ChatGPTの業務利用禁止を見直す手順｜解禁の条件と社内説明

ChatGPTの業務利用禁止を見直すときに最初にやるのは、禁止を解くことではありません。「なぜ禁止したのか」を4つのタイプに仕分けて、1つずつ解禁の条件に置き換える作業です。理由が「情報漏洩が心配」なのか「顧客との契約で縛られている」なのかで、必要な打ち手も、社内説明の相手も変わります。

この記事は、社内で「生成AIは当面禁止」と決まっていて、それを見直したい情報システム担当・総務・経営企画の方に向けて書いています。読み終わる頃には、禁止理由の仕分け方、契約と就業規則のどこを確認するか、限定解禁の範囲と戻す条件の決め方、役員と現場それぞれへの説明の組み立て方まで、そのまま社内に持ち込める状態を目指します。

なお、この記事は「すでに禁止ルールがある会社が、それを見直す」場面に絞ります。ルールが無いまま社員が個人アカウントで使っている状態の止め方はシャドーAI対策｜中小企業の放置リスクとルール化手順で解説しているので、そちらが自社の状況に近い方は先にお読みください。

Contents / 目次

1. 禁止理由の4タイプと、それぞれの解禁条件
2. ChatGPTの業務利用禁止を見直す手順6ステップ
3. 役員・情シス・現場に分けた社内説明の作り方
4. 解禁後に起きる変化と、効果の数え方
5. 見直しの現場で実際に起きる失敗と、その防ぎ方
6. 解禁したあとに残る不便と、現場の妥協点
7. よくある質問
8. まず、禁止が書かれている場所を1分で探す

禁止理由の4タイプと、それぞれの解禁条件

ChatGPTの業務利用禁止は、次の4タイプのどれかに必ず当てはまります。まずこの仕分けをしないと、情報漏洩対策を一生懸命に整えたのに、本当の理由は「決められる人がいなかった」だけだった、という空回りが起きます。

禁止が続いている理由は、リスク分析の結果とは限りません。判断を保留したまま時間が経っているだけのこともあります。その場合は、セキュリティ設定より先に「誰が決めるか」を決める方が早く進みます。

禁止理由のタイプ	社内で出てくる言い方	確かめること	解禁の条件
①情報漏洩が心配	入力した内容が学習に使われるらしい	誰の契約・誰の支払いで使っているか。学習利用に関する設定	会社が管理するアカウントに統一し、入力してよい情報の区分を文章で決める
②出力の正しさに責任が持てない	間違った内容をお客さまに出したらどうする	成果物を誰が最終確認しているか。今の確認フローの有無	人が必ず確認してから外に出す業務に限って使う
③契約・規制で縛られている	お客さまの資料は外に出せない決まりだ	秘密保持契約の条項、委託元の指示書、業界の指針	対象データを外して解禁する。または案件単位で可否を分ける
④判断できる人がいない	よく分からないので当面禁止で	決裁者は誰か。いつ見直す約束だったか	決裁者と見直し期限を決め、限定解禁で判断材料を作る

ここで大事なのは、③だけは「禁止を続けるのが正解」という結論があり得ることです。委託元から書面で生成AIの使用を制限されている案件は、社内の意欲だけでは動かせません。その場合は、対象案件を除いた範囲での解禁に切り替えます。

ポイント。①②④は自社の決め方で解けます。③は相手のある話なので、確認に2〜4週間かかる前提でスケジュールを組んでください。

つまりこの章で押さえるのは、自社の禁止がどのタイプかを先に決めることです。タイプが決まれば、次の章の手順のうちどこに時間をかけるかが自動的に決まります。

ChatGPTの業務利用禁止を見直す手順6ステップ

見直しの実作業は、社内の記録を探すところから始まります。順番を入れ替えると、あとで「その話は聞いていない」と差し戻されるので、この並びで進めるのが安全です。

ステップ1．禁止がどこに書かれているかを特定する

最初にやるのは、禁止ルールの置き場所の特定です。書かれている場所によって、変更の手間がまったく違います。

• 就業規則の本体：変更するときは、所轄の労働基準監督署への届出が必要かどうかを先に確認する。届出の要否は、その記載が就業規則の必要記載事項に当たるかどうかで変わるため、自社の判断が難しい場合は社会保険労務士か労働基準監督署に確認する
• 情報セキュリティ規程や社内内規：社内の決裁だけで改定できることが多い。実務上いちばん扱いやすい
• 部門長の口頭指示・全社メール1通：正式な規程が存在しない状態。周知メールの差し替えで済むが、経緯を知る人への確認は必要
• 取引先との覚書・情報セキュリティチェックシートの回答：社外への回答として残っているため、変更すると相手への連絡が必要になる

