生成AIの社内ルールはどう作る？中小企業向け12項目とひな形
公開日：2026年7月16日
最終更新日：2026年7月16日
※本記事は、生成AIを業務で利用する際の社内ルールを検討するための一般的な情報とひな形です。法的助言ではありません。業種別の規制、取引先との契約、扱う情報の種類によって必要な内容は変わるため、重要な判断は弁護士、個人情報保護・情報セキュリティなどの専門家へご確認ください。
結論：社内ルールは「禁止するため」ではなく「迷わず使うため」に作る
生成AIの社内ルールは、禁止事項を増やすための文書ではありません。
社員が「どのツールを使えるか」「何を入力してよいか」「出力を誰が確認するか」「迷ったときに誰へ相談するか」を判断できるようにするものです。
最初から何十条もの規程を作る必要はありません。まずは、利用可能なツール・入力情報・人による確認・社外利用・相談先を決めた最小版を作り、実際の利用に合わせて更新します。
この記事では、中小企業が生成AIの社内ルールを作るための12項目と、コピペして検討を始められるひな形を紹介します。
この記事で分かること
生成AIの社内ルールに入れたい12項目
入力情報を3段階で判断する方法
そのまま検討に使える最小版ひな形
作ったルールを形骸化させない進め方
すでに機密情報を入力してしまった場合は、ルール作成より先に初動対応が必要です。「ChatGPTに機密情報を入力してしまったら？」の7ステップを確認してください。
なぜ生成AIの社内ルールが必要なのか
会社として生成AIを導入していなくても、社員が個人のアカウントで文章の要約やメール作成に使っている可能性があります。
この状態で「常識の範囲で使ってください」と伝えても、社員ごとに常識が違います。顧客名を入力する人もいれば、情報漏えいを恐れて公開情報の要約にも使わない人も出てきます。
ルールがないことによって起きるのは、危険な利用だけではありません。慎重な社員ほど「使わない方が安全」と判断し、会社が期待した業務改善が進まないこともあります。
生成AIで確認したいリスクは、主に次のようなものです。
個人情報や営業秘密などを、承認されていないサービスへ入力する
AIの誤った回答を確認せず、顧客や取引先へ送る
既存の著作物と似た文章・画像を、そのまま公開する
存在しない出典や数字を、事実として資料に載せる
利用規約や取引先との秘密保持契約に反する使い方をする
個人アカウントや未承認の拡張機能を通じて業務情報を扱う
経済産業省とIPAの「AI事業者ガイドライン」は、AIの利用者を含む事業者が、プライバシー、セキュリティ、知的財産権などのリスクを認識し、AIのライフサイクルを通じて対応する考え方を示しています［1］。
ただし、公的ガイドラインを社員へ渡すだけでは、日々の業務で「この議事録を入れてよいか」までは判断できません。公的資料を土台に、自社が扱う情報と業務へ落とし込む必要があります。
書き始める前に決める6つのこと
いきなり規程の文章を書き始めると、抽象的な禁止事項ばかりになりがちです。先に、次の6つを決めます。
1. 利用を認めるサービスとアカウント
「生成AIなら何でも可」ではなく、会社が確認したサービス名と利用方法を決めます。
同じサービスでも、個人向けと法人向けの契約、管理機能、データの取り扱い、設定が異なる場合があります。サービス名だけでなく、「会社が発行したアカウントに限る」など、利用条件まで書きます。
2. 利用できる人
全社員が使うのか、試行チームだけが使うのか、外部委託先にも認めるのかを決めます。
最初は対象業務に関わる数名へ限定し、問題と効果を確認してから広げる方法もあります。
3. 利用してよい業務
メールの下書き、議事録の要約、アイデア出しなど、最初に認める用途を具体的にします。
人事評価、採用の合否、融資・与信、医療や法律に関わる判断など、本人へ大きな影響を与える用途は、通常の文章作成とは分けて慎重に検討します。
4. 入力してよい情報
「機密情報は禁止」だけでは、何が機密情報か分かりません。顧客名、メールアドレス、見積金額、契約書、未公開の新商品情報など、自社の業務に即した例を書きます。
5. 人による確認・承認が必要な場面
生成AIの出力は、そのまま正しいとは限りません。誰が、何を確認し、どの場面で上司や専門担当者の承認を得るかを決めます。
特に、社外文書、契約、金額、法令、製品仕様、採用・人事に関わる内容は、確認方法を具体化します。
6. 相談・事故報告の担当者
