Intuit（インテュイット）の2026年版AIインパクト・レポートは、米国の中小企業を対象とした3万4000件以上の調査データを基にまとめられている。そのうち77%が日常的にAIを利用していると回答した。しかし、同じ経営者に「中小企業向けAIポリシー」の策定について尋ねれば、返ってくるのは戸惑いの表情だろう。これは中小企業が、サブスクリプションを1つずつ増やす形でAIを導入してきたためである。その過程で、誰もルールブックを作成しなかったのだ。
AIがブラウザーのウィンドウ内に存在するだけであれば、そうしたルールは不要だった。しかし、新たな外部規制の登場によって状況は一変した。
誰もルールを書かないうちに、ルールが到来した
8月2日には、EUのAI法の透明性条項が施行される。EUのユーザーと接する企業（対象・非対象を問わず）は、ユーザーがAIシステムと対話していることを通知しなければならない。加えて、AIが生成・改変したコンテンツにラベルを付ける義務が課される場合もある。米国では、47州がAI生成メディアに関する法律を制定している。ただし各州はそれぞれ独自の基準を設けており、「AI生成」とみなす範囲は州によって異なる。こうした州ごとの規制の乱立を受け、連邦取引委員会（FTC）はAIシステムの「正確性」に関する政策声明案について、7月31日までパブリックコメントを募集している。しかし、こうした連邦基準の中小企業への適用は、既存の多数の州規制と衝突する可能性がある。
ポリシー不在が実際に招くコスト
Black Fog／Sapioの調査は、米英の従業員500人以上の企業から2000人を対象にサンプルを取っている。同調査によると、これら従業員の49%が承認されていないAIツールを使用しており、そのうち58%が無料版を利用している。無料版は強固なデータ管理機能を欠いている可能性がある。筆者は以前、こうした「シャドー」AIが職場でどのように現れるかを中小企業の視点から書いた。従業員が個人アカウントに顧客情報を投稿し、機微な財務情報が経営者の管理下から流出する。3人の従業員がそれぞれ別のAI「ボイス」を使って文章を書いているが、いずれも会社に紐づいていない、といった具合だ。
これらは悪意によるものではない。組織内に空白があるときに起きる現象だ。会社が承認したAIソリューションを従業員に提供せず、経営者がAIデータプライバシーポリシーも定めていなければ、各従業員はそれぞれ独自のポリシーを作ることになる。誰も情報を他の従業員と共有しない。損害は事後に発生する。顧客情報の漏洩、「AIスロップ」によるブランドボイスの喪失、あるいは既存のソリューション内にAI機能が組み込まれ、承認前に顧客データが使われるといった事態が含まれる。
ポリシーは1ページに収まる
必要なのは分厚いバインダーではなく、規制当局、顧客、従業員が実際に尋ねる内容を5つの短い段落で説明した1ページの文書である。
承認済みツール。従業員が使用できる承認済みAIツールをすべて列挙する。どのアカウントにアクセス権があるかを明示し、新たなツールを承認する権限者を特定する。
データルール。顧客名、口座情報、財務データ、健康データ、NDA対象データなど、AIツールに絶対入力してはならない情報を明示する。AIデータプライバシーポリシーのこのセクションが、最悪の日を防ぐ砦となる。
開示。顧客がAIとやりとりしていることをどの頻度で開示するか、AI生成コンテンツにラベルをどこに付けるかを定める。EUの顧客がいなくても、EU基準に準拠する形で書くべきだ。EU基準は国境を越えて広がっている。
確認の基準。公開や納品の前に、必ず人間の目を通す業務を決定する。これは、社内でAIを責任ある方法で使用するための基本ルールだ。顧客向けコンテンツ、見積もり、法務・医療関連のすべてが対象となる。
支出と監査。すべてのAIコストを、上限を設けた1つの予算項目にまとめ、月次支出とそれらのツールが生み出した成果を照合する。これにより、経営者は投資対効果（ROI）の証拠を得ることができる。
月曜の朝から始めるには
まずは「アムネスティ（免責）」から始める。従業員に、どんなAIツールを使っているのかを申告してもらう。正直に答えても罰しないと約束する。誰が何を（そしていつ）使っているかを知ることで、驚くべき事実が明らかになる。この理由は明快だ。従業員のAIツール利用リストがなければ、誰も使っていないツールを禁止し、全員が使っているツールを見逃すことになる。
ポリシーの5つのセクションは、チーム全員がいる場で策定する。実際にツールを使ってきた従業員こそが、真に重要な問いのありかを知っている。顧客との通話中に録音デバイスがあるか。提案書の下書きはAI生成物とみなされるか。従業員が自腹で払っている無料アカウントは業務で使ってよいのか。使う人が策定した職場AIポリシーは守られる。一枚の通達で済ませたAIポリシーは回避される。これがシャドーAI問題に陥った経緯だ。
文書を保管する前に、四半期ごとのレビューを予定に組み込む。新しいツールは毎月登場し、ルールはさらに速く変わる。1ページのAIポリシーを年4回見直せば、実効性を保てる。10ページのポリシーを一度も見直さなければ、それは見出しの付いた作り話にすぎない。
1ページのポリシーがバインダーに勝る理由
AIガバナンス・フレームワークの構築において、中小企業は大企業に比べて迅速に策定できるという強みを持っている。大企業が策定に数週間から数カ月を要するのに対し、中小企業の経営者は数時間から数日でフレームワークを構築できる。したがって、中小企業の経営者は日曜に書き出したフレームワークを、月曜の朝から運用開始できる。
その1ページは営業資料でもある
コンプライアンスの側面はメディアで取り上げられるが、営業上の意義の方が重要かもしれない。大手クライアントは、AIに関する懸念をサプライチェーンの取引先へ順次伝えている。クライアントは、自社がAIをどう使う予定かの回答を求めてくる。顧客データはどこに保管されるのか。AI出力を顧客に届ける前に誰がレビューしているのか。こうした質問は、セキュリティレビュー、マスターサービス契約（MSA）交渉、契約更新のプロセスで日常的に登場する。しかも、往々にしてほとんど予告なしに現れる。自社のAI運用ガイドラインを1ページにまとめている経営者は、これらの問い合わせに数分で答えられ、その場で回答を作成しなければならない競合と比べ、整った印象を与えられる。逆にそうした文書を持たない経営者は、その場しのぎの回答をするか沈黙するしかない。いずれにせよ、準備を整えた競合と比べれば見劣りする。同様に、この文書は従業員に対しても、どのツールが業務を助けてくれるのかを明確に「イエス」と示し、AIを誤用して職を失うのではないかという漠然とした不安を払拭する。
