客先の生成AI利用ルール、参画したら最初に確かめること

業務委託として新しい客先に参画すると、最初の数日は確かめることが山ほどあります。貸与端末の受け取り、アカウントの発行、会議体の把握、資料の置き場所。その中で、生成AIの利用ルールは後回しにされがちです。

ところが、生成AIはいまや日々の作業に深く入り込んでいます。メールの文面を整える、資料の構成を考える、表計算の関数を調べる。手元の習慣で何気なく使ったことが、客先のルールに反していた、ということが起こり得ます。しかも、業務委託の立場だと、社員向けの研修や社内の告知が届かないことも多く、ルールがあること自体を知らないまま働くことになりかねません。

この記事では、外部のパートナーとして参画したときに、生成AIについて最初に確かめておきたい観点を順に挙げます。ルールの中身は会社ごとに違うので、ここでは「何を聞けばよいか」に絞ります。

ルールは「ない」のではなく「見えていない」ことが多い

参画先で「生成AIのルールはありますか」と聞くと、「特に聞いていない」と返ってくることがあります。ただ、それはルールがないという意味ではないことが多いです。情報システム部門や法務部門がガイドラインを出していても、現場の担当者が詳しく知らないだけ、という場合があります。

また、生成AIという言葉が出てこなくても、既存の規程が実質的にルールとして働いていることもあります。たとえば、情報セキュリティの規程に「業務情報を許可のない外部サービスに送信してはならない」と書かれていれば、生成AIのサービスに資料を貼り付けることも、これに当たる可能性があります。

さらに、業務委託の場合は、客先のルールとは別に、自分と契約している会社のルールもあります。商流の途中に元請けが入っているなら、その会社の規程も関わってきます。どれか一つでも禁止していれば、使うべきではありません。

ですから、最初の問いは「ルールはありますか」ではなく、「生成AIの利用について、守るべき規程やガイドラインがあれば教えてください。また、外部の委託者にも適用されるものがあれば、その範囲も知りたいです」と具体的に聞くのがよいでしょう。答えられる人が分からなければ、誰に聞けばよいかを教えてもらいます。

使ってよいツールと、使ってよい環境

最初に確かめたいのは、どのツールを使ってよいかです。客先によっては、社内で契約した生成AIの環境だけを使うよう決めています。その環境は、入力した内容が学習に使われない設定になっていたり、アクセスの記録が残る仕組みになっていたりします。

ここで気をつけたいのは、社員には使える環境でも、業務委託の人には権限が付与されていない場合があることです。社員と同じようにアカウントが発行されるのか、申請が必要なのか、そもそも対象外なのか。対象外であれば、生成AIを使わずに作業を進めることになります。

あわせて確かめたいのが、使う端末です。客先の貸与端末だけで作業するのか、自分の端末でも作業してよいのか。貸与端末では外部のサービスへのアクセスが制限されていることがあります。自分の端末で作業してよい場合でも、そこで生成AIを使ってよいかは別の問題です。

たとえば、貸与端末では社内の生成AIが使えるが、自分の端末で作った下書きを持ち込むのは禁止、という決まりもあり得ます。ツール、端末、作業の場所の組み合わせで、何が許されているのかを一度整理しておくと、迷わずにすみます。

見落としやすいのが、ふだん使っている道具に組み込まれた生成AIの機能です。メールソフトの文面提案、オンライン会議の自動要約、文書作成ソフトの下書き機能、ブラウザの翻訳や要約の拡張機能。自分では生成AIを使っているつもりがなくても、裏で外部のサービスに内容が送られていることがあります。客先のルールが、こうした組み込みの機能まで対象にしているかは、あわせて聞いておきたいところです。

とくにオンライン会議の自動要約は、自分だけの問題ではありません。会議の参加者全員の発言が記録されるからです。自分が主催する会議で使う場合は、客先のルールに加えて、参加者にあらかじめ伝えるのが礼儀です。

入力してよい情報の範囲

使ってよいツールが分かったら、次はそこに何を入れてよいかです。社内の環境であっても、入れてよい情報に制限がかかっていることがあります。

確かめたいのは、次のような区分です。

• 個人情報。顧客の氏名や連絡先、社員の評価などを含む情報
• 取引先の情報。取引先の名前や契約条件、価格
• 未公表の経営情報。事業計画、組織の変更、決算に関わる数字
• システムの構成情報。サーバーの構成、認証の方式、ネットワークの図
• 他社から預かった情報。ベンダーの見積書や提案書など

とくに見落としやすいのが、最後の「他社から預かった情報」です。ベンダーから受け取った提案書や見積書には、そのベンダーとの守秘の約束がかかっていることがあります。客先の社内ルールで許されていても、ベンダーとの約束が別に効いている場合があります。

ルールが「機密情報は入力禁止」のように大まかに書かれているときは、自分が扱う具体的な情報が機密に当たるかを聞いておくと安全です。「会議の議事録の下書きに使いたいのですが、議事録は機密情報に当たりますか」のように、作業と情報を組にして聞くと、相手も答えやすくなります。

入力してよい範囲が分かったあとも、使い方で工夫できることがあります。たとえば、資料の構成を相談したいだけなら、本文を貼り付ける必要はありません。「業務部門向けに、新しい業務フローを説明する資料の章立てを考えたい」と、目的と読み手だけを伝えれば足ります。個人名や社名を役割の名前に置き換える、具体的な数字を伏せる、といった一手間でも、入力する情報の重さは大きく変わります。

