社員が個人アカウントでAIを使っている状態をどうするか

会社としてAIの利用を決めていないのに、現場ではすでに使われている。この状態は例外ではありません。

そして禁止しても解決しません。利用がゼロになるのではなく、会社から見えないところに移るだけだからです。

この記事では、実態の把握の仕方から、実効性のある手の打ち方までを扱います。「禁止する／黙認する」の二択で止まっている会社に向けた内容です。

禁止が機能しない理由

起きるのは「ゼロになること」ではない

意図	実際に起きること
利用をゼロにする	会社の端末では使わなくなる
	個人のスマートフォンで使う
	会社から見えなくなる
	問題が起きても発覚が遅れる

把握できない状態は、許可して管理している状態より危険です。禁止するなら実効性のある禁止（端末制御・ネットワーク制御）が必要で、それができないなら別の手を考えるべきです。

「バレなければいい」という構造をつくってしまう

情報漏洩の実務で最も効くのは、早く気づくことです。「入力してはいけないものを入れてしまった」と当日に申告があれば打てる手がありますが、半年後に外部から指摘されると、もう何も選べません。

禁止と黙認の中間はない

多くの会社は「明示的には禁止しているが、実際は黙認」の状態にあります。これは最悪の組み合わせです。

• ルールがあるので、使っている人は隠す
• 実効性がないので、利用は止まらない
• 問題が起きたとき、会社は「禁止していた」としか言えない

守らせる気のないルールは、無いより悪い。実効性のある禁止か、管理された利用か、どちらかに寄せる必要があります。

まず、実態を把握する

「使っていますか」では答えが返ってこない

対策を考える前に、いまどのくらい使われているかを知る必要があります。ただし聞き方を間違えると、正確な答えは返ってきません。禁止されているかもしれない、と思えば正直には答えないからです。

可否	聞き方	返ってくるもの
✕	AIを個人アカウントで使っていますか	「使っていません」
○	文章を書くとき、何か補助に使っているものはありますか	具体的なツール名
○	もし会社が用意するなら、どんな場面で使いたいですか	すでに使っている場面

後者の聞き方だと、すでに使っている人が「こういう場面で便利でした」と話し始めます。責める文脈にしないことが、実態把握の唯一の方法です。

先に一文を伝える

これまでの利用について責任を問うことはありません。これからのルールを決めるために聞いています。

これを最初に言うかどうかで、集まる情報の量が変わります。規程を作る段階でも、この趣旨の条文を入れておくことを勧めます。

すでに使っていた人が、いちばん詳しい

条文の形は生成AI社内利用規程の作り方に、漏洩経路の分解は情報が漏れる経路は6つしかないにまとめています。逆に、使ったことのない人だけで作った規程は、現場が実際に迷う場面に答えていません。「機密情報を入力しないこと」で終わる規程は、たいていこの作られ方をしています。

実効性のある3つの手

1. 使ってよい環境を先に用意する

最も効きます。個人アカウントで使われる理由は、会社が用意していないからです。用意すれば、わざわざ個人アカウントを使う理由がなくなります。

ここで重要なのは、会社が用意するものが、個人で使えるものより不便でないことです。

判定	会社が用意した環境	結果
✕	利用のたびに上長承認が要る	個人アカウントに戻る
✕	申請してから使えるまで1週間	個人アカウントに戻る
✕	機能を絞りすぎて実用にならない	個人アカウントに戻る
○	ログインすればすぐ使える	そちらを使う

承認フローが3段階あるような環境を作ると、結局個人アカウントに戻ります。統制を強めるほど、統制の外に押し出す力が働く——ここが設計の難しいところです。

2. 使ってよいものを列挙する（ホワイトリスト）

禁止事項を列挙する方式は書ききれません。新しいサービスは毎月出てきます。逆に「これは使ってよい」を挙げる方式は、リストにないものが使われない構造になります。

• 会社が契約したAIサービス
• そこに含まれる機能
• それ以外は申請

申請の窓口を用意しておくのがコツです。申請できる先があると、隠れて使う動機が下がります。逆に、申請先がないまま「許可なく使うな」とだけ書くと、必要に迫られた人は隠れて使います。

