わったか

第2.0版での変更は、高リスクの判定基準の見直し、対象とする生成AIの拡大、運用面の追記の3つに大きく分けられます。改定履歴には章ごとに多くの修正が並んでいますが、社内ルールに関係するのはその一部にとどまります。

高リスク判定の軸が4つから3つになった

高リスクかどうかを判定する軸は、第1.0版の4つから第2.0版では3つに整理されています。第1.0版の4つの軸は次のとおりです。

• A 利用者の範囲・種別（国民等による府省庁外の利用／複数府省庁の横断／単一府省庁）
• B 生成AI利活用業務の性格（過失が重大な影響を及ぼす可能性のある業務かどうか）
• C 要機密情報や個人情報の学習等の有無（保存・学習される／取り扱うが保存・学習されない／取り扱わない）
• D 出力結果の政府職員による判断を経た利活用（判断せずに使う／判断して使う）

これに対して、第2.0版の3つの軸は次のようになります。

• A 生成AI利活用業務の性格（生成物の誤りなどが重大な影響を及ぼす可能性のある業務かどうか。例示に法人の事業に重大な影響を及ぼす業務が加わった）
• B 利用範囲（不特定外部者／特定外部者／政府職員の複数府省庁横断／政府職員の単一府省庁の4段階）
• C 出力結果の政府職員等による判断を経た利活用（判断せずに使う／判断して使う）

1つ目の違いは、軸の順番が入れ替わり、業務の性格が最初の問いになったことです。2つ目は、利用範囲に特定外部者という段階が加わり、自分の知見で出力の適切さを判断できる外部の相手（地方公共団体や民間企業など）による利用は、必ずしもリスクが高いものではないと書き分けられた点になります。3つ目は、第1.0版にあった要機密情報や個人情報の学習の有無という軸が、第2.0版の表4と別紙1の判定シートには見当たらないことです。

情報の扱いそのものが軽くなったわけではなく、約款型のAIに要機密情報を入れない線引きは第1.0版から6章で定められ、入力が学習される設定での漏えいへの対処も第2.0版の6.3.1に加わっています。社内ルールに置き換えるなら、情報の扱いは入力のルールで一律に縛り、判定シートでは業務の重さ・使う相手・人の確認の3つだけを問う、という分け方が第2.0版の考え方に沿った形となるでしょう。

対象範囲の拡大とAIエージェントの扱い

第2.0版が具体的なルールの対象とする生成AIは、原則として入力がテキストと音声、出力がテキスト・画像・音声のものとされています。画像や動画を入力するもの、動画を生成するもの、AIエージェントのようにより高度なタスクを実行するものについては、具体的な対応事項は定めないものの、体制づくりとリスクケースへの対応の枠組みには含める、という扱いです。この枠組みの適用は2026年7月1日からと附則に書かれています。AIエージェントの定義は、AI事業者ガイドラインの「特定の目標を達成するために、環境を感知し自律的に行動するAIシステム」を脚注で引用する形です。

さらに、利用者がAIエージェントを作れるシステムでは、出力の適切さを人が判断しないままタスクを実行するものの作成を制限するか、作った場合は使い始める前に報告させるルールを整備することが求められています。会社でも、AIに予約や送信まで自動で任せる仕組みを社員が作れる環境なら、作る前に届け出る一文を社内ルールに入れておきましょう。

運用面で加わった権限管理・ログ・監査

第2.0版で書き加えられた運用面の項目は、民間の会社にとってもそのまま使える内容です。第2.0版では権限管理とログ取得、監査への連携、モデル更新時の再確認が加わり、第1.0版からある利用ログの確認や周知とあわせて、次のような運用が求められています。

• 権限を持つ人だけがアクセス制御を設定できる機能を設ける。脚注では、入力が学習される設定のまま要機密情報や個人情報を扱うと、入力した人以外にも漏れるリスクへの対処が必要になると注意している
• 生成AIシステムへの入力・出力・アクセス履歴のログを取得し、管理する
• 利用ログをサンプルで確認し、期待した品質か、目的外の使い方がないか、個人情報や要機密情報が入っていないかを確かめる（第1.0版から）
• モデルの大きな更新や大規模な追加学習があったときは、提供する前に品質やセキュリティを確かめ直す
• 生成AIシステムの監査にAI統括責任者（CAIO）も連携する
• 利用者に、ログイン履歴・プロンプト・出力結果などを収集する可能性があることを周知する（第1.0版から）

