AI利用の同意と教育：規程を形骸化させない運用の作り方

顧問の社労士に整えてもらった「AI利用規程」を全社メールで配ったのが半年前。あのときはひと安心した。ところが先日、営業の若手が取引先とのやりとりを個人のスマホでAIに要約させているのをたまたま見かけた。規程には「機密情報の入力は禁止」と書いてある。本人に聞くと「そんな決まり、ありましたっけ」と返ってきた。配ったはずの規程を、誰も読んでいなかった。

規程を作ること自体は難しくありません。難しいのは、それを現場の一人ひとりに「自分ごと」として届け、今まで通りのこっそり利用を上書きすることです。配って終わりの規程は、事故が起きたとき「ちゃんと決めていたのに現場が守らなかった」という書類にしかなりません。ここでは、部署ごとに同意を取り、入退社のたびに更新し、教育で浸透させて、誰が同意したかを追える状態の作り方を、中小企業の実務に合わせて書きます。ShadowLens STK はこの運用を回す道具として設計しています。まず自社の状況を測りたい方はAI利用実態診断から入るのが早道です。

なぜ「配って終わり」の規程は守られないのか

規程が形骸化するのは、現場が不真面目だからではありません。仕組みに三つの穴が空いているからです。一つ目は、読んだかどうかを誰も確認していないこと。全社メールに添付しただけでは、開いた人すらわかりません。二つ目は、同意という一手間を挟んでいないこと。「読みました、守ります」と本人が意思表示する場面がないと、規程は他人ごとのままです。三つ目は、入退社で更新されないこと。半年前に配った規程は、その後入った新人には届いていません。

塞ぎ方の共通点は「記録に残す」ことです。誰が・いつ・どの版の規程に同意したかを一覧で追えるようにすると、形骸化はそもそも起きにくくなります。ShadowLens STK の規程・同意管理は、この一覧を自動で持つところから始めます。

同意管理の実務：部署別に取り、未同意を追い、入退社で更新する

同意を全社一律で「◯%が同意済み」と眺めても、次に何をすればいいかがわかりません。動けるようにするコツは、部署という単位まで割ることです。部署ごとに同意率を出すと、どの部長に声をかければ数字が動くかが一目でわかります。下の表は、規程同意率72%という状態を部署別に割った例です。全社の平均だけを見ていたら気づけない偏りが見えてきます。

未同意者は「まだ読んでいない人リスト」として名前で追えることが肝心です。人数だけだと督促のしようがありません。誰が残っているかがわかれば、部長から一声かけてもらう、シフトの合間に個別リマインドを送る、という現実的な手が打てます。ShadowLens STK は未同意者を氏名つきのリストで持つので、督促の宛先に迷いません。

入退社のたびに同意を更新する

同意管理でいちばん抜けやすいのが入退社です。ここは「イベントに紐づけて自動でタスクが立つ」形にしておくと崩れません。入社手続きのチェックリストに「AI利用規程の閲覧と同意」を一項目足すだけで、新人が規程を知らないまま現場に出ることはなくなります。退職時は、その人が承認外で使っていたツールのアカウントを止める棚卸しとセットにします。辞めた人のアカウントが生きていると、それ自体が情報漏洩の経路になります。

規程を改訂したときも同じで、旧版に同意した全員に再同意を求める必要があります。版が変わったのに同意は古いまま、という状態は、いざというとき「本人は最新版を知らなかった」という言い訳を成立させてしまいます。版番号と同意日をセットで記録しておくと、この穴が塞がります。

教育の回し方：一度の研修で終わらせない

同意のクリックは「読んだ」を担保しますが、「わかった」までは担保しません。規程の文面を守れる人を増やすには教育が要ります。ただし年に一度の集合研修を開いて終わりでは浸透しません。人は忘れますし、新しく入った人はその研修に出ていません。教育は一度の大きなイベントではなく、小さく何度も触れる形に崩すのが中小企業には合っています。回し方の骨格を、頻度と担当をはっきりさせて並べます。全部を一人が抱える前提にしないのが、情シス不在の会社で続けるコツです。

教育で効くのは、抽象的な「情報管理を徹底しましょう」ではなく、自社で起こりうる一場面を具体で見せることです。たとえば四半期の朝礼では、こう伝えます。「先週、見積書の数字をそのままAIに貼って整形させた人がいました。悪気はありません。でもその数字は、学習に使われる設定のツールだと、外に出た可能性があります。承認済みの◯◯なら、その設定はオフになっています。整形したいときはこちらを使ってください」。危険を叱るのではなく、正しい代わりの道を同時に渡すのがポイントです。禁止だけを言うと、また見えないところに潜るだけになります。

継続モニタリングにかかる工数を見積もっておく

この運用を手作業で回すと担当者の時間がどれだけ要るかを先に見積もると、外部の道具を使うかどうかを冷静に判断できます。従業員62名・情シス不在で、AI関連の管理を総務または経営企画の担当者が兼務するモデル企業で試算します。人件費は給与額ではなく、社保会社負担・賞与・間接費まで含めた会社の総コスト（一般に給与の約3倍）で換算します。月給35万円の管理部門担当なら、総コストは月約105万円、時給換算で約6,500円です。

