生成AI利用
ガバナンスパック

対応

承認済みサービスの一覧を作成し、新たなサービスを追加する際の申請・承認の手続を定めます。契約の窓口、従量課金の上限と承認者も明確にします。利用中のサービスは、利用規約と設定（入力内容の学習への利用、保存期間、管理者機能）を確認したうえで承認の可否を判断し、承認したものを利用台帳に登録します。

対応

情報の区分ごとに、入力の可否と条件をデータの取扱基準に定めます。この基準には、個人情報保護法上の利用目的との整合、委託・第三者提供・外国にある第三者への提供の規律、秘密保持契約上の義務、不正競争防止法上の秘密管理性の要件を反映します。法人アカウントの発行・失効と、AI機能を有効にする前の共有設定の確認も、この基準で扱います。

対応

生成物の用途とリスクに応じた確認の原則と、社外で使う際の用途別の条件を基準表に定めます。条件には、類似性の確認とその記録、他人の著作物を再現させる指示の禁止、生成コードのレビューと第三者コードや依存ライブラリのライセンス確認を含めます。契約書、財務資料、安全に関わる仕様、個人に影響する判断など、確認を必須とする業務を指定し、確認者と記録の方法を定めます。

対応

社員が社内向けに開発するツール（業務ツール、自動化、社内データに接続する検索やエージェント）を申請・承認の対象にします。参照できるデータと実行できる操作の範囲、APIキーの管理と従量課金の承認、生成コードのライセンスとレビュー、保守責任者を定めます。社外に提供する際には、AI提供者に当たるかの判定と記録、利用規約の整備、個人データの取扱いの確認を求めます。EU域内での提供や利用、出力のEU域内での使用がある場合は、EU AI Act の適用の有無と、適用される場合の義務（禁止行為、透明性、高リスクへの該当性）の整理も求めます。

対応

基本規程に、統括責任者の設置と部門長による監督、契約の窓口、教育、記録と点検項目、年次の見直しを定めます。誤入力、漏えい、権利侵害の疑いが生じた際の初動、評価と報告、原因分析は、インシデント対応の手順にまとめます。役員研修では、経営判断を要する事項（責任者、法人契約への統一、条件付きで認める範囲、社員が開発したツールの登録、経過措置）を扱います。