AIの利用ルールはどう作る？国の「源内基準」から小さな会社がまねできること
作成日：
源内基準ってなに？
源内基準は、デジタル庁が2026年10月20日に公表した、政府でAIを安全に使うためのルールです。約18万人の政府職員を対象にしたAI環境「源内」で、AIエージェントを使える環境の提供を始めるのにあわせて作られました。AIを使う人、管理する人、作る人ごとに、守ることが決められています。政府職員向けのルールなので、民間の会社に守る義務はありません。ただ、デジタル庁は民間事業者等にとっても参考になるとしています。この記事では、小さな会社でもまねしやすい部分を選んで紹介します。
使っていいAIを決める
基準は、組織が認めていないAI、いわゆる「シャドーAI」を業務に使わないよう求めています。例として、個人アカウントのAIに業務メールを貼り付けて返信案を作らせることや、私用のチャットAIに非公開の資料を入れて分析させることが挙がっています。小さな会社でも、まず「仕事で使ってよいAI」と「使うアカウント」を決めましょう。個人のアカウントで使うと、会社からは使い方が見えにくくなります。
入れていい情報を決める
次は、AIに入れてよい情報の線引きです。基準では、個人情報を入れるのは目的に必要な最小限にとどめ、氏名や住所などが処理に要らなければ、消したり匿名にしたりするよう求めています。会社なら、顧客名簿、従業員の情報、取引先との契約内容などを「入れない情報」の候補として書き出してみましょう。迷うものは「入れる前に責任者に聞く」と決めておくと、現場も判断しやすくなります。
人が確認する場面を決める
基準は、AIの出力をそのまま受け入れず、人が確認・承認・修正・停止に関わることを求めています。これをヒューマン・イン・ザ・ループ（人が途中で関わる仕組み）と呼びます。AIは、事実と違う内容をもっともらしく書くことがあるからです。特に確かめるものとして、数値や金額、日付、法令、固有名詞、出典やURL、計算結果が挙がっています。重要な情報は、元の資料で確かめるよう書かれています。このリストは、社内ルールの「確認すること」にそのまま使えます。
- 数字・日付
- 金額、割合、年月日、計算結果
- 名前
- 法令、制度、人名、会社名
- 出典
- 資料の名前、引用、URL
ファイルを触らせる前にバックアップ
AIにファイルを編集・削除させるときは、対象と影響範囲を先に確かめ、原則としてバックアップを取ることも基準に書かれています。ここからは、源内基準を参考にした編集部の提案です。①使うAIとアカウント、②入れない情報、③人が確認することとバックアップ、の3つをA4一枚に書き出し、みんなが見られる場所に置いてみましょう。最初は完璧でなくて大丈夫です。使いながら見直していきましょう。自社に合ったルールづくりを相談したいときは、BeginAIの『AI顧問（月5万円〜）』の無料相談もお気軽にご利用ください。
- 使うAIとアカウントを決める
- 入れない情報を書き出す
- 人が確認することを決める
- ファイル操作の前はバックアップ