ここで実務のコツを1つ。就業規則の本体に「ChatGPTの使用を禁止する」とツール名で書くのは避けてください。新しいツールが出るたびに規則の変更手続きを検討することになります。本体には「業務で使用する情報機器・外部サービスの取り扱いは別に定める規程による」と書き、具体名は社内規程側に置く形が動かしやすくなります。

すでにツール名で書かれている場合の直し方は、社内規程の文言整理と同じ考え方です。手を付ける前の確認については就業規則のAIチェック手順5ステップ｜社労士確認の線引きも参考にしてください。

ステップ2．禁止を決めた人に理由を聞き、4タイプに仕分ける

次に、禁止を決めた人へのヒアリングを15〜30分だけ行います。ここを飛ばして解禁案を作ると、稟議の場で決定者本人から反対されて終わります。

聞くことは4つです。特に4つ目が、この後の作業量を決めます。

【禁止理由のヒアリング・質問4つ】

1. このルールを決めたのは、いつ・どなたですか。
2. 禁止しなかった場合、何が起きると考えていましたか。
   （具体的に「何が」「どこから」漏れる想定でしたか）
3. お客さまとの契約や、業界の決まりで
   明文の制限を受けているものはありますか。
4. どういう状態になったら、使ってよいと考えますか。
   （逆に、これが揃っていないうちは駄目、という条件でも構いません）

4つ目で条件が言葉になれば、あとはその条件を満たしにいくだけの作業になります。「特に条件は無い、なんとなく怖いだけ」という答えなら、それはタイプ④なので、見直し期限と決裁者を決める話に切り替えます。

ステップ3．契約と法令で本当に縛られている範囲を確認する

タイプ③に当たった場合は、契約書の該当条項を実際に開いて読みます。読む場所は決まっているので、法務担当がいない会社でも自分で確認できます。

1. 顧客との業務委託契約・秘密保持契約の「秘密情報の第三者への開示・提供」条項を読む。外部サービスへの入力が第三者提供に当たると読める書き方か確認する
2. 同じ契約の「再委託」条項を読む。事前承諾が必要な場合、外部AIサービスの利用をどう位置づけるか整理が要る
3. 「情報の保管場所・国外移転」に関する条項があるか確認する。国外のサーバーでの処理を制限している契約は実在する
4. 個人情報を含むデータを扱う場合は、個人情報保護委員会が公表しているガイドラインを確認する（個人情報の保護に関する法律についてのガイドライン／個人情報保護委員会）
5. 金融・医療・自治体案件など、委託元が独自の指針を出している分野は、その指針の最新版を取り寄せる

読んでも判断が付かない条項は、無理に自社解釈しないでください。案件担当を通じて「本案件のデータについて、外部の生成AIサービスへの入力可否」をメールで確認し、回答を残すのが確実です。口頭の了解は、担当者が変わった瞬間に消えます。

全社で一律に決められない場合は、案件単位で可否を管理する方式に切り替えてください。案件リストに「AI利用可・不可・要確認」の1列を足すだけで運用できます。全社の結論が出るまで全案件を止める方が、現場の不満は大きくなります。

ステップ4．使う環境を会社の管理下に置く

解禁の前提として、利用環境を個人契約から会社契約に移します。禁止を解くこととセットで、個人アカウントや個人の支払いでの業務利用は引き続き認めない、と明文化するのがこのステップの要点です。

会社として押さえたい観点は次のとおりです。プラン名も設定の場所も変わるため、下の項目は「契約前に何を確認するか」のリストとして使い、実際の対応可否は契約するサービスの提供元に問い合わせて、書面またはメールで回答を残してください。ここに挙げた機能がどのサービスにも用意されているとは限らないので、あるかどうかから確認してください。

