「顧客の情報を、AIに入れても大丈夫でしょうか」
この半年、業種を問わずいちばん多く受けた質問です。研修の休憩時間にも、商談の終わりぎわにも聞かれます。
一人の会社でも、この問いからは逃げられませんでした。顧客の資料を預かり、AIを日常的に使って仕事をしているからです。今回は、私が自分の会社で出した答えを書きます。
「大丈夫か」で悩むと、答えは出ない
この質問に一言で答えられないのは、「顧客の情報」がひとかたまりで扱われているからです。
実際には、性質の違うものが混ざっています。
会社名、担当者の氏名と連絡先、契約金額、業務の手順、図面や仕様、会議での発言。
これらを1つの箱に入れたまま「入れてよいか」と問えば、答えは「わからないので全面禁止」になります。
そして全面禁止は、安全に見えて、いちばん危ない状態を作ります。現場が私用アカウントで使い始めるからです。
禁止が守られているかを、誰も確認できません。会社が契約していないツールに、会社の情報が流れていきます。
必要なのは可否の判断ではなく、分類でした。
私が使っている4つの区分
自社の業務では、扱う情報を次の4つに分けています。迷ったときは「これが社外に出たとき、誰が困るか」を先に考え、そのうえで区分に落とします。
① そのまま入れてよい——公開情報、一般的な知識、自分の考えの下書き。業界の統計、公開されている制度の内容、自分が書く文章のたたき台がここに入ります。
② 加工すれば入れてよい——固有名詞と数字を落とせば、構造だけが残るもの。「A社の受注データが3部署で二重入力されている」を「受注データが複数部署で二重入力されている中堅製造業」に置き換える、あの作業です。
③ 入れない——個人が特定できる情報、契約金額、秘密保持契約の対象、図面や仕様の実物。担当者の氏名・連絡先、見積書、顧客から受領したファイルそのものがここです。
④ そもそもAIに任せない——判断そのもの。何を顧客に約束するか、どの案件を受けるか、成果物として出す最終判断。**下書きはAI、判断と責任は人間。**線はここで引きます。
崩れるとしたら、②です
4つのうち、私が人にもAIにも任せていないのは②の加工工程だけです。
固有名詞を落とす作業は地味で、面倒で、省いても誰にも気づかれません。けれどここを省いた瞬間、それは資産化ではなく流用になります。
ほかを何重に守っても、②が崩れれば意味がなくなる。だから工程として自分の手元に残しました。
失敗：禁止事項を並べたら、誰も読まなくなった
はじめは、この形ではありませんでした。禁止事項を細かく列挙する方向で作っていました。
項目が増えるほど誰も読まなくなり、結局使われませんでした。
区分は4つまで。迷ったときの相談先は1人。この形にして、ようやく運用に乗りました。
ルールの精度を上げることと、ルールが使われることは、別の問題でした。
15分でできる、自社の初版
次の7行を埋めると、自社のルールの初版ができます。会議1回ぶん、15分です。
- いま社内で使われているAIツールと、そのプラン（無料／有料／法人契約）を全部書き出す
- そのうち、会社が契約していないもの（私用アカウント）に印をつける
- ①そのまま入れてよい情報を3つ、具体例で書く
- ②加工すれば入れてよい情報と、その加工のしかたを1つ書く
- ③絶対に入れない情報を5つ、具体例で書く
- ④AIに任せない判断を3つ書く
- 判断に迷ったとき誰に聞くかを、名前で1人決める
いちばん大事なのは7行目です。ルールを作っても、迷ったときの相談先が決まっていなければ、現場は聞かずに自己判断します。
そして自己判断は、記録に残りません。
これは「オペレーション部門」の入口の問いです
前回、一人の会社を6つの部門に分け、部門ごとに「入口の問い」を1つ置いたと書きました。
オペレーション部門の入口の問いは、「これは契約と個人情報の扱いとして問題ないか」です。
今回の4区分は、その問いに毎回同じ順番で答えるための道具にすぎません。**判断の質を上げようとする前に、判断が同じ形で扱われる場を先に作る。**部門を分けた目的は、そこにありました。
規模が違っても、効くところは変わらないはずです。
中堅企業でこの7行を埋めるなら、必要なのは情報システム部門ではありません。現場で実際にAIを使っている人が同席していることだと思っています。
この連載では、一人の会社をどう仕組みにしていくかを隔週で書いています。
自社のルールを作る途中で手が止まったら、その止まった場所を教えてください。30分の壁打ちでご一緒します（資料の準備は不要です）。
▶ 個別相談（30分・オンライン）をされたい方
※本コラムの数値・事実関係はJR東日本の公表情報および報道に基づく一般的な解説です。最新の数値は各公表資料をご確認ください。