3. 入力してよい情報を具体例で示す

「機密情報を入力しないこと」という規程は守られません。何が機密かの判断が人によって違うからです。

可否	情報の種類	迷いやすい例
○	公開済みの製品情報	Webサイトに載っているもの
○	一般的な業務の相談	「議事録の書き方」など
○	自分で書いた文章の推敲	固有名詞を外してから
○	公開資料の要約	官公庁の公開PDFなど
✕	顧客名・取引先名	伏せ字でも業界＋規模で特定できる
✕	個人情報（氏名・連絡先）	社員名だけでも入れない
✕	未公開の価格・条件	自社の見積フォーマットも該当
✕	受領した他社の資料	受領資料は全部これに当たる
△	上記のいずれでもないもの	入力せず相談先へ照会する

この表を1枚配るだけで、規程を10ページ書くより実効性があります。デスクに置ける形にしておくと、迷ったときに実際に見られます。

それでも禁止する場合

ここまで「管理された利用を提供するほうが安全」と書いてきましたが、禁止が正しい選択になる場合もあります。金融・医療・防衛など、そもそも外部サービスにデータを出せない業務です。

その場合に必要なのは「禁止と書くこと」ではなく、禁止が成立する状態を作ることです。

実効性のある禁止に必要なもの

手段	止められる範囲	抜け道
ネットワークでドメインを遮断	社内ネットワークからの利用	個人のスマホ回線
端末管理（MDM）でアプリを制限	会社支給の端末	私物端末
ブラウザ拡張のインストール制限	会社端末のブラウザ	私物端末
私物端末の業務利用を禁止	ほぼすべて	——

最後の行までやって、はじめて禁止が成立します。逆に言えば、私物端末の業務利用を許している状態で「AIは禁止」と書いても、それは宣言であって統制ではありません。

禁止する場合こそ、代わりを用意する

外部に出せないなら、外に出ない環境を用意するという選択肢があります。自社の環境内で完結する構成なら、入力内容が外部のサービスに渡りません。

費用はかかりますが、「使えない」と「安全に使える」では、数年後の差が大きくなります。禁止だけで止めた会社は、その間に業務の進め方を更新できていません。

禁止するなら、理由を説明する

そして「いつ見直すか」を併記してください。永久禁止は、現場から見ると思考停止に見えます。「年1回見直す」「契約が更新されたら再検討する」と書いてあるだけで、受け止め方が変わります。

すでに使っていた人を責めない

過去を問わないと明言する

運用を整えるとき、過去の利用を問題にしないと明言することが重要です。

責める姿勢で始めると、実態の申告が出てきません。「これまでの利用は問わない。これからのルールを決める」という立て付けにすると、現場から情報が集まります。

規程にも入れておく

【本規程の施行前における利用については、これを問わない。】

口頭で言うだけでなく、文書に残しておくほうが効きます。言った人が異動しても効力が残りますし、「本当に問われないのか」という不安に対する答えになります。

報告しやすい窓口をつくる

「これ入力していいですか」「変な答えが返ってきました」——どちらも歓迎する、と明示してください。

黙って使われるより、聞いてもらうほうが安全です。窓口の名前を出し、「禁止するための窓口ではなく、確認するための窓口」だと書いておくと使われます。

進め方

1

責めない聞き方で実態を把握する飛ばさない

「何か補助に使っているものはありますか」。先に「過去は問わない」と伝えます。

2

使ってよい環境を用意する不便にしない

会社が契約したサービスを1つ。ログインすればすぐ使える状態にします。

ここを飛ばして規程だけ作る会社が多いのですが、使えるものが無い状態では守りようがありません。「使ってよいものを挙げる」には、挙げるものが要ります。

3

使ってよいものを列挙する

ホワイトリスト方式。あわせて申請窓口を用意します。

4

入力してよい情報を具体例で示す

A4一枚のカードにして配ります。イントラの奥に置いても読まれません。

5

過去の利用は問わないと明言する

口頭と文書の両方で。報告しやすい窓口もあわせて。

把握する、用意する、決める——この順序が現実的です。禁止から入ると、実態が見えなくなり、用意する動機も生まれず、決めても守られません。

この記事について：方針策定率（49.7% / 42.7%）と規模別の傾向は総務省「令和7年版 情報通信白書」＞企業におけるAI利用の現状（2024年度「最新の情報通信技術の動向及びデジタル化の進展状況に関する調査」）に基づいています。入力可否の表は当社が整理したもので、公的な分類ではありません。業種や取引条件によって線引きは変わるため、自社の規程に落とす際は法務にご確認ください。「禁止すると報告されなくなる」といった記述は現場で観測した傾向であり、調査統計ではありません。