どれも、ルールを紙に書いただけでは実現できず、使っている環境の側に仕組みが要る項目になります。社員に配るAIを選ぶ段階で、ログが会社側で見られるか、学習させない設定を全員に一律でかけられるかを確かめておく必要があります。

高リスク判定シートの3つの軸を社内の問いに読み替える

第2.0版の高リスク判定シートは、3つの問いに答えるだけで、高リスクに該当する可能性が高いかどうかを簡易的に判定するツールです。政府職員を社員に、府省庁を自社に置き換えると、会社で使える次の3つの問いになります。

• その業務で、AIの出力に誤りがあると重大な影響が出るか顧客の権利や安全、取引先の事業、資格が要る業務（税務・労務・法務の判断など）、説明責任が重い業務に使うなら、高リスクの側に寄ります。
• 誰がAIを使い、誰が出力を受け取るか不特定の顧客や一般の人、判断力のある特定の取引先、複数の部署、1つの部署の中、の順に影響の広がりが小さくなります。
• 出力を人が確かめてから使うか確認を経ずにそのまま送る・登録する使い方は、それだけでリスクが上がります。

判定の流れの例として、ガイドラインは3つのケースを挙げています。行政手続の結果を誤らせ、法人の事業停止など大きな影響を与える場合は、業務の性格だけで高リスクの可能性ありとされます。相手のメール内容に応じて返信を作り、職員の確認を経ずに自動で返信する仕組みは、業務自体が重いものでなくても、人の確認がない点で高リスクと判定されています。一方、登録した個人に合う行政サービスを検索・要約して手続のページへ案内する仕組みは、低リスクの例に置かれているのです。ガイドラインは、軸を形式的に当てはめるだけでなく、出典をすぐ参照できるかといった具体的な使い方も合わせて、総合的に判断することが重要としています。

社内版の判定例

この物差しを会社の業務に当てはめると、たとえば次のような判定になります。以下はガイドラインの例を民間の業務に読み替えた目安で、ガイドラインに書かれている例そのものではありません。

• 問い合わせメールへの返信をAIが作り、担当者が読まずに自動で送信する場合は、人の確認がないため高リスクとして扱う（ガイドラインの例3と同じ形）
• 見積書の金額をAIが計算し、営業担当が確認してから送る場合は、取引に影響はあるものの人の確認があるため通常の申請で可とし、確認の手順を規程に書く
• 応募書類をAIで点数付けし、点数の低い人を自動で不合格にする場合は、応募者への影響が大きく人の確認もないため、高リスクとして経営者が判断する
• 社内規程をAIで検索し、根拠の条文を表示して社員が読む場合は、社内の利用で出典も確かめられるため低リスクとする
• 顧客向けのWebサイトにAIのチャット窓口を置く場合は、不特定の人が使うため、出力の確かめ方と利用規約の表示まで決めてから始める

判定の結果、高リスクに当たりそうな使い方は、始める前に経営者が可否を判断する決まりにすると運用が安定します。なかでも注意したいのは、人の確認を経ずに社外へ出す使い方は、業務が軽く見えても高リスクとして扱うという点になります。社内ルールには「高リスクに当たる使い方は事前に申請し、AI利用の責任者が判断する」という一文を入れておけば足ります。

CAIO（AI統括責任者）とアドバイザリーボード・AI相談窓口の役割

AI統括責任者（CAIO）は各府省庁に置かれ、生成AIの企画・データの扱い・調達・利用・運用・リスクケースまでを一元的に把握する役職です。役割には、リスク管理の徹底、リスクケースへの対応、職員のAIリテラシーを高める研修、アドバイザリーボードへ報告するかどうかの決定などが挙げられています。想定されているのはデジタル統括責任者か副デジタル統括責任者の級の職員で、兼任も可能とする脚注もあります。

先進的AI利活用アドバイザリーボードは、AIの制度やリスク管理、サイバーセキュリティに詳しい有識者などで構成され、デジタル庁が事務局を務める会議体です。各府省庁のCAIOは、生成AIの運営と利用の状況を、四半期に一度程度を目安にこのボードへ報告することとされています。AI相談窓口はデジタル庁が運用し、ガイドラインの内容や、高リスクに当たるか迷う事案などの相談を受け付けます。デジタル庁が総務省の会合に提出した資料では、ボードは2025年6月12日に設置され、同年9月18日に第1回が開かれたと説明されています。

