全社的な生成AIの利用ルール（ポリシー）を作るなら、最初に何を決めるべきですか？

結論として、最初に決めるべきは「AIに見せてよい情報の範囲」と「生成した内容を誰が最終確認するか」の2点です。細かい禁止事項を並べるより、この2点を先に固定するほうが運用が早く回ります。

情報の範囲については、顧客の個人情報や取引先の非公開情報など、外部に出せない情報をAIに入力しないというルールを明文化してください。次に、AIが作った文章や資料は「下書き」であり、社外に出す前に必ず人が確認するという承認プロセスを決めます。当社でも、AI秘書が生成する内容は生成までは自動化していますが、送信や公開の最終判断は必ず人が行うという線引きを固定しています。

ルールを最初から完璧に作る必要はありません。運用しながら見つかった例外をそのつど追記していく前提で始めると、早く定着します。