• 入力データの学習利用：会社として使う環境で、入力内容がモデルの学習に使われるのかどうかを確認する。設定を利用者本人が変更できるのか、会社側で一律に決められるのかも合わせて聞く
• 管理者による一覧管理：誰がアカウントを持っているかを管理者が把握できるか。退職・異動時に停止できるか。アカウントの追加・削除を管理者がまとめて行えるかを確認する
• ログインの統制：会社のメールアドレスでの参加に限定できるか。シングルサインオン（SSO）や多要素認証を必須にできるかを確認する
• 利用状況の確認：利用の有無や件数を管理者が確認できるか。会話の中身まで見られるかは別問題なので、社員への説明時に区別して伝える

法人向けと個人向けで何が違うのかを社内で説明する必要が出たら、AIの法人プランと個人プランの違い｜学習利用と管理機能で選ぶと、管理画面で確認する項目をまとめたChatGPT業務利用のセキュリティ設定｜管理画面で見る6項目が、そのまま資料の下敷きになります。

ステップ5．入力してよい情報を3区分で決める

解禁で一番もめるのが「どこまで入れていいのか」です。細かく列挙するほど現場は覚えられないので、3区分に割り切ります。

区分	具体例	扱い
公開情報	自社サイトに載っている文章、公表済みの資料、一般に手に入る統計	そのまま入力してよい
社内限り	社内会議のメモ、業務手順書、原価や個人名を含まない企画のたたき台	会社が契約したアカウントでのみ入力してよい
持ち出し禁止	顧客名・取引先名、個人情報、未公開の価格や原価、契約書の原本、社外秘のソースコード	入力しない。必要なら固有名詞を伏せ字や仮名に置き換えてから使う

それでも迷う場面は必ず出ます。そのときの判断基準を1文だけ配ってください。「この文章をそのまま、社外の協力会社にメールで送れるか」です。送れないものは入力しない。この言い換えは、区分表よりも現場で機能します。

個人情報の線引きをもう一段細かく決めたい場合は、AIに入力してはいけない個人情報｜線引きと社内ルールの作り方で判断の分かれ目を整理しています。

ステップ6．限定解禁の範囲と、禁止に戻す条件を決める

最後に、いきなり全社解禁にせず、範囲を絞った試用期間を設けます。決めるのは5項目です。

1. 対象部署を1〜2部署に絞る。文章を書く量が多い部署（総務・広報・営業事務）から始めると効果が見えやすい
2. 対象業務を3つ程度に限定する。社内文書のたたき台づくり、長い資料の要約、文章の表記チェックなど、外に出す前に人が必ず読むものを選ぶ
3. 期間を8〜12週間で区切る。短すぎると習熟前に終わり、長すぎると判断が先送りされる
4. 記録の取り方を決める。週1回・10分で「使った業務」「うまくいかなかったこと」を報告する形式にする
5. 禁止に戻す条件を先に文章にする。例として「持ち出し禁止の情報が入力された事実が確認された場合は、その部署の利用を即時停止し、範囲を見直す」

戻す条件を先に書いておくと、慎重な役員ほど賛成しやすくなります。「やってみて駄目なら止められる」という設計が見えるかどうかで、稟議の通り方が変わります。

解禁前に潰しておく項目をチェックリストにしました。着手前にコピーして使ってください。

【限定解禁の前チェックリスト】
□ 禁止が書かれている文書をすべて洗い出した
□ 禁止を決めた本人に理由を確認し、4タイプに仕分けた
□ 制限のかかる契約・案件を一覧にした
□ 会社契約のアカウントを用意し、管理者を決めた
□ 個人アカウントでの業務利用は引き続き不可、と明文化した
□ 入力してよい情報の3区分を1枚にまとめた
□ 対象部署・対象業務・期間を決めた
□ 禁止に戻す条件を文章にした
□ 質問の受け先（担当者名と連絡方法）を決めた

