社員が勝手にAIを使い始めたとき、沖縄の中小企業は何を決めるべきか

社員が業務で生成AIを使っているらしい、と知ったとき。あるいは、若手が作った資料の文章が妙にこなれていると気づいたとき。

多くの経営者が、まず考えるのは「大丈夫なのか」ということだと思います。顧客の情報を入力していたらどうするのか。取引先との契約に触れないか。何か起きてからでは遅い。

そして、最も確実に見える対策にたどり着きます。禁止する、という判断です。

この判断は、一見すると安全です。使わなければ、漏れることもない。

ただ、ここで一度確認しておきたいことがあります。禁止した会社と、ルールを決めた会社。実際にリスクが高いのは、どちらでしょうか。

禁止しても、使用は止まらない

結論から申し上げると、全面禁止は多くの場合、機能しません。

理由は単純です。生成AIは、会社が導入しなくても使えるからです。個人のスマートフォンから、個人のアカウントで、無料で使えます。会社の端末を制限しても、手元の電話は制限できません。

そして、使う側に悪意があるとは限りません。むしろ逆のことが多いのです。締切に追われて資料をまとめなければならない、英文のメールを書かなければならない、議事録を整理しなければならない。目の前の仕事を早く終わらせたい、という動機です。

こうして、会社が把握していないところで利用が広がります。シャドーAIと呼ばれる状態です。

ここで問題になるのは、利用そのものではありません。会社が把握していないことのほうです。

ルールがある会社では、少なくとも「何を入れてよいか」の共通認識があります。判断に迷ったときに相談できる相手もいます。ところが禁止されている会社では、使っていること自体を言えません。相談もできません。結果として、誰にも見えないところで、判断の基準もないまま利用が続くことになります。

禁止は、利用をなくすのではなく、見えなくします。 これがリスクを高めるという意味です。

もう一つ、見落とされやすい影響があります。人の側に出るものです。

業務でAIを使える環境かどうかを、勤務先を選ぶ際の確認事項に挙げる人がいる、という話を聞くことがあります。自分の仕事の進め方が数年後にどうなるかを考えたとき、使える環境にいるかどうかが経験の蓄積に効いてくる、という理屈です。

つまり、全面禁止は「使わせない」という判断であると同時に、その環境を選べる人にとっては会社を選ぶ理由になりうるということです。人手の確保が課題になっている県内企業にとって、これは無視しにくい副作用だと思います。

国も「使うこと」を前提にしている

この点は、国の方針とも整合します。

2026年7月14日に閣議決定された第Ⅱ期人工知能基本計画には、4つの原則が掲げられています。その筆頭が「イノベーション促進とリスク対応の両立」です。

リスクを避けることだけを目的にせず、活用と両立させる。これが国の立場です。リスクがあるから使わない、という方向は想定されていません。

そのうえで、リスクへの対応について、計画の第1章にこう書かれています。

AI法等の「制度による対応」に加え、制御機能や標準を設計に組み込む「技術による対応」、組織全体でリテラシーの向上及び責任の所在の明確化を含めたガバナンスを構築する「組織管理による対応」について、統合的に取り組む必要がある。

3つの対応が挙げられています。制度、技術、組織管理です。

ここで、自社に引き寄せて考えてみてください。

制度による対応——法律や指針を整備するのは国の役割です。中小企業がやることではありません。

技術による対応——AIそのものに制御機能を組み込むのは、開発事業者の役割です。これも自社の仕事ではありません。

組織管理による対応——これだけが、各社の仕事です。誰が何をどこまで使ってよいかを決め、社内に伝え、運用する。これは他の誰も代わりにやってくれません。

つまり、中小企業が担うべき領域は、この3つ目に限られています。 そしてそれは、自社にしかできない仕事でもあります。裏を返せば、やるべきことの範囲は思っているより狭い、ということでもあります。

何を決めればよいのか

では、具体的に何を決めるか。項目としては、それほど多くありません。見取り図を示します。

1. 何に使ってよいか（用途）

すべての業務を一律に扱う必要はありません。社内文書の下書き、アイデア出し、文章の校正といった用途と、顧客情報を扱う業務とでは、判断が変わります。

まず「使ってよい業務」を決めるほうが、「使ってはいけない業務」を列挙するより現実的です。前者は数が限られますが、後者は無限に出てくるからです。

2. 何を入れてよいか（情報の線引き）

最も判断が難しく、最も重要な部分です。

一つ、実務的な目安を挙げておきます。その情報を、外部の取引先にメールで送れるかどうか。 送れないものは、入れないほうがよい。この基準は多くの現場ですでに共有されているため、新しく覚えてもらう必要がありません。

