LESSON 30分

ストーリー

田
田中VPoE
ガバナンスの全体像を把握した。次は具体的なポリシー策定だ。NetShop社にはまだ正式なAI利用ポリシーがない
あなた
ポリシーがないと何が問題なんですか？
あ
田
田中VPoE
先月、ある部門がお客様の個人情報を含むデータを外部AIサービスに送信していたことが発覚した。ポリシーがなければ「何が良くて何がダメか」の判断が個人任せになる
あなた
明確なルールを全社で共有する必要があるんですね
あ

AI利用ポリシーの構成

ポリシー文書の構造

セクション内容対象読者
目的と適用範囲ポリシーの趣旨、対象者全社員
基本原則AI利用の倫理的原則全社員
利用区分と承認プロセスリスクレベル別の利用ルールAI利用者
データ取扱い規定AI入出力データの管理ルールAI利用者
禁止事項明確に禁止される行為全社員
責任と義務役割ごとの責任分担管理者・開発者
インシデント対応問題発生時の対応手順全社員
改訂と周知ポリシー更新のプロセスガバナンスチーム

利用区分と承認プロセス

リスクベースの利用区分

区分リスクレベル例承認プロセス
区分A: 自由利用LOW文章校正、翻訳、要約事前承認不要、ガイドライン遵守
区分B: 届出制MEDIUMチャットボット、レコメンド部門長承認 + AI推進チーム届出
区分C: 許可制HIGH顧客対応自動化、価格決定AI倫理委員会審査 + 経営承認
区分D: 禁止禁止個人スコアリング、採用自動決定利用不可

承認フローの設計

[AI利用申請]
    │
    ▼
[リスクレベル判定]
    │
    ├→ 区分A → ガイドライン確認 → 利用開始
    │
    ├→ 区分B → 部門長承認 → AI推進チーム届出 → 利用開始
    │
    ├→ 区分C → AI推進チーム事前審査 → AI倫理委員会審査
    │           → 経営承認 → セキュリティレビュー → 利用開始
    │
    └→ 区分D → 却下（代替手段の提案）

データ取扱い規定

AIに入力してよいデータの分類

データ分類定義外部AI利用社内AI利用例
公開情報公開済みの情報OKOK商品情報、公開レポート
社内一般社内限りの一般情報条件付きOKOK議事録、社内マニュアル
機密情報事業上の機密NG条件付きOK売上データ、戦略文書
個人情報特定個人を識別可能NG厳格管理下のみ顧客データ、社員情報
要配慮個人情報人種、信条、病歴等NG原則NG健康情報、信条

データ送信時のチェックリスト

□ 送信先のAIサービスのプライバシーポリシーを確認した
□ データが学習に使用されないことを確認した（オプトアウト設定）
□ 個人情報が含まれていないことを確認した
□ 機密情報が含まれていないことを確認した
□ データの匿名化・マスキングを適用した（該当する場合）
□ データ送信のログが記録される設定を確認した

禁止事項の明確化

禁止リスト

カテゴリ禁止事項理由
データ顧客の個人情報を外部AIに入力プライバシー侵害
データ機密情報の外部AI送信情報漏洩リスク
出力AI生成コンテンツの無検証公開品質・正確性の問題
出力AI回答を最終意思決定に無条件使用責任の所在が不明確
倫理差別的なコンテンツ生成法的・倫理的問題
倫理虚偽情報の意図的生成信頼性の棄損
セキュリティ未承認のAIサービスの業務利用シャドーIT問題

責任分担マトリクス（RACI）

活動経営層AI倫理委員会AI推進チーム部門長利用者
ポリシー承認ARCII
リスク評価IARCI
利用申請審査IA(区分C)RA(区分B)R
インシデント対応IARRR
定期監査IARCI
教育・啓発ICRR-

※ R=Responsible（実行）, A=Accountable（説明責任）, C=Consulted（相談）, I=Informed（報告）

まとめ

ポリシー要素ポイント
利用区分リスクレベルに応じた4段階（自由/届出/許可/禁止）
データ規定分類に応じた外部・社内AI利用の可否を明確化
禁止事項具体的な禁止行為リストで曖昧さを排除
責任分担RACIマトリクスで役割を明確化

チェックリスト

  • AI利用ポリシーの主要構成要素を理解した
  • リスクベースの利用区分と承認プロセスを設計できる
  • データ分類に基づくAI入力の可否判断ができる
  • 禁止事項を具体的にリスト化する重要性を理解した
  • RACIマトリクスによる責任分担を把握した

次のステップへ

次は監査証跡の設計と実装を学びます。

推定読了時間: 30分