コンプライアンス研修と生成AI｜「使ってはいけない」を教えるだけでは守られない
目次
生成AIのルールは、研修で伝えただけでは守られないことがあります。コンプライアンス研修で生成AIを扱う人事・法務・情シスの担当者に向けて、ルールが守られる研修の組み方をまとめました。
研修の目的を「社員に、やってはいけないことを周知したい」と置く会社もあります。顧客情報を入力しない、社外秘を入力しない、出力をそのまま使わない。どれも正しい内容です。ただ、禁止事項を伝えるだけの研修は、数か月後に確かめると守られていないことがあります。覚えていないからではなく、守ると仕事が終わらないからです。
禁止事項だけを渡された社員は、使うのをやめる人と、会社が把握していない場所で使い続ける人に分かれがちです。後者は自分の携帯や個人アカウントに移るので、会社からはいっそう見えなくなります。禁止を強めるほど業務が見えない場所に移っていく。これが、研修が逆効果になる構造です。
研修で教える中身の土台になる社内ルールは、条文を定めるAI利用規程の作り方と、現場向けの手引きをまとめる生成AIガイドラインの作り方で整理しています。
1｜従来のコンプライアンス研修と、何が違うのか
ハラスメント、下請取引、インサイダー、情報管理。これまでのコンプライアンス研修が扱ってきた領域と、生成AIは性質が違います。違いは3つです。
| 従来のテーマ | 生成AI | |
|---|---|---|
| 違反の起き方 | やってはいけないと分かったうえで、意図してやる場合が多い | 悪意なく起きる。良かれと思って資料を貼り付ける |
| 誰が気づくか | 相手（被害者・取引先）がいるので、外から発覚する | 相手がいない。入力しただけでは誰も気づかない |
| ルールの寿命 | 数年単位で安定している | サービスの仕様も設定項目も年内に変わる |
とくに2つ目が厄介です。顧客名簿を貼り付けても、その場では何も起きません。エラーも出ず、上司にも見えず、業務は速く終わります。「起きなかった」という体験だけが積み上がるので、次はもっと大胆に貼ります。従来型の「事例で怖さを伝える」研修が効きにくいのは、この点です。
3つ目も現実的な問題です。学習に使われるかどうかの設定、法人向けプランの仕様、保存期間。これらは変わります。去年の資料をそのまま使い回した研修は、内容が古いまま社内に「正しいこと」として定着します。
2｜教える中身は、入力側と出力側で分ける
研修の構成で効果が大きいのが、この分け方です。生成AIのリスクは「何を入力したか」と「何を出したか」で中身が違うのに、両者を混ぜて説明している資料も見かけます。
入力側は、3層に分けて教える
「機密情報を入力しない」は、一見わかりやすいのですが、現場では機能しにくい指示です。社員は自分が扱っている情報が機密かどうかを判定できないからです。研修では、次の3層で具体名を挙げて教えることをおすすめします。
| 層 | 中身の例 | 教え方 |
|---|---|---|
| 入れない | 顧客・従業員の個人情報、未公表の決算数値、他社から受け取った資料、まだ出願していない技術情報、パスワードや接続情報 | この層だけは、丸暗記させる。5〜7項目に絞る |
| 加工すれば入れてよい | 自社の議事録、社内資料、取引先とのやり取り | 固有名詞・金額・日付を伏せる手順を、実物で1回やらせる |
| そのまま入れてよい | 公開済みの自社情報、一般的な文章表現、社外に出す前の下書き（機密を含まないもの） | ここを明示しないと、全部が怖くなって誰も使わない |
3層目を書くことが、この表の目的です。禁止の一覧だけを配ると、社員は「よく分からないから使わない」を選びます。それは安全に見えて、投資した研修費が回収できない状態でもあります。
他社から受け取った資料を1層目に置いているのには理由があります。自社の情報は自社の判断で扱えますが、他社の情報には秘密保持契約が付いていることが多く、扱いを自社だけで決められません。ここは社員の感覚では区別がつきにくいので、名指しで挙げます。技術情報の管理については、不正競争防止法上の営業秘密として守られるために秘密として管理されている状態が求められるとされています。社外のサービスに入れる行為がその管理状態にどう影響するかは、契約内容や運用によって判断が分かれるため、自社の法務や弁護士に確認してください。
出力側は、使い道で分けて教える
出力のリスクは、社内で読むだけなのか、社外に出すのかで別物になります。
