生成AIでやってはいけないこと

この章は法的な助言ではありません。 当社は法律の専門家ではないので、この章には判断を書きません。書くのは、どこに確認するかと、確認するときに何を聞くかだけです。 扱うのは、起きると取り消せない4つ——機密の持ち出し、個人情報、他人の権利、なりすまし——と、起きてしまったときの初動です。 この章だけ点数制にしていません。12項目すべて○です。 9勝3敗で良しとできる種類の項目が1つも無いためです。

この章で分かること

• 入れてはいけない情報と、出してはいけない出力の線
• 個人情報・著作物・契約について、誰に何を聞くか（判断は書きません）
• 事故が起きたときの初動3手（止める・報告する・記録する）

この章が判断を書かない理由

法律の解釈は、業種・契約・扱う情報によって変わります。一般論として書いた1行が、自社には当てはまらないことがあります。 ここに書けるのは、確認先と、確認するときの問いまでです。

判断を書かないことには、慎重さ以上の理由があります。この領域で実際に困るのは、正解を知らないことではなく、聞く相手と聞き方が決まっていないことだからです。顧問弁護士がいる会社でも、「AIの利用について相談したいのですが」と切り出すと、話は一般論から始まり、何度か往復した末に「個別の契約を見ないと判断できません」に着地します。相談料と時間を使って、出発点に戻ってくる形です。

聞き方を変えると、同じ相手から同じ日に答えが出ます。「この取引先との秘密保持契約の第◯条について、受領した資料を外部のサービスに入力することが、ここでいう開示にあたるかを見ていただけますか」。契約書の現物と、具体的な使い方を持っていけば、相手は判断できます。この章が確認先と問いの一覧に紙幅を割いているのは、その持っていき方を先に用意しておくためです。

もうひとつ、この章の項目を点数制にしていない理由もここにあります。他の章の項目は、×のまま運用しても、数字が読めなくなる・引き継ぎに困るという形で跳ね返ってきます。この章の項目は、×のまま1回動かしただけで取り消せない結果が出ます。取り消せないものに合格ラインは設けられません。

なお、この章の点検項目は、確認したかどうかを問うものであって、確認した結果が何だったかは問いません。自社で確認した結果、問題なしと判断されたなら、それがその会社の答えです。この本は、その答えを代わりに出しません。

確認したいこと	確認先	確認するときの問い
自社の契約・取引先との約束	顧問弁護士、契約を管理している部署	「この情報を外部のサービスに入力してよいか、契約のどこに書いてありますか」
入力した情報の扱い	提供元の公式ドキュメント	「入力した内容は学習に使われるか」「保存期間はどれくらいか」「管理者は利用状況を見られるか」
個人情報の扱い	顧問弁護士、国の相談窓口（個人情報保護委員会）	「この使い方は、取得時に伝えた利用目的の範囲に入るか」
著作物の扱い	顧問弁護士、著作権の相談窓口（文化庁）	「この素材を材料として使ってよいか」「出てきたものを公開してよいか」
業界固有の規制	所属する業界団体、監督官庁	「当業界でこの使い方について出ている指針はあるか」

この表は、5行を1人に聞く表ではありません。行ごとに行き先が違うことを先に分けておくための表です。2行目だけは相手が人ではなく文書なので、自社で今日読めます。残りの4行は、外に聞きに行く必要があります。分けておかないと、弁護士に提供元の仕様を尋ね、業界団体に契約の解釈を尋ねる、という往復が起こります。

右端の列は、そのまま口に出して使える形で書いてあります。ただし、実際に聞くときは、ここに自社の具体を足してください。どの取引先の、どの資料を、どの業務で使いたいのか。一般化するほど、返ってくる答えも一般論になります。具体的に聞けるかどうかは、2章で業務を1つに絞ってあるかにかかっています。

この一覧を作る作業そのものは、半日で終わります。難しいのは調べることではなく、社内で「誰に聞くか」が決まっていないことのほうです。顧問弁護士がいない会社なら、その事実を書いてください。空欄のままにせず、「顧問なし。契約関係は◯◯が窓口となり、必要に応じて外部に相談する」と書けば、少なくとも判断が宙に浮きません。

公式ドキュメントを見るときの探し言葉は、「データの取り扱い」「プライバシー」「学習への利用」「保存期間」「管理者設定」「監査ログ」です。 確認したら、確認したページの名前と確認日を記録してください（3章の点検項目8）。提供元の条件は変わります。記録が無いと、変わったことに気づけません。

