情報漏洩対策

生成AI利用ポリシーの作り方｜必須項目・著作権・情報漏洩ルールとテンプレート【2026年版】

2026年4月11日25分で読める

QUICK CHECK

本文を読みながら、自社で進めるべきか、相談前に何を整理するかを確認できます。

GXO COLUMN

AI・機械学習

結論から先に述べる。 生成AIの利用ポリシーは「禁止事項を並べた紙」を作ることではない。守られる規程を作れるかどうかは、（1）自社が現に何をどのAIに入力しているかを棚卸しできているか、（2）入力してよいデータと禁止するデータを4段階の分類で線引きできているか、（3）著作権を「学習段階」と「生成・利用段階」に分けて正しく扱えているか、（4）規程の条文と技術的な統制（法人契約・DLP・監査ログ）を対応させられているか、の4点で決まる。この記事は、年商1〜10億円規模で社内にIT判断の専任者が乏しい企業が、大企業のテンプレートをコピペして形骸化させる失敗を避け、2〜4週間で「運用できる最小限のポリシー」を立ち上げるための実務ガイドである。

コピペできる規程テンプレート、データ分類マトリクス、策定チェックリスト、FAQを付けた。法令・公的ガイドラインは文化庁・個人情報保護委員会・総務省／経済産業省の一次資料で裏取りしている。

この記事は「利用ポリシーの策定実務」に集中している。組織全体のAIガバナンス方針の考え方や、現場が勝手にAIを使う「シャドーAI」そのものの検知・封じ込めは別テーマとして扱うため、本稿では規程に落とす部分だけを深掘りする。

この記事を読むべき人

生成AIを現場が使い始めているが、社内ルールがまだ無い、または一度作ったが形だけになっている企業の経営者・事業責任者
「情シス1名」または「兼任情シス」で、何から手を付ければ利用ポリシーが完成するのか分からない担当者
大手企業や官公庁が公開している立派なガイドラインを見て、自社にはオーバースペックだと感じている中小企業の管理部門
AI導入のPoCは進めたが、本番運用に向けて著作権・個人情報・機密情報の扱いを社内規程として固めきれていないDX責任者
取引先や親会社から「生成AIの利用ルールはあるか」と問われ、対外的に説明できる文書が必要になった実務決裁者

AI ASSESSMENT

PoC の前に「そもそも使えるか」を30分で見極めませんか？

対象業務、データ、権限、ログ、運用責任を確認し、PoC前に失敗要因と本番化条件を整理します。

30分壁打ちを予約

なぜ「テンプレのコピペ」だと失敗するのか（GXOが見る落とし穴）

生成AIの利用ポリシーは、いまやネット上に無料のひな形が大量にある。だが、それをそのまま社内規程にして運用が回った企業は少ない。GXOが相談の場で繰り返し見るのは、次の失敗パターンだ。これらは「文書の完成」と「ルールの機能」がまったく別物であることを示している。

失敗1：適用範囲から業務委託先が抜ける。 テンプレートの多くは「全従業員に適用する」と書く。しかし実際に機密情報をAIへ入力してしまうのは、常駐の業務委託エンジニアや、資料作成を請け負う外部パートナーであることが多い。正社員だけを縛った規程は、最もリスクの高い経路を素通しにする。

失敗2：許可ツールの棚卸しをせずにホワイトリストを作る。 「許可するのはChatGPT Teamのみ」と書いた翌日に、営業部が別の無料ツールを、開発部がコード補助ツールを、デザイン部が画像生成サービスを、それぞれ既に業務で使っている実態が判明する。現状把握を飛ばしたホワイトリストは、初日から現場の実態と乖離し、守る意味を失う。

失敗3：罰則だけ厳しく、相談窓口が無い。 「違反したら懲戒」とだけ書くと、従業員は「うっかり入力してしまった」ときに隠す。インシデントは報告されて初めて封じ込められるのに、罰則先行の規程は報告を止め、被害を潜在化させる。

