ChatGPT無料版を社員が勝手に使っている、10人未満企業の最初のルール作り

「うちの若手社員が、メールの下書きをChatGPTに書かせているらしい」。そんな話を、経営者や総務担当者が人づてに聞いて初めて知る、というケースが増えています。10人未満の会社では、情シス部門はおろか、IT担当という肩書きの人すらいないことも珍しくありません。それでも社員個人のスマートフォンやパソコンには、すでにChatGPTのアプリやブラウザのブックマークが入っています。誰かが「使うな」と言ったわけでもなく、かといって「使ってよい」と決めたわけでもない。このどっちつかずの状態のまま、業務の一部が知らないうちにAIを経由するようになっている——これが多くの創業期企業で起きている実態です。

この記事は、そうした「気づいたらもう使われていた」状態から、10人未満の会社が現実的に運用できる最初のルールをどう作るかを、具体的な手順とセットで解説します。専任の情シス担当がいない前提で、代表や総務兼任の担当者が半日〜1日程度で形にできる分量に絞り込んでいます。

なぜ10人未満の会社ほど「野放し」になりやすいのか

10人未満の会社でシャドーAI化が進みやすいのには、規模特有の理由があります。まず、社内に明文化された情報セキュリティ規程やIT利用ポリシーが存在しないことが多く、そもそも「AIツールの利用について何か決める」という発想自体が生まれにくい環境にあります。就業規則はあっても、そこにAIの利用に関する条項が入っていることはまずありません。

次に、経営者自身が忙しく、日々の受注・製造・接客といった本業に追われているため、「ルールを作る」という緊急性の低いタスクは常に後回しになります。社員数が少ないからこそ、経営者が一人ひとりの業務内容を細かく把握しきれていない場合もあり、誰が何にAIを使っているかを正確に知る手段自体がありません。

さらに、10人未満の会社では社員同士の距離が近く、「あの人が使っているなら自分も」という横並びの広がり方をしやすい特徴もあります。良くも悪くも同調圧力が働きやすく、一人が使い始めるとチーム全体に波及するスピードが速いのです。この状況を放置すると、シャドーITと同じ構造の問題が、承認や管理のプロセスを経ないまま静かに拡大していきます。

まず確認すべきこと: 「誰が」「何を」使っているか

ルールを作る前に、まず現状把握から始めます。10人未満の会社であれば、これは大掛かりな調査ではなく、経営者や総務担当者が一人ひとりに直接聞くだけで十分です。次の3点を確認してください。

1. 誰が使っているか: 個人アカウントで無料版のChatGPTやGeminiなどを使っている社員は何人いるか
2. 何に使っているか: メール文面の作成、議事録の要約、資料の下書き、プログラムのコード生成など、具体的な用途
3. 何を入力しているか: 社名や顧客名を含む情報を入力したことがあるか、それとも一般的な文章の相談だけか

このヒアリングは「摘発」のためではなく、「実態を知らないまま規程を作っても意味がない」ためのものです。社員側も咎められると身構えると正直に話しにくくなるため、「使うこと自体は否定しない、むしろ会社としてどう活用するか一緒に考えたい」というスタンスで聞くことをお勧めします。

「誰も使っていないと思っていたら、実は経理担当が請求書の文面をAIに考えさせていた」——このように、経営者の想定と実態がずれているケースは非常に多く見られます。ヒアリングをしてみて初めて、会社としての利用実態を正確に把握できます。

10人未満企業に本格的なガイドラインはまだ早い

生成AIの利用ルールというと、何十条にもわたる詳細な規程やガイドライン文書を想像するかもしれません。しかし、社員数人〜10人未満の会社にそこまでの分量は不要です。理由は明快で、規程が長ければ長いほど、誰も読まなくなるからです。

10人未満の会社に必要なのは、A4一枚に収まる程度の「最低限のルール」です。社員全員がその場で読み切れて、内容を覚えていられる分量に絞ることが、実際に守られるルールを作る最大のコツです。詳細な社内規程は、社員数が増え、部署が分かれ、管理すべき対象が複雑化してから整備すれば十分間に合います。

