前回、答えは「禁止でなく、安全な選択肢を表に出す」だと見ました。では具体的に、何を決めればいいのか。今回は「現場が実際に守れる、1枚のAI利用ルール」の作り方です。分厚い規程は要りません。
- 守られるルールは「4つの問い」に答える1枚で足りる
- 禁止データは抽象論でなく「列挙」で書く（現場が即判断できる粒度に）
- 会社が配っていない個人のChatGPT等も対象だと明記し、相談先を1人決める
守られるルールは「4つの問い」に答えるだけ
立派なAIポリシーを作ろうとすると、分厚くなり、誰も読まず、形骸化します。中小に必要なのは、現場が一目で判断できる1枚。それはたった4つの問いに答えれば足ります。
良いポリシーは4つの問いに答える。どのツールが承認済みか？ 何のデータを絶対に入れてはいけないか？ 顧客に出す前に誰がAIの出力を確認するか？ そして、何かおかしくなったら社員は何をすべきか？
（Techspire IT「AI Usage Policy for UK SMEs」2026）
| 4つの問い | 中小での書き方 |
|---|---|
| ①どのツールを使ってよいか | 承認したAI（例：会社契約のChatGPT等）を明記 |
| ②何を入れてはいけないか | 禁止データを列挙（下記） |
| ③誰が確認するか | 顧客に出す前の人間承認を義務化 |
| ④問題が起きたら | 相談先（担当者名）と初動を1行で |
この4つは、これまでの連載の総まとめでもあります。②は情報の扱い、③は人が確認する関所、④は次回の初動。バラバラに学んだことが、1枚に収まります。
禁止データは「抽象論」でなく「列挙」で書く
4つの中で最も事故に直結するのが②です。「機密情報を入れない」と書くだけでは、現場は何が機密か判断できません。具体的に列挙するのが鉄則です。米国の労働法事務所が公開するサンプルは、こう列挙しています。
パスワードなどの認証情報、保護対象の医療情報、人事資料、「社外秘・取扱注意・専有」と表示された文書の情報、その他、競合に有用だったり開示されると会社に害となる非公開の自社情報。
（Fisher Phillips サンプルポリシー）
中小なら、これを自社の言葉でさらに具体化します——「顧客の名前・連絡先、取引先名、見積金額、契約書、まだ公開していない情報」は入れない。連載06で見たとおり、どうしても使いたいときは固有名詞を伏せる（匿名化する）ひと手間を添えます。
もう一つ重要な一文を冒頭に入れます。「会社が配っていなくても、個人のChatGPT等の利用もこのルールの対象です」。これが前回のシャドーAIを「禁止」でなく「ルールの射程」に取り込む第一歩。そして相談役（ポイントパーソン）を1人指名する。「迷ったらこの人に聞く」が決まっているだけで、現場は安心して踏み出せます。
【ひな型】AI利用ルール 1枚（コピーして自社用に）
【当社のAI利用ルール】
本ルールは、会社が用意したAIだけでなく、個人のChatGPT等を業務に使う場合にも適用します。
① 使ってよいAI：（例：会社契約の○○）。それ以外を業務で使う前は△△に相談。
② 入れてはいけない情報：顧客名・連絡先／取引先名／見積・契約金額／契約書・社外秘文書／未公開情報／個人情報。※使う場合は固有名詞を伏せる。
③ 人の確認：顧客・社外に出す文章、数字、契約に関わるものは、送付・公開の前に必ず人が確認する。
④ 困ったら：判断に迷う・情報を入れてしまった等は、すぐ△△（担当：氏名）に報告する。隠さない。
これで十分です。1枚に収め、全員に配り、迷ったら見返せる場所に貼る。完璧を目指すより、「現場が守れる粒度」が何より大切です。
1枚のカードに4ブロック「①承認ツール ②禁止データ(列挙) ③人間承認 ④相談先・初動」。上部に「個人AIも対象」のバッジ、下部に「相談役を1人指名」。脇に「分厚い規程→形骸化／1枚→守られる」の対比。
まとめ
- 守られるルールは4つの問い（承認ツール・禁止データ・人間承認・相談先）の1枚。
- 禁止データは列挙で具体的に（顧客名・金額・契約書・未公開情報…）。
- 個人AIも対象と明記し、相談役を1人指名する。完璧より「守れる粒度」。