生成AIの社内ルール｜中小企業がA4数枚で作る雛形

「生成AIを業務で使ってよいのか分からず、社内で話が止まっています」「禁止にしたら、社員が個人のアカウントで隠れて使っているようです」「大企業のような分厚い規程を作る人手も時間もありません」。生成AIの社内ルールについて、中小企業の経営者や管理部門の方から、こうした声が聞かれます。この記事では、ルールが無いと何が起きるかを押さえたうえで、最初に決める最小限の5項目、A4数枚で始められる雛形の構成、誰がどう決めて周知し、いつ見直すか、そしてルールを「使われる仕組み」につなげる工夫をお伝えします。

生成AIの社内ルールが無いと起きること

社内ルールが無い状態では、生成AIは「使ってはいけない」のか「使ってよい」のかが、社員一人ひとりの判断に委ねられます。その結果、次のどれか、あるいは全部が同時に起きます。

起きること	具体的な姿
誰も使わない状態	慎重な社員ほど「何かあったら困る」と手を出さず、便利さが社内に広がりません
ばらばらな使い方	個人の無料アカウントで、顧客名の入ったメールや見積の数字をそのまま入力してしまいます
使っていることが見えない状態	禁止しても便利なので使われ、会社として何に使われているかを把握できなくなります
問題が起きても判断できない状態	入力してしまった、誤った内容を社外に出してしまった、というときに、誰に報告し、何をすればよいかが決まっていません

生成AIの導入のご相談でも、技術よりも先に「使ってよいかどうかが決まっていない」ことで止まっている場面によく出会います。ルールは、使うことを縛るためだけでなく、安心して使い始めるための前提でもあります。

禁止ではなく「使い方を決める」という考え方

生成AIの社内ルールというと、「何を禁止するか」から考えがちです。しかし、全面禁止は、上の表の「使っていることが見えない状態」を生みやすく、管理のしやすさの面でも得策とはいえません。決めるべきは「どのツールを、どの情報で、どう確認して使うか」です。

この考え方は、公的な資料や業界団体の資料とも重なります。

日本ディープラーニング協会（JDLA）の生成AIの利用ガイドライン（資料室で配布）は、組織が生成AIを利用する際に「最低限定めておいた方がよいと思われる事項」を示したひな型です。2023年5月1日に制定され、2023年10月6日に改訂された第1.1版が、条項のみの版と簡易解説付きの版で配布されています。利用を許可するサービスは、ホワイトリスト方式（使ってよいサービスを特定して並べる方式）で指定することを勧めています。
総務省・経済産業省のAI事業者ガイドラインでは、事業活動でAIシステムやAIサービスを利用する事業者を「AI利用者」と位置づけています。生成AIのサービスを業務で使う中小企業も、この「AI利用者」に当たります。最新版は2026年3月31日公表の第1.2版で、AI利用者に関する事項として、個人情報や機密情報を不適切に入力しないよう注意を払うこと、提供者が定めたサービス規約を守ることなどを挙げています。
文化庁のAIと著作権に関するチェックリスト＆ガイダンス（2024年7月31日）でも、業務でAIを利用する側の取組みとして、生成AIの利用に関する内部的なルールを定めるなどの予防措置を講じることが望ましい、としています。

つまり、ルールは「使わせないため」ではなく「安全に使うため」に作るもの、というのが共通した出発点です。

最初に決める最小限の5項目

分厚い規程を最初から作る必要はありません。次の5項目が決まっていれば、社員は「この範囲なら使ってよい」と判断できます。

#	決める項目	決める内容の例
1	使ってよいツール	会社が認めたサービス名と契約の種類、使い方の設定
2	入力してはいけない情報	個人情報、取引先から預かった秘密情報、自社の機密情報の扱い
3	出力の確認	誰が、何を、どこまで確かめてから使うか
4	著作権・個人情報の扱い	社外に出す前の確認、個人情報を入力する場合の条件
5	相談窓口と報告	迷ったときの相談先、問題が起きたときの報告先

1. 使ってよいツール

まず、会社として使ってよい生成AIのサービスを名前で決めます。JDLAのひな型が勧めるホワイトリスト方式です。「生成AI全般を使ってよい」とすると、規約や入力データの扱いが分からないサービスまで含まれてしまいます。

決めるときは、サービス名だけでなく、次の点もあわせて書いておきます。

個人のアカウントではなく、会社で契約したアカウントを使うこと
入力した内容がサービス側の学習に使われるかどうかと、その設定
サービスの利用規約で、禁止や制限されている使い方が無いか

入力データが学習に使われるかどうかは、同じサービスでも契約の種類や設定によって変わることがあります。各サービスの公式の利用規約やプライバシーポリシーで確認し、確認した日付とあわせて記録しておきます。法人向けの契約にするかどうかは費用にも関わるため、生成AIの費用の考え方もあわせて検討すると判断しやすくなります。

リストに無いツールを使いたい社員が出てきたときの申請の仕方も、ここで決めておきます。

2. 入力してはいけない情報

社員が最も迷うのが「何を入力してよいか」です。「機密情報は入力しない」とだけ書くと、何が機密に当たるのかが人によって変わります。情報を3つに分け、具体例を添えて示すと迷いが減ります。