| 使い道 | 確認すること | 主に関係する領域 |
|---|---|---|
| 社内で自分が読む | 事実が正しいか。数字は必ず一次資料で照合 | 業務品質 |
| 社内で他人に配る | AIで作ったと分かる形か。判断の根拠が示せるか | 説明責任 |
| 社外に出す（提案書・記事・SNS） | 既存の著作物と似ていないか。出典の確認 | 著作権 |
| 商品・サービスの説明に使う | 効果や優位性の表現。根拠となる資料があるか | 景品表示法など表示の規制 |
| 採用・評価・与信の判断に使う | そもそも判断に使ってよいか。人が最終決定しているか | 差別・公平性、個人情報の取り扱い |
最後の行は、研修で必ず触れてください。生成AIの出力を人事評価や採用の選考に使いたい、という会社もあります。ここは技術の問題ではなく、人の処遇を機械の出力で決めてよいかという話です。当社では、人の処遇に関わる判断は人が行い、AIの出力は材料としてのみ扱うという線を推奨しています。人事領域での使い分けは生成AIを人事で使うに書きました。著作権まわりの詳細は生成AIと著作権に整理しています。
3｜判断に迷う「グレーの事例」を、その場で判定させる
研修の効果を大きく左右するのは、講義の質よりも判断に迷う事例を、その場で判定させたかどうかです。
明らかにだめな事例（顧客名簿を貼り付ける）は、誰でも分かるので研修で時間をかける意味が薄くなります。判断が分かれやすいのは、次のような場面です。
- 取引先から届いたメールの文面を貼り付けて、返信の下書きを作らせる。相手の会社名と担当者名が入ったまま。
- 社内会議の録音を文字起こしサービスにかける。そのサービスがどこにデータを置いているかは、誰も確認していない。
- 他社のウェブサイトの文章を貼り付けて「この構成で、うちの製品版を作って」と指示する。出てきた文章の骨格が元のままかもしれない。
- 採用候補者の職務経歴書を貼り付けて、面接の質問案を作らせる。本人の同意の範囲に入っているか。
- 個人の携帯で無料版を使い、業務メールの下書きだけ作って会社のPCに打ち直す。本人としては「会社の環境には入れていない」つもり。
この5問を、答えを言わずに社員に判定させます。挙手でもグループでも構いません。意見が割れた時点で、その論点は自社のルールに書かれていないということが確定します。研修の成果物は、社員の理解度よりも、この「割れた論点の一覧」のほうが価値があります。
ここで出てきた論点を、その週のうちにルールへ追記してください。研修から追記までが1か月空くと、社員は「意見を言っても変わらない」と学習します。次の研修で誰も発言しなくなります。
相談先を、名前で示して終わる
研修の最後に必ず入れるのが、迷ったときの相談先です。部署名ではなく、人の名前とチャットの宛先まで示します。「情報システム部まで」で終わる研修は、誰にも相談されません。
あわせて、入れてしまった後に申し出た人を責めないことを明言してください。処罰の対象になると理解された瞬間に、報告は止まります。止まると、削除や設定変更で被害を抑えられる時間帯を失います。ここは会社としての方針表明が要る部分で、外部の講師が言うだけでは伝わりにくいところです。役員か管理部門の責任者が、研修の冒頭で自分の言葉で話すと伝わりやすくなります。
4｜年1回のeラーニングでは追いつかない
コンプライアンス研修は年1回の受講記録を残す形で運用している会社が多いと思います。生成AIについては、この頻度だと内容が実態に合わなくなります。使えるサービスも、設定項目も、社内の使い方も1年で変わるからです。
現実的な組み方は、次の3段です。
| いつ | やること | 時間 |
|---|---|---|
| 年1回 | 全社員向けの基礎。入力3層と出力の使い分け、相談先 | 60〜90分 |
| ルールを変えたとき | 変わった箇所だけの差分連絡。新旧を並べて示す | 10分程度の資料 |
| 新しいツールを入れたとき | そのツール固有の注意点。学習設定と保存場所 | 導入時に1回 |
2段目と3段目は研修と呼ばなくて構いません。むしろ、研修という形式にすると準備が重くなって実施されなくなります。差分を伝える経路を作っておくことのほうが、年1回の研修時間を延ばすより効きます。単発で終わらせない設計は生成AIの社内教育に詳しく書きました。
5｜情報漏えいの話だけで終わらせない