入れてはいけない情報

3章で分けた4段階と対応させます。この章で増やすのは、段階の中でも特に扱いを間違えやすいものです。

情報	3章の段階	扱い
他社から預かった資料（図面・名簿・原価）	取引先情報	契約を確認するまで入れない。「社外秘」と書かれていなくても同じ
履歴書・応募書類	個人情報	入れない。取得時に伝えた利用目的を確認する
顧客名簿・連絡先	個人情報	入れない。必要なら個人が特定できない形にできるかを確認する
健康・信条・経歴に関わる情報	個人情報	入れない。扱いが特に重い種類の情報
まだ公表していない業績・取引	機密	入れない
認証情報（パスワード・鍵）	機密	入れない。コードに直書きもしない（8章の点検項目6）

この表は、入れてよいものの一覧の裏返しではありません。ここに載っていないから入れてよい、とは読まないでください。読み方としては、3章で作った4段階の表が本体で、この表はそのうち特に間違えやすい6つを抜き出したものです。判断に使うのは4段階の表のほうです。

6行のうち、実務で最も相談が多いのは1行目です。他社から預かった資料は、自社の情報ではないので、自社のルールだけでは扱いを決められません。ここで起きやすいのは、悪意のある持ち出しではなく、善意の効率化です。打ち合わせでもらった仕様書を読み込ませて要点をまとめる——業務としてはごく自然な動作で、止める理由が本人には思いつきません。

たとえば、人材サービスの会社で、取引先から受け取った候補者の情報を、整理のために外部のサービスに入れようとする場面を考えます。入力の直前に担当者が「これは自社の情報ではない」と気づいて手を止め、確認すると、その取引先との契約には第三者への開示について明確な条項があった——こうした「ひやり」は起きやすく、しかも気づけるかどうかは偶然に左右されます。

対策は、禁止事項を増やすことではありません。手順書の材料の欄に「この資料は自社のものか、預かりものか」という1行を足すことです。入力の前に必ず目に入る場所に問いを置く。ルールを覚えてもらうより、確実に効きます。

「社外秘」と書かれていないから入れてよい、にはなりません。 他社から受け取った資料は、書いていなくても預かりものです。 判断がつかないときの既定は3章で決めてあります。迷ったら入れない。窓口に聞く（3章の点検項目4）。この既定が無い会社では、忙しい日の判断が必ず緩みます。

出してはいけない出力

入力より見落とされます。出ていくもののほうが、取り消せません。

出力	なぜ止めるか
実在の人物・企業の名前を使った文章や発言	なりすましになります。相手の信用に関わり、当社の信用も失います
実在しない事実・数字・出典を含む文章	訂正の手間が、作成にかかった時間をはるかに超えます（6章・7章）
他人の作品に強く似た文章・画像・コード	権利の問題になります。公開前に確認先に聞いてください
人が一度も読んでいない文章の公開・送信	上の3つを止める機会が無くなります
相手の判断を左右する数字（見積・納期・在庫）	人が確定させます（1章の段階4）

当社の決めごと：AIが作った文章を、人が読まずに公開・送信しない。 例外を作りません。 理由は、例外を1つ作ると「今回は急ぐから」が積み重なり、事故が起きたときに、どこを確認していなかったのかを追えなくなるためです。

人に関わる決定に、単独で使わない

採用・人事評価・与信・解約の判断。これらは1章で段階4（任せない）に置いた種類です。

場面	してはいけないこと	記録に残すこと
採用	応募書類を読ませて合否を決める	人が判断したこと、判断した人の氏名
人事評価	評価文を作らせて、そのまま確定させる	評価の根拠と、決めた人
与信・取引の可否	出てきた判定をそのまま使う	人がどの材料で決めたか
解約・契約の打ち切り	判断そのものを任せる	同上

共通するのは、相手に不利益が生じ、理由の説明を求められる場面であることです。「AIがそう判定しました」は説明になりません。 補助として使う場合も、人が決めたことが記録に残る形にしてください。記録が無いと、後から説明できません。

