AIのルール違反に対応する方法｜罰する前にやること

「AIの利用規程に違反した社員が出たのですが、どこまでやればいいのか分かりません」「注意で済ませたら、翌月に別の部署でも同じことが起きました」——規程を配り終えた会社から、この半年で持ち込まれるようになった相談です。違反への対応は、処分の重さを決める仕事だと思われがちです。ですが実際には、見つかった直後の数時間の動き方で、その後に同じ違反が何件見えるかが決まる仕事です。この記事では、違反が見つかった後に何をどの順で動かすかを、止める・集める・確かめる・直す・記録する、の5つに分けて整理していきます。

「厳しく対処する」と書くほど、違反は見えなくなる

規程の末尾に置かれる一行は、たいてい抑止のつもりで書かれています。ところが現場の受け取り方は違います。対応として書かれているものが処分しかない状態は、報告した人にとって「誰かを処分に差し出す手続き」にしか見えません。上司の側も同じです。上げれば人事の話になると分かっているので、よほど大きな事案でないかぎり、その場の注意で終わらせる誘因が働きます。抑止のために書いた一行が、報告を止める装置として働いてしまう構図です。

この構図は、AIの分野より前から議論されてきました。医療の患者安全の分野では2001年の報告書で、航空分野では2004年の国際的な安全情報の報告書で取り上げられた「公正な文化」という考え方がそれにあたります。要点は単純で、誠実な過失と、意図的あるいは無謀な違反を、はっきり分けて扱うというものです。前者は追加の訓練や指導で扱い、後者だけを懲戒の対象にする。分けずに一律で罰する現場では、小さな事象が報告されなくなり、表に出たときには大きな事故になっている、という経験則が根拠になっています。

AIの利用規程では、この分けが書かれていないまま配られていることがよくあります。禁止事項の一覧はある。違反したら処分するとも書いてある。しかし、見つけた人が最初に何をするのかが一行もない。だから見つけた上司は、人事に上げるか見なかったことにするかの二択に立たされます。この記事の目的は、その二択の手前に、処分とは関係なく動く手順を4つ挟むことです。

動けなくなるのは、選べる手が2つしかないから

実際に相談を受けると、上司が止まっている理由はほぼ共通しています。第一に、見つけた後の手順が書かれていない。第二に、誰に上げるのかが決まっていない。情報システムなのか、法務なのか、直属の上長なのかが、規程を読んでも分からない。第三に、上げた後に何が起きるのかが、上げる側にも本人にも見えない。この3つが揃うと、上げる判断は勇気の問題になります。勇気に依存する手続きは、忙しい時期に必ず止まります。

ここで効くのは、対応の入り口を「処分の検討」ではない名前にしておくことです。たとえば、最初の受け皿を情報システムの窓口にして、そこに上がってきたものは事実の確認までしか扱わない、と決める。処分を検討するかどうかは、事実の確認が終わった後に別の人が別の場で判断する。この分け方を先に書いておくだけで、上げる行為と、人を罰する行為が切り離されます。上げた人が背負うものが軽くなるので、件数は上がります。

件数が上がることを、悪化と読まないでください。最初の四半期は報告が増えます。増えたのは違反ではなく、見えるようになった違反です。この時期に経営へ説明する一文を先に用意しておくと、途中で手順が取り下げられずに済みます。増えた件数の内訳を、悪意のないものと、そうでないものに分けて出す。その分け方は後半のH2で扱います。

対応の全体像：5つの段取りと、先に決めておく持ち時間

ここから先が本題です。違反が見つかった後の動きを5つに分けます。上から順に動かし、前の段取りが終わらないうちに次へ飛ばないのが原則です。とくに、5つ目に入るまで処分の話はしません。持ち時間の目安も併記しますが、これは法令で決まっているものではなく、後述する個人データが絡む場合を除いて、社内で決めてよい数字です。

5つのうち、最初の4つは誰が違反したかに関係なく同じ動きになります。本人が新人でも役員でも、止める範囲と集める記録は変わりません。この点を手順書の冒頭に書いておくと、相手が上位者のときに手が止まる事故を減らせます。

①止める：止める範囲を先に決めておくと、報告が止まらない

最初にやるのは、被害を広げないための停止です。ここで多いのが、止めすぎです。本人の全アカウントを停止してしまうと、その日の業務が丸ごと止まります。止まった原因は報告した人にある、という空気がその場で生まれ、次から誰も報告しなくなります。止めるのは人ではなく、使われ方です。

