組織で生成AIを使うとき、最大のリスクは性能でも著作権でもなく機密情報の流出です。やっかいなのは、流出が「悪意のハッキング」より善意の社員の何気ない入力から起きること。顧客リストや未公開の数字を、便利だからとチャット欄に貼ってしまう——これを防ぐのは高度な技術ではなく、分かりやすいルールと、それを守りやすくする運用です。本記事は、はじめて社内ルールを作る人に向けて、何を・なぜ決めるのかを具体例つきで整理します。
FIG.1 漏えいは「社員 → 外部AI」の一瞬で起きる。ルールはこの入口に置く
01なぜ「技術」より「ルール」なのか
機密が外部AIに渡ると、二つの実害が起こり得ます。ひとつは法的な保護を失うこと。日本の不正競争防止法で「営業秘密」として守られるには、秘密として管理されている状態（秘密管理性）が必要です。誰でも外部サービスに貼れる運用だと「管理されていた」とは言いにくくなり、いざ流出しても法的に争いにくくなります。もうひとつは第三者の目に触れるリスク。学習に使われる設定のままだと、入力した内容が将来別の利用者の回答に影響する可能性があります。
どちらも、ファイアウォールのような技術で完全には防げません。社員が「良かれと思って」貼る行為そのものを、あらかじめ決めた約束（ルール）で止めるのが本筋です。日本でも総務省・経済産業省の「AI事業者ガイドライン」が事業者に利用ルール整備を促しており、社内規程づくりは標準的な実務になっています。
