すべての企業に「AIポリシー」が必要な理由
前回の記事で、私はすべての企業に「AI基盤」が必要であると主張した。中小企業には、何年も前に過ぎ去った時代向けに書かれた就業規則や経費規定、ソーシャルメディア・ポリシーはある。しかし、従業員によるAIの利用に関する包括的なポリシーは存在しない。
AIは、どの企業のポリシー策定プロセスも追いつけないほどの速さで登場した。しかも、まだ理解途上にあるテクノロジーについてルールを書くのは時期尚早に感じられる。だが、ポリシーがないことは中立ではない。それは1つの判断であり、しかも誤った判断である。従業員はすでに、顧客データや契約書、財務情報を自分のお気に入りのツールに貼り付けており、ポリシーがなければどこに境界線があるのかを知る術がない。沈黙していても、リスクを回避したことにはならないのだ。
世界で最も洗練された企業のひとつであるデロイト（Deloitte）が、存在しない研究への言及を含む、AIが生成した誤りを含む政府報告書を提出した際、この問題が公の場で露呈するのを私たちは目撃した。結果として返金対応を余儀なくされ、批判的な報道が相次いだ。もしデロイトのような企業にそれが起こり得るなら、成果物を外部に送る前に誰がAIの出力をチェックするのかについて、誰も合意していないような従業員60人の会社でも間違いなく起こり得る。
デロイトに関するニュースは、公に報道される稀なケースだ。日常的なケースはより目立たず、はるかに頻繁に起きている。例えば、クライアントの守秘義務条項を無料のチャットボットに貼り付けて素早く要約を作成するアカウントマネージャー。AIが捏造した数値を誰も気づかないまま盛り込んで提出された提案書。顧客データをChatGPTに入力することが推奨されているのか、それとも懲戒解雇の対象になるのかを、誰も教えてくれなかったために本当に知らない新入社員。これらはどれも報道されることはない。しかし、単にルールを文書化していなかった企業では、そのすべてが今まさに起きている。
AIポリシーに盛り込むべき6つの要素
1. 承認済みのツール
何が認められ、何が認められないかを明確にする。Claude、ChatGPT、Copilot、Geminiのうち、企業がセキュリティ、利用規約、価格、エンタープライズライセンスを実際に審査したものはどれか。承認済みリストを明記することで、「シャドーAI」を承認されたAIへと移行させることができる。
2. 承認済みのユースケース
AIを何に使用し、何に使用すべきでないかを明確にする。社内文書の下書きやリサーチは可能。人間の介入がない顧客向け意思決定は不可。従業員が迷わないよう、業務部門ごとに境界線を引くことだ。
3. データとセキュリティ
これは最も重要であり、中堅企業にとって最も一般的な、目に見えないリスクでもある。どのデータ（顧客の個人特定情報、知的財産、営業秘密、財務データ）をどのツールに入力してよく、どのデータを絶対に入力してはならないかを決定する必要がある。
4. 出力の確認
私が「AIの粗製乱造を許さない原則」と呼ぶものを採用すること。顧客、パートナー、または規制当局に渡るAI作成支援による成果物はすべて、社外に出る前に指名された担当者が確認を行う。
5. リスク軽減
AIが誤った場合の対応を事前に決めておく。ハルシネーション（情報の捏造）、データ漏洩、あるいは公になるミスであっても、誰が意思決定を行い、誰が上層部や社会に通知し、どのように復旧させるのかを把握しておく必要がある。そのプレイブック（対応手順書）は、問題が発生している最中ではなく、必要になる前に作成しておくべきだ。
6. 研修と企業文化
誰も知らないポリシーは、ポリシーとは言えない。この部分こそが、上記のすべてが形骸化せず機能するか、それとも単に引き出しの中に眠る文書で終わるかを左右する。
多くのポリシーが死文化する段階
最後のポイントは、じっくり考える価値がある。なぜなら、素晴らしいポリシーが台無しになるのはまさにここだからだ。ポリシーを策定したものの、いわゆる棚の上に置かれたままになり、従業員の誰も読んでおらず、ましてや実行されていないという企業がある。ポリシーが機能するのは、従業員がその存在を知り、その背景にある理由を理解し、リーダーシップ層がそれを実践している姿を目にしている場合のみである。
教育を初日から組み込むこと。AIポリシーをオンボーディング（新入社員研修）の一部にする。ツールは必ず変わるため、変化に応じて短時間の定期セッションを開催する。リーダー自身が、作業を中断して人間の確認に回したことを認めるなど、規律ある使い方を声に出して示すことだ。目的は、人々をAIから遠ざけることではない。いつ、どこで、どのように使うべきかを示すことだ。ルールを理解すれば、従業員は何が安全なのかをようやく理解できるため、AIの利用を減らすのではなく、むしろ増やすようになる。認知は、ポリシーを制限から許可へと変えるのだ。
忘れがちだが、もう一つ重要なことがある。ポリシーの「責任者」と「期限」を決めることだ。ポリシーを最新の状態に保つ責任を持つ担当者を1人指名し、決まった頻度で見直しを行う。四半期ごとの見直しが妥当だろう。なぜなら、ツールやリスクの変化は、年次の見直しでは追いつけないほど速いからだ。1月に作成され、その後一度も手を入れていないポリシーは、春にはもう時代遅れになっている。
ポリシーが重要である理由
AIポリシーの目的は、従業員を管理することではない。すべての中堅企業が守ろうとしている3つのもの、すなわち「データ」「評判」そして「顧客の信頼」を守ることだ。ポリシーを適切に策定すれば、これら3つすべてを保護すると同時に、チームの作業スピードを上げることができる。なぜなら、従業員が疑心暗鬼になるのをやめ、仕事に集中できるようになるからだ。ポリシー策定を怠れば、不注意なコピペ1回、あるいは未確認の成果物1つによって、ルールを明文化するのにかかる半日程度の時間よりも、はるかに大きなコストを伴う問題を引き起こすことになる。
そして今後、顧客からの要求は確実に増えていく。契約書やセキュリティ監査において、顧客のデータをAIでどのように使用しているかについて直接尋ねる項目が増えている。明確で最新のポリシーを用意することは、ビジネスを行う上での前提条件になりつつある。これらの質問に自信を持って答えられる企業は案件を獲得し、口を閉ざす企業は失うことになるだろう。
AIの基盤を整えていれば、会社全体が自信を持ってそのポリシーに依拠することができる。何百ページもの文書は必要ない。必要なのは、シンプルな文書と、それを最新に保つ責任者、そしてそれを理解しているチームだけだ。そこから始めよう。そうすれば、他のすべては後からついてくる。