段階を3つに分けて用意しておくと、判断が速くなります。第一段階は、出力の利用だけを止める。すでに作られた資料を配るのをやめ、外に出す予定があれば差し止めます。第二段階は、その使い方だけを止める。議事録の要約が問題だったなら、その業務でのAIの利用を一時的に止めます。第三段階は、入り口そのものを止める。会社が契約していない入り口が使われていた場合は、これに当たります。どの段階まで止めるかは、外に出たかどうかで決めます。まだ社内にとどまっているなら、第一段階で足りることがほとんどです。

止めるときに添える一言も決めておいてください。「調査のあいだ、この使い方だけを止めます。処分の手続きではありません」。この一文があるかないかで、その後に本人から出てくる情報の量が変わります。止めた範囲と時刻、伝えた一言は、後で記録に必要になるのでその場で書き留めます。

②事実を集める：本人に聞く前にそろえる4つの記録

順番として、記録が先で、本人への聞き取りが後です。理由は2つあります。ひとつは、先に聞くと本人の記憶が防御の方向に整理されてしまい、後から記録と食い違ったときに、食い違い自体が新しい問題になるからです。もうひとつは、記録を持たずに聞くと、聞く側が質問を作れず、雑談のような確認で終わるからです。次の4つをそろえてから席を設けます。

• いつ、誰が、どの入り口を使ったか。時刻まで残します。記録が取れない入り口なら、取れないこと自体を書きます
• 何を入れたか。文面が残っていなければ、入れた情報の種類と件数（取引先名を含むか、氏名を含むか、金額を含むか）
• 出力をどこに使ったか。社内資料にとどまるのか、社外に出す資料か、すでに公開されているか
• その使い方を誰が見て通したか。上司の確認があったか、なかったか。あった場合は、何を見て通したか

4つ目を必ず入れてください。上司が内容を見て通していた事案は、本人だけの違反として扱うと後で必ず崩れます。また、会社が契約していない入り口が使われていた事案では、そもそも記録が残っていないことが普通です。その場合は「記録なし」と書くのではなく、「この入り口は会社側で記録を取得できない」と書きます。前者は調査不足に見え、後者は仕組みの欠落として次の段取りにつながります。

本人への聞き方で、その後に上がってくる件数が変わる

聞き取りの席で守ることは3つです。第一に、事実を時系列で聞く。何時に何をしたか、次に何をしたか、という順で追います。第二に、最初に理由を聞かない。「なぜそんなことをしたのか」から入ると、答えは弁明になり、時系列が歪みます。理由は、事実が並んだ後に聞けば自然に出てきます。第三に、その場で処分の話をしない。判断していない話を口にした瞬間、以降の聞き取りは交渉に変わります。

加えて、必ず入れる質問が1つあります。「同じやり方をしている人が、ほかにいませんか」です。悪意のない違反は、たいてい単独では起きていません。誰かがやっていたのを見て真似た、あるいは前任者から引き継いだ手順にそれが含まれていた、という形で広がります。この質問に答えが返ってきた時点で、対応は1件の処理から工程の見直しに変わります。

聞き取りの記録は、その場で本人にも見せて確認を取ります。後から「そんなことは言っていない」となると、事実の確定に時間がかかり、外に出た情報への対応が遅れます。確認を取った日付と、確認した本人の名前を記録に残してください。

③影響を確かめる：外に出たか、誰のものか、取り消せるか

ここで答える問いは3つだけです。ひとつ、情報が社外に出たか。出ていないなら、対応は社内で完結します。ふたつ、出た情報は誰のものか。自社のものか、取引先から預かっているものか、個人のものか。みっつ、取り消せるか。取り消せるかどうかは、受け取った側が何人いて、その全員に連絡できるかで決まります。

実務では、3つ目が最も雑に扱われます。資料を送った先が1社なら回収の連絡ができます。ところが、その資料が相手の社内で転送されていれば、回収は形だけになります。展示会で配った、ウェブに載せた、という場合はすでに取り消せません。取り消せないと分かった時点で、対応は「消す」から「後から見ても説明できる形にする」に切り替わります。この切り替えを早く行うほど、対外的な説明の質が上がります。

取引先から預かっている情報が混ざっていた場合は、契約上の通知義務があるかを先に確認します。通知の要否を法務に聞くまでの時間を、記録を集める段取りと並行して使ってください。順番に処理すると、通知の期限だけが先に来ます。

