Starter
ガイドラインが未策定の企業、比較的小規模な企業に向いています。
実施内容
- 資料のレビュー
- 主要な関係者へのヒアリング
- 方針設計ワークショップ（1回）
主な成果物
- AI利用ガイドライン
- 情報分類・入力ルール
- AIサービス申請・例外承認ルール
- クイックリファレンス
AI ガバナンスガイドライン策定支援サービス
AIを「禁止するルール」から、安全に「使えるルール」へ。
AIの利用可否、入力できる情報、承認が必要なケースを明確に。経営・現場・情シス・セキュリティ・法務の要求を整理し、AI活用を止めずにリスクを管理できる、実務に即したガイドラインを策定します。
AI利用ルールの策定について相談する（外部サイト・新しいタブで開きます）
AIの利用実態の把握から始めたい方は：AI ガバナンスアセスメントサービス
AIの利用に、社内のルールが追いついていない。
生成AI、AI搭載SaaS、AIエージェントは短い期間で増え、変わり続けています。「〇〇は禁止」「〇〇は利用可能」とサービス名で決めるだけのルールや、抽象的な原則だけのガイドラインでは、現場は判断に迷い、管理する側も統制しきれません。
禁止しても、現場では使われている
AIの利用を原則禁止にしていても、業務の中で実際には使われており、禁止だけでは統制できていません。
導入したが、何に使ってよいか分からない
法人向けのAIサービスを導入したものの、どの業務で、どの情報まで使ってよいかが決まっていません。
ガイドラインが抽象的で、判断できない
原則は定めたものの、個別の業務や情報について「使ってよいか」を現場が判断できる内容になっていません。
部門ごとに、判断の基準が違う
複数の部門でAIの試験導入が進み、利用ルールや判断基準が部門ごとにばらばらになっています。
「禁止リスト」ではなく、「判断できるルール」を3つの層で設計します。
AIサービスの名前ごとに可否を決めるのではなく、全社の原則、扱う情報、業務の3つの層で判断の基準を定めます。新しいAIサービスが現れても、同じ基準で判断できます。
-
Layer 1
全社共通の原則
全従業員に共通する基本ルールです。
- AI利用の基本方針
- 人による最終確認
- 機密情報の取り扱い
- 個人情報の取り扱い
- 著作権・知的財産
- AI生成物の利用責任
- 禁止行為
- インシデントの報告
-
Layer 2
情報・リスク別のルール
扱う情報やリスクに応じて、AIへ入力してよいかの基準を定めます。
情報の区分ごとの原則例 情報 原則 公開情報 利用可能 社内一般情報 承認済みの環境で利用可能 社外秘情報 条件付きで利用 顧客情報 原則禁止、または承認制 個人情報 原則禁止、または指定した環境に限定 営業秘密 原則禁止 ソースコード 契約や利用環境等に応じて判断 -
Layer 3
業務・ユースケース別のルール
具体的な業務について、どこまでAIを使えるかを定めます。
業務ごとの利用条件例 業務 利用条件 メール文章の作成 利用可能。ただし機密情報の入力は禁止 議事録の作成 承認済みのAIのみ利用可能 顧客向けの提案書 担当者によるレビューが必須 プログラム開発 ソースコードを入力する条件を守る 採用・人事評価 AIだけで意思決定しない 法務の判断 補助としての利用に限り、専門の担当者が最終判断
表は一例です。実際の情報の区分と判断基準は、貴社の情報管理規程等と整合させます。
例えば、顧客向け提案書をAIで作成する場合
Layer 1全社共通原則
AIの出力結果は、人間による最終確認を必須とする
Layer 2情報とリスク別
顧客情報の入力は原則禁止。承認済み環境で、社内の承認条件を満たす場合に限り許可
Layer 3業務とユースケース別
顧客向け提案書は、担当者による事実確認・レビューを必須とする
利用するAI、入力情報、確認体制の条件を満たせば利用可能
※上記は判断例です。実際の利用条件は、貴社の情報管理規程や業務内容に合わせて設計します。
AIの利用に関わるルールを、7つの領域で定めます。
基本方針から、利用するAIサービス、入力する情報、出力の使い方、新しいAIの導入、例外の承認、インシデントの対応まで、従業員と管理者が判断に迷う場面を対象にします。
AI利用基本方針
AI活用の目的、適用範囲、利用者の責任、基本原則を明確化
詳しく見る
AI活用に対する会社の姿勢、利用の目的、対象となる人とサービス、利用者の責任、基本原則を定めます。
AIサービス利用ルール
承認済み・禁止・条件付き利用の判断基準を策定
詳しく見る
承認済み・条件付き・禁止のAIサービス、個人アカウントや無料版、AI搭載SaaS、API、AIエージェント、外部プラグイン・MCP（Model Context Protocol）等の扱いを定めます。
データ入力ルール
機密情報・顧客情報・個人情報等の入力可否と利用条件を定義
詳しく見る
公開情報、社内情報、機密情報、顧客情報、個人情報、営業秘密、ソースコード、認証情報等について、入力の可否と条件を定めます。