失敗4：規程はあるが技術的統制がゼロ。 「機密情報を入力してはならない」と紙に書いても、人は疲れていれば貼り付ける。禁止を本当に効かせるには、法人契約による学習オプトアウト、送信内容を検知するDLP、利用ログの保存といった技術的な裏打ちが要る。規程と統制の対応表が無い規程は、性善説に丸投げした願望リストにすぎない。

失敗5：一度作って更新されない。 生成AIは主要サービスの仕様やプランが数か月単位で変わる。学習利用の初期設定、法人プランの提供範囲、各社の権利帰属条項は、去年の常識が今年は誤りになる。改定サイクルを条文に埋め込まないと、規程は作った瞬間から陳腐化を始める。

この5つを避けるだけで、テンプレートは「飾り」から「使える規程」に変わる。以下、順に埋めていく。

生成AI利用ポリシーに必ず入れる必須項目（12項目チェックリスト）

競合各社の解説やAI事業者ガイドラインの実務内容を突き合わせると、利用ポリシーの骨格として外せない項目は次の12に集約できる。まずはこの表で「自社の規程に何が欠けているか」を点検してほしい。

横にスクロールして確認できます

No.	項目	何を決めるか	よくある抜け
1	目的・基本方針	禁止ではなく「安全に活用する」ための文書だと宣言する	禁止条項の羅列になり現場が萎縮する
2	適用範囲	正社員・契約・派遣・業務委託先まで対象を明記	委託先が抜け、最大リスク経路が素通し
3	許可ツール（ホワイトリスト）	業務利用してよいサービスとプランを列挙	現状棚卸しを飛ばし実態と乖離
4	データ分類基準	公開／社内限定／社外秘／極秘の4段階で入力可否を定義	分類が無く「機密は禁止」だけで判断できない
5	入力禁止情報の具体列挙	個人情報・営業秘密・他者著作物を具体名で禁止	抽象語のみで現場が判断できない
6	出力の検証義務	外部公開・法務財務は人による確認を必須化	ハルシネーションのまま顧客提出
7	著作権の取り扱い	生成物の商用利用前チェックと権利帰属確認の手順	学習段階と生成段階を混同
8	アカウント・APIキー管理	法人契約の一元管理、個人アカウント業務利用の禁止	個人アカウント放置で退職後もアクセス可能
9	監査・ログ管理	利用ログの保存期間と監査頻度	ログが無く事後追跡が不能
10	インシデント対応・相談窓口	報告フローと質問先を明記（罰則より先に）	窓口が無く違反を隠す文化が生まれる
11	教育・研修	定期的な受講義務と対象者	配布して終わりで内容が理解されない
12	改定サイクル	最低半年ごと、法改正・仕様変更時の見直し	更新されず陳腐化

この12項目のうち、中小企業が特に手薄になりがちなのが「4：データ分類」「7：著作権」「9〜10：ログと相談窓口」だ。以下で個別に掘り下げる。

FREE DOWNLOAD

AI導入チェックリスト（PoC 失敗要因 10項目）

情シス部門が PoC 前に押さえるべき失敗要因を10項目に整理した無料チェックリスト。

30分で相談するチェックリストをDL

データ分類マトリクス：入力してよい情報・ダメな情報の線引き

「機密情報を入力しないこと」という一文では、現場は動けない。会議の議事録は機密か、取引先の社名は個人情報か、公開済みの製品カタログは自由に使えるのか——判断は人によってぶれる。ぶれをなくす唯一の方法は、データを分類し、分類ごとに入力可否をあらかじめ決めておくことだ。生成AIガイドラインの実務解説でも、この「データ機密度分類マトリクス」は必須項目に位置づけられている。