個人データが混ざっていたら、これはもうAIの話ではない

影響を確かめる過程で、氏名や連絡先のように個人を特定できる情報が外に出ていたと分かったら、そこで扱いが切り替わります。個人データの漏えい等については、個人情報保護法26条1項にもとづく個人情報保護委員会への報告と本人への通知が、令和4年4月1日から義務になっています。個人情報保護委員会の案内では、速報は事態を知ってから速やか（おおむね3日から5日以内）とされており、この時計は、社内でAIの違反として検討している間も進みます。

切り替えの合図は、次の3つのどれかに当たったときです。当たったら、AIの利用規程の違反として抱えるのをやめ、漏えいの対応に乗せ換えてください。報告の対象となる事態の分類、速報と確報の期限の内訳、本人への通知の方法と代替措置については、漏えいの対応を扱った別の記事の領分なので、ここでは踏み込みません。

• 外に出た情報に、氏名・連絡先・所属など、個人を特定できるものが含まれていた
• 含まれていた人数が把握できない、あるいは把握できても1人以上いる（1人でも対象になる類型があります）
• 自社が預かっている情報ではなく、取引先から委託を受けて預かっている情報だった
• ひとつでも当てはまったら、その場で法務と個人情報の担当へ渡し、AIの違反としての検討は並行させる

抱え込みは、悪意ではなく善意で起きます。大ごとにしたくない、本人をかばいたい、まだ確定していないから、という理由で1日2日が過ぎます。だからこそ、合図の側を先に書いておきます。判断を現場の温度に委ねないための線です。

④直す：作り直し・訂正・相手への連絡の順番

直す段取りは、成果物の扱いから始めます。問題の出力が混ざった資料が、どこまで広がっているかを一覧にします。社内の共有先、社外に送った先、掲載した場所。そのうえで、作り直すのか、訂正を出すのかを決めます。判断の基準は、受け取った人が誤った判断をする余地があるかどうかです。誤字や表現の問題なら差し替えで足ります。数字や事実が間違っていたなら、訂正の連絡が要ります。

相手への連絡を出すかどうかは、担当者が決める話ではありません。誰が決めるのかを手順書に書いておきます。多くの会社では、社外に出す連絡は広報か法務が窓口になります。ここを決めていないと、担当者が良かれと思って個別に謝罪の連絡を入れ、後から会社としての説明と食い違う、という事故が起きます。連絡を出さないと決めた場合も、出さないと決めた理由と決めた人を記録に残してください。後から聞かれるのは、たいてい出さなかった判断のほうです。

直した後の成果物には、直した跡を残します。版を分けて、どの版から直っているかが分かるようにする。回収できなかった旧版がどこにあるかも書いておく。この作業を省くと、半年後に旧版が別の資料に引用されて再燃します。

⑤記録する：次に効く記録と、効かない記録の違い

最後の段取りが記録です。ここで多くの会社がつまずきます。記録は残っているのに、次に使えない形で残っているのです。「規程違反1件、注意指導により終了」と書かれた行が並んでいても、3件目が同じ工程で起きていることに誰も気づけません。記録は件数を数えるためではなく、同じ場所で繰り返されていることに気づくために残します。

記録する項目	次に効かない書き方	次に効く書き方
起きたこと	規程違反があった	議事録の要約のために、取引先名を含む議事メモを会社が契約していない入り口に貼り付けた
いつ・どう見つけたか	先月	8月の第2週。翌営業日の朝に本人からの申し出で発覚。記録からの検知ではない
使った入り口	生成AI	会社が契約していない無料の入り口。個人の連絡先で登録されたもの。会社側で利用の記録は取得できない
何が外に出たか	情報が漏れた可能性がある	取引先の社名と担当者の姓。金額と個人の連絡先は含まれていない
止めた範囲と時刻	対応済み	当該の入り口の利用停止を発覚当日の午前中に実施。ほかの業務でのAI利用は止めていない
工程の側で直すこと	再発防止を徹底する	議事録の要約を会社が契約した入り口でできるようにする。担当は情報システム、期限は翌月末

右の列を書くには、それまでの4つの段取りで集めたものがそのまま使えます。逆に言えば、右の列が書けないときは、どこかの段取りを飛ばしています。とくに「工程の側で直すこと」が空欄のまま閉じられた案件は、同じ場所で必ず再発します。担当と期限が入っていない行は、書いていないのと同じです。