AIを使ったことを相手に伝えるべき場面

決まりを作っておかないと、その場の判断になります。場面を先に列挙します。

場面	当社の扱い
相手から「AIを使うか」と聞かれたとき	事実を答える
相手の資料・データを材料として使うとき	事前に伝えて、可否を確認する
成果物の一部に生成物を含めて納品するとき	契約時に扱いを取り決める
相手の秘密保持契約の対象を扱うとき	契約を確認する。書いていなければ聞く
社内向けの下書き	伝えない（成果物は人の名前で出す。1章の段階1）

2行目が最も多い場面です。 打ち合わせでもらった資料を材料にするのは自然な使い方ですが、相手の会社のルールでは禁じられていることがあります。聞けば済みます。

事故が起きたときの初動

入れてはいけない情報を入れてしまった、出してはいけない出力が外に出た。起きたときにやることは3つで、順番が決まっています。

順	やること	中身
1	止める	その処理・その道具の使用を止める。動いている自動処理があれば止める（4章の止め方）
2	報告する	決めてある窓口へ。時間の目安つき（例：気づいてから2時間以内）
3	記録する	いつ・何を・どこに入れた／出した。消す前に画面を残す

3を2より先にやらないでください。 記録を整えているあいだに報告が遅れるのが、最も被害が広がる形です。不完全でも先に報告するを既定にします。 そして、個人で判断して消さないこと。 消してしまうと、何が起きたかを後から確認できず、相手への説明もできなくなります。

当社の決めごと：報告した人を責めない。 理由は、責める運用にすると次から報告されなくなり、事故が見えなくなるためです。報告されない事故は、対策も打てません。

ひやりとした例を記録する

実害が出なかった例のほうが数は多く、同じ形で次に起きます。

記録すること	例
何をしようとしたか	取引先からの資料を材料にしようとした
どこで止まったか	入力する直前に、秘密保持契約の対象だと気づいた
どう直したか	入れる前に契約を確認する手順を、手順書に1行足した

置き場所は9章で決めた1か所です。月1回の共有の場（9章の点検項目10）で、この記録を読み合わせるだけで十分です。 なお、事故そのものの類型と技術的な対策は記事にまとめてあります（中小企業のAI導入セキュリティリスクと対策）。この章で扱うのは、社内の手順として何を決めるかです。

迷ったときは使わない（この章の既定）

この章に限っては、迷った時点で答えが出ています。

迷い方	既定
入れてよい情報か分からない	入れない。窓口に聞く
公開してよい出力か分からない	公開しない。確認先に聞く
契約に書いてあるか分からない	使わない。契約を確認してから使う
相手に伝えるべきか分からない	伝える

「分からないので、とりあえず進めた」を許さないだけで、この章の事故はほとんど防げます。速さは他の章で取り返せます。

よくある間違いを5つ

「社外秘と書いていない資料だったので入れた」 ——他社から受け取った資料は、書いていなくても預かりものです。直し方：他社由来の資料は、契約を確認するまで入れない。確認先と問いを手順書に書く。

「個人情報は名前を消したから大丈夫だと判断した」 ——どこまで消せば特定できないかは、自社では判断しきれません。直し方：判断を自社で下さず、顧問弁護士や国の相談窓口に、具体的な形で聞く。

「出てきた文章をそのまま公開した」 ——実在しない事実や、他人の表現に強く似た箇所が混ざる可能性が残ります。直し方：人が読んでいない文章は公開しない。例外を作らない。

「事故が起きたが、大ごとにしたくなかったので自分で消した」 ——何が起きたかが分からなくなり、相手にも説明できなくなります。直し方：止める→報告する→記録する。消す前に画面を残す。報告した人を責めない運用にする。

「AIを使っていることは、こちらから言わないことにした」 ——聞かれてから答える形にすると、隠していたと受け取られます。直し方：伝える場面を先に列挙して決めておく。迷ったら伝える。

この章の出口

この章を終えたとき、手元に残っているべきものは3つです。

1. 確認先の一覧（契約・個人情報・著作物・業界規制の4つ。氏名と機関名）
2. 初動3手の1枚（止める・報告する・記録する／報告先と時間の目安）
3. ひやり記録の置き場所

ここまでで「守る」の2章が終わりました。残るのは、続けるための2章です。 次は、やってよかったのかを数字で言えるようにする話です。「便利になった」で終わると、翌年の予算も、次に手を付ける業務も決まりません。

次の章へ：11章 AI導入の効果測定｜何を数えるか