GXOが中小企業に薦める最小構成は、4分類のマトリクスだ。凝った分類は運用されない。まずはこの粒度で始め、迷ったら「上の分類」に倒す運用にすると事故が減る。

横にスクロールして確認できます

データ分類	定義	AIへの入力可否	具体例
公開情報	すでに一般公開している情報	可	自社Webの公開ページ、プレスリリース、製品カタログ
社内限定	社外秘だが特定個人と結びつかない情報	条件付き可（固有名詞・数値を匿名化）	業務マニュアル、社内会議の議事録要約、一般的な業務相談
社外秘	漏れると事業に不利益が及ぶ情報	原則禁止（法人契約かつ承認制でのみ）	未公開の事業計画、見積根拠、取引先固有の情報
極秘・個人情報	個人を特定できる情報、最重要機密	禁止	顧客・従業員の個人情報、財務詳細、M&A情報、認証情報

このマトリクスの肝は、「条件付き可」を安易に広げないことだ。匿名化すれば社内限定情報を入力してよい、というルールは便利だが、匿名化が甘いと個人が再特定される。氏名を伏せても、役職・所属・案件名の組み合わせで誰か分かる例は珍しくない。判断に迷う情報は「一つ上の厳しい分類として扱う」と決めておくと、現場は安全側に倒せる。

個人情報を入力する場合の法的な裏取り

個人情報を含むプロンプトを入力する行為には、個人情報保護法上の論点がある。個人情報保護委員会は令和5年6月2日付の注意喚起「生成AIサービスの利用に関する注意喚起等について」で、個人情報取扱事業者が生成AIに個人情報を含むプロンプトを入力する場合は、あらかじめ特定した利用目的の達成に必要な範囲内であることを十分に確認する必要があり、また入力した個人データが応答結果の出力以外の目的（＝機械学習など）で取り扱われる場合には法違反となり得るため、提供事業者が当該データを機械学習に利用しないことを十分に確認する必要がある、という趣旨を示している（一次情報：個人情報保護委員会公表資料）。

これを規程に落とすと、条文は「個人情報を入力しない」だけでは足りない。「やむを得ず個人情報を入力する場合は、学習に利用しない契約・設定であることを確認済みの法人サービスに限る」という条件を明記する必要がある。ここが、テンプレを丸写しした規程とGXOが薦める規程の分かれ目になる。

著作権リスクは「学習段階」と「生成・利用段階」を分けて考える

生成AIの著作権は、ネット記事の多くが一括りに語るため誤解が多い。実務では、**AIに他者の著作物を入力・学習させる「学習段階」**と、**AIが出した生成物を使う「生成・利用段階」**を分けて考える必要がある。判断基準は文化庁の文化審議会著作権分科会が令和6年3月に取りまとめた「AIと著作権に関する考え方について」が現時点の実務上の拠り所になる（一次情報：文化庁）。

生成・利用段階の侵害判断は、AIでない通常の著作権侵害と同じく「類似性」と「依拠性」の両方を満たすかで判断される、というのが文化庁の整理だ。類似性は、既存著作物の表現上の本質的特徴を感じ取れるかで判断される。依拠性については、利用者が既存著作物を認識しており、その創作的表現を意図して生成させた場合は依拠性が認められる。さらに、利用者が既存著作物を知らなくても、AIの開発・学習段階でその著作物が学習されていた場合には、類似した生成物が出れば依拠性が推認され得る、と整理されている点は特に重要だ。つまり「知らなかった」だけでは免責されない場合がある。

AI生成物の著作物性については、人間による創作的寄与がない生成物には著作権が発生しないというのが基本的な考え方だ。プロンプトの工夫だけで直ちに著作物になるわけではなく、どこまでの関与があれば創作性が認められるかは事案による。自社の生成物に第三者が権利主張してくる可能性と、自社の生成物を他社に真似されても権利で守れない可能性の、両方を織り込んでおく必要がある。

