メインコンテンツへスキップ
AMPL
お問い合わせ

組織のAI利用ルールを作る

ルールがない組織のAIは「全面禁止」か「野放し」に落ちる。用途の3分類、許可ツールリスト、教育、見直し。1枚から始める利用ガイドラインの型。

  • レッスン 14 / 15
  • 7分

このレッスンで

終わる頃には、次ができるようになります

  • 用途を3分類し許可ツールを契約形態つきでリスト化しシャドーAIを防げる
  • NIST AI RMFの4機能にガイドラインの骨格を対応づけて説明できる
  • 用途分類・許可ツール・入力ルール・見直し日付の4点で利用ガイドラインを組み立てられる

AI導入でいちばん危険な状態は、導入したことではなく、ルールがないまま、みんなが使い始めている状態です。

情報システム部門が把握していない場所で、職員が個人アカウントの生成AIに業務情報を入れる。このシャドーAIは、禁止令の副産物です。公式の使い道を用意しないまま禁止だけすると、需要は見えない場所に流れます。

だから組織のルールづくりの目的は締め付けではなく、「ここでは安全に使える」という公式の道を用意して、需要を見える場所に呼び戻すことです。

ㅤ

骨格は4つ: 分類・ツール・入力・見直し

利用ガイドラインは、分厚い規程集である必要はありません。最初の1枚に要るのは、この4つです。

01

用途を3分類する

リスクで3段に分ける

02

許可ツールリストを作る

名前と契約形態つきでリスト化する

03

入力ルールは作らない

既存の変換ルールと個人情報規程を参照する

04

見直しの日付を入れる

次回見直しの期日を最初から書く

ガイドライン最初の1枚に要る4つ

1. 用途を3分類する

区分例扱い
すぐ使ってよい文献検索・一般的な文書の下書き・アイデア出し許可ツールで自由に
条件つき院内資料の要約・議事録（非患者情報）審査済みツール＋研修受講者のみ
当面使わない患者情報を含む入力・診断への直接利用明示的に対象外とする

医療分野の生成AI利用ガイドライン（HAIP第2版、2025年）も、議事録やマニュアル検索といった非患者情報の領域から始めて段階的に拡大する進め方を推奨しています。最初の1枚では上の2段だけを公式化し、3段目は「今は扱わない」と線を引きます。

2. 許可ツールリストを作る

前々回の審査（10の質問）を通ったツールだけを、名前と契約形態つきでリスト化します。「ChatGPTは禁止」ではなく「会社契約のこのプランのこのアカウントで使う」と書く区別が、シャドーAI対策の本丸です。

3. 入力ルールは「作らない」

入力してよい情報のルールは、新しく発明する必要がありません。医療情報の入力の回で扱った変換（ダミー化・構造化・一般化）と、施設の個人情報規程をそのまま参照します。ルールを増やすより、既にあるルールへの導線を短くするほうが守られます。

4. 見直しの日付を最初に入れる

AIの状況は数ヶ月で変わります。ガイドラインに、「次回見直し: ◯年◯月」を最初から書いておく。完璧な規程を目指して1年止まるより、暫定版を3ヶ月ごとに直すほうが、現実に追いつけます。

ㅤ

国際標準の「棚」を借りる

体裁が不安なら、国際標準の骨組みを借りられます。NISTのAIリスクマネジメントフレームワーク（AI RMF 1.0）は、AIのリスク管理を4つの機能に整理しています。

NIST AI RMFの4機能

1

GOVERN

リスク管理の文化と体制を作る（＝今回のルールと責任者）

2

MAP

どこで何に使うか、文脈とリスクを洗い出す（＝用途の3分類）

3

MEASURE

リスクを評価・追跡する（＝利用状況とヒヤリハットの記録）

4

MANAGE

優先順位をつけて対処する（＝見直しサイクル）

あなたの1枚のガイドラインは、この4機能の最小実装です。経営層への説明では「NIST AI RMFの枠組みに沿って運用しています」と言えます。組織のAIガバナンス認証であるISO/IEC 42001も、この延長線にあります。

注意

教育とセットでないルールは、掲示物になる

ルールを配るだけでは、読まれずに終わります。最小の教育は「30分の研修1回＋入力してよい情報の1枚もの」。この講座の個人編（特に第9回・第10回）は、そのまま院内研修の教材として使えるように書いています。

ㅤ

小さな組織には、小さな版を

「うちは診療所で、情報システム部門なんてない」という場合も、考え方は同じで、分量が変わるだけです。最小構成は3行です。

最小構成の3行

1

使ってよいツール

名前を契約形態つきで書く

2

入れてはいけない情報

患者情報・認証情報

3

困ったときの相談先

院長または外部の相談窓口

この3行が壁に貼ってあるだけで、シャドーAIの大半は公式の道に乗ります。

明日のアクション

今日中にやる3点

  1. 自分の組織のAI利用ルールの現状を確認する（存在するか・誰が管理しているか・生成AIに触れているか）
  2. 用途の3分類表を、自分の職場の実例で埋めてみる
  3. ルールが無い組織なら、3行の最小版を書いて、次回の会議の議題に載せる

ㅤ

次のレッスン

いよいよ最終回です。承認された計画を段階導入で現実にし、説明責任を果たしながら続けます。

ㅤ

参考・出典

このレッスンは役に立ちましたか？