本文へスキップ
生成AI活用 公開日 2026.10.20

社内の生成AI利用ルールの作り方｜最初に決める10項目（チェックリスト付き）

この記事でわかること

  • 社内の生成AI利用ルールが必要な理由と、公的機関が示している考え方
  • ルールづくりを無理なく進める5つのステップ
  • 最初に決めておきたい10項目と、そのまま使える規程の文例
  • 策定前後に確認できるチェックリストと、よくあるつまずき

結論から言うと、最初のルールは完璧を目指さず、「入力してはいけない情報」「出力の確認方法」「困ったときの相談先」の3点を押さえたA4数枚程度の版から始めるのが現実的です。そのうえで、利用状況や制度の変化に合わせて定期的に見直していきます。

なぜ今、社内の利用ルールが必要なのか

総務省『令和8年版 情報通信白書』の企業向け調査では、生成AIの活用で懸念されるリスクとして、日本では「社内情報の漏洩などのセキュリティリスク」が最も多く挙げられ、「出力結果の精度に問題がある」「著作権等の権利を侵害する可能性がある」が続きました。リスク対策として「全社的な指針やガイドラインを整備している」企業は41.1%で、日本で最も多い対策でした。

最も多い対策であっても、全社的な指針を整備していると答えた企業は半数に届いていません。ルールがない状態では、次のどちらかに偏りがちです。

  • 慎重な社員は「使ってよいのかわからない」ため使わない
  • 一部の社員が個人のアカウントで、判断基準のないまま業務に使う

どちらも会社にとって望ましくありません。利用ルールは「禁止するための規程」ではなく、「安心して使うための共通の基準」と位置づけると、社内の理解も得やすくなります。

ルールづくりの進め方（5ステップ）

  1. 現状を把握する：どの部署で、どのツールが、どんな業務に使われているかを簡単なアンケートで確認する
  2. 担当者を決める：総務・情報システム・法務の担当者に、実際に使う部署の代表者を1〜2名加える
  3. たたき台をつくる：後述の10項目に沿って、自社に必要な内容を書き出す。公開されているひな形を参考にするのも有効
  4. 試行して意見を集める：一部の部署で1〜2か月運用し、わかりにくい点や現場に合わない点を集める
  5. 正式に周知し、見直し日を決める：説明会や研修とあわせて周知し、次回の見直し時期を決めておく

一般社団法人日本ディープラーニング協会（JDLA）は、組織が生成AIの利用ルールを定める際のひな形として「生成AIの利用ガイドライン」を公開しています。ゼロから書くより、こうしたひな形をもとに自社の事情に合わせて修正するほうが早く進められます。

最初に決める10項目

以下の10項目は、中小企業が最初の版をつくる際の目安です。項目ごとに規程の文例を添えています。文例は※説明用の例ですので、自社の状況に合わせて調整してください。

1. 目的と適用範囲

何のためのルールか、誰に適用するかを最初に明記します。正社員だけでなく、契約社員・派遣社員・業務委託先を含めるかも決めておきます。

本ガイドラインは、生成AIを業務で安全かつ効果的に活用するための基準を定めるものであり、当社の業務に従事するすべての者に適用する。

2. 利用してよいツールと申請方法

会社として認めるツールを一覧にし、それ以外を使いたい場合の申請手順を決めます。無料版と法人向けプランでは、入力データの扱いや管理機能が異なる場合があるため、利用規約を確認したうえで選定します。

業務で利用できる生成AIサービスは、別表に定めるものに限る。別表以外のサービスを利用する場合は、事前に所属長と情報システム担当の承認を得る。

3. 入力してはいけない情報

最も重要な項目です。「機密情報」とだけ書くと判断がぶれるため、具体例を挙げます。

次の情報は、承認されたサービスであっても入力してはならない。顧客・取引先から秘密保持を求められている情報、未公表の財務情報や人事情報、パスワードなどの認証情報、その他所属長が指定した情報。

4. 個人情報の取り扱い

個人情報保護委員会は2023年6月の注意喚起で、個人情報取扱事業者が個人情報を含むプロンプトを入力する場合、利用目的の達成に必要な範囲内であることを十分に確認するよう求めています。あわせて、入力した個人データがサービス提供事業者の機械学習に利用されないこと等を十分に確認することも求めています。

個人情報を含む内容は、原則として入力しない。業務上やむを得ず入力する場合は、利用目的の範囲内であること、および入力データが学習に利用されない設定であることを確認し、所属長の承認を得る。

5. 出力内容の確認と最終判断

生成AIの出力には、事実と異なる内容が含まれることがあります。数字・固有名詞・法令などは必ず元の情報で確認し、最終判断は人が行うことを明記します。総務省・経済産業省『AI事業者ガイドライン（第1.2版）』でも、重要な意思決定への人間の関与が重視されています。

生成AIの出力は参考情報として扱い、社外に出す前に担当者が内容の正確性を確認する。最終的な判断と責任は利用者および所属部署が負う。

6. 著作権など他者の権利

文化庁は「AIと著作権に関する考え方について」（令和6年3月）や「AIと著作権に関するチェックリスト＆ガイダンス」を公表しています。生成物を利用する場面では、既存の著作物との類似性と依拠性が判断の軸になると整理されています。社内ルールでは、少なくとも次の点を定めておきます。

