生成AIの社内ルールのひな形

生成AIの社内ルールとは、社員がどの情報を入力してよいか、出力をどう確認するかを1枚にまとめた文書です。就業規則のような分量は要りません。

長い規程を作ると、作った本人以外は読みません。 実際に守られるのは、壁に貼れる長さのものだけです。この記事では7項目に絞ります。

ルールが無い会社のほうが少数派になりました

数字から確認します。総務省の令和8年版情報通信白書は、2025年度の調査結果を載せています。

自社の何らかの業務で生成AIを利用していると回答した企業は86.4%です^[1]。活用方針について「積極的に活用する方針」と「活用する領域を限定して利用する方針」の合計は68.9%で、前年度調査の49.7%から大きく上がりました^[2]。企業規模別では大企業74.0%、中小企業58.1%です^[2]。

一方で、組織的な取組の状況では「組織的な取組はない」が27.0%でした^[4]。リスク対策では「全社的な指針やガイドラインを整備している」が41.1%で最も高い項目です^[1]。

使っている会社が86.4%で、指針を作った会社が41.1%です^[1]。 その差の部分では、社員が自分の判断で入力しています。ルールを作る目的は、禁止することではありません。判断の基準を揃えることです。基準があれば、社員は迷わずに使えます。

1枚に入れる7項目

総務省と経済産業省のAI事業者ガイドライン第1.2版は、AI利用者が扱う事項として、安全を考慮した適正利用、入力データやプロンプトに含まれるバイアスへの配慮、個人情報の不適切入力とプライバシー侵害への対策、セキュリティ対策の実施、関連するステークホルダーへの情報提供と説明、提供された文書の活用および規約の遵守を挙げています^[5]。

これを中小企業の言葉に落とすと、7項目になります。

7項目で1枚に収まります。1項目あたり2〜3行です。

書く順番にも意味があります。1から3までが入力の話、4と5が出力の話、6と7が運用の話です。社員が迷う場面は、ほぼ1から4の間に集中します。ここを具体的に書けば、残りは短くて構いません。1と6が抜けているルールが多くあります。 使ってよいサービスが決まっていないと、社員が個人の契約で始めます。相談先が書かれていないと、判断に迷った時点で作業が止まります。止まった社員は、上司に聞かずに自分で判断します。

5項目目の著作権も落ちやすい箇所です。文章だけを想定していると、画像とロゴが抜けます。資料の表紙に生成した画像を使う場面は、実際にはよく起きます。

入力してよい情報・いけない情報の書き方

いちばん事故が起きるのがここです。抽象的に書くと守られません。

個人情報保護委員会は2023年6月2日の注意喚起で、個人データを含むプロンプトを入力する場合は「当該生成AIサービスを提供する事業者が、当該個人データを機械学習に利用しないこと等を十分に確認すること」としています^[6]。これを社内ルールの言葉にすると、「顧客名簿・履歴書・健康診断の結果は入力しない」という具体的な列挙になります。

独立行政法人情報処理推進機構は、AI利用者が守るべき心得の1つ目に「クラウドAIに営業秘密は教えない」を挙げています^[7]。営業秘密も具体化が必要です。見積書の原価欄、未公表の新製品の仕様、取引先との契約書の条文などが該当します。

「適切に」「十分に」という言葉が出てきたら、書き直す合図です。 その言葉の意味を各自が解釈するため、判断が人によって変わります。

具体化の作業は、自社の業務から拾うのが早道です。直近3か月に扱った資料を思い出し、そのうち社外に出せないものを挙げてください。原価表、仕入先の一覧、社員の評価、まだ公表していない案件。この4つが出てきたら、そのまま3項目目に書き写せます。業種によって並びは変わります。医療なら患者の情報、士業なら依頼者の情報が先頭に来ます。

情報漏洩の仕組みそのものについては生成AIの情報漏洩対策に書きました。ルールの文面を作る前に読んでおくと、禁止の線が引きやすくなります。

出力を使う前の確認をどう書くか

4項目目は確認の手順です。ここを書かないと、誤りが社外に出ます。

文化庁の「AIと著作権に関するチェックリスト＆ガイダンス」は、AI利用者に対して、生成物の利用に先立って既存の著作物と類似した生成物になっていないかを確認すること、生成に用いたプロンプトなど生成過程が確認可能な状態の確保に努めることを挙げています^[8]。同じ文書は、生成AIを利用する場合には利用者が既存の著作物を認識していなくても生成・利用が著作権侵害となることがある、としています^[8]。

確認のルールは、次の形で書けます。

• 社外に出す文書は、数値と固有名詞を原典と突き合わせてから出す
• 画像とキャッチコピーは、既存の作品に似ていないかを検索で確かめてから使う
• 確認した人の名前と日付を、文書の余白かファイル名に残す