最初に決めるべき4つの項目

最小限のルールとして、次の4項目を決めることをお勧めします。

この4項目を決めるだけで、これまで各社員の判断に完全に委ねられていた状態から、最低限の共通認識がある状態へと変わります。特に②の「入力してはいけない情報」は最も重要な項目で、詳細な線引きについては顧客情報を扱う会社が生成AIに「入力してよい範囲」を決めておくで掘り下げていますので、あわせて確認してください。

有料版への移行を焦らなくてよい理由

生成AIの記事を検索すると、「法人プランへの移行」や「セキュリティ機能の強化されたエンタープライズ版」を勧める内容が多く目に入ります。しかし10人未満の会社が、ルール作りの初期段階から有料の法人プランへの一斉移行を急ぐ必要はありません。

理由は単純で、まず無料版での運用を通じて「社員がAIをどう使いたいのか」「どんな業務で本当に効果が出ているのか」という実態を掴むことの方が先だからです。実態を掴まないまま高機能なプランに大金を投じても、結局使われる機能はごく一部にとどまり、コストに見合わない結果になりがちです。

最初の数ヶ月は無料版とルールの組み合わせで運用し、利用が定着し、業務上手放せないという実感が社内に生まれてから、法人プランへの移行を検討する。この順番を守ることで、投資対効果を見極めながら段階的にAI活用を深めていくことができます。

ルール作りにかかる時間と進め方

実際にこの4項目を決める作業は、多くの場合半日もあれば完了します。目安のプロセスは次の通りです。

1. 現状ヒアリング（1〜2時間）: 社員に個別または全員が集まる場で利用実態を聞く
2. 4項目のたたき台作成（30分〜1時間）: 経営者または総務担当が上記の表を埋める
3. 社員への共有と意見募集（1回のミーティングで十分）: たたき台を見せ、現場の感覚とずれがないか確認する
4. 確定と周知（即日）: 全員が見える場所（チャットツールのピン留めや掲示物）に貼り出す

この作業を長期化させないことが重要です。完璧な文書を目指して数週間かけるよりも、まず4項目の粗いたたき台を1日で作り、実際に運用しながら調整していくほうが、10人未満の会社には現実的です。

ルールを「守らせる」のではなく「使いやすくする」発想へ

ルールを作った後によくある失敗が、「禁止事項ばかりを並べて、結局誰も使わなくなる」パターンです。せっかく便利なツールがあるのに、ルールが厳しすぎて現場が萎縮してしまっては本末転倒です。

10人未満の会社でルールを機能させるコツは、「禁止」よりも「安心して使える条件」として伝えることです。例えば、「入力禁止の情報は明確にするが、それ以外は自由に使ってよい」という伝え方をすると、社員は萎縮せずに活用を続けられます。ルールの目的は利用を制限することではなく、事故を防ぎながら業務効率化の恩恵を受けられる状態を作ることにあります。

• 「〜してはいけない」という禁止文だけでなく、「〜には使ってよい」という許可の具体例もセットで示す
• 一度作ったルールを「これで完成」とせず、運用しながら数ヶ月おきに見直す前提を最初から共有しておく
• ルール違反が見つかっても、いきなり叱責するのではなく、まず理由を聞き、必要であればルール自体を見直す機会と捉える

無料版と有料版、どちらを前提にルールを作るか

10人未満の会社では、多くの場合、社員が個人で契約した無料版のChatGPTなどを使っています。ここで一つ判断が必要になるのが、会社としてルールを作る際に無料版の利用も許容範囲に含めるか、それとも法人契約のプランに一本化するかという点です。

無料版を許容する場合のメリットは、追加コストがかからず、社員の自発的な活用をすぐに継続できることです。一方でデメリットとして、無料版は入力した内容がAIの学習に利用される設定がデフォルトになっている場合があり、学習オプトアウトの設定を各自が個別に行う必要が生じます。全社員が正しく設定できているかを把握するのは、10人未満の会社であっても容易ではありません。

法人向けプランに一本化する場合は、学習利用のオプトアウトが標準で適用されていることが多く、管理者による利用状況の一括把握もしやすくなります。ただし、月額数千円程度からとはいえ、社員数分のコストが発生する点は考慮が必要です。まずは無料版での利用ルールを固めた上で、利用が定着し、業務上の依存度が高まってきた段階で法人プランへの移行を検討する、という段階的な進め方が10人未満の会社には現実的です。