他者の著作物を、権利者の許諾なく生成AIに入力して類似の文章・画像を生成させてはならない。生成物を社外に公開する場合は、既存の作品やロゴ等に似ていないかを確認する。

7. 社外公開時の表示と顧客への説明

Webサイトの記事や提案資料など、社外に出すものに生成AIを使った場合の扱いを決めます。表示の要否は業種や取引先との契約によって異なるため、取引先との契約で生成AIの利用が制限されていないかも確認対象に含めます。

取引先との契約で生成AIの利用に制限がある業務では、当該制限に従う。顧客から求められた場合は、生成AIの利用範囲を説明できるようにしておく。

8. アカウントと設定の管理

誰がどのアカウントを使っているか、学習への利用設定がどうなっているかを会社として把握します。退職時のアカウント停止も忘れずに決めておきます。

業務での利用は会社が付与したアカウントに限り、個人のアカウントを業務に使用してはならない。アカウントの発行・停止は情報システム担当が管理する。

9. 相談窓口とトラブル時の対応

誤って機密情報を入力した、出力をそのまま使って誤りがあったといった場合の連絡先と手順を決めます。報告しやすい雰囲気をつくることが、被害を小さくすることにつながります。

入力してはならない情報を入力した場合、または出力内容に起因するトラブルが発生した場合は、速やかに所属長および情報システム担当に報告する。

10. 教育と見直しのサイクル

ルールは配布するだけでは浸透しません。周知の方法と、見直しの時期を決めておきます。『AI事業者ガイドライン』でも、環境やリスクの変化に応じてルールを継続的に見直す「アジャイル・ガバナンス」の考え方が示されています。

本ガイドラインの内容は、新たに業務で利用する者への研修等で周知する。担当部署は少なくとも年1回、本ガイドラインを見直す。

策定前後に使えるチェックリスト

たたき台ができたら、次の項目に「はい」と答えられるかを確認してください。

No. 確認項目 確認
1 適用範囲に、契約社員や業務委託先を含めるかを決めた □
2 利用してよいツールの一覧と、追加の申請手順がある □
3 入力してはいけない情報を、具体例つきで書いた □
4 個人情報を入力する場合の確認手順を決めた □
5 出力を社外に出す前の確認者と確認内容を決めた □
6 著作権など他者の権利に関する禁止事項を書いた □
7 取引先との契約上の制限を確認する手順がある □
8 アカウントの発行・停止と、学習利用の設定を管理する担当がいる □
9 トラブル時の報告先と手順を決めた □
10 周知の方法と、次回の見直し時期を決めた □

よくあるつまずきと対策

  • 禁止事項ばかりで使われない：してはいけないことと同じくらい、「この業務には使ってよい」という推奨例を載せる
  • 文章が長く読まれない：本文とは別に、要点をまとめた1枚のチートシートをつくる
  • 判断が人によって違う：迷いやすい事例をQ&A形式で追加していく
  • 一度つくって放置される：ツールの機能や規約は変わるため、見直し日を決めて担当者の予定に入れておく

現場で迷いやすいケースのQ&A（例）

ルールの本文に加えて、迷いやすい場面をQ&Aとしてまとめておくと、問い合わせ対応の負担も減らせます。以下は記載例です（※説明用の例です）。

  • Q：顧客名を伏せれば、商談メモを要約させてもよいか。A：会社名・人名・金額など特定につながる情報を除いたうえで、承認済みのツールであれば可。迷う場合は所属長に確認する
  • Q：生成AIで作ったメール文をそのまま送ってよいか。A：宛先・日時・金額などの事実関係を自分で確認してから送る
  • Q：Webで見つけた記事を貼りつけて要約させてよいか。A：社内での理解のための要約は可。要約結果を社外向けの資料や記事にそのまま使うことは避ける

ルールは研修とセットで浸透させる

利用ルールは、社員が実際に生成AIを使う場面で思い出せて初めて機能します。研修のなかで「この情報は入力してよいか」「この出力をそのまま使ってよいか」を具体的な業務で考える時間をとると、ルールが自分ごとになりやすくなります。

デジタルアカデミア（運営：株式会社Digital&）の「生成AIを活用した業務効率化研修」では、受講者の職種と実際の業務を題材に、文書作成や情報共有での使い方を学びます。全3回（1〜3か月）で、オンライン（Zoom）・対面（貴社へ訪問）・eラーニングから選べ、少人数からの実施にも対応しています。事前にカリキュラムや資料のイメージを共有できますので、ルールづくりと研修をどう組み合わせるか検討したい段階でも、無料相談や資料請求をご利用ください。

※本記事は一般的な考え方を紹介するものであり、個別の法的判断については専門家にご相談ください。

参考資料

研修のご相談・資料請求受講者の職種・業務に合わせた研修をご提案します。
無料相談に申し込む
まずは無料相談

貴社の現状を詳しくヒアリングし、
最適な研修プランをご用意いたします。

お見積りのご依頼や、研修カリキュラムの詳細に関してもお気軽にお問い合わせください。

まずは資料請求する 無料相談に申し込む
資料請求 無料相談