つまりこの章で押さえるのは、解禁は「決裁の一発勝負」ではなく、範囲・期間・戻し方をセットで設計する作業だということです。この6ステップが埋まれば、稟議に出せる材料は揃っています。

役員・情シス・現場に分けた社内説明の作り方

社内説明は、同じ資料を3者に配ると失敗します。役員が知りたいのは責任の所在、情シスが知りたいのは管理できる範囲、現場が知りたいのは今日から何をしていいかで、まったく別だからです。

役員・決裁者への説明は、比較と戻し方で組み立てる

役員会で効くのは「AIは便利です」ではなく、禁止を続けた場合と限定解禁した場合の比較です。禁止を続けても、個人のスマートフォンでの利用までは止められません。会社が把握できない利用が残るという事実を、正面から出します。

稟議や口頭説明の骨子は5行で足ります。

【稟議・役員説明の骨子（5行）】

1. 現状：生成AIの業務利用を［規程名］で全面禁止している。
   決定は［年月］、理由は［情報漏洩の懸念／判断保留］。
2. 課題：禁止のままでは個人端末での利用を把握できず、
   漏洩リスクは残る。業務効率化の手は打てていない。
3. 提案：会社契約のアカウントに限定し、［部署名］の
   ［業務3つ］について［期間］試行する。
4. 統制：入力情報を3区分で定義。持ち出し禁止情報の
   入力が確認された場合は即時停止する。
5. 判断：試行後に、対象拡大・現状維持・禁止復帰の
   いずれかを［年月］の会議で決定する。

この骨子は、あくまで自社の判断材料として組み立ててください。国の方針を根拠として引用する場合は、参照する公表資料の名称・年度・該当箇所まで自分で確認したうえで添えてください。名称を特定せずに「国も推進している」とだけ書くと、稟議の場で裏取りを求められたときに答えられなくなります。

情報システム担当への説明は、管理できる項目を並べる

情シスや管理部門が反対する理由は、たいてい「後始末を全部押し付けられる」という予感です。ですから、管理の作業量が月にどれくらいかを先に示します。

• アカウント発行と停止：入社・退職時の手続きに1行足すだけで済む形にする
• 月次の確認：利用者数と利用の有無を月1回、10〜30分で確認する。会話の中身を全件見るのは最初から諦める
• 問い合わせ対応：使い方の質問は情シスではなく、試行部署の中に相談役を1人置いて受ける
• 棚卸し：試行期間の終わりに、使われていないアカウントを止める

現場への周知は、A4一枚とメール1通に収める

現場に渡すのは、やっていいこと3つ、やってはいけないこと3つ、困ったときの相談先です。規程の全文を配ると読まれません。周知メールの文面例を置いておきます。

件名：生成AIの業務利用について（［部署名］での試行開始のお知らせ）

［部署名］のみなさま

これまで全社で利用を見合わせていた生成AIについて、
［日付］から［期間］、［部署名］に限って試行します。

■ 使ってよいこと
・社内文書のたたき台づくり
・長い資料の要約
・文章の表記チェック

■ 使ってはいけないこと
・個人のアカウントや個人の支払いでの業務利用
・お客さまの名前、個人情報、未公開の価格や原価の入力
・確認せずに、出てきた文章をそのまま社外に出すこと

迷ったときは「この文章をそのまま社外の協力会社に
メールで送れるか」で判断してください。
送れない内容は入力しないでください。

質問と、うまくいかなかった事例は［担当者名／連絡先］まで。
失敗の報告は、後の判断材料になるので歓迎します。

［発信者名］

最後の1行を入れておくと、報告が上がってきます。上がってこない試行は、成功したのか誰も使わなかったのかが分からないまま終わります。

周知に使うルール文書そのものを一から作る場合は、生成AI社内ルールのサンプル｜A4一枚12項目のひな形と決め方が使えます。関係部署の合意をどう取り付けるかはAI導入の社内合意形成を進める5つの手順にまとめています。

つまりこの章で押さえるのは、説明する相手ごとに「知りたいこと」が違うと理解して、資料を3本に割ることです。1本で済ませようとすると、どれにも刺さらない資料ができます。