想定問答: ルール説明会で出やすい質問

実際にルールを社員に説明する場では、次のような質問が出やすい傾向があります。事前に想定問答を用意しておくと、説明会がスムーズに進みます。

Q. AIに聞いた内容は、本当に会社の外に漏れるのですか？

A. 多くの生成AIサービスでは、入力した内容が「AIの回答精度を上げるための学習データ」として利用される場合があります。これは即座に第三者へ漏れるという意味ではありませんが、入力内容が会社の管理下から離れることには変わりありません。心配な場合は学習利用の設定を確認しましょう、という説明が有効です。

Q. 少しくらいなら顧客名を入れても大丈夫では？

A. 「少しくらい」の判断が人によってばらつくこと自体がリスクです。ルールで明確な線引きをしておくことで、個人の感覚に委ねず、全員が同じ基準で判断できるようにする狙いがあります。

Q. ルールを破ったらどうなりますか？

A. 10人未満の会社でいきなり懲戒処分のような重い対応を規定する必要はありません。まずは「気づいたらすぐに報告する」「再発防止のために一緒に振り返る」という、罰則よりも改善を重視したスタンスを伝えることをお勧めします。ただし、重大な情報漏えいにつながった場合は、就業規則や契約上の守秘義務との関係を顧問弁護士に確認する必要も出てきます。

ルールの見直しサイクルをカレンダーに入れる

作ったルールは一度確定させたら終わりではありません。生成AIサービス自体の機能や規約は数ヶ月単位で変化することがあり、ルールを作った時点の前提が数ヶ月後には古くなっている可能性があります。10人未満の会社であれば、半年に1回程度、ルールの内容を見直す機会をカレンダーに入れておくことをお勧めします。

見直しの際に確認すべき観点は次の通りです。

• 会社として利用を認めているAIツールに変化はないか（新しいツールを使い始めた社員がいないか）
• 入力禁止情報のリストに、業務内容の変化に伴って追加すべき項目はないか
• ルールが実際に守られているか、形骸化していないか
• 社員からルールに関する不満や改善要望が出ていないか

この見直しサイクルを最初からルールの一部として組み込んでおくことで、「一度作って終わり」ではなく、会社の実態とともに育っていくルールへと進化させることができます。

よくある失敗: ルールを作っただけで満足してしまう

ルールを作成した後に起きがちな失敗もいくつか紹介します。

「ルールを作ってチャットツールに貼っただけで、誰も見ていなかった」

これは台帳やマニュアル全般に共通する失敗パターンです。貼るだけでなく、朝礼やミーティングの場で実際に読み上げ、質問がないか確認する一手間が定着率を大きく左右します。

「新しく入った社員にルールの存在を伝え忘れていた」

10人未満の会社では、オンボーディングの手順自体が整っていないことが多く、AI利用ルールの共有もその中に埋もれがちです。入社時に必ず伝える項目のリストに、AI利用ルールも加えておくことをお勧めします。

「ルールを決めたのに、決めた本人が一番守っていなかった」

経営者自身が、決めたルールに反して機密情報をAIに入力してしまうケースも実際にあります。ルールは全社員が対象であり、経営者も例外ではないという姿勢を最初に示すことが、ルールの実効性を左右します。

ルールが機能しているかの簡易チェック方法

ルールを作って終わりにせず、機能しているかどうかを定期的に確認する仕組みも簡単に作れます。10人未満の会社であれば、大掛かりな監査は不要で、次のような軽いチェックで十分です。

• 月に1回程度、雑談ベースで「最近AIをどう使っているか」を社員に聞いてみる
• 顧客とのトラブルや情報の取り扱いミスが起きた場合、原因にAIの利用が関わっていないかを確認する項目を追加する
• ルールに書かれていない新しい使い方（新しいAIツールの登場など）が出てきたら、その都度ルールに追記する

このような軽量なチェックを続けることで、ルールが形骸化せず、実態に即した内容へと育っていきます。

業種別に見る「入力してはいけない情報」の具体例

4項目のうち②「入力してはいけない情報」は、業種によって注意すべき対象が変わります。抽象的に「機密情報に気をつける」と伝えるだけでは、社員は何を避ければよいのか実感を持てません。業種別の具体例を示すことで、ルールの理解度は大きく変わります。