会社に置き換えるならどうするか

社員10〜200名の会社なら、CAIOに当たる役割は経営者本人か、情シス・総務の責任者が兼ねる形で充分です。ガイドライン自体が兼任を認めており、表3でもCAIOは経営者を含む事業執行責任者に対応づけられています。アドバイザリーボードのような外部の会議体を新しく作る必要はなく、経営会議で四半期に一度、利用状況と判断に迷った事例を報告する時間を取れば役割を果たせます。相談窓口も、総務か情シスの担当者を1人決めて、社内ルールに名前と連絡先を書くだけで機能します。大切なのは、高リスクかどうかの最終判断をする人を1人に決めておくことでしょう。

10〜200名の会社で取り入れる点・縮めて取り入れる点・取り入れない点

ガイドラインの仕組みを全部まねると、社員数の少ない会社では手続きが重くなりすぎてしまいます。ガイドライン自身も、概念検証の段階で全部の対応事項を実施すると対策が過剰になる可能性があるとして、導入の形やリスクの大きさに応じた取捨選択を求めています。この考え方を会社に当てはめた判断の目安は、次の表のとおりです。

表のうち取り入れないとしたものは、政府の調達制度や組織に結びついた仕組みで、民間の会社が形だけまねても効果が出にくいものになります。反対に、判定の3つの問い、約款型AIへの入力の線引き、ログと権限管理、契約前の確認は、会社の規模に関係なく使えます。まずは表の取り入れるの行だけを、社内ルールに写してみてください。

約款に同意するだけのAIに機密情報を入れない線引き

ガイドラインは、不特定多数に提供され、定型約款や規約への同意だけで使えるクラウド型の生成AIでは、原則として要機密情報を扱えないと定めています。要機密情報を扱わない場合であっても、使ってよい業務の範囲をあらかじめ決め、申請を許可権限者が審査して利用の可否を決め、利用状況を管理することが必要とされます。さらに、国外にサーバー装置がある場合は現地の法令が適用され、現地の政府などによる検閲や接収を受ける可能性があると注意を促しています。この部分は2025年2月6日の「DeepSeek等の生成AIの業務利用に関する注意喚起」を踏まえたもので、第1.0版から書かれており、第2.0版でも変わっていません。

社内ルールに写すなら、要機密情報を社外秘の情報・個人情報・取引先から預かった情報と読み替え、次の3つを決めておくとよいでしょう。

• 会社が契約していない個人向けのAI（無料版を含む）には、社外秘の情報・個人情報・取引先から預かった情報を入れない
• それ以外の情報でも、業務で使ってよいAIを一覧にし、一覧にないAIは申請してから使う
• 海外の事業者のAIを使うときは、データの保存先と適用される法令を確かめてから許可する

ここまでをルールに書いても、社員が自分のスマートフォンで個人のAIを開けば、会社からは何も見えません。ガイドラインが権限管理やログ取得を企画の段階で求めているのは、ルールを守らせる仕組みを環境の側に持たせるためと読めます。入力が学習される設定のまま使っていないか、誰がいつどのAIを使ったかを会社が確かめられる状態を作ることが、線引きを実際に守らせる近道になります。会社が把握していない利用を減らす方法は、野良AI（シャドーAI）の対策で詳しく取り上げています。

別紙2の利活用ルールひな形を社内規程に読み替える

別紙2のひな形Ver2.0は、CAIOが職員向けに作る利活用ルールの下書きで、ルールの目的、利活用に係るルール、問い合わせ先の3部で構成されています。利活用に係るルールはさらに、使う前に理解しておくことと、使っている最中に守ることに分かれ、使っている最中のルールは入力と出力（AI生成物）の2つから成ります。省庁向けの言葉を会社の言葉に置き換えれば、ほぼそのまま社内規程の骨組みとして使うことが出来ます。

読み替えの対応表

主な語句の読み替えは次のとおりです。

• 〇〇省職員 → 自社の役員・従業員（派遣社員や業務委託先を含めるかどうかも明記する）
• 要機密情報 → 社外秘の情報、個人情報、取引先から預かった情報
• 〇〇省情報セキュリティポリシー → 社内の情報セキュリティ規程
• 情報セキュリティ責任者の許可 → 情シスまたは総務の責任者の許可
• 生成AIシステムの企画者・提供者 → 社内でAIツールを選び、管理する担当者
• 保有個人情報の入力に関する注意 → 個人情報を入れるときは利用目的の範囲内か、提供事業者が入力を学習に使わないかを確かめる
• 公文書管理法・行政文書 → 社内の文書管理規程（組織で共有したAIの入出力も社内文書として扱う）
• AI統括責任者（CAIO）への報告 → AI利用の責任者への報告（連絡先を明記する）
• 〇〇省〇〇担当（問い合わせ先） → 総務・情シスの相談窓口

