中小企業のための生成AI活用ガイドライン策定のすすめ～安心して積極活用するために～

中小企業診断士　新井　一成

生成AIは活用していますか？
誰でも手軽に利用できるようになった生成AIは、生活やビジネスの現場に急速に普及しています。しかし企業として、実際の業務利用に対するスタンスはさまざまです。「当社では業務での生成AIの利用は一切認めていない」という企業もあれば、逆に「当社では生成AIの利用は従業員個人の判断に任せている」という企業もあるのではないでしょうか？総務省の調査によれば、日本の中小企業のおおよそ半数は「方針を明確に定めていない」と回答しています。

出典：総務省（2025）「国内外における最新の情報通信技術の研究開発及びデジタル活用の動向に関する調査研究」

生成AIは最新の技術の成果であり、未知のリスクを孕んでいる一方で、業務の効率化や新たなビジネス開発に非常に有効なツールでもあります。
そこで、企業組織としては、リスクに対応しながら、成果を上げられる使い方をする必要があります。ここでは、企業ごとに生成AIの利用方針や手順を明確にして、従業員が安心して生成AIを積極活用できるようにするために、自社で「生成AI活用ガイドライン」を策定する方法を説明します。

１．「使うリスク」と「使わないリスク」

前述のとおり、生成AIは最先端の技術であるため、未発達の部分も多く、生成AIを使う場合には、従来のITツールにはない、特有のリスクが発生します。その一方で、大きな可能性を秘めたツールでもあるため、利用しなければ、その恩恵を受けられないことが、事業にとってのリスクとなります。つまり、生成AIには「使うリスク」と「使わないリスク」があると言えます。

（１）使うリスク
①情報漏洩リスク
生成AIは入力されたデータの学習を行います。この学習結果が他の企業でも利用される場合には、間接的に情報の漏洩が発生する可能性があります。また従来のITツールとは異なる脆弱性である「プロンプトインジェクション」による攻撃の可能性があり、この攻撃により情報漏洩が起きてしまう可能性があります。

②誤情報の利用リスク
生成AIは、いわゆる「ハルシネーション」と呼ばれる現象により、事実とは異なる回答を出力することがあります。これに気づかないと、業務上の判断を誤るなどの危険性があります。また、AIが事前に学習したデータに偏り（人種・性別・思想等による偏見など）があると、その偏りが残った生成結果を利用してしまう危険性があります。

③他社権利の侵害リスク
生成AIの生成結果が第三者の著作権や商標権、意匠権、肖像権などを侵害してしまう可能性があります。
また、秘密保持契約（NDA）によって入手した情報（NDA情報）については、情報を生成AIに入力（学習）すること自体がAIプロバイダーへの「再委託」や「外部提供」とみなされる危険性があります。
④能力低下リスク
従業員が生成AIに依存しすぎてしまうと、自ら考えることをしなくなり、個人の能力が低下することが懸念されます。

（２）使わないリスク
①生産性の相対的低下リスク
生成AIを活用して生産性の向上を図る競合企業に対して、生産性の向上が遅れ、相対的に生産性が低下して、ビジネスのスピードやコストで競争に負けてしまう可能性があります。

②新事業機会の喪失リスク
生成AIを活用して、今まで気づかなかった新しいアイデアなどを創り出す機会が損なわれる可能性があります。また生成AI自体を組み込んだ新たなサービスやシステムを提供する可能性を見逃してしまう可能性があります。

③従業員の意欲低下リスク
プライベートで生成AIを活用している従業員も多く、その効率的な利用方法を知っている場合には、業務での活用ができないことがフラストレーションとなり、モチベーションの低下につながる可能性があります。

④隠れ利用（シャドーAI）リスク
会社として生成AIの利用を禁止しても、従業員個人が隠れて利用してしまう可能性があります。この場合は、「使うリスク」に対する効果的な対策ができないため、情報漏洩など、大きな事故につながる危険性があります。

２．生成AI活用ガイドライン

企業組織として、生成AIを積極的に活用して「使わないリスク」を避けるためには、「使うリスク」にきちんと対策を行う必要があります。しかしながら、多岐にわたるリスク対策を個別に従業員に任せてしまっては、現場が混乱してしまい、従業員は安心して生成AIを利用することができなくなってしまいます。
そこで、企業の事業内容・業務内容に合わせた独自の「生成AI活用ガイドライン」を策定し、これに基づいて利用を進めることで、誰でも安心して生成AIが利用できるようにすることをお勧めします。
「生成AI活用ガイドライン」は以下のような内容で構成します。

①利用ツールの限定
企業として契約条件を精査し、条件を満たすツールに利用を限定します。多くのツールの契約を整えることは手間やコスト面で負担が大きくなりますので、最初は少数のツールからスタートして、徐々に利用できるツールを追加することをお勧めします。なお、利用する各ツールの設定（学習不許可など）も明確化しておく必要があります。

②業務範囲の限定
生成AIを利用する業務範囲を決めておきます。具体的には利用してはいけない業務を洗い出して禁止とし、それ以外の業務では利用を促進することをお勧めします。

③禁止事項
生成AIの利用にあたって、禁止する事項を明確化します。たとえば、秘密情報の入力禁止、顧客情報やNDA情報の入力禁止などを決めておきます。利用するツールの契約条件や設定内容によって、禁止事項は変わってきますので、自社の条件に合わせた規定とします。

④利用方法／手順
生成AIを利用する際の方法や手順を標準化することにより、誰でも安心して利用できるようにします。たとえばデータの入力前に、出所や真偽を確認することや、生成結果については根拠確認、第三者権利侵害の確認をすること、などの手順を具体的に決めておきます。

⑤サポート体制
個々の利用者が判断に迷った場合などに相談する先を決めておきます。社内に相談先の確保が難しい場合には、社外の専門家などの活用を考えます。また、生成AIは技術の進歩が速いこともあり、ガイドラインは適宜アップデートが必要となりますので、見直しを行う期限や体制を決めておきます。
自社ガイドラインの策定にあたっては、公的機関などから公表されている以下のようなガイドラインが参考にできます。