同じ違反が続く場所は、規程ではなく仕事のやり方の側にある

同じ工程で3件目が出たら、周知の仕方を変えるのではなく、その工程を見てください。ほぼ例外なく、会社が用意していない手段を現場が必要としています。議事録の要約、海外の資料の翻訳、長い仕様書の読み込み、応募書類の下読み。どれも、担当者が手を抜くために使ったのではなく、その日のうちに終わらせるために使っています。

この場合に効く手当ては3つです。ひとつ、その業務のために会社が契約した入り口を用意する。ふたつ、用意できないなら、その業務の量か期限のどちらかを変える。みっつ、どちらもできないなら、その業務でAIを使ってよい条件を書き足す。禁止のままにして周知だけを繰り返す選択肢は、ここにはありません。周知を繰り返しても、仕事の量が減らないかぎり同じことが起きます。

なお、どの手当てを採るかを決めるのは、規程を書いた部署ではなく、その業務を持っている部署です。規程の条文をどう書き直すか、部門ごとのルールをどう足すかという話は、別の記事で扱っています。ここで決めるのは条文ではなく、明日からその業務をどう回すかです。

人事上の処分との線引き：何が懲戒の話で、何がそうでないか

ここまでの4つの段取りが終わって、はじめて処分の検討に入るかどうかを考えます。前提として、懲戒処分には法的な枠があります。労働契約法15条は、懲戒が「客観的に合理的な理由を欠き、社会通念上相当であると認められない場合」は権利の濫用として無効になると定めています。加えて、あらかじめ就業規則に懲戒の種別と事由を定め、その内容を従業員に周知しておくことが必要とされています（フジ興産事件・最高裁平成15年10月10日判決）。

実務上ここで問題になるのは、AIの利用規程が就業規則の懲戒事由と紐づいていない会社が多いことです。規程に「処分する」と書いてあっても、就業規則の側に根拠がなければ、その一行だけで懲戒はできません。逆に、就業規則に「会社の情報管理に関する定めに違反したとき」といった事由があれば、そこにぶら下げられる可能性があります。自社がどちらなのかは、違反が起きてからではなく、平時のうちに人事と確認しておく話です。

そして、ここが本題です。日常的に上がってくる事案の大半は、懲戒の検討に進みません。指導と、工程の手当てで終わります。処分の検討に進むのは、意図的に隠したか、指摘を受けても繰り返したか、明らかな私的利益のために使ったか、といった場合に限られます。個別の事案について懲戒が有効かどうかは事情によって変わるため、実際に検討する段階になったら、労務に詳しい専門家に確かめてください。

悪意のない違反が大半、という前提で組む

対応の設計を楽にするために、事案を3つに分けておきます。第一に、知らなかった。規程を読んでいない、読んだが自分の業務が該当すると思っていなかった、という型です。第二に、知っていたが急いでいた。期限に間に合わせるために、今日だけと考えて使った型です。第三に、分かっていて隠した。会社の記録に残らない入り口をあえて選んだ、指摘された後も続けた、という型です。

手当ては型ごとに違います。第一の型に必要なのは処分ではなく、伝え方の作り直しです。禁止事項の一覧ではなく、自分の業務でどれに当たるかが分かる形にします。第二の型に必要なのは、仕事の組み方の見直しです。ここに処分を当てても、期限は変わらないので再発します。第三の型だけが、処分の検討に進みます。この分け方を先に書いておくと、事案が出たときに温度ではなく型で判断できます。

分けるための材料は、②と③の段取りですでに集まっています。記録が取れない入り口を選んでいたか。指摘の履歴があるか。聞き取りで事実を伏せたか。3つの型のどれに当たるかは、聞き取りの席ではなく、記録を並べた後に決めます。席で決めると、その場の態度に引きずられます。

AIに「これは違反か」を判定させない

違反の対応にAIを使う会社も出てきていますが、任せてよい範囲は限られます。任せてよいのは下ごしらえです。複数の記録を時系列に並べる、同じ期間に似た事象がなかったかを拾う、聞き取りのメモから事実と意見を分ける。どれも、人が読む前の整理であって、判断ではありません。

任せてはいけないのは、これが違反に当たるかどうかの線引きと、処分の要否です。理由は2つあります。ひとつは、規程の文言と実際の運用がずれている場合、AIは文言の側だけを読んで違反だと答えるからです。もうひとつは、その答えに人の事情が一切入らないのに、文章としては断定的に返ってくるからです。断定的な文章は、そのまま報告書に載ります。

