コンプライアンス研修と生成AI｜「使ってはいけない」を教えるだけでは守られない

生成AIのコンプライアンス研修について、いちばん多いご依頼は「社員に、やってはいけないことを周知したい」というものです。資料の骨子までできていることもあります。顧客情報を入れない、社外秘を入れない、出力をそのまま使わない。どれも正しい内容です。

ただ、この形の研修は、実施した3か月後に効果を確かめると、たいてい守られていません。覚えていないからではなく、守ると仕事が終わらないからです。

禁止事項だけを渡された社員は、2通りに分かれます。ひとつは使うのをやめる人。もうひとつは、会社が把握していない場所で使い続ける人です。後者は自分の携帯や個人アカウントに移るので、会社からはいっそう見えなくなります。禁止を強めるほど、業務が見えない場所に移動していく。これが、コンプライアンス研修が逆効果になる構造です。

この記事では、生成AIを対象にしたコンプライアンス研修を「守られる形」で設計する方法を書きます。社内ルールそのものの作り方は生成AIの社内ルール（AI利用規程）の作り方に、ガイドラインとの違いは生成AIガイドラインとはに整理しています。

1｜従来のコンプライアンス研修と、何が違うのか

ハラスメント、下請取引、インサイダー、情報管理。これまでのコンプライアンス研修が扱ってきた領域と、生成AIは性質が違います。違いは3つです。

とくに2つ目が厄介です。顧客名簿を貼り付けても、その場では何も起きません。エラーも出ず、上司にも見えず、業務は速く終わります。「起きなかった」という体験だけが積み上がるので、次はもっと大胆に貼ります。従来型の「事例で怖さを伝える」研修が効きにくいのは、この点です。

3つ目も現実的な問題です。学習に使われるかどうかの設定、法人向けプランの仕様、保存期間。これらは変わります。去年の資料をそのまま使い回した研修は、内容が古いまま社内に「正しいこと」として定着します。

2｜教える中身は、入力側と出力側で分ける

研修の構成でいちばん効くのが、この分け方です。生成AIのリスクは「何を入れたか」と「何を出したか」でまったく別物なのに、多くの資料が混ぜて説明しています。

入力側は、3層に分けて教える

「機密情報を入れない」は、一見わかりやすくて、現場ではまったく機能しません。社員は自分が扱っている情報が機密かどうかを判定できないからです。研修では、次の3層で具体名を挙げて教えます。

3層目を書くことが、この表の目的です。禁止の一覧だけを配ると、社員は「よく分からないから使わない」を選びます。それは安全に見えて、投資した研修費が回収できない状態でもあります。

他社から受け取った資料を1層目に置いているのには理由があります。自社の情報は自社の判断で扱えますが、他社の情報には秘密保持契約が付いていることが多く、扱いを自社だけで決められません。ここは社員の感覚では区別がつきにくいので、名指しで挙げます。技術情報の管理については、不正競争防止法上の営業秘密として守られるために秘密として管理されている状態が求められるとされています。社外のサービスに入れる行為がその管理状態にどう影響するかは、契約内容や運用によって判断が分かれるため、自社の法務や弁護士に確認してください。

出力側は、使い道で分けて教える

出力のリスクは、社内で読むだけなのか、社外に出すのかで別物になります。

最後の行は、研修で必ず触れてください。生成AIの出力を人事評価や採用の選考に使いたいという相談は実際にあります。ここは技術の問題ではなく、人の処遇を機械の出力で決めてよいかという話です。当社では、人の処遇に関わる判断は人が行い、AIの出力は材料としてのみ扱うという線を推奨しています。人事領域での使い分けは生成AIを人事で使うに書きました。著作権まわりの詳細は生成AIと著作権に整理しています。

3｜守られる研修には、必ず「グレーの演習」が入っている

ここが本題です。研修の効果を分けるのは、講義の質ではなく判断に迷う事例を、その場で判定させたかどうかです。

明らかに黒い事例（顧客名簿を貼り付ける）は、研修で扱っても意味がありません。誰でも分かるからです。実際に事故になるのは、こういう場面です。

• 取引先から届いたメールの文面を貼り付けて、返信の下書きを作らせる。相手の会社名と担当者名が入ったまま。
• 社内会議の録音を文字起こしサービスにかける。そのサービスがどこにデータを置いているかは、誰も確認していない。
• 他社のウェブサイトの文章を貼り付けて「この構成で、うちの製品版を作って」と指示する。出てきた文章の骨格が元のままかもしれない。
• 採用候補者の職務経歴書を貼り付けて、面接の質問案を作らせる。本人の同意の範囲に入っているか。
• 個人の携帯で無料版を使い、業務メールの下書きだけ作って会社のPCに打ち直す。本人としては「会社の環境には入れていない」つもり。

この5問を、答えを言わずに社員に判定させます。挙手でもグループでも構いません。意見が割れた時点で、その論点は自社のルールに書かれていないということが確定します。研修の成果物は、社員の理解度よりも、この「割れた論点の一覧」のほうが価値があります。

ここで出てきた論点を、その週のうちにルールへ追記してください。研修から追記までが1か月空くと、社員は「意見を言っても変わらない」と学習します。次の研修で誰も発言しなくなります。