そのうえで、社内に伝えるときに一点だけ区別しておくと、判断がぶれにくくなります。自社の情報と、顧客から預かっている情報は、同じ扱いにしないことです。

自社の資料や社内文書をどう扱うかは、自社の判断で決められます。一方、取引先や顧客から預かった情報は、契約や取り決めの対象になっていることがあり、自社の判断だけでは決められません。同じ「社外に出したくない情報」でも、決められる主体が違います。

現場で迷いが起きるのは、この二つが「機密情報」という一語でまとめられているときです。分けて伝えるだけで、判断の精度は上がります。

なお、情報の性質ごとにリスクの強弱をどう考えるかについては、別の記事で詳しく扱っています。線引きの具体的な考え方は、そちらをご覧いただくのが早いと思います。

3. どのサービスを使うか

同じ生成AIでも、入力した内容が学習に使われる設定と、使われない設定があります。法人向けのサービスでは、この点が契約で担保されているものもあります。

会社として使うサービスを指定しておくと、個人アカウントでの利用に流れる理由が減ります。禁止より、使ってよい選択肢を用意するほうが実効性があります。

4. 誰が判断するか

迷ったときに聞ける相手を決めておく、ということです。専門家である必要はありません。「判断に迷ったらこの人に相談する」という窓口が一つあるだけで、勝手な判断は大きく減ります。

計画の第1章では、エージェント型AIの登場によって「責任の所在の曖昧化」が指摘されています。誰が決めたのかが残らない状態は、後で問題が起きたときに対応できません。

5. 出したものの責任を誰が持つか

もう一つ、社外に出るものについて決めておきたいことがあります。

AIを使うと、文書の作成時間が大きく短くなります。ただ、体裁の整った文書が短時間で出てくるようになると、内容を確認せずにそのまま提出する、という運用が生まれやすくなります。悪意ではなく、分量が多く見た目が整っているために、読み直す手間が以前より大きく感じられるからです。

決めることは一行で足ります。社外に出るものは、出す人が内容を説明できる状態にしてから出す。 作成にAIを使ったかどうかは問いません。問うのは、取引先から質問が来たときに答えられるかどうかです。

この一行があると、使ってよい範囲の線引きも自然に決まります。下書きや整理に使うことは問題にならず、確認を省くことだけが問題になる、という形に整理できるためです。

6. いつ見直すか

AIをめぐる状況は変化が速く、半年前の前提が実態に合わなくなることがあります。ルールを作ることより、更新し続けることのほうが実は難しい。決めた時点で、次の見直し時期も決めておくのが現実的です。

ルールは「守られる量」でなければ意味がない

ここで、中小企業に固有の制約に触れます。

多くの県内企業には、情報システム部門がありません。専任の管理者もいません。総務や経理の担当者が兼務しているか、社長自身が見ているか、そのどちらかです。

この体制では、詳細なルールブックを作っても運用できません。作った時点で満足してしまい、周知されず、更新もされない。結果として、存在しないのと同じ状態になります。

したがって、目指すべきは網羅性ではなく、守られる量に収めることです。実務的な感覚で言えば、A4一枚に収まらないルールは、まず運用されません。

前節で挙げた6項目も、それぞれ数行で足ります。用途、情報の線引き、使用するサービス、相談先、社外に出すものの責任、見直し時期。これだけ決まっていれば、判断に迷う場面の大半はカバーできます。

完璧なルールを作ろうとして着手できないより、粗くても運用されるルールがあるほうが、実際のリスクは下がります。

「申告しても不利にならない」を明示する

もう一点、ルールの内容とは別に、伝え方について申し添えます。

同じ内容のルールでも、社員の側が「使っていることを言っても大丈夫だ」と受け取るかどうかで、運用の実態は大きく変わります。

たとえば、利用状況を確認するという項目が、監視のための仕組みとして受け取られた場合。表向きの申告は減り、かわりに個人の端末での利用が増えます。これは冒頭で述べた「見えなくなる」状態と同じです。ルールを作ったのに、禁止したときと同じ結果になります。