• 小売・サービス業: 顧客の氏名・電話番号・購入履歴、クレーム内容の生々しい記述
• 製造業: 図面の仕様、取引先ごとの見積単価、独自の製造工程に関するノウハウ
• 士業・コンサル系: 顧問先の経営状況、相談内容そのもの、契約書の具体的な条項
• 建設・工事業: 現場の住所、施主の個人情報、見積内訳の詳細な単価

自社の業種に当てはめて、上記のような具体例を1〜2個ルールに追記しておくだけで、社員の理解度は格段に上がります。抽象的な注意喚起ではなく、「うちの場合はこれが該当する」という具体イメージを持たせることが、ルールを実効性のあるものにする鍵です。

経営者自身が最初にAIを触ってみることの重要性

ルールを作る立場の経営者や総務担当者自身が、実はAIツールをほとんど触ったことがない、というケースも少なくありません。使ったことのないツールについてルールを作ろうとすると、どうしても現実離れした内容になりがちです。「念のため全部禁止しておこう」という過度に厳しいルールも、「特に何も考えずに全部OKにしておこう」という緩すぎるルールも、どちらも実際にツールを使ってみれば避けられる失敗です。

ルール作りに着手する前に、まずは経営者自身が15分でもよいので無料版のChatGPTなどを実際に触ってみることをお勧めします。どんな質問に答えてくれるのか、どんな情報を入力すると違和感を覚えるか、実際に手を動かしてみることで、机上の空論ではない、実感の伴ったルールを作れるようになります。この体験は、後に社員へルールを説明する際の説得力にもつながります。「使ったこともない経営者に言われても」という社員側の反発も、実際に触ってみた経営者の言葉であれば受け止められ方が変わります。

個人アカウントと会社アカウントを分ける考え方

10人未満の会社でありがちなのが、社員が業務でも私用でも同じ個人アカウントのChatGPTを使い続けている状態です。この状態では、会社の業務で入力した内容と、個人的な相談内容が同じアカウントの履歴に混在することになり、万が一そのアカウントが乗っ取られた場合の影響範囲も業務・私用の両方に及んでしまいます。

理想を言えば、業務利用専用のアカウントを別途用意し、私用アカウントとは切り分けて使うことが望ましいです。ただし、10人未満の会社でいきなり全員分の法人アカウントを契約するのはコスト面のハードルもあります。現実的な折衷案として、次のような段階的な対応が考えられます。

1. 第一段階: 個人アカウントの利用を許容しつつ、②の入力禁止情報のルールを徹底する
2. 第二段階: 利用頻度が高い社員から順に、法人向けプランのアカウントに切り替える
3. 第三段階: 全社員が法人向けプランに統一され、管理者が利用状況を一括把握できる状態にする

この段階を急いで一気に飛び越える必要はありません。まずは第一段階のルールを徹底することが、10人未満の会社にとって最初の現実的な到達点です。

退職者が出た場合の対応も決めておく

10人未満の会社では、社員の入れ替わりが会社全体に与える影響が大きくなります。AI利用ルールにおいても、退職者が出た際の対応を事前に決めておくことが望ましいです。特に、退職する社員が個人アカウントで業務利用していた場合、そのアカウントに残っている過去のやり取りに会社の機密情報が含まれている可能性があります。

退職時のチェック項目として、次のような内容を最低限確認することをお勧めします。

• 退職者が業務で使用していたAIアカウントは個人契約か、会社契約か
• 会社契約であれば、退職に伴いアカウントを停止または管理者へ引き継ぐ
• 個人契約であった場合、業務関連のやり取り履歴に会社の機密情報が残っていないか本人に確認を依頼する

この項目は、最初にルールを作る段階では見落とされがちですが、「なんとなく詳しい人」に依存した社内IT、辞めたら詰む前にやることで扱っている属人化のリスクとも共通する論点です。人の入れ替わりを前提とした仕組み作りは、AI利用ルールにおいても例外ではありません。

次のステップ: 代表が向き合うべき意思決定

最低限の利用ルールができたら、次は「そもそも会社としてAIをどう位置づけるか」という、もう一段上の意思決定に進む段階です。情シス担当者がいない中で代表自身が向き合うべき論点については、情シス不在でもできる生成AI導入、代表が最初に決める3つのことで整理していますので、あわせて参照してください。