成果物に生成AIを使ったと書くか

次に確かめておきたいのが、成果物の扱いです。生成AIを使って作った資料や文書を客先に出すとき、そのことを伝える必要があるか。会社によって考え方が分かれる点です。

ある客先では、生成AIを使って作った部分を明記するよう求めているかもしれません。別の客先では、最終的に人が確認していれば記載はいらないとしているかもしれません。成果物の権利の扱いと合わせて、ルールを決めている会社もあります。

業務委託の場合は、契約書の内容も関わってきます。成果物の著作権が客先に移ると定められているとき、生成AIが出した文章の扱いをどう考えるかは、法的にもまだ整理が進んでいる途中の論点です。ここは自分で結論を出すのではなく、客先と契約先の判断に従うのが基本です。

現場の運用としては、作業の途中で生成AIを使ったかどうかを、自分のメモに残しておくことをおすすめします。どの資料のどの部分で使ったのか。後から客先に聞かれたときに、すぐ答えられるようにしておくためです。あわせて、生成AIが出した数字や事実は、必ず元の資料にあたって確かめてから成果物に載せます。

もう一つ気をつけたいのが、レビューの場面です。客先の社員やほかのパートナーが作った資料をレビューするとき、その資料を生成AIに読ませて指摘を出させたくなることがあります。これも、他人が作った情報を外部のサービスに入れる行為です。自分の成果物よりも慎重に扱い、ルールで認められているかを確かめてから使います。

ログと個人アカウントの扱い

生成AIの環境によっては、入力した内容と出力がログとして残ります。社内の環境であれば、管理者がそのログを見られる場合があります。これは悪いことではなく、情報が漏れていないかを確かめるための仕組みです。ただ、自分の入力が記録されていると知っておくことは大切です。

確かめておきたいのは、ログを誰が見られるのか、どれくらいの期間残るのか、という点です。参画が終わったあとに、自分のアカウントとログがどう扱われるのかも聞いておくと安心です。

ログが残るということは、自分が何をどう使ったかを、後から説明できるということでもあります。万一、情報の扱いについて問題が起きたときに、ルールの範囲で使っていたことを示す材料になります。そう考えると、ログが残る社内の環境を使うことは、客先のためだけでなく、受ける側の身を守ることにもつながります。

もう一つ、迷いやすいのが個人アカウントの扱いです。普段から自分で契約している生成AIのサービスを使っている人は多いでしょう。その個人アカウントを客先の業務に使ってよいかは、はっきり確かめておく必要があります。

多くの客先では、個人アカウントでの業務利用は禁止されているか、少なくとも制限されています。個人アカウントで入力した内容は、客先が管理できる範囲の外に出てしまうからです。たとえ学習に使わない設定にしていても、客先から見れば、管理の届かない場所に情報があることに変わりありません。

副業で参画している場合は、さらに注意が必要です。本業の会社で使っているアカウントを、副業の客先の作業に使うことは、両方の会社のルールに触れる可能性があります。案件ごとに使う環境を分けるのが基本です。

複数の客先を並行して担当している場合も同じです。一つの個人アカウントで、A社の議事録とB社の資料を続けて扱うと、会話の履歴にそれぞれの情報が混ざって残ります。履歴の画面を人に見られたり、前の会話の内容が次の回答に引き継がれたりするだけで、守秘の約束に触れるおそれがあります。客先ごとに環境を分け、参画が終わったら履歴の扱いも確かめておきます。

確かめ方と、記録の残し方

ここまで挙げた観点は、一度に全部聞くと相手の負担になります。参画初日の挨拶の場で細かく質問を重ねるより、窓口の担当者に、まとめて一通のメールで聞くのがよいでしょう。

メールの形としては、次のような順で書くと答えやすくなります。

1. 生成AIを使いたい作業を、具体的に書く。議事録の下書き、資料の構成案など
2. 使いたいツールと、使う端末を書く
3. 入力する予定の情報の種類を書く
4. 守るべき規程があれば教えてほしい、と頼む

このように書くと、相手は自分で規程を確かめたり、担当部署に問い合わせたりしやすくなります。答えが返ってきたら、そのメールを保存しておきます。後で「誰に、いつ確認したのか」を説明できるようにしておくためです。

返事が来るまでは、生成AIを使わずに作業を進めます。急ぎの作業があって使いたい場合でも、確認が取れるまで待つほうが、結果として信頼を守れます。ルールが後から変わることもあるので、社内の告知が業務委託の人にも届くように、配信先に加えてもらえるかもあわせて聞いておくとよいでしょう。

なお、自分と契約している会社にも、同じ内容を共有しておきます。商流の途中にいる会社が知らないまま、客先とのやりとりが進むと、後で認識のずれが生まれます。

参画初日のうちに

生成AIのルールを確かめることは、作業を制限するためではなく、安心して使うための準備です。ルールが分かっていれば、使ってよい場面では迷わず使えますし、使ってはいけない場面で手を止める判断もすぐにできます。

外部のパートナーとして客先に入る人は、社員以上に情報の扱いを見られています。一度の不注意で、それまでに積み上げた信頼を失うこともあります。逆に、最初にきちんと確かめる人は、それだけで情報の扱いを任せられる人だと受け止められます。

次に新しい客先に参画するときは、初日のうちに窓口の担当者へ、生成AIの利用について確認するメールを一通送ってみてください。使いたい作業とツールを書き添えるだけで、答えはずっと具体的になります。