解禁後に起きる変化と、効果の数え方

限定解禁をして最初に起きる変化は、業務時間の短縮ではありません。隠れて使っていた社員が表に出てくることです。試行を始めると「実は前から使っていました」という申告が出てきます。ここで叱らずに情報を集められるかが、その後の統制の質を決めます。

効果を数字にするなら、試行の設計に測定を組み込んでおきます。後から思い出して集計するのは無理です。

1. 対象業務を3つ決めた時点で、その業務に今かかっている時間を測る。1件あたりの所要時間を、3人×2週間分だけ記録する
2. 試行開始後、同じ業務の所要時間を同じ形式で記録する
3. 差分を1件あたりの短縮時間として出し、月間の件数を掛けて月の削減時間にする
4. 金額に換算する場合は、自社の人件費単価を掛ける。単価は自社の給与・賞与・法定福利費を含めた年間人件費を年間の総労働時間で割って出し、どこまで含めた数字かをメモに残す。社外の相場を借りると、後で根拠を聞かれたときに答えられなくなる

ポイント。試算の数字は、必ず「仮の値」と明示して社内に出してください。実測前の数字を確定値のように扱うと、後で下振れしたときに取り組み全体の信用が落ちます。

測り方の設計をもう少し詰めたい場合は、AI業務効率化の効果を数字で出す方法｜削減時間の測り方で記録フォーマットまで解説しています。

試行を設計するときに、先に決めておくと迷いが減るのは次の3点です。派手な使い方をしているかどうかは関係ありません。

• 決裁者が明確：「この件は誰に聞けば決まるか」が全員に分かっている
• 対象業務が絞れている：何でも使ってよい、ではなく3つ程度に絞られている
• 相談先が近い：使い方の質問を、同じ部署の人に聞ける状態がある

逆に、対象業務を絞らずに「自由に試してください」とだけ伝えると、何をしていいか分からないまま手が止まりやすくなります。この点は次の章で詳しく扱います。

見直しの現場で実際に起きる失敗と、その防ぎ方

禁止の見直しには、この場面でしか起きない失敗があります。5つ挙げます。

失敗1．禁止を決めた本人を飛ばして解禁案を作る

推進担当がやる気になって、情シスと一緒に解禁案を仕上げてから役員会に出す。この進め方をすると、禁止を決めた役員が「聞いていない」と反応し、内容の議論に入る前に差し戻されます。

防ぎ方は、ステップ2のヒアリングを稟議の前に必ず入れることです。「以前ご判断された件を見直したいので、当時の考えを教えてください」と相談の形で入ると、決定者が反対側ではなく設計側に回ります。

失敗2．規程にツール名を書いて、次のツールで詰まる

「ChatGPTの利用を許可する」と規程に書いてしまうと、別のAIサービスを使いたくなったときに、また改定手続きが必要になります。半年後に同じ会議をもう一度開くことになります。

防ぎ方は、規程では「会社が承認した外部AIサービス」と書き、承認したサービスの一覧を別紙で管理することです。一覧の更新は担当部門の決裁で回せる設計にしておきます。

失敗3．会社アカウントを配っただけで、個人利用が残る

会社契約のアカウントを配ったのに、社員は使い慣れた個人アカウントを使い続ける。履歴も設定も個人側に残っているので、当然そうなります。結果として、統制されていない利用が残ります。

防ぎ方は2つです。周知の時点で「業務では会社アカウントのみ。個人アカウントでの業務利用は認めない」と明文で伝えること。そして会社アカウントに、個人では使えない材料（社内の手順書や過去資料）を置いて、会社側を使う理由を作ることです。個人利用が残り続ける構造の直し方はシャドーAI対策の3ステップ｜禁止せず情報漏洩を止める仕組みで扱っています。

失敗4．解禁の勢いで、制限のある案件データを入れてしまう

「解禁になった」という言葉だけが広まると、顧客との契約で制限がかかっている案件の資料まで入力されます。契約違反は、社内の情報漏洩よりも影響が重くなります。

防ぎ方は、解禁の周知文に必ず「案件によっては使えないものがある」と書き、案件リストに可否の列を作ることです。周知文が「解禁しました」の1行だけになっていないか、送信前に確認してください。

