社員にAIを使わせたいがセキュリティが怖い、の整理の仕方

外部の情シス担当として時給制で関与している会社から、「組織でAIを使いたい」という相談がありました。社員にAIを使わせたいが、機密情報の扱いが不安、という温度感です。

よくある話に聞こえますが、実際に整理しようとすると、すぐ詰まります。何を決めれば「使っていい状態」になるのかが、最初は見えていなかったからです。

許可する前の現状確認

この相談が来たとき、まず確認したいのは「今、社員はAIをどう使っているか」です。

会社として禁止している、という組織でも、個人スマホで使っている社員はいます。禁止してもゼロにはならない。ならば、野放しより管理できる状態のほうがいい、という話になります。

ここで「では許可します」と言うだけでは意味がありません。何を使っていいか、何を入力してはいけないか、何かあったとき誰が判断するか。この3つが決まっていないと、許可したことにならないからです。

順番として大事なのは、技術的な環境を整える前に、利用のルールを言葉にしておくことです。

内容は難しくありません。要点は3つで足ります。

ガイドラインが1枚あると、社員側は「これを守れば使っていい」と判断できます。管理者側は「ルールを破った場合」という話ができます。どちらにとっても、ルールがない状態より動きやすくなります。

ここが実務上の詰まり所です。

AIサービスの多くは、個人プランと組織プランで、データの取り扱いが異なります。個人プランで入力した内容は、サービス側が改善のために使う可能性があります。組織プランはそれをオフにできる契約になっていることが多い。

ここは最初に押さえておきたいところです。社員が個人のフリーアカウントを使っている状態では、会社として「データを守っている」と言えません。

組織として使うなら、組織として契約する。その契約の管理を誰がやるかを決める。この2点をセットで整理しないと、ガイドラインを作っても中身が追いつきません。

私はこの会社に、外部の情シス担当として時給制で関与しています。社員ではないので、社内の決裁ラインをそのまま動かせるわけではありません。

でも、こういう場面では、社内の人間ではないほうが動きやすいことがあります。

「なんで今さらルールを作るの」という社内の抵抗は、外から持ち込む話のほうが通りやすい。「外の専門家がそう言っている」は、時に社内での説得材料になります。その立場は、整理の道具として使えます。

進め方の順番としては、経営者と方針をすり合わせる→関係する部門に共有する→技術的な設定は方針が固まってから、という流れが自然です。環境を先に動かすと、ルールが追いつかなくなります。

ガイドラインを作っても、現場が守るかどうかは別の話です。これは正直なところで、私も最初からそう伝えています。

ただ、決めてある状態とない状態では、「何かあったとき」の動きが全然違います。

社員がルールの線を越えた使い方をしたとき、ガイドラインがあれば「これはルール違反にあたる」と言えます。なければ、何が問題なのか話せません。

現場を止めずに進める、というのはつまり、走りながら整える、ということです。完璧なルールを最初から作ろうとすると止まります。「今の規模で最低限これだけ決める」で動かして、問題が出たら直す。

このサイクルを回す伴走が、私の関わり方です。

同じように進めるなら、要るのはだいたいこれだけです。

技術的な設定や環境構築は、この後です。順番を間違えると、方針より環境が先に動いてしまって、整合が取れなくなります。