生成AIの社内ルール｜書く8項目と、ひな形の使い方

社内ルールを作る目的は、次の3つを防ぐことにあります。どれも、使う人に悪意がなくても起きます。

総務省の令和8年版情報通信白書では、生成AIの導入・活用にあたって、セキュリティや法的・倫理的な問題を含む不適切な利用を防ぐための取り組みを尋ねています。日本の企業が最も多く挙げたのは「全社的な指針やガイドラインを整備している」で、41.1%でした。同じ調査の別の設問では、生成AIを活用する方針を定めた企業が68.9%と報告されています。尋ねている内容が違うので単純な比較はできませんが、使うと決めた企業が7割近くに達する一方で、使い方のルールを全社で整えたところは4割にとどまっている、という状況です。いずれも2026年1月から2月に、従業員10名以上でデジタル化に取り組んでいる企業を対象に行われた調査です。

最初から分厚い規程を作る必要はありません。次の8項目を書き出せば、配れる状態になります。1項目あたり数行でも形になります。

1. 01このルールの目的。使わせないためではなく、安心して使うためだと書く
2. 02対象になる人。社員、アルバイト、業務委託を含めるかを決める
3. 03使ってよいAIとアカウント。会社が契約したものを名前で挙げる
4. 04入れてはいけない情報と、入れてよい情報。書類の種類で挙げる
5. 05出力を使うときの確認。誰が、どの範囲を確認するか
6. 06ファイルやシステムを操作するAIの扱い。承認が要る操作と、外部のサービスとつなぐときの扱いを挙げる
7. 07迷ったときの相談先。名前で書く
8. 08見直しの時期。次にいつ読み直すかを日付で書く

このうち、書く前に中身を決めておく必要があるのは3番と4番です。以降はこの2つから始めて、出力の確認（5番）、ファイルやシステムを操作するAI（6番）、外注先を対象に含めるか（2番）の順に見ていきます。そのうえで、よくある失敗を挟みます。相談先と見直しの時期（7番・8番）は、配るときと配った後の運用にあたるので最後にまとめます。

同じサービスでも、個人のアカウントで使うか会社で契約するかで、入力した内容の扱いが変わります。この違いを確認しないまま「機密情報は入力しない」とだけ書いても、どこまでが機密かの判断は現場に丸投げされたままです。

顧客の名簿や応募者の一覧のように、まとめて管理している個人情報をAIに入力する場合、個人情報保護委員会は、本人の同意を得ていないのであれば、提供している事業者がその内容を機械学習に利用しないこと等を十分に確認するよう求めています。入力を一律に禁じる話ではなく、使うサービスの扱いを先に確かめておく、という組み立てです。

主要4サービスの、個人と会社契約の違い

主要4サービスについて、2026年8月時点で各社が公式に記載している内容を整理しました。当社はGoogle Workspaceの販売代理店ですが、表は各社の公式の記載に基づくもので、特定の製品を勧める意図はありません。

この表を社内ルールにそのまま貼り付けるのは避けたほうが安全です。各社の記載も、プランの名前も変わります。ChatGPTのTeamは2025年8月にBusinessへ名称が変わりました。ルール本文には契約しているサービス名だけを書き、扱いの詳細は契約を見直すときに確認する運用にしておくと、書き換えの手間が減ります。

すでにGoogle Workspaceを使っている会社であれば、追加の契約なしで使える範囲から始める方法もあります。実際の機能と設定はGoogle WorkspaceのGeminiでできることにまとめました。どのツールから入るかを含めた導入の順序は会社でのAIツール導入の始め方が参考になります。

「機密情報を入力しない」と書かれたルールは、読んだ人が自分の手元の資料を機密と判断できるかどうかに、すべてを預けています。判断できないから聞かずに入力する、という順番で起きやすいため、抽象的な語を、社内で実際にやり取りしている書類の種類に置き換えると、守られ方が変わります。

団体（NPO等）では、会員の名簿、寄付者の連絡先と寄付額、相談の記録が同じ扱いになります。営利企業向けの記事やひな形は「顧客情報」という語彙しか用意していないことが多く、そのまま配ると、日常的に扱っている情報が対象から抜け落ちます。置き換える作業自体は、手元の資料を見ながら書き出していく形になります。

非営利団体で、そもそも費用をかけずにITを整えるところから知りたい場合は非営利団体のDXに、無料で使えるサービスの範囲と申請の窓口をまとめています。

入力してよいものも同時に書いておくと、聞かずに判断できる範囲が広がります。公開済みの資料、社外に出しても問題のない一般的な文章、自分が書いた下書き。この3つが挙げてあれば、多くの業務はルールを見ただけで進みます。

生成された文章をそのまま使ってよいかは、送り先で決まります。社内の下書きであれば書いた本人の確認で足りますが、社外に出す文書、見積りの根拠になる数字、応募や申請に使う書類は、別の人が目を通す形にしておくのが安全です。ルールに書くのは確認する人と対象までで、確認の観点まで細かく規定する必要はありません。

確認する中身は2つです。1つは正確さで、AIの出力には事実と異なる内容がもっともらしい形で混ざることがあります。数字、日付、制度の名前、社名は、元の資料に当たり直す前提にしておきます。情報処理推進機構の「中小企業の情報セキュリティ対策ガイドライン」でも、生成された成果物は人が確認し、そのまま使うのではなく補助的な道具として活用することが挙げられています。

もう1つは他人の権利で、既存の作品に似た出力が出ることがあります。そのまま公開すると問題になる場合があること、迷ったら相談先に確認すること。この2つが書いてあれば、日常の業務では回ります。

チャットに文章を打ち込む使い方と、AIがファイルを読み書きしたり、外部のサービスを操作したりする使い方は、決めるべきことが違います。前者で問題になるのは入力した情報の行き先ですが、後者では、意図しない操作がそのまま実行されることが加わるためです。

