AIコラム

「生成AIの社内ルールを作りたいが、何をどこまで書けばいいのか分からない」というご相談をよくいただきます。私たちは健康食品とペット用品の自社ECを運営しながらAIを使ってきた事業者として、自社でも同じ問いに向き合いました。この記事では、EC事業者がそのまま自社用に転記できる形で、ガイドラインの項目と書き方の例を整理します。

この記事は事業者としての実務整理であり、法的助言ではありません。ひな形は「社内で使う前提の例文」です。実際に運用する前に、自社の顧問弁護士など専門家の確認を受けてください。

結論：禁止事項を並べるより「情報の区分」と「確認責任」を決める

ガイドラインというと、「機密情報を入力しない」「著作権を侵害しない」といった禁止事項の一覧を想像しがちです。しかし、禁止事項が多いほど現場は読まなくなり、「結局どこまでなら入れていいのか」が分からないまま、各自の判断で使われてしまいます。

実務で効くのは、次の2つを先に決めることです。

1. 入力してよい情報の区分：自社の情報を「そのまま入れてよい」「加工すれば入れてよい」「入れてはいけない」の3つに分け、具体例を添える。
2. 出力の確認責任：AIが作ったものを外に出す前に、誰が何を確認するのかを工程ごとに決める。

この2つが決まっていれば、新しいツールや新しい使い方が出てきても、「この情報はどの区分か」「この出力は誰が確認するか」に当てはめて判断できます。ルールの数ではなく、判断の軸を渡すのがガイドラインの役割です。

もう1つ大事なのは、AIの出力に責任を持つのは常に人だという点です。「AIが書いたから」は、お客様にも関係先にも通用しません。だからこそ、誰が確認するのかを名前のレベルまで決めておくことが、ガイドラインの中心になります。

ガイドラインに入れる10の項目

EC事業者の場合、次の10項目があれば、実務上の大きな抜けはほぼ避けられます。A4で2〜3枚に収まる量が目安です。

1. 目的：何のためにAIを使うのか。禁止ではなく活用を前提にすることを明記する。
2. 対象ツール：業務で使ってよいサービスの名前とプラン。リストにないものは、申請してから使う。
3. 入力してよい情報・いけない情報の区分：3区分と具体例。
4. 個人情報・顧客情報の扱い：氏名・住所・連絡先などは入力しない、または置き換える。
5. 著作権・他社コンテンツの扱い：他社の文章や画像を入力して書き換えさせない。
6. 薬機法・景表法に関わる表現の確認：広告・商品ページの文言は、公開前に人が確認する。
7. 出力の確認責任者：誰が、どの段階で確認するか。
8. 記録：何にAIを使ったかを、あとから追えるようにしておく。
9. 事故時の連絡：誤って入力した、誤った内容を公開したときの連絡先と初動。
10. 見直しの周期：いつ、誰が、ルールを更新するか。

薬機法や景表法そのものの考え方は、別の記事で整理しています。表現の線引きを詳しく知りたい方はECでAIを使うときの法務リスクをあわせてご覧ください。

そのまま転記できるひな形（社内で使う前提の例文）

以下は、社内で使う前提の例文です。自社のツール名・担当者名・業務内容に合わせて書き換えてください。実際に運用する前には、必ず法務の専門家の確認を受けてください。

1. 目的と対象

• 本ガイドラインは、生成AIを業務で安全に活用し、作業時間を減らすことを目的とします。
• 対象は、役員・従業員・業務委託先を含む、当社の業務で生成AIを使うすべての人です。
• 業務で使ってよいツールは「（ツール名・プラン名）」です。それ以外のサービス、および個人契約のアカウントを業務に使う場合は、事前に（責任者名）へ申請します。

2. 入力してよい情報の区分

• 区分A（そのまま入力してよい）：すでに公開している商品情報、公式サイトの文章、一般的な業務知識、自社の公開済みの規約・FAQ。
• 区分B（加工してから入力する）：社内向けの売上傾向、過去の問い合わせ文面、レビューの原文。氏名・住所・電話番号・メールアドレス・注文番号を、「お客様」「（住所）」のように置き換えてから入力します。
• 区分C（入力しない）：お客様の個人情報そのもの、健康状態に関わる申し出、取引先との契約内容、未公開の仕入原価、認証情報（パスワード・APIキー）、未発表の商品情報。
• 区分に迷う場合は、区分Cとして扱い、（責任者名）に確認します。

3. 出力の確認責任

• AIの出力は下書きとして扱い、そのまま社外に出しません。
• 公開・送信する前に、作成者本人が事実関係（成分・数値・価格・日付）を一次資料と照合します。
• 商品ページ・広告・メルマガなど不特定多数に向けた文章は、作成者とは別の確認者（（担当者名））が、表現を確認してから公開します。
• 薬機法・景表法に関わるか判断に迷う表現は、公開せず（責任者名）に上げ、必要に応じて外部の専門家に確認します。
• AIに「この表現は法令上問題ないか」を判断させ、その回答を根拠に公開してはいけません。確認の見落としを減らす補助としてのみ使います。

4. 著作権・実在しない情報

• 他社の商品説明文・記事・画像を入力して、言い換えや書き換えをさせません。
• 実在しないお客様の声やレビューをAIに作らせて掲載しません。お客様の声は実際のものだけを使います。
• 商品写真は実物の撮影を基本とし、実物と異なる見た目になる加工は行いません。