規程・実務に落とす著作権チェック

画像やロゴを生成AIで作るときは、既存キャラクター・他社ロゴ・特定の作風への類似を、公開前に必ず確認する（画像検索・逆画像検索での照合を手順化する）。
記事・コピー・コードなど外部公開する生成物は、著作権侵害の観点で人がレビューしてから公開する、と検証義務（必須項目6）に紐づける。
入力したプロンプトと生成物をセットで保存する。問題が起きたとき、依拠性の有無を説明する材料になる。
各AIサービスの利用規約で、生成物の権利帰属・商用利用可否がサービスごとに異なることを確認する。ここは仕様変更が多いため、改定サイクル（必須項目12）で定点観測する。

なお、文化庁は令和6年7月に「AIと著作権に関するチェックリスト＆ガイダンス」も公表しており、利用者向けの確認観点が整理されている。自社の著作権チェック手順書を作る際の下敷きとして、一次資料を確認したうえで自社版に落とすとよい。

情報漏洩対策：規程の条文と「技術的統制」を対応させる

前述の失敗パターン4のとおり、「入力しない」という約束だけでは情報漏洩は止まらない。規程の各条文に、それを実際に効かせる技術的・契約的な裏打ちを対応させる。ここが利用ポリシーの実効性を分ける。

まず、生成AIに入力したデータが学習に使われるかどうかは、サービスとプランによって扱いが異なる。下表は2026年7月時点で一般に案内されている扱いの整理だが、各社の仕様・初期設定は変更されるため、契約前に必ず提供元の最新規約と管理画面で確認してほしい（二次情報を含むため、導入判断は一次規約で裏取りすること）。

横にスクロールして確認できます

利用形態	データの学習利用	実務上の注意
消費者向け無料・個人有料プラン（Web UI）	初期設定で学習に使われる場合がある（オプトアウト可のことが多い）	設定で無効化しても、個人アカウントは会社が管理できない
法人向け（Team/Enterprise 等）	学習に使われない設計が一般的	管理者が組織全体の設定を統制できる点が本質的な価値
API経由の利用	学習に使われない設計が一般的	キー管理・利用ログの一元化が前提
業務ツール連携（Workspace等）	管理者設定に依存	管理者コンソールの設定確認が必須

この違いから導かれる原則はシンプルだ。業務利用は法人契約またはAPIに限り、個人アカウントでの業務利用を禁止する。 個人アカウントは、退職時に会社がデータを取り上げられず、設定も統制できないため、最もリスクが高い。

規程条文 ↔ 技術的統制の対応表

横にスクロールして確認できます

規程で禁止・要求すること	効かせるための技術・契約統制
機密情報を入力しない	DLP（Data Loss Prevention）で機密パターンの送信を検知・ブロック
学習に使わせない	法人契約・APIを標準化し、学習利用をオプトアウト設定
個人アカウント業務利用の禁止	SSO・許可済みサービスへのアクセス制御、未承認サービスの通信制限
監査できる状態にする	利用ログの保存（保存期間を明記）と四半期ごとの監査
APIキーの安全管理	ソースへのハードコード禁止、環境変数・シークレット管理、定期ローテーション、退職者キーの即日失効

この対応表を作れているかが、規程が「願望」か「統制」かの分かれ目になる。DLPの導入や通信制御は情シス体制と密接に関わるため、社内に専任がいない場合は、機密情報の技術的な守りをどこまで自前で持つか、外部のセキュリティ体制の再構築まで含めて設計するかを、規程策定と同時に判断しておきたい。継続的なログ監査や脆弱性対応まで自社だけで回すのが難しいなら、月次で伴走するセキュリティ顧問（リテイナー）のような外部の運用支援を、規程の「監査体制」の実行主体として組み込む選択肢もある。

AI事業者ガイドラインとの整合の取り方

自社ポリシーを作るとき、必ず参照すべき公的文書が総務省・経済産業省の「AI事業者ガイドライン」だ。最新は第1.1版で、令和7年3月28日に公表されている（一次情報：総務省／経済産業省）。本編が「基本理念」と「指針」を、別添（付属資料）が「実践」を扱う二段構成で、別添にはリスク対策のチェックリストやワークシートが含まれる。