条文ごとに会社で書く内容

読み替えたうえで、各条文に会社として何を書くかの例を挙げます。

• ルールの目的社員による生成AIの適正な利用を進めるため、利用時に守ることと注意することを定める、という一文で足ります。
• 利用前：便益とリスクの理解要機密情報の流出や、事実と異なる内容を出力するハルシネーションがあると理解してから使う。短い説明の受講を利用開始の条件にします。
• 利用前：入出力の提出への了解ひな形は、入力と出力を必要に応じて提供者に提出することへの事前の了解を求めています。会社でも、ログを会社が確認することがあると先に伝えておきます。
• 利用前：約款同意型AIの制限約款に同意するだけのAIでは社外秘の情報を扱わず、それ以外の情報でも使うには許可を得る。海外にサーバーがある場合の注意も書きます。
• 利用中：入力のルール利用目的の範囲内で使う。個人情報は入れてよいAIかを事前に確かめ、必要最小限にする。前提が誤っていないかを入力前に自分で確かめます。
• 利用中：AI生成物のルール出力に基づいて行った判断も説明責任の対象になる。判断に迷うものは使わない。事実関係を確かめ、差別的な表現や第三者の権利侵害がないかを見ます。
• 利用中：報告のルール差別的な出力など重大なリスクケースに気付いたら、AI利用の責任者へすぐに報告します。
• 問い合わせ先相談窓口の担当者と連絡先を書きます。

ひな形は、組織的に共有したチャットの入出力も行政文書となり得るとしています。会社でも、AIで作った議事録や提案書の下書きを共有フォルダに置いた時点で社内文書として扱う、と決めておけば保存期間の判断に迷いにくくなります。

知的財産・著作権の対策は2つの表を借りる

ひな形には、プロンプトを入力する段階と、AI生成物を使う段階に分けた知的財産権の対策例の表が2つ付属します。どちらも、他人の著作物、登録意匠や登録商標、人の肖像、人の声の4つの場面ごとに対策が並べられています。入力の段階では特定の著作物や人物と結びつくプロンプトを入れないこと、使う段階ではインターネット検索などで既存の作品と似ていないかを確かめ、似ていれば使わない・許諾を得る・作り直す、という流れが示されます。AI生成物には著作物性が認められるとは限らないため、自社の権利として守りたい成果物にAIを使うかは慎重に検討するよう書かれている点も、社内規程に写しておきたい部分です。広告やWebサイトに画像を使う部署がある会社は、この2つの表を規程の別表にしてみてください。

調達チェックシートと契約チェックシートをAIツールの契約前の確認に使う

別紙3の調達チェックシートと別紙4の契約チェックシートは、政府がAIシステムを調達するときに事業者へ求める事項と、契約に盛り込む事項を整理したものです。会社がAIツールを選ぶ場面では、これを事業者への質問リストに作り替えると使いやすくなります。

調達チェックシートは基本項目から抜き出す

調達チェックシートは、組織要件、開発・運用工程要件、生成AIシステムの基本機能要件の3分類で、一覧には21の評価観点と33の要求事項が並んでいます。要求事項は、原則として必須の基本項目と、加点の対象となる任意追加項目に分けられています。中小規模の会社がサービスを選ぶときに聞きやすいのは、入出力データの取扱いを管理しているか、使っている生成AIモデルをバージョンを含めて示せるか、事業者やシステムを移行しやすい設計か、インシデントへの対応体制があるか、といった基本項目でしょう。チャット履歴の保存やプロンプトのテンプレート登録とその書き出し、複数のモデルから選んで使う技術は、加点の項目として挙がっています。チェックシート自体が導入の形やリスクに応じた取捨選択を前提にしているため、全項目を事業者に求めなくても構いません。

契約チェックシート9項目を確認の質問に変える

契約チェックシートには9つの取決め事項があり、どれも基本項目とされています。AIツールを契約する前に、次の質問を事業者に投げて、回答を書面で受け取っておきましょう。