5. 記録・事故時の連絡・見直し

• 外部に公開した文章・画像にAIを使った場合は、（共有シート名）に、日付・用途・使ったツール・確認者を1行で記録します。
• 区分Cの情報を誤って入力した場合、または誤った内容を公開してしまった場合は、隠さず、すぐに（連絡先）へ連絡します。報告した人を責めることはしません。
• 連絡を受けた責任者は、該当ツールでの履歴の削除、公開内容の修正、必要な関係先への連絡を判断します。
• 本ガイドラインは、（半年ごと）に見直します。新しいツールや新しい使い方が出たときも、随時見直します。

EC事業者がはまりやすい落とし穴

一般的なガイドラインのひな形だけでは足りない、EC特有の場面があります。自社で運用していて気をつけているものを挙げます。

問い合わせ対応に個人情報がそのまま入る

返信の下書きを作らせるとき、お客様のメール本文をそのまま貼り付けると、氏名や住所が含まれます。区分Bの置き換えは面倒なので、決めていても守られなくなりがちです。置き換えが手間にならない手順（定型の置き換え表記、コピーする前に消す範囲の決め方）まで、ひな形に書いておくのが現実的です。

広告・商品ページの量産で確認が追いつかない

AIを使うと文言は一気に増えます。確認者1人に集中させると、確認が形だけになります。薬機法・景表法の観点で「見るべき表現の一覧」を確認者に渡しておくと、見落としが減ります。広告案を大量に出す日は、確認の枠も同じだけ確保する、という段取りまで決めておくと安全です。

個人アカウントでの利用が見えなくなる

会社で契約していないサービスを、担当者が個人のアカウントで使っているケースです。禁止するだけでは隠れて使われます。使いたい理由を聞き、業務で使えるツールを会社として用意するほうが、結果として安全です。ツールの選び方はAIツールの選び方で整理しています。

健康に関する申し出を扱ってしまう

健康食品や化粧品では、体調不良の申し出が問い合わせに紛れて届くことがあります。これは返信文を整える対象ではなく、人が直接扱うべき内容です。区分Cに明記し、届いたときの社内の連絡経路まで書いておきます。

外注先・業務委託のライターやデザイナーが対象外になる

制作を外部に出している場合、社内のガイドラインが及びません。発注の条件に、AI利用の可否と確認の方法を含めておくと、あとから揉めにくくなります。

形骸化させないための運用のコツ

ガイドラインは、作った直後がいちばん守られ、時間とともに読まれなくなります。次のような工夫が効きます。

• 1ページの早見表を別に作る：本文は2〜3枚でも、日常で見るのは情報区分と確認の流れだけにした1枚です。デスクの近くや社内チャットに固定します。
• 実際の業務の例で説明する：「問い合わせ返信のときはこの置き換え」「広告案を出すときはこの確認者」のように、自社の場面に結びつけます。
• 報告しやすい空気を作る：誤入力や誤公開を責めると、隠されます。「報告した人を責めない」と明文化したうえで、実際にそう運用します。
• 定期的に見直す日を先に決める：半年ごとなど、カレンダーに入れておきます。見直しでは、運用して困った点と、ヒヤリとした事例を材料にします。
• 使いやすい手段を用意する：置き換えの定型文や、確認用のチェックリストを共有しておくと、ルールを守る手間が減ります。

ルールは、守らせるものというより、迷ったときに迷わず進めるための道具です。使われないルールは、現場の実態に合っていないサインとして、見直しの材料にします。ガイドラインを含め、AI活用を担当者個人に頼らず組織に定着させる考え方はAI活用を属人化させない内製化ロードマップに書いています。

よくある質問

従業員が少なくても、ガイドラインは必要ですか

必要です。むしろ少人数ほど、担当者の判断ですべてが決まってしまうため、1ページでも書いておく価値があります。最初は情報の区分と確認責任の2つだけで構いません。使いながら項目を足していく進め方で十分です。

ガイドラインは弁護士に作ってもらう必要がありますか

最初の案は自社で作り、公開前の表現や個人情報の扱いなど判断が難しい部分を専門家に確認してもらう形が現実的です。業務を知っているのは自社なので、自社の場面に合った案を先に作ると、専門家への相談も具体的になります。最終的には専門家の確認を受けてください。

ガイドラインで、AIの利用を禁止にしたほうが安全ではありませんか

全面禁止にすると、個人アカウントでの隠れた利用が増え、会社が把握できなくなります。入力してよい範囲と確認の仕組みを決めて、会社が見える形で使うほうが、結果として管理しやすくなります。取り扱う商材の規制が厳しい場合は、外に出ない業務（要約・分類など）から始める選択肢もあります。

ガイドラインの見直しは、どのくらいの頻度で行えばよいですか

半年に1回を目安にし、新しいツールを導入するときや、事故・ヒヤリとした出来事があったときは随時見直します。法令や各サービスの規約は変わることがあるため、最新の情報は所管庁やサービス提供者の公表資料で確認してください。

自社に合ったガイドラインづくりをご一緒します

私たちは自社ECの運営で、情報の区分や確認の工程を自分たちの業務で決めてきました。その経験をもとに、EC事業者向けのAI活用支援を行っています。AI活用全体の進め方はAI活用支援のページにまとめています。ルールの設計と運用に継続的に関わるAI顧問、担当者が自分で使える状態を作るAI研修、組織に定着させるAI組織内製化支援をご用意しています。

「自社の場合、何から決めればよいか」を整理したい方は、無料30分AI相談をご利用ください。状況をうかがいながら、ガイドラインに入れる項目の優先順位を一緒に考えます。