確認する人の名前まで書いてください。 「担当者が確認する」では、誰も確認しません。

誤りが混じる仕組みについてはハルシネーション対策にまとめています。

公開されているひな形の使い方

ゼロから書く必要はありません。ひな形が公開されています。ただし使い方に順番があります。

日本ディープラーニング協会は「生成AIの利用ガイドライン」を公開しています。条項のみの版と簡易解説付きの版があり、2023年10月6日に第1.1版が公開されました^[9]。画像編は2024年2月13日公開の第1版です^[3]。協会は「どなたでも無料でダウンロードし、ご利用いただけます」とし、「それぞれの組織内での活用目的等に照らして、適宜、必要な追加や修正を加えて使用」することを想定しています^[3]。

使い方には順番があります。まず自社の7項目を白紙から書いてください。そのうえでひな形を開き、抜けている項目を足します。先にひな形を読むと、自社に関係のない条項まで写すことになります。 読まれない規程ができあがる原因がここにあります。

白紙から書くのは難しく見えますが、実際には7項目の見出しを並べて、それぞれに自社の言葉を入れるだけです。書けない項目があれば、そこが決まっていない箇所です。決まっていないことが分かるだけでも価値があります。

配布物の利用条件は協会のページで確認してください。自社内で使うことと、社外に再配布することでは条件が違う場合があります。顧問先や取引先に渡す予定がある場合は、渡す前に条件を確かめておいてください。

作った後に必ずやること

文書ができても、配っただけでは運用が始まりません。3つ必要です。

1つ目は、使ってよいサービスの契約です。会社として法人向けのプランを契約し、そのアカウントを配ります。個人の契約で業務に使う状態を放置すると、入力したデータの扱いが会社の管理外になります。

多くのサービスでは、法人向けのプランと個人向けのプランで、入力内容を学習に使うかどうかの既定が違います。個人向けの有料プランを業務に使っている状態が、いちばん危ない形です。有料だから安全だという理解は誤りです。分かれ目は有料か無料かではなく、法人向けか個人向けかです。

2つ目は、実際の業務での試行です。ルールを配った週に、部門ごとに1つずつ業務を選んで試してもらいます。そこで出た質問が、ルールの不足している箇所を示します。

質問は記録してください。「この資料は入力してよいのか」という質問が3件来たら、その資料の種類を2項目目か3項目目に書き足します。この積み重ねで、ルールが自社の実態に合っていきます。最初から完璧な文書を作ろうとするより、この直し方のほうが早く仕上がります。

3つ目は、相談先の周知です。6項目目に書いた名前の人が、実際に答えられる状態にしておいてください。情報処理推進機構は「情報セキュリティ10大脅威 2026」で、組織向けの3位に「AIの利用をめぐるサイバーリスク」を挙げています^[10]。この項目は2026年に初めて選出されました^[10]。社内の相談先が機能していないと、社員は検索結果で見つけた無料サービスに業務データを入れます。

情報処理推進機構は、AI利用者の心得として「AIブラウザは社内用と社外用を分ける」「RAG使用時は『混ぜるな危険』にご用心」も挙げています^[7]。社内文書を読ませる使い方が広がると、この手の注意点が増えます。相談先の担当者には、こうした公的な情報源を月に一度確認する時間を取ってもらってください。

更新のきっかけを決めておく

7項目目に更新日を書く理由がここにあります。生成AIの領域は、年に数回は前提が変わります。

AI事業者ガイドラインは第1.2版が2026年3月31日に公表されました^[11]。個人情報保護法は2026年7月17日に改正法が公布され、公布日から起算して2年以内で政令で定める日から施行されます。各サービスの利用規約とプランの構成も改定されます。

更新のきっかけを、次の3つに決めておくと運用できます。

• 使ってよいサービスの利用規約またはプランの構成が変わったとき
• 関係する法令とガイドラインが改定されたとき
• 前回の更新から半年が経過したとき

日付を入れない文書は、古くなったことに誰も気づきません。

まとめ

今週やることは1つです。A4用紙1枚に、7項目を書いてください。1時間で書けます。完璧を目指さず、まず配ってから、出てきた質問で直していきます。

書き始める前に、社長が自分で1回試してください。実際に使ってみると、どの情報を入れると不安になるかが分かります。その不安の中身が、そのまま3項目目の材料になります。人に任せて作った文書は、たいてい抽象的な言葉で埋まります。

使ってよいサービスの選定や、部門ごとの試行の進め方で迷う場合は、AI導入コンサルティングで一緒に決めていきます。自社の現在地を確かめるなら1分でわかるAI活用度診断、個別の相談は無料相談へどうぞ。

※統計・ガイドラインの内容は2026年9月13日時点のものです。改定が続く分野のため、運用前に最新版をご確認ください。