AI出力利用ルール
事実確認、著作権、人間によるレビュー等の基準を策定
詳しく見る
ハルシネーションへの対応、事実確認、著作権・個人情報・偏りの確認、顧客向け成果物での利用、AI生成物の表示、人によるレビューを定めます。
新規AIサービス導入ルール
新規サービスの申請・審査・承認プロセスを整備
詳しく見る
利用の希望から申請、リスクの確認、承認・条件付き承認・不承認、台帳への登録、利用開始までの標準の手続きと評価項目を設計します。
例外承認ルール
通常ルールから外れる場合の承認者・条件・有効期限を定義
詳しく見る
通常のルールでは対応できない業務について、申請者、承認者、理由、対象、リスク、代替策を確認する手続きを設計します。承認は期限付きを基本とし、再審査を行います。
インシデント対応ルール
誤入力、情報漏えい、不適切利用等の報告・対応フローを整備
詳しく見る
機密情報や個人情報を誤って入力した、不適切な成果物が生成された、未承認のAIを業務で使った等の場合の報告と対応の流れを定めます。
AIの利用ルールが、現場で機能する状態へ。
抽象的な方針や禁止事項だけで終わらせず、従業員が日々の業務で判断・実行できるルールへと具体化します。
BeforeAIを使ってよいか、担当者が判断できない
After業務・用途ごとの利用条件が明確になる
Beforeどの情報をAIに入力してよいか分からない
After情報分類ごとの入力可否・条件が明確になる
Before新しいAIサービスの導入手続きがない
After申請・審査・承認の判断基準が整備される
Before部門によってAI利用ルールが異なる
After全社共通の方針と部門別ルールが整理される
Beforeガイドラインが抽象的で、現場で活用されていない
After従業員が参照できる具体的な判断基準が整う
経営と現場の意見を整理し、自社に合ったAI利用ルールを決める。
論点の例ChatGPT等の外部のAIへ、社内の情報をどこまで入力してよいか
- 経営AIの活用を進めたい
- 現場顧客情報を入れられないと、使える業務が限られる
- 情シス管理できないAIを増やしたくない
- セキュリティ情報漏えいのリスクを抑えたい
- 法務個人情報・著作権・契約条件を確認したい
判断の基準へ落とす
- 禁止
- 条件付き利用
- 利用可能
経営・現場・情シス・セキュリティ・法務など、立場の異なる関係者の要求を整理し、AI利用の判断基準について合意形成を支援します。単なるテンプレートの提供ではなく、自社の業務やリスク許容度に即した、実際に運用できるルールを策定します。
ワークショップで決定する事項
- 利用できるAIサービスと利用条件
- 顧客情報・機密情報等の入力可否
- 例外利用時の承認条件と責任者
提供する主な成果物
※提供する成果物はプラン・対象範囲により異なります。
Starter
- AI利用ガイドライン
- 情報分類・入力ルール
- AIサービス申請・例外承認ルール
- クイックリファレンス
Standard
Starterの内容に加え
- ユースケース別ルール
- RACI・責任分界（関係部門の役割分担）
- インシデント対応
- AIサービス評価基準
- 導入ロードマップ等
Enterprise
Standardの内容に加え
- 部門別ルール
- AI開発・AIエージェント利用ルール
- ガバナンス運用設計等
オプションの成果物（標準の提供範囲とは別にご相談）
- AIサービス申請フォーム
- AI資産台帳
- AI利用FAQ
- 管理者向け運用マニュアル
- 従業員向け研修資料
- e-Learning
- 経営層向け説明資料
| 情報分類 | AI入力可否の目安 | 利用条件 |
|---|---|---|
| 公開情報 | 利用可能 | 公開済みの情報を使用し、AIの出力結果を確認する |
| 社内一般情報 | 承認済み環境で利用可能 | 保存・学習利用等の条件が社内基準を満たす環境で、必要な範囲に限って入力する |
| 顧客情報 | 条件付き利用 | 原則入力不可。必要性、契約上の制約、承認済み環境、匿名化等の社内条件を満たす場合に限る |
| 個人情報 | 原則禁止 | 例外利用は所管部門の審査・承認を要し、利用目的と入力範囲を限定する |
| 営業秘密 | 原則禁止 | 原則入力しない。例外利用は、別途定めた審査・承認手続きに従う |
※上記は成果物のイメージを示すサンプルです。実際の情報分類、入力可否、利用条件は、貴社の業務・契約・情報管理規程・利用環境に合わせて設計します。
選ばれる理由
実際のAI利用状況を踏まえたルール設計
既存規程やAI利用状況、業務上のユースケースを踏まえ、企業ごとの実態に即したガイドラインを策定します。
経営・現場・管理部門の合意形成を支援
立場の異なる関係者の要求を整理し、ワークショップを通じて実際に運用できる判断基準を設計します。
セキュリティの専門性を生かした具体的なルール策定