ここで押さえたいのは、このガイドラインが主に「AIの開発者・提供者・利用者」という立場ごとに整理されている点だ。多くの中小企業は自社でAIを開発するのではなく「利用者（業務利用者）」に該当する。したがって、ガイドライン全文を規程化する必要はなく、別添の利用者向けチェック項目を、自社の利用ポリシーの条文へ翻訳するという向き合い方が現実的だ。透明性・公平性・プライバシー保護・セキュリティといった原則を、抽象論のまま貼り付けるのではなく、「誰が・何を・どの分類のデータで・どう検証するか」という自社の運用手順に落とし込む。ここを飛ばして原則だけコピーすると、立派だが機能しない規程になる。

取引先や親会社への説明が必要な場合は、「当社の生成AI利用ポリシーはAI事業者ガイドライン（第1.1版）の利用者向け項目に準拠して策定した」と一言添えられる状態にしておくと、対外的な信頼の裏付けになる。

コピペで使える生成AI利用ポリシー・テンプレート（中小企業向け骨格）

以下は、ここまでの必須項目を反映した最小限の骨格だ。自社の実態（許可ツール、担当部門名、保存期間）に合わせて括弧内を置き換えて使ってほしい。完璧を目指して着手が遅れるより、この骨格で運用を始め、半年ごとに直すほうが実効性は高い。

【生成AI利用ポリシー】

第1条（目的）
本ポリシーは、生成AIサービスの業務利用における情報セキュリティの確保、
法令遵守、および安全な活用の促進を目的とする。禁止のためではなく、
安心して活用するための共通ルールとして定める。

第2条（適用範囲）
当社の全ての役員および従業員（正社員、契約社員、派遣社員を含む）、
ならびに業務に従事する業務委託先・常駐パートナーに適用する。

第3条（許可サービス）
業務利用を許可する生成AIサービスは以下のとおりとする。
- （例：ChatGPT Team、Claude(API経由) 等、自社で棚卸しのうえ列挙）
上記以外のサービスを業務に利用する場合は、（AI推進担当／情シス）へ
申請し、承認を得なければならない。個人アカウントによる業務利用を禁止する。

第4条（データ分類と入力可否）
社内データを「公開情報／社内限定／社外秘／極秘・個人情報」の4分類とし、
入力可否は別紙「データ分類マトリクス」に従う。判断に迷う場合は、
より厳しい分類として扱う。

第5条（入力禁止情報）
次の情報を生成AIに入力してはならない。
- 顧客・従業員等の個人情報（氏名、連絡先、識別可能な情報）
- 未公開の財務情報・事業計画・見積根拠
- 秘密保持契約に基づき受領した取引先の情報
- 他者の著作物（記事、有料コンテンツ、他社コード等）
- 認証情報（パスワード、APIキー等）
- 自社ソースコード（許可されたコード補助ツールを除く）

第6条（出力の検証）
生成物を外部に公開・提出する場合、または法務・財務・契約に関わる場合は、
事実確認、著作権侵害の類似性チェック、（上長／担当部門）の承認を必須とする。
生成物に関する最終的な責任は、利用した従業員が負う。

第7条（著作権の取り扱い）
生成物を商用利用する場合は、既存著作物との類似性を確認する。
画像・ロゴ・キャラクターは公開前に逆画像検索等で照合する。
入力プロンプトと生成物はセットで（保存期間）保存する。

第8条（アカウント・APIキー管理）
法人契約を一元管理し、APIキーはソースにハードコードせず、
環境変数またはシークレット管理で扱う。退職者のアカウント・キーは
即日無効化する。