区分	情報の例	扱い
入力してよい情報	公開済みの自社サイトの文章、一般的な知識についての質問、固有名詞を伏せた文章の下書き	会社が認めたツールであれば、そのまま使ってよいこと
条件付きで入力してよい情報	社内向けの資料、固有名詞を含む業務の文章	学習に使われない設定を確認したツールに限ること
入力しない情報	顧客や従業員の個人情報、取引先から秘密保持契約のもとで受け取った情報、未公開の財務情報や技術情報	原則として入力しないこと。必要な場合は窓口に相談すること

JDLAのひな型では、秘密保持契約を結んで受け取った他社の秘密情報を外部の生成AIに入力すると、生成AIの提供者という第三者への開示に当たり、契約に反する可能性があるとして、入力しないよう示しています。自社の機密情報についても、サービスの処理内容や規約によっては、法的な保護を受けられなくなるリスクに触れています。

どの区分に何を入れるかは、会社の業種や取引先との契約によって変わります。迷う情報は「入力しない」に入れておき、運用しながら見直す方が安全です。

3. 出力の確認

生成AIは、もっともらしい文章で誤った内容を出すことがあります。JDLAのひな型も、生成物を盲信せず、根拠や裏付けを自ら確認するよう求めています。ルールには、確認の担当と範囲を書いておきます。

生成AIの出力は「下書き」として扱い、使う人が内容に責任を持つこと
数字、日付、固有名詞、法令や規約の内容は、元の資料で確かめること
顧客への提出物や社外に公開する文章は、通常の業務と同じく上長などの確認を通すこと

最後の点は、生成AIのための新しい手続きを作るのではなく、いまある承認の流れに乗せるという意味です。確認の手順を特別なものにしないことで、現場の負担を増やさずに済みます。見積書や提案書のように社外に出す文書での使い方は、見積書・提案書づくりへの生成AIの使い方で具体的にお伝えしています。

4. 著作権・個人情報の扱い

著作権と個人情報は、判断に法律の解釈が関わるため、社内ルールでは「公的な資料が示す注意点に沿って、迷ったら確認する」形にしておきます。個別の判断は、弁護士などの専門家に確認してください。

著作権について、文化庁のAIと著作権についてのページでは、2024年3月15日に取りまとめられた「AIと著作権に関する考え方について」と、先に挙げたチェックリスト＆ガイダンスが公開されています。チェックリスト＆ガイダンスでは、業務でAIを利用する側に向けて、次のような点を挙げています。

著作権侵害となるには、既存の著作物との「類似性」と「依拠性」の両方が必要であること
生成すること自体は適法に行える場合でも、生成物をインターネットで配信するなど、さらに利用する場合は、著作権侵害にならないかを確かめる必要があること
生成物を利用する前に、インターネット検索などで、既存の著作物と似ていないかを確認すること

社内ルールには、「社外に出す文章や画像は、既存の作品と似ていないかを確認してから使うこと」「特定の作品や作家の名前を指示に入れて、似たものを作らせないこと」などを書いておきます。

個人情報について、個人情報保護委員会は2023年6月2日に生成AIサービスの利用に関する注意喚起等についてを公表しています。事業者に向けては、個人情報を含む指示を入力する場合は利用目的の範囲内かを十分に確認すること、本人の同意なく個人データを入力し、それが応答の出力以外の目的で扱われる場合は法律の規定に違反する可能性があるため、提供事業者が機械学習に利用しないことなどを十分に確認すること、を求めています。

中小企業の社内ルールとしては、まず「個人情報は入力しない」を原則にし、業務でどうしても必要な場合は、窓口で利用するサービスの扱いを確かめてから認める、という形にしておくと運用しやすくなります。

5. 相談窓口と報告

ルールに書かれていないことは、必ず出てきます。そのときに「誰に聞けばよいか」が決まっていないと、社員は自己判断で使うか、使うのをやめるかのどちらかになります。

迷ったときの相談先（担当者の名前と連絡方法）
入力してはいけない情報を入力してしまった、誤った内容を社外に出してしまったときの報告先
報告を受けた後に、誰が何を判断するか

報告については、「報告した人を責めない」ことを書き添えておくと、問題が隠れにくくなります。総務省・経済産業省のAI事業者ガイドライン活用の手引き（案）でも、AIガバナンスを始めるときの準備として、組織内のAI利用の状況を把握する仕組みや、インシデントを報告する体制の構築を挙げています。

A4数枚で始める雛形の構成

5項目を文書にすると、次のような構成になります。各章は数行から十数行で足ります。JDLAのひな型も、各組織が自社に合わせて加筆修正して使うことを前提にしているため、条文の書き方はそれを参考にしながら、自社の言葉に置き換えるとよいでしょう。