生成AIのコンプライアンス研修は、放っておくと情報漏えいの話に寄ります。分かりやすく、資料も作りやすいからです。ただ、漏えいと並んで、次の2つも論点になります。
- 事実と違う内容を、社外に出してしまった。提案書に書いた統計の数字が、実在しない出典に紐づいていた。取引先から指摘されて発覚します。
- 相手に不快感を与える文章を送ってしまった。AIが作った文面が、丁寧なようで一方的だった。書いた本人は読み返していません。
どちらも法令違反ではありませんが、会社の信用には直接効きます。研修では、社外に出す前に人が読むという当たり前の手順を、工程として明示してください。「出力をそのまま使わない」という抽象的な注意より、「社外文書は送信前に、AIを使っていない人が1回読む」という手順のほうが守られます。セキュリティ面の具体的な対策は生成AIのセキュリティリスクとはに整理しています。
6｜研修費用に助成金を使えるか
生成AIの社内研修は、内容や実施形態によっては、厚生労働省の人材開発支援助成金の対象となる可能性があります。ただし、コンプライアンス研修は注意が必要です。事業展開等リスキリング支援コースでは、令和8年8月3日以降に提出する計画届から、DX化・GX化に関する訓練のうち職業や職務の種類を問わず、職業人として共通して必要となるものなどを目的とする訓練が助成対象外になりました（経過措置あり）。業務への適用を伴わない一般的なルールの周知は、ここに当たる可能性があります。
実務としては、次の順で確認してください。
- 研修の日程を決める前に、対象になり得るコースを調べる（計画届は訓練開始前に提出する必要があります）
- 最新の支給要領で、自社の研修内容が要件に当てはまるかを確認する
- 判断に迷う場合は、管轄の労働局または社会保険労務士に相談する
ノセカエでは、提携社労士が助成金の対象になり得るかを無料で診断します。制度の全体像は人材開発支援助成金とはにまとめています。
ノセカエの場合
コンプライアンス関連の研修を組むなら、講義の前にその会社のグレーケースを集めるところから始める形をおすすめします。既に使っている社員に匿名で聞き取りをして、実際に入力している内容を集める方法をおすすめします。ここで出てくる事例は、人事や情シスの想定より踏み込んでいることがあります。
そのうえで、次の3点を先に押さえることをおすすめします。
- 禁止事項だけの研修は、おすすめしません。代わりの手段を示さない研修は、使い方が個人の端末に移るだけだからです。
- 研修の成果物は、理解度テストではなくルールの改訂案です。演習で意見が割れた論点を、そのまま持ち帰れる形を目指します。
- 法令の適用の可否は判断しません。個別の事案が法令に触れるかどうかは、弁護士等の専門家の領域です。研修で目指すのは、判断が要る場面を見分けられる状態を作るところまでです。
まとめ
生成AIのコンプライアンス研修で決めることは4つです。入力を3層に分け、そのまま入れてよいものまで書くこと。出力は使い道ごとに確認項目を変えること。判断に迷うグレーの事例を、その場で社員に判定させること。相談先を人の名前で示し、申し出た人を責めないと明言すること。
ルールが守られるのは、社員が「これは入力してよいのか」と迷った瞬間に、自分で判定できるか、聞ける相手がいるかのどちらかが成り立っているときです。
すでに社外秘の入力が起きてしまい、研修をやり直す立場にある場合は、社員が社外秘を生成AIに入れてしまったあと、研修で何を変えるかで、事案の型ごとの変え方と足す演習を整理しています。
参考資料・注意事項
最終確認：2026年9月24日。本記事は研修設計の一般的な整理であり、個別の事案について法令の適用を判断するものではありません。個人情報、営業秘密、著作権、表示に関する規制は、所管官庁のガイドラインと最新の法令をご確認のうえ、必要に応じて弁護士等にご相談ください。助成金は審査により支給の可否が決まり、受給を保証するものではありません。申請書類の作成・提出代行は社会保険労務士の業務であり、当社では行いません。
「使ってはいけない」の先まで、研修に入れませんか。
自社のグレーケースの集め方と、入力3層の線引きを研修でどう扱うかを、30分の無料相談でご相談いただけます。半日研修では、AI利用規程のひな形をお渡しします。助成金の対象となるかは、提携社労士が無料で診断します。
AI利用ルールを含めた研修を相談する →お電話でのご相談：03-6820-2744（平日10:00〜18:00）