「生成AIはセキュリティエンジニアの仕事を奪うのか」で「AI利用ガイドラインの策定経験は、これから数年で最も希少性の高い職務経歴になる」と書きました。この記事はその実践編です。
これは私が現在進行形で向き合っている領域です。正直に言うと、完璧なガイドラインを作れている組織はほぼありません。モデルの能力が数ヶ月単位で変わるため、作った瞬間から見直しが始まるからです。だからこそ、完璧を目指すより「回る仕組み」を作った人が評価されます。
作る前に決めること: ガイドラインの目的
生成AIルールの目的は「使わせないこと」ではありません。「安全に使わせて、シャドーAIを撲滅すること」です。禁止一辺倒のルールは、野良利用(シャドーAI)を地下に潜らせるだけで、リスクはむしろ増えます。この一文を経営層と合意できるかが、実は最大の分かれ道です。
5ステップの作り方
① 現状把握: 誰が何を使っているか
アンケートやヒアリングで、既に使われているAIサービスと用途を洗い出します。「禁止していたのに使われていた」が普通の結果です。責めない前提で聞くのがコツ。
② リスクの分類: 何が怖いのかを具体化する
生成AI特有のリスクは、大きくこの4つに整理できます。
- 入力の漏洩: 機密情報・個人情報をプロンプトに入れてしまう
- 出力の品質: 誤情報(ハルシネーション)を業務判断に使ってしまう
- 権利侵害: 出力物が第三者の著作権等を侵害する可能性
- シャドーAI: 会社が把握していないサービスの野良利用
③ ルール本文: 「使ってよい条件」で書く
- 利用してよいサービスのリスト(許可制)と申請ルート
- 入力してはいけない情報の分類(顧客情報・未公開情報・個人情報など、自社の情報区分に紐づける)
- 出力物の取り扱い(人間による確認を必須にする業務の範囲)
- 逸脱時の報告ルート(罰則より「早く言えば助かる」設計に)
A4で2〜3枚に収めます。長いルールは読まれず、読まれないルールは存在しないのと同じです。
④ 教育: ルールより「事故例」で伝える
条文の読み上げ研修は効きません。「プロンプトに顧客リストを貼ったら何が起きるか」のような具体シナリオで伝える方が浸透します。
⑤ 見直しサイクル: 四半期ごとに回す
新モデル・新機能のリリースはルールの前提を壊します。「四半期に1回、許可リストとリスク分類を見直す」ことまで含めてガイドラインです。ここまで設計して初めて「AIガバナンスを作った」と言えます。
参考にできる公的文書としては、総務省・経済産業省の「AI事業者ガイドライン」(2026年3月に第1.2版へ改定)があります。ゼロから書かず、この骨格を自社サイズに縮小するのが現実的です。チェックリストやワークシートも公式ページで配布されています。
実際に整備に関わって、難しかったこと
私自身、ガバナンス側の立場でこの整備に関わりました。正直に言うと、最初に難しかったのは「禁止すること」ではなく「どこまでなら使っていいのか」を決めることでした。
現場から見れば、「生成AIを使うな」は業務効率化という目的そのものと矛盾します。だから、入力してはいけない情報・利用してよい用途・注意が必要な用途を、分けて整理する必要がありました。
そしてこれはセキュリティだけで決められる話ではありません。法務、経営層、現場、それぞれの考えを調整する必要がありました。
特に難しいのは、生成AIは使い方が決まっていないことです。「この使い方ならOK」とルール化しても、すぐ別の使い方が出てくる。だから細かい利用方法を一つずつ禁止するより、判断基準を作るほうが重要だと感じました。
インフラ時代との一番の違いは、技術的に正しいだけではルールにならないということです。「セキュリティ上は止めたいが、業務上は使いたい」——この部分をどこに落とすかを決めるのが、ガバナンスの仕事だと思っています。
この経験のキャリア価値
この経験が実際にどのレンジで評価されるかは、セキュリティ職の年収、現実と上げ方に職種別の目安をまとめています。ガイドライン整備のような企画寄りの仕事は、GRC・セキュリティ企画の枠で見られることが多い領域です。
この仕事は、技術・法務・現場・経営の全方向と会話する必要があり、まさにGRC・セキュリティ企画の縮図です。そして多くの組織で「誰もやる人がいない」状態で転がっています。
手を挙げた人は、1年後に「生成AI利用ガイドラインの策定と運用を主導」という、市場にほとんど流通していない職務経歴を手に入れます。私の実感では、この領域を任せられる人材はどこの組織でも足りていません。
AIガバナンスの経験は、どんな求人で評価されるのか
生成AIのルール整備を主導した経験は、DX・AI関連のコンサル領域でも評価されます。実際にどんなポジションで募集されているかは、無料登録で求人を見ると具体的に分かります。
NewMAに無料登録して求人を見る ›この経験に、実際いくらの値段が付くのか
「生成AIガバナンスを主導した」という経歴は、まだ市場に少ない一方で、求める企業は増えています。転職するかどうかは別として、自分の経験が今どう評価されるかは一度見ておく価値があります。事業会社・社内SE側の求人に強いエージェントなら、この手の経験を正しく読んでくれます。
社内SE転職ナビで求人を見る（無料） ›
まとめ
- 目的は「安全に使わせてシャドーAIを無くす」こと。禁止一辺倒は逆効果
- 現状把握→リスク分類→条件で書く→事故例で教育→四半期見直し、の5ステップ
- 完璧なルールより「回る仕組み」。そしてこの経験自体が希少なキャリア資産になる
この領域がキャリア全体のどこに位置するかは「生成AIはセキュリティエンジニアの仕事を奪うのか」と「GRC・セキュリティ企画という穴場キャリア」をどうぞ。
この記事は業界一般の情報と筆者個人の経験に基づくものであり、特定の組織の見解ではありません。
コメント