确保AI成功导入的五个步骤：深入实践的“活用AI内部规定”与内部培训推进方法

生成AI的技术革新有可能从根本上改变传统的业务流程。然而，在引入这些技术时，许多组织面临的挑战更多在于法律和伦理风险管理以及在组织内部的落地，而非技术障碍。仅仅将最新工具分发给全公司，并将其使用完全交由现场裁量的“甩手掌柜”态度，不仅可能导致信息泄露和权利侵害等重大事故，最终还会成为阻碍整个组织生产力的因素。

为了在可持续的框架下享受AI的益处，制定兼具技术便利性和法律安全性的“活的AI社内规定”以及基于此的分阶段教育过程是不可或缺的。在本文中，我们将基于最新的日本法律法规和政府机构的指导方针，解说实现高效AI导入的具体五个步骤。

全面依赖AI引入所带来的“无规矩使用”风险

在考虑引入生成AI时，首先面临的问题是，在没有明确组织方针的情况下，现场使用先行的“影子IT”问题。由于这些工具具有高度的便利性，员工常常根据个人判断使用个人账户进行业务操作。这种“先试试看”的全面依赖引入方式，短期内似乎加快了引入速度，但实际上助长了无规矩的使用，积累了严重的经营风险。

具体而言，可能会出现因不慎输入机密信息导致商业秘密泄露、生成侵犯他人著作权的内容，甚至向外部发布不准确信息等情况。根据令和6年（2024年）4月由经济产业省及总务省公布的《AI事业者指南》，使用AI的企业需要适当评估这些风险，并建立必要的治理结构。在没有明确规则的“基础”情况下，员工无法准确判断什么是允许的，什么是禁止的，结果可能会犹豫不决地进行创造性使用，或者在无意识中犯下重大过失。

参考：总务省｜《AI事业者指南》页面

即使无规矩的使用暂时提高了组织的生产力，一旦发生法律纠纷，恢复损失和社会信用丧失所带来的成本将是无法估量的。因此，在AI引入的初期阶段，明确安全使用的框架并不是剥夺现场的自由，而是保障安心使用技术的环境。本稿的目的在于明确如何构建这一“安全基础”，以及如何确立不使其形式化的运营体制的具体路径。

https://monolith.law/corporate/establishment-of-ai-internal-regulations

步骤1：明确AI导入目的与重新定义问题

AI导入成功与否的首个关键点在于，能否将AI重新定义为解决组织所面临问题的手段，而不是将技术导入本身作为目的。如果AI导入的目的不明确，制定的内部规定也会变得抽象，可能成为对实际操作无效的“无用规则”。

首先需要着手的是，彻底明确为了解决哪个部门的哪些问题而导入AI的目的。

• 财务部门：减轻事务负担。数据外部传输的安全性是最大论点。
• 开发部门：代码生成自动化。日本著作权法第30条之4、开源软件（OSS）许可证和漏洞是主要关注点。
• 销售与公关：资料制作与FAQ生成。信息的准确性与权利侵害风险是焦点。

通过具体化各部门需要解决的问题，可以看出每项业务的最佳规则方向。

步骤2：选择最适合的服务并仔细审查使用条款

接下来，我们需要筛选符合既定目标的AI服务。目前市场上存在多种服务，从以ChatGPT为代表的通用型生成AI，到专注于法律、会计、编程等特定领域的AI。通用型AI具备应对广泛任务的灵活性，但在信息准确性和特定法规的遵从性方面，可能不如专用型AI。

选择服务的标准，除了显然要符合组织的安全政策外，还需考虑提供的API的可用性以及企业计划中的数据保护功能是否存在。由于个人免费版和企业付费版在输入数据的学习使用（是否可以选择退出）上通常存在根本性差异，因此在全公司范围内引入时，应以签订企业计划为前提。