第9条（ログ・監査）
利用ログを（保存期間）保存し、（四半期／半期）ごとに監査する。

第10条（相談窓口・インシデント対応）
利用に関する疑問は（相談窓口）に照会できる。
問題が発生した、または入力してはならない情報を誤って入力した場合は、
速やかに（AI推進担当／情シス）へ報告する。早期報告を最優先とし、
報告したこと自体を理由に不利益な取扱いはしない。

第11条（教育）
対象者は（年次／半期）の研修を受講し、確認テストに合格する。

第12条（違反時の対応）
本ポリシーに違反した場合は、注意指導、再教育、就業規則に基づく
措置を講じる。

第13条（見直し）
本ポリシーは最低半年に1回、および重大な法改正・サービス仕様変更が
あった場合に見直し、改定する。

制定日：20XX年XX月XX日／最終改定日：20XX年XX月XX日

このテンプレートで、他社ひな形との最大の違いは第4条（データ分類の別紙参照）、第5条の認証情報の明記、第10条の「報告を理由に不利益な取扱いをしない」の一文だ。この3点が、規程を「守られる」側に寄せる。

策定プロセス：2〜4週間で立ち上げる5ステップ

横にスクロールして確認できます

ステップ	期間目安	やること	完了の判断
1. 現状棚卸し	3〜5日	誰がどのAIを何の業務に使っているかを聞き取り、既存の利用実態を洗い出す	シャドー利用を含む「実態リスト」ができた
2. 巻き込み	2〜3日	情シス・法務・人事・各事業部の懸念点を集める	部門ごとの反対理由・不安が言語化された
3. 起草	3〜5日	本記事のテンプレートに自社の許可ツール・分類・窓口を反映	12項目が埋まった草案ができた
4. 技術統制の対応付け	3〜5日	各条文にDLP・法人契約・ログ等の裏打ちを対応させる	「対応表」に空欄が無い
5. 教育・運用開始・改定日設定	継続	説明会＋確認テスト、次回改定日をカレンダーに登録	全員が読了し、改定日が決まった

多くの解説が「1→3→5」だけを描くが、GXOが強調したいのはステップ2（巻き込み）とステップ4（技術統制の対応付け）だ。ここを飛ばした規程は、現場の反発で守られないか、統制の裏打ちが無くて破られるかのどちらかになる。

自社にIT判断の専任者がいない場合、ステップ1の棚卸しとステップ4の技術統制設計は、そもそも「何を確認すべきかが分からない」という壁にぶつかりやすい。着手前に自社のDX推進体制と成熟度を診断して、社内でどこまで判断でき、どこから外部の目を入れるべきかの線引きを済ませておくと、規程策定の手戻りが減る。

放置した場合と整備した場合の違い

横にスクロールして確認できます

観点	ポリシー未整備	ポリシー整備済み
情報漏洩	誰が何を入力したか追跡できず、事故が起きても範囲を特定できない	分類・ログ・統制が対応し、事故時に範囲と原因を説明できる
著作権	生成物を無検証で公開し、侵害請求のリスクを抱える	公開前チェックが手順化され、依拠性の説明材料も残る
対外説明	「ルールはあるか」と問われて即答できない	ガイドライン準拠と説明でき、取引の信頼につながる
現場の活用	禁止か放任かの両極端で、安全に使える範囲が曖昧	使ってよい範囲が明確で、萎縮せず活用できる
更新	一度作って放置、仕様変更で規程が実態と乖離	改定日が定まり、法改正・仕様変更に追随できる