情報管理やセキュリティリスクの観点を踏まえ、AIへの入力可否、利用条件、申請・承認などを具体化します。
ガイドライン策定後の実装・運用まで支援
ガイドラインの納品で終わらず、必要に応じて教育、技術的な制御、継続的な運用管理まで支援します。
※策定後の実装・運用支援は、内容に応じて別途ご相談となります。
策定の進め方
テンプレートを納品するのではなく、関係者を巻き込みながら合意を形成して策定します。標準の期間は6〜8週間程度です。下図は8週間で進める場合の例で、期間が重なる工程は並行して進めます。
- キックオフ・対象範囲確定Week 1
- 既存規程・AI利用状況レビューWeek 1〜2
- 関係者ヒアリングWeek 2〜3
- リスク・論点整理Week 3〜4
- 方針設計ワークショップWeek 4〜5
- ガイドライン・運用ルールドラフト作成Week 5〜6
- 関係部門レビュー・修正Week 6〜7
- 最終化・経営承認に向けた支援・導入計画整理Week 7〜8
※上記はStandardプランの進行例です。Starterは4〜6週間、Standardは6〜8週間、Enterpriseは8〜12週間以上を目安とし、対象範囲・関係部門数等により変動します。
規模と範囲に合わせて選べる 3 つのプラン
Standard
全社的なAI利用ルールを整備する、中堅〜大企業に向いています。
Starterの内容に加え
実施内容
- 複数部門へのヒアリング
- 複数回のワークショップ
- 経営への報告
主な成果物
- ユースケース別ルール
- RACI・責任分界（関係部門の役割分担）
- インシデント対応
- AIサービス評価基準
- 導入ロードマップ等
Enterprise
大企業、規制業種、複数のグループ会社を持つ企業等に向いています。
Standardの内容に加え
実施内容
- グループ会社への展開
- 詳細な法務・セキュリティのレビュー
- 教育の設計
主な成果物
- 部門別ルール
- AI開発・AIエージェント利用ルール
- ガバナンス運用設計等
期間は目安です。費用と期間は、対象部門数、規程の数、ワークショップの回数、法務・セキュリティのレビュー範囲等により決まります。
アセスメントで「現状」を、ガイドラインで「これから」を決める。
AI ガバナンスアセスメントでは、誰が、どこで、何のために、どのAIを使っているかを明らかにします。本サービスでは、既存規程やAI利用状況を踏まえ、実務で使えるルールを策定します。AIガバナンスアセスメントを実施済みの場合は、その結果も活用できます。
※アセスメント未実施でもご相談いただけます。
例えば、アセスメントで以下が判明したとします。
- 従業員の30％が個人ChatGPTを利用
- 顧客情報を入力した経験者が存在
- AI利用申請制度がない
- 部門ごとに判断が異なる
- 正式導入したAIの利用率が低い
「個人アカウントは禁止」だけではなく、実際に運用可能なルールへ変換します。
- 会社指定AIは利用可能
- 公開情報・社内一般情報は入力可能
- 顧客情報は原則禁止
- 特定の承認済み環境では条件付き利用可能
- 新規AIは申請・評価後に利用
- 例外利用は期限付き承認
策定して終わらせない。ルールの実装まで。
策定したAI利用ルールを実際の業務で機能させるためには、技術的な制御や利用状況の把握も重要です。CSCでは、AI MONBANをはじめとするAIセキュリティサービスを通じて、ガイドライン策定後の実装・運用も支援します。
AI MONBANの導入は必須ではありません。策定したルールは、貴社で既にお使いのツールや運用の中でも実装できます。
ガイドライン策定後の支援（別途ご相談）
- 実装申請ワークフローや技術的な制御の導入
- 教育従業員向けの研修・e-Learning
- 継続的な見直しガイドラインの定期レビュー・新しいAIサービスの評価
いずれも、内容に応じて別途ご相談となります。
よくあるご質問
はい。既存規程やガイドラインの内容を確認し、現在のAI利用状況や業務上の課題を踏まえて、必要な改訂・具体化を支援します。
はい。既存規程やAI利用状況の確認から進めることが可能です。アセスメント実施済みの場合は、その結果を活用して一部の工程を効率化できます。
はい。生成AIに加え、AI搭載SaaS、AIエージェント、APIを利用したAI活用なども対象に含めて検討できます。対象範囲はプラン・利用形態に応じてご相談の上、決定します。
はい。ガイドライン策定後の周知・教育、申請・承認フローの実装、継続的な運用管理なども、別途ご相談いただけます。
Starterは4〜6週間、Standardは6〜8週間、Enterpriseは8〜12週間以上を目安としています。対象範囲や関係部門数等により変動します。
AIを、現場が迷わず使えるルールへ。
AIの利用を原則禁止にしている、導入したが使い方が決まっていない、ガイドラインはあるが判断に使えない。現在の状況に合わせて、策定の範囲と進め方をご提案します。まずはお困りごとをお聞かせください。