在选择AI服务时，最重要且容易被忽视的是对各供应商提供的使用条款进行仔细审查。与一般的SaaS产品相比，AI服务在数据权利归属和学习使用条件上更为复杂，并且经常发生变化。以下五个要点是在签订合同前必须确认的，以最小化法律风险。

特别是关于机器学习利用的条款，直接关系到在日本的商业秘密保护。如果输入的数据被供应商作为学习数据采纳，未来可能会以他人的回答形式输出公司的机密信息。根据日本的不正竞争防止法，商业秘密需要被认定为具有“秘密管理性”，但在AI学习中不加防备地投入数据的环境，可能成为丧失这种秘密管理性的致命因素。

此外，关于适用法律也需要注意。许多由美国供应商提供的服务以美国特拉华州法律等为适用法律，争议解决的场所可能被限制在海外。这对国内企业而言，可能意味着事实上放弃权利行使。因此，在重要度高的业务中使用时，应考虑以日本法为适用法律，或将日本法院作为协议管辖法院进行合同谈判。

步骤3：通过小规模启动进行验证循环（PDCA）

如果急于在全公司范围内实施规则，而没有进行充分的验证，可能会导致现场混乱，并加速规则的形式化。建议的方法是针对特定的项目团队或IT素养高且问题意识明确的部门进行“小规模启动”的试验性导入。

全面导入的最大缺点在于，它强迫组织内的多样化业务实际情况遵循“最大公约数的规则”。如果将过于严格的规则应用于全公司，现场的便利性将受到损害；反之，过于宽松的规则则无法控制风险。通过设定试验导入期，可以在实际的业务流程中积累数据，了解哪些风险会显现，以及需要哪些指导方针。

这一期间应作为允许失败的“沙盒（实验场）”来运作。员工可以尝试使用AI，详细记录输入了哪些提示、得到了哪些成果物，以及出现了哪些担忧（如幻觉导致的错误信息、不当表达、版权侵害的预兆等），并建立由法务和信息系统负责人进行审查的体制。

为了最大化小规模启动的效果，建议运用以下六个步骤组成的验证工作流程。

1. 确定目标业务，并制定针对该业务的“初步指导方针”。这一初步方案应简明扼要地总结最低限度的禁止事项（如禁止输入机密信息）和推荐的使用方法。
2. 对选定的成员进行导入培训，并让他们在实际业务中使用AI。
3. 通过定期听取意见，收集现场的反馈。在此过程中，重视“规则是否导致业务停滞”以及“是否有感受到意外风险的场景”等真实声音。
4. 根据收集到的问题，重新调整风险与便利性的平衡，并改善指导方针。
5. 再次应用改进后的指导方针，并进一步进行完善。
6. 基于通过此验证过程获得的见解，制定面向全公司推广的“标准规定”。

通过运用这一PDCA循环，可以将自上而下强加的规则转化为现场理解其必要性并能够遵守的“活的规则”。

步骤4：扩大导入范围与部门个别风险评估

在基于试验导入所获得的知识来扩大范围时，进行部门个别风险评估是不可或缺的。这是因为仅靠统一的规定无法应对需要保护的资产差异。

• 人事部门：根据日本的《个人信息保护法》，重视禁止输入可识别个人的信息以及自动决策的透明性。
• 研发部门：优先考虑技术和合同上的保护，以防止创意成为其他公司的学习数据。
• 公关与市场营销：重点关注商标和设计的相似性以及应对舆论风险的措施。

通过整理这些内容，并明确分类为“允许”、“有条件允许”和“禁止”的业务，员工可以毫不犹豫地判断在自己的工作中可以在多大程度上利用AI。

步骤5：构建定期审查机制的组织设计

围绕生成AI的环境，无论是在技术、法律法规还是社会伦理观方面，都在以极快的速度变化。因此，制定的公司内部规定在几个月后可能就不再适用当前情况。提前在运营体系中嵌入定期审查机制，是实现真正治理的关键。