章	書く内容
1. 目的	生成AIを業務で安全に活用するためのルールであること
2. 対象	対象となる社員の範囲（正社員、契約社員、派遣社員、業務委託先など）と、対象となる生成AIのサービス
3. 使ってよいツール	会社が認めたサービス名、契約の種類、必要な設定、新しいツールの申請方法
4. 使ってよい業務の例	文章の下書き、要約、アイデア出し、社内資料の言い換えなどの具体例
5. 入力してはいけない情報	3区分の表と具体例
6. 出力の確認	下書きとして扱うこと、確かめる項目、社外に出す前の確認の流れ
7. 著作権・個人情報	社外に出す前の類似の確認、個人情報を入力しない原則と例外の手続き
8. 相談窓口と報告	相談先、問題が起きたときの報告先と対応の流れ
9. 見直し	見直しの時期と担当、改訂の履歴

ここで加えたいのが「4. 使ってよい業務の例」です。禁止事項だけが並んだルールを読んだ社員は、「結局、何に使えばよいのか」が分からないままになります。使ってよい例を具体的に書くことで、ルールが利用を後押しする文書になります。

条文の書き方の例を、入力の章で示します。

入力してはいけない情報 (1) 顧客・取引先・従業員の個人情報（氏名、住所、電話番号、メールアドレスなど）は入力しません。 (2) 取引先から秘密保持契約のもとで受け取った資料や情報は入力しません。 (3) 未公開の財務情報、技術情報、人事情報は入力しません。 (4) 判断に迷う情報は入力せず、管理部の担当者に相談します。

決め方：誰が、どう周知し、いつ見直すか

誰が決めるか

最終的に決めるのは経営者です。入力してよい情報の線引きは、会社がどこまでのリスクを受け入れるかの判断だからです。そのうえで、たたき台は管理部門の担当者が作り、実際に生成AIをよく使っている現場の社員に1〜2名入ってもらうと、使えないルールになるのを防げます。

規程づくりに時間をかけすぎないことも大切です。最初の版は完璧を目指さず、5項目が決まった時点で出し、運用しながら直していく方が、現場の実態に合ったルールになります。

どう周知するか

ルールは配っただけでは読まれません。次のような形で、使う場面に近いところに置きます。

短い説明会を開き、ルールの要点と「使ってよい業務の例」を実際の画面で見せること
入力してよい情報・いけない情報の表を、社内のチャットや共有フォルダのすぐ見える場所に置くこと
新しく入った社員の受け入れ時の説明に含めること

いつ見直すか

生成AIのサービスは、機能や規約の変更が頻繁にあります。公的な資料も更新が続いており、AI事業者ガイドラインは2024年4月19日の第1.0版から、2026年3月31日の第1.2版まで改訂が重ねられています。見直しは、次の2つの形で決めておきます。

種類	タイミング
定期の見直し	半年ごとなど、時期を決めて担当者が確認すること
臨時の見直し	使っているサービスの規約や設定が変わった場合、新しいツールの申請があった場合、問題が起きた場合

見直しのたびに、変更した日と内容を文書の末尾に残しておくと、社員がどこが変わったのかを追いやすくなります。

ルールを定着につなげる工夫

ルールができても、使われなければ成果は出ません。ルールを作った後に、次のような工夫を重ねると、生成AIの利用が社内に根づきやすくなります。

使い方の良い例の共有。 誰かがうまく使えた業務の例と、そのときの指示の書き方を社内で共有すると、他の社員も同じ使い方を試しやすくなります。
相談や申請の手軽さ。 新しいツールの申請に何枚もの書類が必要だと、申請せずに使う人が出てきます。チャットの一言で相談できる程度にしておきます。
効果を数字で確かめること。 「議事録の作成にかかる時間が減ったか」のように、業務ごとに効果を見ます。どの業務から使うかは、業務を作業単位に分け、手間×頻度×価値で比べると決めやすくなります。進め方はAI化する業務の洗い出し方で詳しく説明しています。

ルールを整えても、生成AIが現場で使われないままになる理由は他にもあります。その原因と手の打ち方は、生成AIの社内活用が定着しない理由でお伝えしています。

また、社内の規程やマニュアルを生成AIで検索できるようにする段階に進むと、アクセス権限など、ルールで決めることが増えます。その場合の考え方はRAG導入の進め方にまとめています。

まとめ：生成AIの社内ルールは5項目から始めて育てる

社内ルールが無いと、誰も使わない、ばらばらに使う、使っていることが見えない、問題が起きても判断できない、という状態になりがちです。
ルールは禁止のためではなく、安全に使うために作ります。JDLAのひな型、AI事業者ガイドライン、文化庁のチェックリスト＆ガイダンスも、利用を前提に内部のルールを定めることを示しています。
最初に決めるのは、使ってよいツール、入力してはいけない情報、出力の確認、著作権・個人情報の扱い、相談窓口と報告の5項目です。
雛形はA4数枚で足ります。禁止事項だけでなく「使ってよい業務の例」を入れると、ルールが利用を後押しします。
経営者が決め、現場の社員を交えてたたき台を作り、定期と臨時の両方で見直します。

社内ルールの整備とあわせて、どの業務から生成AIを使い、効果をどう測るかの検討からご相談いただけます。進め方に迷われている段階でも、AI開発の支援の内容をご覧のうえ、お気軽にお問い合わせください。