• 1 インプット入力した文章やファイルを、サービスの提供以外の目的に使いますか。学習に使うことはありますか。保存する期間と場所はどこですか。
• 2 インプットの処理成果読み込ませた社内文書から作られた索引などのデータは、誰のものになりますか。解約したときに消してもらえますか。
• 3 アウトプットAIが出力した文章や画像の権利はどちらにありますか。社外に出すときの制限はありますか。
• 4 アウトプットの処理成果出力を社員が手直しした資料に、利用や公開の制限はかかりますか。
• 5 期待品質回答の正確さを保証できない場合、品質を改善する支援は受けられますか。使っているモデルとバージョンを示せますか。
• 6 ノウハウプロンプトの履歴や設定内容を、事業者が自社の開発や学習に使うことはありますか。
• 7 成果物個別に作ってもらう設定やプロンプト、BOTなどは、どこまでが納品物で、権利はどちらにありますか。
• 8 インシデント・リスクケース時の対応情報漏えいや不適切な出力が起きたとき、原因の調査に必要なデータを出してもらえますか。連絡はいつまでに来ますか。
• 9 品質が満たされなくなったとき回答の品質が落ちたとき、被害を抑える手順と、原因の特定と改善の進め方は決まっていますか。

約款に同意するだけのサービス（ガイドラインの導入類型A）についても、ガイドラインは約款の内容がチェックシートと矛盾していないかを確かめるよう求めています。個別の契約を結べないサービスなら、上の質問の答えを利用規約やプライバシーポリシーから探し、見つからない項目を社内で記録しておくだけでも判断の材料になります。会社として確認すべき点の全体像は、生成AIのセキュリティ対策チェックリストでも整理しています。

トラブルが起きたときの報告ルール（リスクケース）

ガイドラインは、対策をすべて行ってもリスクはゼロにならないという前提で、問題が起きたときの対応を事前に準備しておくよう求めています。生成AIシステム特有のリスクケースの例として挙がっているのは、次のような事態です。

• 人種・性別・文化などに関する偏見や差別を含む出力をした
• 攻撃的または危険なコンテンツを生成した
• 事実と異なる情報（ハルシネーション）を利用者が使い、本人や第三者に不利益を与えた
• 既存の作品に似たものを意図せず使い、権利者から削除などの申出を受けた
• 音声回答が著名な人の声に似てしまい、本人から停止の申出があった
• 不自然な画像に気付かず公開文書に載せ、批判を受けた
• 音声入力の誤りで、作成した記録の正確さが損なわれた

CAIOは対応手順を整備し、発生したときと対応を終えたときに、アドバイザリーボードの事務局へ報告する流れが定められています。情報セキュリティのインシデントや個人情報の漏えいと重なる場合は、それぞれの対応体制と連携して動くことも求められます。会社に置き換えるなら、AIの出力で取引先や顧客に迷惑がかかったときの報告先を、情報漏えいの報告先と同じ窓口にしておくと迷いが減ります。報告の目安としてガイドラインの例を社内ルールに載せ、どんなときに報告するのかを社員が思い浮かべられるようにしてみましょう。

社内ルールに取り入れる順番｜最初の1か月でやること

取り入れる順番は、使ってよいAIの線引き、判定の問い、契約前の確認、ログと報告の順にすると無理がありません。

1. 1週目　社内で使われているAIを洗い出し、約款への同意だけで使っているものと、会社で契約しているものに分ける
2. 2週目　別紙2のひな形を読み替えて社内ルールの案を作り、要機密情報に当たる情報の範囲を決める
3. 3週目　新しい使い方を始めるときの申請書に、3つの判定の問いを入れる
4. 4週目　使っているAIの事業者に契約前の確認質問を送り、回答をもとに使い続けるかを経営会議で決める

最後に、ルールを配っただけで終わらせず、ログで利用状況を確かめ、四半期に一度は経営会議で振り返る場を設けましょう。第2.0版は、利用者が理解しやすい方法でルールや注意点を伝え、ログを収集する可能性があることも周知するよう求めています。社員への周知まで含めて1つの手順にしておけば、ガイドラインが目指す利活用の促進とリスク管理の両立に近づけます。

よくある質問

まとめ

デジタル庁の生成AIガイドラインは、政府職員向けに生成AIの利活用促進とリスク管理を表裏一体で進めるためのルールで、民間の会社に守る義務はありません。それでも、第2.0版の3つの判定の問い、約款型AIに要機密情報を入れない線引き、権限管理とログ取得、契約チェックシートの9項目は、会社の規模に関係なく社内ルールに借りられる内容です。CAIOやアドバイザリーボードは経営者と経営会議に縮め、ISMAPのような政府の調達制度は取り入れない、という割り切りで充分でしょう。ルールを書いたら、学習させない設定・ログ・権限を会社の環境に持たせ、社員に周知するところまでを1つの手順として進めてみてください。法人のAI活用に関するほかの記事は、AI活用コラム一覧にまとめています。