具体而言，每季度或每半年周期，确认运营状况的监控结果，并重新评估规定的合理性。在审查时，需要仔细检查是否与日本政府（内阁府、经济产业省等）的最新指引存在差异，是否有关于AI生成物著作权的新判决，或者所使用的AI服务条款是否有变更。

此外，定期审查不能仅由法务部门或IT部门完成。需要设立包括现场代表在内的讨论会议，构建吸纳实际业务问题的机制，以防止规定形式化。审查结果更新规定时，应迅速将变更点及其理由通知全体员工，并在必要时进行再教育。通过持续这一循环，组织整体的AI素养将始终保持在最新状态。

支持现场运营的AI内部规定要点

有效的AI内部规定不应仅仅是禁止事项的罗列。它应成为员工在困惑时的指引，同时也要作为保护组织的法律盾牌。以下将解说应具体纳入的四个支柱。

通过明确目的和适用范围达成共识

在规定的开头，积极明确公司为何引入AI以及希望创造何种价值的“目的”。这不仅向员工传达了鼓励使用AI的信息，同时也成为抑制不当使用的道德基础。

此外，适用范围应明确规定，不仅限于正式员工，还包括合同工、派遣员工，甚至业务委托方的使用。特别是当外部委托方使用AI交付成果时，需要在合同层面整理清楚质量管理和权利处理的责任归属。

教育培训的义务化与法律防御力的强化

仅仅分发或张贴内部规定，难以称得上履行了法律上的监督责任。应将AI使用的教育培训规定为“义务”，并仅赋予完成培训的员工使用权限。妥善管理培训记录是当员工违反规则导致事故时，企业能够主张“进行了适当的监督和教育”的不可或缺的证据。

培训中，除了技术性内容如提示词的设计外，还应结合实例解说幻觉的性质、著作权法上的注意事项、保密义务的具体例子等。

明确可用服务并根除影子IT

明确规定仅可使用公司已确认安全性并签订适当合同的“许可服务”进行业务。这将组织性地排除使用个人账户的影子IT。此外，通过明确新服务或插件使用的申请和审批流程，可以灵活满足现场需求，同时保持在管理下的引入。此处原则上禁止使用免费版，限定于数据不用于学习的企业计划，这是最可靠的风险规避措施。

监控与审计权限的适当行使

为确认组织是否进行适当的运营，规定公司有权记录和查看员工的输入提示和输出结果，并在必要时进行审计。这不仅作为对不当使用的心理抑制力，还在信息泄露发生时的事后原因调查和防止损害扩大中发挥极其重要的作用。然而，在进行监控时，从隐私保护的角度出发，事先通知其目的和范围，确保透明性，对于维持与员工的信任关系至关重要。

如何将这些项目与现有的就业规则、保密规定或IT使用规定进行联动的整体设计也很重要。在设立AI专用的独立规定的同时，确保能够将重大违规行为与就业规则的惩罚规定相结合，以确保法律上的一致性。

总结：制定AI内部规定以发挥AI的真正价值

为了将AI转化为组织的力量，最重要的不是引入最新模型的预算，而是具备正确使用AI的“人类管理能力”和“组织治理能力”。

本文中解说的五个步骤，都是为了创建“在现场深入贯彻的活规则”所不可或缺的要素。虽然全权委托的引入可能带来暂时的效率提升，但支持持续增长的关键在于始终追求法律安全性与便利性之间的平衡，并保持真诚的态度。

本事务所的对策指南

Monolith法律事务所是一家在IT领域，特别是互联网和法律方面拥有丰富经验的法律事务所。AI业务伴随着许多法律风险，因此需要熟悉AI相关法律问题的律师支持是必不可少的。本事务所由精通AI的律师和工程师等团队组成，针对使用ChatGPT等技术的AI业务，提供合同书制作、商业模式合法性审查、知识产权保护、隐私应对、AI内部规章制度完善等高级法律支持。详细信息请参阅下列文章。