相談先を、名前で示して終わる

研修の最後に必ず入れるのが、迷ったときの相談先です。部署名ではなく、人の名前とチャットの宛先まで示します。「情報システム部まで」で終わる研修は、誰にも相談されません。

あわせて、入れてしまった後に申し出た人を責めないことを明言してください。処罰の対象になると理解された瞬間に、報告は止まります。止まると、削除や設定変更で被害を抑えられる時間帯を失います。ここは会社としての方針表明が要る部分で、研修講師が言っても効きません。役員か管理部門の責任者が、研修の冒頭で自分の言葉で話す形が確実です。

4｜年1回のeラーニングでは追いつかない

コンプライアンス研修は年1回の受講記録を残す形で運用している会社が多いと思います。生成AIについては、この頻度だと内容が実態に合わなくなります。使えるサービスも、設定項目も、社内の使い方も1年で変わるからです。

現実的な組み方は、次の3段です。

2段目と3段目は研修と呼ばなくて構いません。むしろ、研修という形式にすると準備が重くなって実施されなくなります。差分を伝える経路を作っておくことのほうが、年1回の研修時間を延ばすより効きます。単発で終わらせない設計は生成AIの社内教育に詳しく書きました。

5｜情報漏えいの話だけで終わらせない

生成AIのコンプライアンス研修は、放っておくと情報漏えいの話に寄ります。分かりやすく、資料も作りやすいからです。ただ、実際に相談を受ける事故は、漏えいよりも次の2つが多いのが実感です。

• 事実と違う内容を、社外に出してしまった。 提案書に書いた統計の数字が、実在しない出典に紐づいていた。取引先から指摘されて発覚します。
• 相手に不快感を与える文章を送ってしまった。 AIが作った文面が、丁寧なようで一方的だった。書いた本人は読み返していません。

どちらも法令違反ではありませんが、会社の信用には直接効きます。研修では、社外に出す前に人が読むという当たり前の手順を、工程として明示してください。「出力をそのまま使わない」という抽象的な注意より、「社外文書は送信前に、AIを使っていない人が1回読む」という手順のほうが守られます。セキュリティ面の具体的な対策は生成AIのセキュリティリスクとはに整理しています。

6｜研修費用に助成金を使えるか

コンプライアンス研修を含む生成AIの社内研修は、内容や実施形態によっては、厚生労働省の人材開発支援助成金など公的な支援制度の対象になる場合があります。ただし、対象となる訓練の要件（訓練時間、実施方法、計画届の提出時期など）は制度ごとに定められており、また制度は年度ごとに見直されます。

実務としては、次の順で確認するのが確実です。

1. 研修の日程を決める前に、対象になり得るコースを調べる（計画届は訓練開始前の提出が求められる制度が一般的です）
2. 最新の支給要領で、自社の研修内容が要件に当てはまるかを確認する
3. 判断に迷う場合は、労働局または社会保険労務士に相談する

当社では制度の要否判断や申請代行は行っておらず、研修内容が要件に沿う形になっているかの整理までをお手伝いしています。助成金の全体像は人材開発支援助成金とはに書きました。

ノセカエの場合

当社でコンプライアンス関連の研修をお受けするときは、講義の前にその会社のグレーケースを集めるところから始めます。既に使っている社員に匿名で聞き取りをし、実際に入力している内容を集めます。ここで出てくる事例は、たいてい人事や情シスの想定より踏み込んでいます。

そのうえで、3点を先にお伝えしています。

• 禁止事項だけの研修はお受けしていません。 代わりの手段を示さない研修は、使い方が個人の端末に移るだけだからです。
• 研修の成果物は、理解度テストではなくルールの改訂案です。 演習で意見が割れた論点を、そのまま持ち帰っていただきます。
• 法令の適用の可否は判断しません。 個別の事案が法令に触れるかどうかは、弁護士等の専門家の領域です。研修では、判断が要る場面を見分けられる状態を作るところまでを担当します。

まとめ

生成AIのコンプライアンス研修で決めることは4つです。入力を3層に分け、そのまま入れてよいものまで書くこと。出力は使い道ごとに確認項目を変えること。判断に迷うグレーの事例を、その場で社員に判定させること。相談先を人の名前で示し、申し出た人を責めないと明言すること。

禁止事項を並べた資料は、作るのに半日で済みます。ただ、それは会社を守る形にはなっていません。守られるのは、社員が「これは入れていいのか」と迷った瞬間に、自分で判定できるか、聞ける相手がいるかのどちらかが成立している場合だけです。

助成金が使えるか無料診断では、いまの社内ルールと使われ方を拝見し、研修の構成案と、対象になり得る制度の当たりまでお返ししています。

※本記事は一般的な実務の整理であり、個別の事案について法令の適用の可否を判断するものではありません。個人情報の取扱い、営業秘密の管理、著作権、表示に関する規制については、所管官庁が公表するガイドラインおよび最新の法令をご確認のうえ、必要に応じて弁護士等の専門家にご相談ください。助成金・補助金は制度ごとに要件が定められ、年度により内容が変更されます。支給・採択の可否をお約束するものではなく、対象になる場合があるという範囲でのご案内です。申請の要否および可否の判断は、管轄の労働局・実施機関または社会保険労務士等の専門家にご確認ください。労働社会保険諸法令に基づく申請書等の作成・提出代行は社会保険労務士の業務であり、当社では行いません。