社員が勝手にAIを使い始める前に｜社長が決めておくべき利用ルールとリスク管理

「気づいたら、社員が勝手にAIを使っていた」

ある日、経理の社員が「最近、ChatGPTで請求書のチェックをしてるんですよ」と言う。営業の若手は提案資料をAIで下書きしている。総務は議事録をAIに要約させている。社長であるあなたは、それを知らなかった——。

これは今、多くの中小企業で起きていることです。便利だから、現場の判断でどんどん使い始める。悪いことではありません。むしろ前向きです。でも、社長として一つ気になりませんか。「うちの会社の情報、どこまでAIに入れていいんだっけ？」と。

東京商工リサーチが2026年4月27日に公表した調査（6,327社対象）では、生成AIを組織で活用している中小企業は32.3%にとどまり、「方針は決めていない」が38.7%、「個人で活用していることもある」が27.7%でした。つまり、約4割の中小企業が方針を決めないまま、現場の個人利用だけが先行している状態です。

方針を決めないと、何が起きるのか

利用ルールがない状態でAIが現場に広がると、法務・コンプラの観点で次のような問題が静かに積み上がっていきます。

• 顧客の個人情報や取引先の機密情報を、社員が無断でAIに入力してしまう
• AIが生成した文章をそのまま契約書や提案書に使い、誤った内容や著作権上問題のある表現が混入する
• 誰が・どの業務で・どこまで使っているのか社長が把握できず、トラブルが起きたとき経緯を説明できない
• 取引先から「御社は生成AIをどう管理していますか」と聞かれて、答えられない

特に深刻なのが、機密情報の取り扱いです。「無料のAIツールに入力したデータがどう使われるか」を社員一人ひとりが正しく判断できるとは限りません。ルールがなければ、判断は現場任せになります。

同じ東京商工リサーチの調査では、生成AIを組織活用している企業の53.4%が、将来的な人員配置・抑制の見直しを検討していると答えています。AIはもはや単なる効率化ツールではなく、要員計画にまで関わる経営テーマです。だからこそ、現場の個人利用に任せきりにせず、社長が会社としての方針を明文化する必要があります。

まず作るべきは、立派な規程ではなく「1枚のルール」

「社内規程を整備しましょう」と言うと、分厚いマニュアルを想像して身構えてしまうかもしれません。でも、最初に必要なのは1枚で十分です。AI CAOに相談すれば、次の論点を御社の業種・規模に合わせて整理し、たたき台を作れます。

AI利用ルールに最低限入れるべき項目

1. 入力してはいけない情報の線引き — 顧客の個人情報、取引先の機密、未公開の財務数字など、AIに入れてはいけないものを具体的に列挙する
2. 使ってよいツール・プランの指定 — どのツールを、どの契約プランで使うかを会社として決める（業務利用に適したプランかどうかの確認も含む）
3. 生成物の最終確認責任 — AIが作った文章・資料は、必ず人が内容を確認してから外部に出す、という原則を明記する
4. アクセス権限の設計 — 業務システムや顧客データにAIを接続する場合、誰が・どこまでアクセスできるかを事前に決める
5. 困ったときの相談先 — 判断に迷ったら誰に聞くか（社長か、AI CAOか）を明確にする

この5項目を1枚にまとめるだけで、「方針未定」の状態からは抜け出せます。

「業務を任せる」段階では、権限設計が法務の核心になる

2026年4月、OpenAIはChatGPTに「Workspace Agents（ワークスペースエージェント）」を研究プレビューで提供開始しました。これは、AIに質問して答えをもらう段階から、定型業務を任せて自律的にやってもらう段階への移行を示す機能です。週次の売上レポート集計、問い合わせの一次対応、定例メールの下書きなどを、AIが代わりに進めてくれます。

少人数で回している中小企業ほど、こうした自動化のインパクトは大きい。ただし、ここで法務・コンプラの観点が一段重くなります。AIが業務システムや顧客データに直接つながる以上、「どの情報に・どこまでアクセスさせるか」の設計を誤ると、情報漏えいや権限逸脱のリスクが現実になるからです。

便利だからと安易に全データへのアクセスを許可するのではなく、業務ごとに必要最小限の範囲に絞る。この「アクセス権限の設計」こそ、AIに業務を任せる時代の社内規程の核心です。AI CAOは、御社がどの業務をAIに任せたいかを聞いた上で、情報の取り扱い範囲とアクセス権限の設計図を一緒に作ります。

Before / After

Before：現場任せで、社長が把握できていない

社員がそれぞれの判断で無料のAIツールを使う。何を入力しているか社長は知らない。ノウハウは個人に溜まり、会社には残らない。トラブルが起きて初めて、利用実態を知ることになる。

After：会社としてのルールがあり、安心して使える

「入れていい情報・ダメな情報」が明文化され、全社員が共有している。業務にAIを接続する際は権限設計を確認してから進める。取引先から管理体制を問われても、文書で説明できる。現場は安心してAIを使い、会社にはノウハウとガバナンスが蓄積される。

このBeforeからAfterへの移行は、特別なシステム投資ではなく、「決めて、書いて、共有する」だけで実現できます。

こんな社長に向いています

• 社員が個人の判断でAIを使い始めているが、ルールがなくて不安
• 「方針を決めていない」状態をそろそろ抜け出したい
• 顧客情報・機密情報がAIに入力されていないか心配
• AIに業務を任せたいが、どこまでアクセスを許可していいか判断できない
• 取引先からAIの管理体制を聞かれたときに、きちんと答えられるようにしたい

このどれか一つでも当てはまるなら、今が動くタイミングです。AIの利用が現場で広がりきってからルールを後付けするより、広がる前に1枚の方針を決めておくほうが、はるかに楽で安全です。

弁護士の代わりではありません

AI CAOは法律相談の「入口」です。訴訟代理や税務申告など、弁護士・税理士の独占業務には対応できません。ただし、社内ルールの素案づくり、論点整理、契約書の一次チェック、コンプラ運用の仕組みづくりは得意領域です。重大なリスクが見つかったときだけ、専門家に相談する。これが中小企業にとって最も現実的な法務体制です。

AI利用ルールの整備も、契約書チェックも、社内規程の見直しも、月5万円（税別）で継続的に支えます。「まず試してみたい」という方には、お試し月3万円（税別）もご用意しています。社員が安心してAIを使える会社を、今のうちに整えておきませんか。

参考・出典

• 東京商工リサーチ（TSRデータインサイト）：生成AI活用で53.4%が人員配置・抑制の見直しを検討、中小企業の組織的活用は32.3%
• Decrypt：OpenAIが業務自動化の「Workspace Agents」をChatGPT向けに研究プレビューで提供開始