『生成AIガイドライン、誰か作って』と言われたときに読む実務メモ

この記事について 「生成AIの利用ガイドライン、誰か作っておいて」──情シスやセキュリティ担当なら、一度は言われた（言われそうな）お題だと思います。この記事は、そのガイドラインをゼロから実務で回る形に落とすための手順メモです。 前提として、ガイドラインの目的は「使わせないこと」ではありません。安全に使わせて、野良利用（シャドーAI）をなくすことです。禁止一辺倒は、利用を地下に潜らせるだけで、かえってリスクが上がります。 作る前に決める2つのこと 手を動かす前に、ここを握っておくと後がぶれません。 目的の合意: 「情報漏洩を防ぎつつ、生産性向上のために活用する」——この両立をゴールに置く。経営層とこの一文を合意しておくと、細部の判断がぶれない 対象範囲: 誰の・どのツールの利用を対象にするか（全社員か、特定部門か。ChatGPT等の外部サービスか、社内提供のAPIか） 5ステップで作る ST

[mr_yamada]

弊社立派なガイドラインはあるものの、Gemini以外は認めてくれず、その他のAIは事業ごとに申請して用途を説明し、その上で独自に契約するようにと言われて厳しい。申請がまず通らないし。

[diveintounlimit]

うっっっっっすい

[nguyen-oi]

「禁止」じゃなくて「条件付き許可」で回すのは情シスの基本だな

[mistake3]

推奨はしていないけどWebフィルタリングとかしてないので使えてしまう生成AIに対して、もし使うんだったら学習されないように設定はこうしろと言って良いものなのか迷う