Q5.社内のAIガバナンス・利用ポリシーは、最低限何を決めるべきですか？
回答
利用可能なツール範囲、入力してよいデータ、人の最終確認義務、ログ・監査、インシデント時の報告経路の5点が土台です。禁止リストだけでは現場が迂回します。
ポリシーは「何をしてはいけないか」に加え、「安全に使う手順」を書きます。顧客個人情報、未公開情報、ソースコードの外部送信可否、生成物の確認責任、誤りや事故の報告先を明文化します。情シス・法務・業務部門で定期確認し、モデル、機能、用途、法令、事故状況が変わった際にも見直します。著作権や個人情報の判断は専門担当者が確認し、教育では役割別の利用手順と報告方法を扱います。
- ●データ分類（公開可／社内限定／持ち出し禁止）とツールの対応表
- ●高リスク業務での人間承認・二重確認の必須化
- ●プロンプト・出力のログ保持期間とアクセス権
参考にした一次資料
- 生成AIの調達・利活用に係るガイドライン 第2.0版 （デジタル庁）
- 生成AIおよびAIエージェントを安全に活用するための手引書 （独立行政法人情報処理推進機構（IPA））
- 生成AIサービスの利用に関する注意喚起等について （個人情報保護委員会）
編集: inovie編集部 ｜ 一次資料確認日: 2026/08/25