とはいえ、規程を別に作る必要はありません。同じ1つのルールの中に、次の5点を書き足しておけば運用できます。

1. 01動かす場所を決める。本番のシステムに直接つながる環境では試さない
2. 02触れてよい範囲を決める。どのフォルダまで、どのサービスまでかを書く
3. 03実行の前に人が承認する操作を決める。削除、送信、支払い、公開の4つが目安
4. 04外部のサービスとつなぐ操作を、事前に相談する対象に含める。拡張機能や連携を足すと、AIが読める情報と実行できる操作が一度に広がります
5. 05何をしたかを後から追えるようにする。作業の記録が残る形で使う

この種のAIを業務に組み込む段階になると、社内ルールだけでなく設計の話になります。外部に頼む場合の進め方はAIエージェント開発の外注にまとめました。

社内ルールの対象を社員だけにすると、渡した資料の扱いが決まらないまま残ります。制作会社、開発会社、士業、業務委託の担当者。自社の情報を預けている相手が、その情報をAIに入力するかどうかは、発注する側からは見えません。

契約書を作り直す話ではなく、発注のときに3点を確認しておくと、判断できる状態になります。

• 作業にAIを使うかどうかを聞く。使う場合はどのサービスかまで確認する
• 渡した資料を入力してよい範囲を決める。資料を渡す時点で伝える
• 納品物にAIの出力が含まれる場合の扱いを決める。修正の責任がどちらにあるかまで決めておく

当社が受託する場合も、この3点は着手前に決めています。使わないことを求められる案件もあれば、使ってよいかわりに納品前の確認を厚くする案件もあります。常駐と持ち帰りで決めることがどう変わるか、発注のときにそのまま送れる確認文まで踏み込んだ内容は外注先の生成AI利用にまとめました。発注側として確認しておきたいことはシステム開発の外注先の選び方にも整理しました。

失敗1: 禁止事項だけを配る

禁止だけを伝えても、使ってよい環境がなければ、利用が個人のアカウントに移りやすくなります。総務省と経済産業省のAI事業者ガイドラインでも、社内のルールが整っていない場合、会社の管理の外で、従業員が業務に個人向けの生成AIを使い、リスクの高い使い方をする恐れがあると指摘されています。必要なのは会社として配ることですが、全員分をいきなり契約する必要はありません。主要なサービスは人数分の席を買う形なので、まず使う部署の数名から始めて、必要になった人を足していく進め方が取れます。

失敗2: 守られているかを確認できる前提で書く

会社が契約したアカウントであれば、誰がいつ使ったかの記録が管理画面に残るサービスもあります。ただし分かるのはそこまでで、しかも会社が配ったアカウントを実際に使った場合に限られます。従業員が自分の端末で個人のアカウントを使えば、記録は会社側に残りません。それを踏まえずに「違反した場合は処分の対象とする」と書いても、違反を見つける手段がないため、実際には運用できないルールになります。

罰則を書くより、間違って入力してしまったときにすぐ申し出られるように、報告しても責めない旨を1行入れておくほうが、被害の把握には効きます。入力された情報の種類が分かれば、その後の対応を判断できます。黙っていられると、それすら分かりません。

失敗3: 公開されているひな形をそのまま配る

ゼロから書くのが負担であれば、公開されているひな形を骨格として使う方法があります。日本ディープラーニング協会が無料で配布している生成AIの利用ガイドラインは、条項だけの版と解説付きの版があり、登録なしで入手できます。対象にする生成AIをサービス名で特定し、それ以外を使いたいときは相談させる形になっている点も、使ってよいAIをプランまで含めて決める、という考え方と同じです。

ただし、そのまま配れる状態にはなっていません。手を入れる場所は2種類あります。ひとつは自分で埋める箇所で、会社名と制定日、対象にする生成AIのサービス名、相談先、そして禁止する用途（ひな形では空欄）です。もうひとつは、書き直す箇所です。個人情報の扱い、生成物の商用利用、サービス側のポリシー上の制限。この3つの条項はChatGPTを前提に書かれているため、別のサービスやプランを使うなら、契約している規約に合わせて中身から直すことになります。

相談先は、部署名や役職ではなく個人の名前で書きます。専任の担当がいない会社では、詳しい人が本業と兼ねることになりますが、その場合も「分かる人に聞いてください」ではなく、名前を1つ挙げておくほうが実際に相談は届きます。その場で答えられないものは、調べてから返す運用で構いません。

読まれなくなる原因は、中身よりも届け方にあることが多いと考えています。どこにあるか分からない、更新されたことが伝わらない。この2つで、内容が良くても参照されなくなります。ルール本文に書くことではありませんが、決めておく価値があるのは次の4点です。

1. 01置き場所を1つに決める。ファイルを配らず、常に同じ場所を見てもらう形にする。手元にコピーが渡ると、更新しても古い版が残り続けます
2. 02入れてよい情報と入れてはいけない情報の一覧は、普段使っているチャットにも固定表示しておく。貼るのは一覧そのものではなくリンクにして、直す場所を1か所に保ちます
3. 03更新したら、変えた行の内容を本文に書いて伝える。リンクだけ送っても読み直されません
4. 04新しく入った人にアカウントを配る手順に組み込む。渡すタイミングで一緒に見てもらうと、伝え漏れがなくなります

8項目の最後に書いた見直しの時期は、3か月後を目安にします。この期間に相談として出てきた質問が、そのまま追記すべき項目になります。質問が出ないまま3か月が過ぎた場合は、うまく回っているのではなく、そもそも見られていない可能性を先に疑うほうが安全です。専任の担当がいない会社で他に何を整えておくかは情シスがいない会社のIT運用にまとめています。