生成AIの社内利用ルール：タイのPDPAに沿った10項目

AIを禁止すると、会社には何も見えなくなる

営業はお客様への返信をAIに下書きさせ、経理はExcelファイルの要約をAIに頼みます。その多くは、個人のメールアドレスで登録した無料アカウントです。会社が承認していないAIの業務利用をシャドーAIと呼び、禁止を通達した会社でも起きています。

禁止しても利用は止まりません。社員は自分のスマートフォンで使い続け、顧客データが漏れたとき、会社が知るのは最後です。機能するルールは、どのツールを、どんなデータに使い、迷ったら誰に聞くかをはっきり書きます。禁止、法人プラン、社内AIのどれを選ぶかまだ決まっていなければ、先に社員が顧客データをChatGPTに貼り付けるときをお読みください。

1枚のルール、10の項目

社員が覚えていられるルールは1枚までです。ツール一覧とデータ区分表は別紙にし、本体を出し直さずに更新できるようにします。下の例文はそのまま使えます。

日系企業のタイ拠点では、本社のガイドラインを日本語のまま配るだけでは足りません。お客様とのLINEのやり取りや従業員の書類をAIに貼り付けるのは、タイ人スタッフだからです。本社の方針とタイのPDPAの両方を反映した1枚をタイ語と日本語で用意し、二つの版が食い違ったときにどちらを優先するかも書いておきます。

1. 目的と適用範囲：「会社の業務にAIを使う社員、業務委託先、インターンに適用します。私物のスマートフォンでの利用も含みます。」 2. 承認済みツールとアカウント：「別紙に載っているツールだけを、会社のアカウントで使います。追加の申請はIT部門へ。」 3. データ区分：「データは公開、社内、個人データ、機密の4区分です。どこに入れてよいかは別紙の表に従います。迷ったら上の区分として扱います。」 4. お客様と従業員の個人データ：「業務に不要な氏名、電話番号、身分証番号は削除します。健康情報などのセンシティブデータは、事前にDPOの承認を得ます。」 5. 出力の確認：「AIの出力は下書きです。使う人が原本と照らし合わせてから外に出し、自分で書いたものと同じ責任を負います。」 6. お客様への開示：「自動応答と話しているお客様には最初のメッセージでそう伝え、担当者への切り替えにも応じます。」 7. 権利と記録：「AIを使った成果物も、ほかの業務と同じく雇用契約に従います。お客様に納める成果物のプロンプトと出力は、その文書と同じ期間保存します。」 8. 事故と連絡先：「区分の違うデータを入れてしまったら、当日中に［氏名と連絡手段］へ報告します。報告したことを理由に処分はしません。」 9. 研修と同意：「全員が1時間の研修を受け、このルールに同意してから会社のAIアカウントを受け取ります。」 10. 半年ごとの見直し：「［ルールの責任者］が半年ごとに見直します。法律やベンダーの条件が変わったときは前倒しします。」

社員が顧客データをAIに貼り付けたとき、PDPAは何を求めるか

集めた顧客データについて、会社はタイの個人情報保護法（PDPA、仏暦2562年＝西暦2019年制定）上のデータ管理者です。社員が顧客リストをAIに貼り付けると、データは外部の事業者に渡りますが、責任は会社に残ります。

2026年10月、タイ個人情報保護委員会事務局（PDPC）は、AIにおける個人データ保護のガイドラインを公表しました。法的拘束力はありません。PDPAと合わせて読むと、ルールで押さえるべき点は四つです。

- プロンプト、利用ログ、AIの回答も、個人を特定できるなら個人データになりえます。 - 顧客データを自社の目的でモデルの学習に使う事業者は、もう一つのデータ管理者になりえます。 - 事業者がタイ国外にデータを保存するなら、移転先の国に十分な保護水準が必要です。法律上の例外に当たる場合は別です。 - 漏えいが起きたら、PDPCへ遅滞なく、可能であれば把握から72時間以内に通知します。本人の権利を害するおそれが低い場合は除きます。リスクが高ければ本人にも知らせます。

タイのAI法案はまだ修正中で、デジタル経済社会省とETDA（電子取引開発機構）による組織向け生成AIガバナンスのガイドラインは2024年末に出ています。ですから、ルールは今日施行されているPDPAの上に作ります。海外の規則はこれから来るAIの規則にまとめています。本章は実務の手引きであり、法的助言には当たりません。発行の前に、法務部門またはDPOに確認してもらってください。

4つのデータ区分と、入れてよいツール

社員が法律を覚える必要はありません。目の前のデータがどの区分かがわかれば十分です。多くの会社にはすでにデータ分類の仕組みがあります。AIのルールで加えるのは、個人データを独立した区分にすることだけです。PDPAに固有の決まりがあり、お客様とのLINEのやり取りや応募書類のように、毎日の業務に出てくるからです。

誰かがミスをしたら、誰が、いつまでに何をするか

備えておくべき事故は、区分の違うデータを違うツールに入れてしまうことです。報告の手順は、当日中に報告しようと思えるほど短くします。PDPAの72時間は、会社が把握した時点から数えるからです。

1. ミスをした本人、または気づいた人が、当日中にルールの責任者へ報告します。 2. インシデントを記録します。どのデータか、何人分か、どのツールか、誰のアカウントか。 3. 可能ならチャットを削除し、共有リンクを無効にし、アカウントが漏れたならパスワードを変えます。 4. DPOが、PDPCや本人への通知が必要かを72時間に間に合うよう判断します。 5. 原因を直し、この事例を研修に加えます。

半年ごとの見直しでは、ツール一覧が実際の利用と合っているか、ベンダーの条件が変わっていないか、新しい法律がないかを確認します。

下書きから発行まで1週間

3か月かけて書いたルールは、発行した日にはもう古くなっていることがよくあります。最初の1週間は使える版を目指し、見直しのたびに直していきます。

- 月曜日：どの部署が、どのAIを、何に使っているかを匿名で調べます。 - 火曜日：ツールを選び、法人アカウントを開きます。ChatGPT Enterprise、Microsoft 365 Copilot、Google WorkspaceのGeminiは、許可なく法人顧客のデータをモデルの学習に使わないと明記しています。ただし、実際に契約するプランの条件を読んでください。 - 水曜日：1枚のルールと4区分の表を下書きし、法務またはDPOに読んでもらいます。日系企業では、この日にタイ語版も用意します。 - 木曜日：部署ごとに1時間、その部署の実際の仕事を使って研修します。 - 金曜日：発行して全員に同意してもらい、最初の見直し日をカレンダーに入れます。

ルールが失敗する3つの形

一つ目は全面禁止です。社員は会社から見えない場所で使い続けます。二つ目は、承認済みツールのないルールです。社員は無料アカウントに戻ります。三つ目は責任者のいないルールで、質問に答える人も見直す人もいません。発行の前に、下書きをこのリストで確認してください。