短い答え: 承認済みのツール、決して社外に出してはならないデータ、新しい用途の承認者、そしてミスの報告方法を明記すること。人々が実際に読むように、1ページに収めてください。すべてを禁止するポリシーは無視され、すべてを許可するポリシーは何の保護にもなりません。
私は Vinay Pasricha です。GoodSpace AI の創業者であり、AI for Business Leaders の著者です。あなたの会社の社員は、ほぼ間違いなくすでに ChatGPT や Gemini などのツールを、多くの場合個人のアカウントで使っています。ポリシーは、AI を使うかどうかを決めるものではありません。安全に使うかどうかを決めるものです。
ポリシーが規定しなければならない4つのこと
1. 承認済みのツール。 仕事でどのツールを使ってよいか、そしてどのアカウントを使うか。設定を管理し、利用状況を把握できるように、可能な限り会社のアカウントにしてください。
2. 決して入力してはならないデータ。 具体的に示してください。一般的な項目としては、顧客の個人データ、従業員の記録や給与、候補者の履歴書、未公表の財務情報、契約書、パスワードやアクセスキー、そして顧客から機密として預かった情報などです。社員に推測させると、間違った推測をすることになります。
3. 新しい用途の承認者。 「これに AI を使ってもよいか？」という問いに答える責任者を決めてください。小規模な会社なら1人の担当者、大きな会社なら小さなチームになるでしょう。責任者がいなければ、すべての新しい用途は、恐れによってブロックされるか、深く考えずに導入されるかのどちらかになります。
4. ミスの報告方法。 誰かが間違ったツールに間違ったものを貼り付けてしまうことは起こります。すぐに報告して修正できるよう、簡単かつ安全に報告できる仕組みにしてください。報告を罰するポリシーは、沈黙を約束するようなものです。
リスクの高さにルールを合わせる
すべての用途に同じ管理が必要なわけではありません。本の中では、Tier 1（低）から Tier 4（致命的）までの The Risk Ladder を使っています。ソーシャルメディアの投稿の下書きは「低」です。顧客との契約書の要約は「高」になります。個人、金銭、または法的条件に関する決定を下すものはすべて「高」または「致命的」であり、決定を行うための指名された責任者が必要です。すべてに一つのルールを適用するのではなく、一般的な用途を評価し、各 Tier に合わせた管理方法を書き出してください。
AI戦略と結びつける
ポリシーは守りのためのものです。それは、あなたの会社において AI が何のためにあるのかというシンプルな視点の隣に置かれるべきです。私は3つのレベル、すなわち、効率性（今日の仕事をより安く行う）、効果性（より良く行う）、そして優位性（競合が簡単には真似できないことを行う）を説明しています。もしポリシーが守るだけで、何も有効化しないのであれば、社員はそれを障害物として扱うでしょう。
今週やるべきこと
上記の4つの見出しに沿って、1ページのドラフトを作成してください。日々 AI ツールを使っている3人の社員に見せ、これを読んだ後に実際に何を変えるか聞いてみてください。もし答えが「何もない」であれば、その内容は曖昧すぎます。その後、無料の Risk Ladder ツールで、最も一般的な用途を評価してください。これらすべてを誰が管轄すべきか迷っているなら、Do You Need a Chief AI Officer? を読んでください。
この答えの出典
この答えは AI for Business Leaders にある2つのフレームワーク、The Risk Ladder と Three Levels of AI Strategy に基づいています。本はハードカバーと Kindle で読めます。これは一般的なガイダンスであり、法的アドバイスではありません。
あなたの状況について質問するには、Ask Vinay's books をお試しください。
Vinay Pasricha は GoodSpace AI の創業者で、AI for Business Leaders をはじめ6冊の本の著者です。