年約60時間、金額にして約39万円です。担当者の本来業務の合間に少しずつ削られる時間なので実感には表れにくく、しかし確実にかかっています。ShadowLens STK スタンダードは月額¥39,800（〜100名、年約47.8万円）でこの管理工数を肩代わりします。工数の約39万円に、重複サブスクの整理で見込める年15〜30万円の実費削減を足すと、管理の手間と実費だけでおおむね年会費が回収できる構図です。派手な倍率ではなく、静かに割に合う水準の試算です。

運用サイクルを1ケースで通す：配布から未同意フォローまで

ここまでを一つの流れとして、架空の中堅商社を例に通します。新しい規程が固まり、全社に展開する場面です。

月曜（配布）：規程を版番号1.0として公開し、全62名に同意を依頼。依頼文は事務的にせず、なぜ必要かを一言添えます。「AIを禁止にはしません。安全に使い続けるための約束事です。3分で読めます。読んだら下のボタンで同意をお願いします」。

木曜（中間確認）：3日後に部署別の同意率を確認。全社は58%まで来たものの、営業部が44%で止まっている。ここで全社一斉リマインドを送らないのがコツです。動いていない営業部だけに絞ります。

金曜（未同意フォロー）：営業部の未同意10名を氏名リストで抽出し、部長に渡す。「この10名にだけ、朝礼で一声お願いできますか」。部長からの一言は、管理部からの督促メール10通よりずっと効きます。翌週火曜、営業部は89%に。残った2名は外回りが続いていた人なので、個別に日時を決めて対応。

翌月以降（維持）：入社した2名には初日のチェックリストで同意を取得。四半期の朝礼で「先月ヒヤリとした一件」を共有。半年後に規程を1.1へ改訂した際は、変更点だけを説明して全員に再同意を依頼。こうして同意率は一度上げて放置ではなく、90%台で維持されます。誰が・いつ・どの版に同意したかが記録に残っているので、監査や取引先から問われても、一覧を見せれば答えられます。

大事なのは、この一連を担当者の記憶と気合いに頼らないことです。部署別の同意率、未同意者の氏名、版番号と同意日、入退社への連動を仕組みが持っていれば、担当者は「宛先を選んで一声かける」という一番効く仕事に集中できます。

検出でわかること・わからないことを正直に

同意と教育の土台になる検出について、範囲をはっきりさせておきます。ShadowLens STK は Google Workspace や Microsoft 365 の会社アカウント連携ログから、どのAIツールに会社アカウントで接続したかを検出します。個人アカウントでの利用や、実際に入力した内容までは見えません。全AI利用を漏れなく把握できるとは言いません。だからこそ、検出で拾える範囲を土台にしつつ、同意と教育で「見えない利用」を減らす二段構えが要るわけです。過大に言わないこの正直さが、ガバナンスや監査の領域では信頼そのものになり、経営として説明責任を果たせる状態につながります。

よくある質問（FAQ）

規程はもう作ってあります。同意と教育の運用だけ相談できますか

はい。既存の規程を土台に、部署別の同意取得・未同意者の追跡・入退社での更新を回す運用から始められます。まず現状を測るAI利用実態診断（¥250,000）で、検出されたツールと今の同意状況を可視化し、そこから継続モニタリング（スタンダード 月額¥39,800、〜100名）に引き上げる流れが標準です。診断だけの単発利用も可能です。

情シス担当がいなくても運用できますか

情報システム部門が存在しない、従業員30〜70名規模の会社を主な対象に設計しています。同意状況や未同意者リストは、ITの専門家でなくても読める画面で提示します。実際の運用は、総務や管理部の担当者が本来業務の合間に「宛先を選んで一声かける」程度で回る形を想定しています。手作業なら年約60時間・約39万円相当（人件費は給与の約3倍で換算）かかる管理工数を肩代わりする位置づけです。

同意を取ると、社員のAI利用をすべて禁止することになりますか

いいえ。目的は禁止ではなく、安全に使い続けるための約束事を共有することです。全面禁止に振ると、AIが生んでいた時間まで失います。承認済みの代替ツールを同時に案内し、危険な使い方だけを具体で減らしていく運用を推奨しています。禁止と黙認の板挟みから抜けるための、現実的な中間の道です。

入社・退職が多い時期でも同意は最新に保てますか

入社手続きのチェックリストに規程の閲覧・同意を組み込み、退職時はアカウント棚卸しとセットで対応する形にすると崩れにくくなります。規程を改訂した際は、版番号と同意日を記録しているので、旧版に同意した全員へ再同意を依頼できます。誰がどの版に同意したかを一覧で追えるため、時期による抜けを見つけやすくなります。

形骸化した規程を、動く運用に変える最初の一歩

配って半年、誰も読んでいなかった規程を、部署別の同意と小さな教育で「守られる約束」に変える。その最初の一歩として、まず自社に今どのツールが入り、同意がどこまで進んでいるかを一度可視化してみるのが確実です。現状の棚卸しと規程の見直しだけでも壁打ちにお使いください。ShadowLens STK のAI利用実態診断、または初回相談（30分・無料）からどうぞ。

あわせて読みたい

• シャドーAIとは：社員が無断で使う生成AIのリスクと、中小企業の管理の始め方
• AI利用規程の作り方：中小企業が最初に決める条項と考え方
• 生成AIの情報漏洩リスク：学習利用・保存国・DPAをどう見るか
• 従業員の生成AI利用実態をどう把握するか：アンケートと連携ログの違い
• 生成AIを全面禁止すると何を失うか：禁止と黙認の板挟みから抜ける