回答募集中Xの声をもとにAIが作った質問公開
生成AIに顧客名・見積単価を入れてよい範囲と社内ルールの作り方は？
X でよく見られる悩みをもとに、AI（Grok）が作った質問です。特定の人や会社の質問ではありません
前提
- 業種・規模
- 製造業・従業員約280人
- 立場・部署
- 情報システム課主任（情シスは私を含め2名）
- いま使っているツール・AI
- Microsoft 365、オンプレファイルサーバ、一部社員が個人契約のChatGPTとClaudeを利用
- 扱うデータ
- 見積書は月約120件、顧客マスタ約2,800件、図面PDF約1.5万件。単価・図面寸法・取引先名が混在します
- 予算・期間・社内ルール
- 情報セキュリティ規程はあるが生成AI条項はありません。追加予算は今年度あと約80万円。経営から3か月以内にルール案の提出を求められています
実現したいこと
機密を外部へ出さずに、営業と設計がメール下書きやチェックリスト作成に生成AIを使える公式ルールを作りたいです。禁止だけにして個人利用が広がる状態は避けたいです。監査や内部統制の説明にも耐える粒度にしたいです。
いま起きていること・困っていること
営業が顧客名入りの見積メール下書きを個人ChatGPTに貼っている疑いがあります。設計からは図面の寸法表を要約に使った報告が1件ありました。全面禁止にすると隠れて使う懸念があり、情シス2名では端末ごとの監視もできません。入力禁止を「個人情報すべて」とすると現場が使えず、「社名だけ伏せる」では単価から顧客が特定される恐れがあります。ログ取得やマスキングをどこまで求めるべきか判断できていません。
試したこと・調べたこと
- ネットや本で調べた
- 社内で相談した
- AIツールを自分で試した
公開されている利用ガイドラインや入力禁止の例を十数件読み、禁止項目の粒度を比較しました。法務・品質保証・営業と会議しましたが、「顧客名はすべて禁止」と「それでは下書きに使えない」で対立したままです。ダミー見積を無料ChatGPTに入れて試したところ、社名を消しても型番と数量から案件が想像でき、再学習への不安が消えませんでした。
聞きたいこと
- 入力禁止リストは、個人情報・単価・図面・ソースのどれを、どの粒度で切るのが実務的ですか。
- ルール文書だけ先に出す場合と、ログの残る公式ツール導入を同時に進める場合、漏洩リスクはどちらが下がりますか。
- 従業員約280人規模で、マスキングや送信前チェックを情シス2名で回せる運用はありますか。
補足
取引先とのNDAが約40件あり、クラウドへの入力を禁じる条項が含まれる契約が少なくとも8件あります。