GXOが規程を点検するときの第三者検証の観点

作った利用ポリシーが「飾り」になっていないかを、GXOは次の観点で点検する。自社で作った規程を客観視するチェックにも使える。

適用範囲に業務委託先・常駐パートナーが含まれているか。抜けていれば最大リスク経路が素通しになる。
許可ツールのリストが、現状棚卸しの実態と一致しているか。現場が使っているのにリストに無いツールは、放任か闇利用のどちらかになる。
「機密情報は禁止」で止まらず、データ分類マトリクスで現場が判断できる粒度まで落ちているか。
個人情報の入力条件に「学習に使わないことの確認」が条文として入っているか（個情委の注意喚起への対応）。
著作権の扱いが、学習段階と生成・利用段階で分けて書かれているか。
各条文に技術的統制（法人契約・DLP・ログ）が対応しているか。紙だけの禁止で終わっていないか。
相談窓口と「報告を理由に不利益な取扱いをしない」旨があり、インシデントが報告される設計になっているか。
改定サイクルが条文にあり、次回改定日が実際にカレンダーへ登録されているか。

この8点のうち3つ以上が「無い」なら、その規程はコピペ段階に留まっており、運用に耐えない可能性が高い。

GXOに相談すべきタイミング

現場が既に複数の生成AIを使っており、どこから統制すればよいか棚卸しの段階で手が止まっているとき
規程は作ったが、DLPやログ、法人契約の技術的統制と対応させられておらず、実効性に不安があるとき
取引先・親会社・監査からAI利用ルールの提示や説明を求められ、ガイドライン準拠を対外的に示す必要があるとき
個人情報・機密情報を扱う業務でAIを本番運用に乗せる前に、法令とセキュリティの両面で第三者の点検を受けたいとき
情シスが1名または兼任で、規程策定と技術統制と教育を同時に回すリソースが社内に無いとき

GXOは、AI活用の構想整理から要件定義、社内ルールの策定、システム連携、運用改善までを一気通貫で支援する。特に、規程を「文書」で終わらせず、データ分類・技術統制・監査体制まで対応させて本番運用に落とす点を重視している。

よくある質問（FAQ）

Q. 無料のChatGPTアカウントで業務利用してもよいか？ A. 推奨しない。消費者向けの無料・個人プランは、個人アカウントゆえに会社が設定や退職時のデータを統制できない。学習利用の初期設定もリスクだ。業務利用は法人契約（Team/Enterprise）またはAPIに限るべきだ。

Q. 利用ポリシーの策定にどれくらいかかるか？ A. 現状棚卸しから運用開始まで、最小限の骨格なら2〜4週間で立ち上げられる。完璧を目指して着手が遅れるより、本記事のテンプレートで始め、半年ごとに改定するアプローチを薦める。

Q. 大企業や官公庁の立派なガイドラインをそのまま使ってはいけないのか？ A. 参照は有益だが、丸写しは危険だ。適用範囲・許可ツール・データ分類は自社の実態に依存する。特に業務委託先の扱いと、現に使われているツールの棚卸しを反映しないと、初日から実態と乖離する。

Q. 個人情報をAIに入力するのは絶対禁止か？ A. 原則は入力しないことだ。やむを得ず入力する場合は、利用目的の範囲内であること、かつ学習に利用しない契約・設定の法人サービスであることを確認する必要がある（個人情報保護委員会の注意喚起）。規程にこの条件を明記しておく。

Q. AIが作った文章や画像の著作権は誰のものか？ A. 人間の創作的寄与が無い生成物には著作権が発生しないというのが現時点の基本的な考え方だ。逆に、既存著作物と類似性・依拠性が認められれば、自社の生成物が他者の権利を侵害する可能性もある。公開前チェックとプロンプト・生成物の保存を手順化しておく。

Q. 従業員がルールを守らない場合は？ A. まず教育と相談しやすい窓口を優先する。そのうえでDLPによる送信ブロックや未承認サービスへのアクセス制限といった技術的統制を併用し、「うっかり違反」が起きにくい環境を作る。罰則先行は報告を止めるため逆効果になりやすい。

Q. EU AI Actは日本の中小企業にも関係するか？ A. EU域内で事業を行う、またはEU市民にサービスを提供する場合は対応が必要になり得る。国内取引が中心なら直ちに全面対応が要るわけではないが、EU市場との接点がある企業は施行スケジュールを確認しておくべきだ。