メインコンテンツへスキップ
AMPL
組織のAI利用ルールを作る
レッスン 14 / 15|9分で読めます

組織のAI利用ルールを作る

ルールがない組織のAIは「全面禁止」か「野放し」に落ちる。用途の3分類、許可ツールリスト、教育、見直し。1枚から始める利用ガイドラインの型。

AI導入でいちばん危険な状態は、導入したことではありません。

ルールがないまま、みんなが使い始めている状態です。

情報システム部門が把握していない場所で、職員が個人アカウントの生成AIに業務情報を入れている。このシャドーAIは、禁止令の副産物として生まれます。公式の使い道を用意しないまま禁止だけすると、需要は見えない場所に流れる。医療現場のITで、何度も繰り返されてきた構図です。

だから組織のルールづくりの目的は、締め付けではありません。「ここでは安全に使える」という公式の道を用意して、需要を見える場所に呼び戻すことです。

ㅤ

骨格は4つ: 分類・ツール・入力・見直し

利用ガイドラインは、分厚い規程集である必要はありません。最初の1枚に要るのは、この4つです。

1. 用途を3分類する

すべての用途を一律に扱わず、リスクで3段に分けます。

区分例扱い
すぐ使ってよい文献検索・一般的な文書の下書き・アイデア出し許可ツールで自由に
条件つき院内資料の要約・議事録（非患者情報）審査済みツール＋研修受講者のみ
当面使わない患者情報を含む入力・診断への直接利用明示的に対象外とする

医療分野の生成AI利用ガイドライン（HAIP第2版、2025年）も、議事録やマニュアル検索といった非患者情報の領域から始めて段階的に拡大する進め方を推奨しています。最初の1枚では「上の2段」だけを公式化し、3段目は「今は扱わない」と正直に線を引きます。

2. 許可ツールリストを作る

前々回の審査（10の質問）を通ったツールだけを、名前と契約形態つきでリスト化します。「ChatGPTは禁止」ではなく「会社契約のこのプランのこのアカウントで使う」と書く。個人アカウントとの区別こそが、シャドーAI対策の本丸です。

3. 入力ルールは「作らない」

入力してよい情報のルールは、新しく発明する必要がありません。医療情報の入力の回で扱った変換（ダミー化・構造化・一般化）と、施設の個人情報規程をそのまま参照します。ルールを増やすより、既にあるルールへの導線を短くするほうが守られます。

4. 見直しの日付を最初に入れる

AIの状況は数ヶ月で変わります。ガイドラインに、「次回見直し: ◯年◯月」を最初から書いておく。完璧な規程を目指して1年止まるより、暫定版を3ヶ月ごとに直すほうが、現実に追いつけます。

ㅤ

国際標準の「棚」を借りる

このルールづくり、行き当たりばったりに見えないか不安になったら、国際標準の骨組みを借りられます。

NISTのAIリスクマネジメントフレームワーク（AI RMF 1.0）は、AIのリスク管理を4つの機能に整理しています。

  • GOVERN: リスク管理の文化と体制を作る（＝今回のルールと責任者）
  • MAP: どこで何に使うか、文脈とリスクを洗い出す（＝用途の3分類）
  • MEASURE: リスクを評価・追跡する（＝利用状況とヒヤリハットの記録）
  • MANAGE: 優先順位をつけて対処する（＝見直しサイクル）

あなたの1枚のガイドラインは、実はこの4機能の最小実装です。経営層や外部への説明では「NIST AI RMFの枠組みに沿って運用しています」と言えます。組織のAIガバナンス認証であるISO/IEC 42001も、将来本格化するときの延長線にあります。

注意

教育とセットでないルールは、掲示物になる

ルールを配るだけでは、読まれずに終わります。最小の教育は「30分の研修1回＋入力してよい情報の1枚もの」。この講座の個人編（特に第9回・第10回）は、そのまま院内研修の教材として使えるように書いています。

ㅤ

小さな組織には、小さな版を

「うちは診療所で、情報システム部門なんてない」という場合も、考え方は同じで、分量が変わるだけです。

最小構成は3行です。使ってよいツールの名前（契約形態つき）。入れてはいけない情報（患者情報・認証情報）。困ったときの相談先（院長または外部の相談窓口）。 この3行が壁に貼ってあるだけで、シャドーAIの大半は公式の道に乗ります。

明日のアクション

今日中にやる3点

  1. 自分の組織のAI利用ルールの現状を確認する（存在するか・誰が管理しているか・生成AIに触れているか）
  2. 用途の3分類表を、自分の職場の実例で埋めてみる
  3. ルールが無い組織なら、3行の最小版を書いて、次回の会議の議題に載せる

ㅤ

今日のまとめ

3行で振り返ります。

  • ルール不在のAIは全面禁止か野放しに落ちる。公式の道を用意して需要を呼び戻すのがルールの目的
  • 骨格は4つ。用途の3分類・許可ツールリスト・既存規程への導線・見直し日付。非患者情報の領域から始める
  • 体裁が不安ならNIST AI RMFの4機能を棚として借りる。教育とセットで初めて機能する

ㅤ

次のレッスン

いよいよ本当の最終回です。承認された計画を、段階導入で現実にし、説明責任を果たしながら続ける。個人編と組織編のすべてを、組織の卒業ゲートで締めます。

ㅤ

参考・出典