# 生成AI 利用ガイドライン（ひな形）

> このひな形は、BlueAI セキュリティが公的機関と業界団体の資料をもとに作成したものです。【】の中を自社に合わせて書き換え、既存の情報セキュリティの規程と矛盾しないよう調整してから使ってください。法的な判断が要る点は、専門家に確認してください。
> 出典と解説 https://security.blueai.jp/guides/generative-ai-guideline/

## 第1条 目的

1. このガイドラインは、【会社名】（以下「当社」）の役員と従業員、【業務委託先】が、業務で生成 AI を安全に使うための決まりを定めます。
2. 生成 AI の出力は、使った人が内容を確かめ、【上長】の確認を経てから業務に使います。AI の出力だけで会社の判断をしません。

## 第2条 使ってよい AI サービス

1. 業務で使ってよい生成 AI は、次の一覧にあるものだけです。【サービス名、契約の種類、使ってよい部署】
2. 一覧にない AI サービス（ブラウザの拡張機能、AI 機能つきの外部アプリを含む）を業務で使いたいときは、【担当部署】に申請し、許可を受けてから使います。
3. 【担当部署】は、許可の前に、利用規約とプライバシーポリシーを読み、入力したデータが AI の学習に使われるかどうか、データがどの国で保存されるかを確認します。

## 第3条 アカウントと設定

1. 業務では、当社が契約したアカウントだけを使います。個人で契約したアカウント、私物の端末での業務利用はしません。
2. 入力したデータを学習に使わない設定（オプトアウト）がある場合は、必ず有効にします。
3. アカウントには多要素認証を設定し、パスワードを他の人と共有しません。

## 第4条 使ってはいけない用途

1. 【例 人事評価や採用の合否を AI の出力だけで決めること】
2. 【例 顧客との契約内容を AI の出力だけで確定すること】
3. 法令や公序良俗に反する用途、AI サービスの利用規約が禁じる用途には使いません。

## 第5条 入力してはいけない情報

1. 顧客や従業員の個人情報。ただし、入力したデータを学習などに使わないことを【担当部署】が確認したサービスで、利用目的の範囲内で使う場合は、【担当部署】の許可を受けて入力できます。
2. 取引先から秘密保持の約束のもとで受け取った情報。
3. 当社の機密情報（【未公開の財務情報、技術情報、人事情報、営業秘密など】）。
4. パスワード、API キーなどの認証情報。
5. 他人の著作物、作家名、作品名、キャラクター名などを、それに似たものを作る目的で入力すること（当社の決まり。文化庁は、作品名などの入力は既存の著作物を知っていたことを推認させる事情になるとしています）。

## 第6条 出力の確認と使い方

1. AI の出力には誤り（事実と異なる内容）が含まれることがあります。数字、固有名詞、根拠は、元の資料で確かめてから使います。
2. 出力を社外に出す文書、ウェブ、広告に使う前に、既存の著作物、登録商標、登録意匠に似ていないかを検索などで確かめます。似ているものが見つかったら、【担当部署】に相談し、使わないか作り直します（当社の慎重な運用です。著作権の侵害かどうかは、似ていることと、元の著作物に基づいていることの両方で判断されます）。
3. 出力はそのまま使わず、担当者が手を加えて仕上げます。
4. AI の出力を社外向けに使う場合は、【「生成 AI を使って作成」などと明記する】かどうかを【担当部署】が決めます。
5. AI の出力を、特定の人の評価の参考にする場合は、その人にそのことを伝え、最後は人が判断します。

## 第7条 記録

1. 社外に出す成果物を AI で作ったときは、使ったサービス、入力した指示（プロンプト）、出力を【保存先】に【保存期間】残します。

## 第8条 AI エージェントと外部連携

1. メールの送信、ファイルの削除、購入、公開など、取り消しにくい操作を AI に任せる場合は、実行の前に人が内容を確かめて承認する設定にします。
2. AI に渡す権限と、つなぐ社内データは、仕事に必要な範囲にとどめます。
3. AI に外部のウェブページ、メール、ファイルを読ませるときは、その中に AI への指示が仕込まれている場合があることを前提に使います。

## 第9条 事故と相談

1. 入力してはいけない情報を入力した、出力が他人の権利を侵害しているおそれがある、AI が頼んでいない操作をした、などに気づいたら、すぐに【担当部署と連絡先】に報告します。
2. 【担当部署】は、利用の停止、関係者への連絡、原因の確認、再発防止を行います。

## 第10条 教育と見直し

1. 生成 AI を使う人は、使い始める前と【年1回】、このガイドラインの講習を受けます。
2. 【担当部署】は、このガイドラインと第2条の一覧を【年1回】と、新しい AI サービスを許可するときに見直します。

## 第11条 違反したとき

1. このガイドラインに違反した場合は、【就業規則の定め】に従って対応します。

制定 【制定日】