失敗5．使い方を渡さず、早い段階で使われなくなる

アカウントを配って「自由に使ってください」と伝えるだけだと、最初の数回で「思ったほどでもない」と感じて離脱する社員が出ます。そして次の会議で「使われていないので禁止に戻しましょう」という結論が出ます。せっかく通した稟議が、逆方向の根拠になってしまいます。

防ぎ方は、対象業務3つそれぞれについて、実際の指示文の例を1つずつ配ることです。自社の業務に合った具体例が3つあるだけで、初週の使われ方が変わります。教える順番についてはAI業務効率化を社員に教える順番｜社内研修の中身と進め方が参考になります。

つまりこの章で押さえるのは、失敗のほとんどが技術ではなく段取りで起きるということです。決定者を巻き込む、規程にツール名を書かない、周知文に制限を書く。この3つだけでも、差し戻しの大半は防げます。

解禁したあとに残る不便と、現場の妥協点

正直に書きます。禁止を解いても、きれいに解決しないものが残ります。先に知っておくと、想定外の消耗を避けられます。

1つ目は、責任が推進した人だけに残る構造です。稟議を書いた人が、その後の問い合わせ対応も、月次の確認も、トラブル時の説明も全部やることになりがちです。これを避けるには、稟議の時点で決裁者と運用責任者を分けて明記してください。運用責任者の業務を月に何時間と見積もり、その分の他業務を外す話までできれば理想です。

2つ目は、ログを見る人がいないことです。管理機能があっても、全社員の利用内容を毎週確認する時間はどの会社にもありません。現実的な妥協は、月1回、利用者数と部署別の利用有無だけを見る形に固定することです。中身の確認は、問題が起きたときの調査手段として持っておくにとどめます。「全部見ています」と社員に伝えるのも、実態と違うので避けてください。

3つ目は、顧客から聞かれたときの説明です。提案書や納品物の作成にAIを使ったかどうかを、取引先から質問されることがあります。成果物の作成過程でのAI利用について、既存契約に取り決めが無いこともあります。聞かれてから慌てないよう、自社の説明文を2〜3行だけ先に用意しておくと落ち着いて答えられます。

4つ目は、費用の見落としです。目に見えるのはアカウントの利用料ですが、実際に効いてくるのは、社員が使い方を覚える時間と、質問に答える人の時間です。この2つは業務内容と参加人数で大きく変わるので、計画段階で自社の実情に合わせて見積もり、アカウント料金と並べて書いておいてください。

5つ目は、それでも解禁できない領域が残ることです。委託元から書面で制限されている案件、個人情報の取り扱いが厳格に定められた業務は、禁止を続ける判断が正しい場合があります。全社一律の解禁にこだわらず、「この案件群は対象外」と線を引いて残す方が、運用は長持ちします。

解禁の判断は、業種と契約内容によって変わります。他社が解禁したから自社も、という理由では説明が持ちません。自社の契約と規程を確認したうえで決めてください。

つまりこの章で押さえるのは、解禁後の運用コストを先に見積もっておくことです。ここを織り込んでおけば、試行が終わったときに「思ったより手がかかった」で撤退する結論を避けられます。

よくある質問

まず、禁止が書かれている場所を1分で探す

今日できる最初の一歩は、社内の共有フォルダで「生成AI」「ChatGPT」の2語を検索し、禁止がどの文書に書かれているかを確かめることです。就業規則の本体なのか、内規なのか、メール1通なのか。これが分かるだけで、見直しの重さが見えます。

解禁後に配るルール文書を先に見ておきたい方は、生成AI社内ルールのサンプル｜A4一枚12項目のひな形と決め方から着手すると、稟議と周知を一度に準備できます。

ここまで読んで、契約の確認や社内説明を自社だけで進めるのは骨が折れそうだと感じた方もいると思います。禁止の理由を仕分けるところから、規程の書き方、試行の設計、社員への説明まで、順番に一緒に進めていく形でお手伝いしています。今の状況を聞かせていただくだけでも構いませんので、気軽にご相談ください。

社員へまとめて周知したい場合は、解禁後の社内説明に使える社内AI活用研修という進め方もあります。