ルール作りは、AI活用の出発点であって終着点ではありません。最初の4項目を決めたら、次は「どの業務から本格的に活用を広げていくか」という前向きな検討に進んでいくことをお勧めします。優先順位の考え方については社員数人の会社が生成AIで真っ先に効果を出せる業務は何かで解説しています。

社内で反発が出たときの対応

ルールを提示した際、「今まで自由に使えていたのに面倒になった」「そこまで気にしなくていいのでは」といった反発が社員から出ることもあります。特に、すでに業務効率化の恩恵を実感している社員ほど、新しい制約に抵抗を感じやすい傾向があります。

こうした反発に対しては、頭ごなしに「ルールだから守れ」と押し付けるのではなく、なぜそのルールが必要なのかという背景を丁寧に説明することが有効です。例えば、実際に他社で起きた情報漏えい事例（大手企業の社員が機密情報をAIに入力してしまい問題になったニュースなど）を共有すると、「自分ごと」として受け止めてもらいやすくなります。

また、ルールが業務効率を著しく下げるものになっていないかを、社員の意見を聞きながら点検することも重要です。ルールを厳しくしすぎた結果、現場が「面倒だから使わない」という選択をしてしまえば、それは会社にとっても機会損失です。反発の声は、ルールが実態に合っているかを見直す貴重なフィードバックとして扱ってください。

業務委託・アルバイトなど雇用形態が多様な場合の注意点

10人未満の会社では、正社員だけでなく、業務委託契約のスタッフやアルバイト・パートタイムのスタッフが混在していることも珍しくありません。AI利用ルールを作る際、対象を正社員だけに限定してしまうと、実際に顧客対応や事務作業を担っている業務委託スタッフが対象外になってしまい、抜け穴が生まれる可能性があります。

雇用形態にかかわらず、会社の業務に関わる情報を扱う全ての人にルールを適用することが原則です。特に業務委託契約のスタッフは、複数の会社の業務を並行して担っていることが多く、A社の情報とB社の情報が同じAIアカウントの中で混在するリスクも考慮する必要があります。契約時にAI利用ルールへの同意を得る一文を業務委託契約書に加えておくことも、10人未満の会社であれば比較的簡単に対応できる予防策です。

経営者が一人で判断に迷ったときの相談先

10人未満の会社では、AI利用ルールについて社内で相談できる相手がおらず、経営者が一人で全ての判断を背負うことになりがちです。判断に迷った場合、次のような相談先を検討できます。

• 顧問弁護士・顧問社労士: すでに契約している場合、就業規則への反映や、機密保持義務との関係について相談できる
• 商工会議所・中小企業支援機関: 無料の経営相談窓口でAI活用に関する一般的な助言を受けられる場合がある
• 同業種の経営者コミュニティ: 実際にルールを作った経験のある他社の事例を聞くことができる
• IT導入補助金の相談窓口: AIツール導入を補助金と絡めて検討している場合、あわせて相談できることがある

いずれの相談先も、10人未満の会社にとって過度な費用負担なく利用できる場合が多いため、一人で抱え込まず、まずは相談してみることをお勧めします。

まとめ: 完璧なガイドラインより、今日貼れる4項目を

10人未満の会社に必要な生成AI利用ルールは、専門家が作るような詳細な規程文書ではありません。①使ってよいツール、②入力してはいけない情報、③出力の確認義務、④相談先——このたった4項目を、まず半日で決めて、社内の見える場所に貼り出すことから始めてください。

すでに社員が個人アカウントで使い始めているという状況は、決して悪いことではありません。それだけ現場が業務効率化に前向きだという証拠でもあります。大切なのは、その前向きな動きを禁止するのではなく、最低限の安全網をかけた上で、会社としての活用へとつなげていくことです。今日この4項目を決めることが、その第一歩になります。

情シスという専門部署がなくても、代表や総務担当が本業の合間に半日を確保するだけで、最低限のルールは十分に作れます。完璧さを求めて着手を先延ばしにするよりも、まずは粗い4項目を貼り出し、運用しながら磨いていく姿勢の方が、10人未満の会社には合っています。自社の状況を客観的に把握したい場合はひとり情シス危険度診断も、あわせてご活用ください。