使う場合の約束は3つ書いておいてください。第一に、整理させた結果には必ず根拠となる記録の箇所を書かせ、根拠のない記述は採用しない。第二に、人が確認する範囲を先に決める。全件を人が読むのか、外に出た可能性がある案件だけ人が読むのかを、件数が増える前に決めます。第三に、最終の判断は人が行い、判断した人の名前と判断した日を記録に残します。この3つが書かれていない運用は、数か月で誰も中身を見なくなります。

これをやると、次から違反が上がってこなくなる

最後に、手順としては正しく見えるのに、報告を止めてしまう動き方を5つ挙げます。どれも悪意なく、むしろ真面目な対応として行われます。心当たりがあれば、次の1件から外してください。

• 見つけたその場で処分の話を始める：本人が事実を話さなくなり、外に出た範囲が最後まで確定しない
• 本人のアカウントをすべて止める：業務が止まった原因が報告にあることになり、次から誰も上げなくなる
• 報告を受けた上司が一人で抱える：個人データが混ざっていた場合に、期限のある手続きが動き出さない
• 全社にあてて注意喚起の連絡を流す：誰の件かが推測され、事実の確認より先に噂が回る
• 記録を「規程違反1件」としか残さない：同じ工程で3件目が起きても、同じ工程だと気づけない

3つ目は、配慮のつもりで起きます。本人を守りたい、部署の評価に響かせたくない、という動機です。ところが、抱えた1日2日のあいだに、外に出た情報は転送され、期限は進みます。抱えないための線は、前のH2で書いた3つの合図です。合図に当たったら、上司の裁量ではなく手順として渡します。

4つ目も同じ構造です。再発防止のつもりで全社に流した連絡が、当事者の特定につながります。特定されると、本人は以降の聞き取りで事実を話さなくなり、周囲も報告をやめます。周知が必要なら、事案が閉じてから、日付と部署を落とした形で出してください。

よくある質問

違反した本人が、規程を読んでいないと言っています。どう扱えばよいですか

読んでいないことを理由に対応を軽くする必要はありませんが、扱いの型は変わります。読んでいない人が一定数いる状態は、本人の問題であると同時に、伝え方の問題でもあります。同じ部署で2人目が出たら、その部署への伝え方を作り直してください。あわせて、就業規則に基づく処分を検討する場合には、規程の内容が従業員に周知されていたかが要件に関わるため、周知の記録があるかを人事と確認する必要があります。

取引先の情報を入れてしまった場合、相手に伝えるべきでしょうか

伝えるかどうかは担当者が判断せず、契約の内容を先に確認してください。委託を受けて預かっている情報については、契約に通知の条項が置かれていることがあります。条項がない場合でも、相手が知ったときにどう見えるかで判断します。後から相手が別の経路で知るのが、いちばん損害の大きい形です。伝えないと決めた場合は、決めた理由と決めた人を記録に残してください。

同じ人が2回目の違反をしました。処分に進むべきですか

回数だけで決めないでください。1回目と2回目が同じ型かどうかを見ます。1回目が「知らなかった」で、2回目が別の業務での「知らなかった」なら、伝え方がまだ届いていないだけです。一方、1回目に指摘した内容をそのまま繰り返しているなら、型が変わっています。指摘の内容と日付が記録に残っていないと、この区別ができません。

違反の件数を経営に報告すると、規程を厳しくしろと言われそうです

件数だけを出すとそうなります。件数と一緒に、型ごとの内訳と、工程の側で直した件数を出してください。「知らなかった」が大半を占め、そのうち何件で入り口を用意したかを並べると、話は規程の厳格化ではなく手当ての進み方に向きます。内訳のない件数は、必ず厳罰の方向に読まれます。

まとめ

違反が見つかったときに最初に決めるのは、処分の重さではありません。止める範囲です。そこから、記録を集め、外に出たかを確かめ、成果物を直す。ここまでは誰が違反したかに関係なく同じ動きで、処分の検討はその後です。個人データが混ざっていたと分かった時点で、対応は漏えいの手続きに乗り換えます。この乗り換えの合図だけは、現場の裁量に委ねずに書いておいてください。そして、同じ工程で3件目が出たら、直す対象は人ではなく工程です。今週できることは1つです。手順書の1行目に、上げ先の窓口名と、そこでは事実の確認までしか扱わないことを書く。この1行があるだけで、来月から上がってくる件数が変わります。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。