避けるには、伝える段階で一言添えるだけで足ります。使ったこと自体を問題にはしない。問題にするのは、決めた範囲を外れたときと、確認せずに外へ出したときだけ。 この線を先に示しておくと、判断に迷った社員が相談に来るようになります。相談が来る状態こそが、この記事で言う「把握できている」状態です。

現場から「これも使ってよいか」という質問が上がってくるようになったら、ルールは機能しています。逆に、導入から数か月たっても一件も質問が来ない場合は、周知が届いていないか、聞きにくい空気があるかのどちらかだと考えたほうが実態に近いと思います。

沖縄で、この順序が起きやすい理由

県内には、もう一つ固有の事情があります。社員のほうが先にAIを学んでいるという状況が生まれやすいことです。

この数年、県内では生成AIに関するセミナーや研修が数多く開催されています。県の事業として実施されているもの、商工会議所や金融機関が主催するもの、支援機関によるもの。無料または低額で参加できる機会も多く、学ぶ場は珍しいものではなくなりました。

これは環境として明らかに前向きな変化です。ただ、順序としては、こういうことが起こります。

社員が研修に参加する。使い方を覚えて戻ってくる。業務で試してみる。ところが、会社側にはまだルールがない。

つまり、利用が先に始まり、ルールが後追いになる。これは誰かの落ち度ではなく、学ぶ機会が先に広がったことの結果です。

対応としては、研修に人を送る際に、あわせて社内での扱いを決めておくのが自然です。学んで戻ってきた社員が、迷わず使える状態にしておく。研修への参加自体が、ルールを整える良いきっかけになります。

もう一つ、順序として効果が大きいのは、決める側が一度自分で触ってみることです。

どこまで任せてよいかは、実際に使ってみないと感覚がつかめません。文書の下書きがどの程度の水準で出てくるのか、どういう場面で内容が怪しくなるのか。これを一度自分で確かめておくと、決めるべき線が具体的に見えてきます。逆に、報道や研修資料の情報だけで決めると、実態より広く禁止するか、実態より緩く許可するかのどちらかに寄りがちです。

時間はそれほどかかりません。自社の資料を一つ渡して、要約させてみる。実際の問い合わせ文を渡して、返信案を作らせてみる。この程度で、決めるための材料は揃います。

この論点では、中小企業のほうが速い

もう一点、県内企業の強みに触れておきます。

多くの中小企業では、経営判断が経営者に集中しています。これは属人化という文脈では課題として語られますが、ルールを決めるという場面では明確な利点です。

大企業では、こうしたルールの整備に相当な時間がかかります。情報システム部門、法務、人事、各事業部門。関係する部署が多く、調整に工数が必要です。半年かかることも珍しくありません。

中小企業には、その工程がありません。決める人が現場も知っているため、実態に合わないルールになりにくいという利点もあります。

決めるべき項目は6つ、それぞれ数行。判断できる人は社内にいる。着手すれば、短期間で形になる領域です。

まとめ

社員がAIを使い始めたとき、経営者が判断すべきことを整理します。

• 全面禁止は利用をなくさず、見えなくする。把握できない利用のほうがリスクは高い
• 使える環境かどうかは、人を採る・つなぎ止める場面にも影響しうる
• 国の原則も「イノベーション促進とリスク対応の両立」であり、使わない方向は想定されていない
• 国が示す3つの対応のうち、中小企業が担うのは「組織管理による対応」だけ。ただしそれは自社にしかできない
• 決めるべきは、用途・情報の線引き・使用するサービス・相談先・社外に出すものの責任・見直し時期の6項目
• 自社の情報と、顧客から預かった情報は分けて伝える。決められる主体が違う
• 情報システム部門がない体制では、網羅性より「守られる量」を優先する
• 監視と受け取られると利用は見えなくなる。「申告しても不利にならない」を先に示す
• 県内では研修が先行し、利用が先に始まる順序が起きやすい。決める側が一度自分で触っておくと線が具体的になる
• 決める人と現場を知る人が同じである中小企業は、この論点では有利

禁止するか許可するかで悩んでいる時間があるなら、何をどこまで許すかを決めて伝えるほうが、会社を守ることにつながります。

本記事は2026年8月時点の情報にもとづいています。引用した第Ⅱ期人工知能基本計画は令和8年7月14日に閣議決定されたもので、同計画は当面毎年改定される予定です。生成AIサービスの仕様・利用規約は変更される場合がありますので、導入にあたっては各サービスの最新の規約をご確認ください。