入力してよいか迷ったときの相談先と、誤って情報を入力した場合の連絡先を決めます。
事故時に利用者を責める雰囲気があると、報告が遅れます。「誤入力に気づいたら、削除だけで終わらせず、すぐ報告する」と手順を明記します。
入力情報は「3段階」で分ける
すべての情報を「入力可」と「入力禁止」の二択にすると、業務で使いにくいルールになります。
AIよろず室では、最初の整理として、入力情報を次の3段階に分ける方法を提案しています。
原則入力してよい情報
すでに自社サイトで公開している情報
官公庁やメーカーが公表している資料
個人・顧客・取引先を特定できない架空の例文
社内外の秘密を含まない、自分で作成した文章
必要な匿名化や置き換えを行った文章
公開情報であっても、内容が正しいとは限りません。出力の確認は別途必要です。
条件を満たした場合だけ入力できる情報
顧客・取引先・従業員に関する情報
契約書、議事録、問い合わせ履歴
社内の売上、原価、見積金額
発表前の製品・採用・経営情報
著作権者から利用許諾を得た文章や画像
これらは、承認済みの利用環境であること、利用目的が明確であること、必要な権限や本人同意があること、契約・法令・社内規程に反しないことなどを確認したうえで扱います。
個人情報保護委員会は、事業者が個人情報を生成AIサービスへ入力する場合、利用目的の範囲内であることや、本人同意なしに個人データを入力する場合は、提供事業者が回答生成以外の目的で取り扱わないことなどを十分確認するよう注意喚起しています［2］。
したがって、「個人情報は常に入力禁止」「法人プランなら何でも入力可」のどちらも、一般論としては適切ではありません。利用目的、契約内容、サービスの設定、法的根拠、自社の承認を合わせて判断します。
入力してはいけない情報
パスワード、ワンタイムコード、秘密鍵、APIキー
クレジットカード番号などの決済情報
会社が利用を認めていないサービスへの機密情報
法令、契約、秘密保持義務により外部提供できない情報
アクセス権限のない社員・顧客・取引先の情報
事故が起きた場合に重大な影響があり、会社が入力禁止と指定した情報
この分類は公的な診断基準ではなく、自社ルールを作るための整理方法です。実際の区分は、情報管理規程や契約に合わせて調整してください。
生成AIの社内ルールに入れたい12項目
1. 目的と適用範囲
業務効率化や品質向上など、利用目的を書きます。正社員だけでなく、役員、契約社員、派遣社員、業務委託先のどこまで適用するかも明記します。
2. 利用可能なサービス・アカウント
会社が承認したサービス、プラン、アカウント、端末を指定します。個人アカウントや未承認のブラウザー拡張機能を認めるかも決めます。
3. 利用できる人
全社員か、申請・研修を終えた人だけかを決めます。管理者権限を持つ人も分けておきます。
4. 利用可能な業務
最初に認める業務と、個別承認が必要な業務を書きます。「文章作成」ではなく「社内メールの下書き」のように具体化します。
5. 入力してよい情報・禁止する情報
前述の3段階を使い、自社の具体例を添えます。匿名化する場合は、氏名を消すだけで本人や会社を推測できないかも確認します。
6. 出力内容の確認
事実、数字、日付、固有名詞、引用元、計算結果に加え、差別的・不適切な表現がないかを人が確認します。
「AIが作ったので」という説明は、誤りを外部へ出した責任をなくすものではありません。最終判断をする人を決めます。
7. 社外公開・顧客対応
顧客メール、提案書、広告、採用情報、SNSなどに使う場合の承認者を決めます。重要な説明をAIだけで自動返信させる場合は、誤回答時の影響も検討します。
8. 著作権・出典
他者の文章や画像を入力・利用してよい権限があるかを確認します。出力が既存の著作物と類似していないか、出典として示された資料が実在するかも人が確認します。
文化庁は、AI開発者・提供者・利用者が著作権リスクを低減するためのチェックリストとガイダンスを公開しています［3］。画像や広告コピーなどを公開する業務では、社内ルールと合わせて参照してください。
9. アカウント・セキュリティ
パスワードの共有禁止、多要素認証、退職・異動時のアカウント停止、アクセス権限、未承認ツールとの連携などを決めます。
10. 履歴・保存・削除
会話履歴や生成物をどこへ保存し、いつ削除するかを決めます。サービス上の履歴を削除するだけで、提供事業者側のデータが必ずすべて消えるとは限らないため、契約と公式情報も確認します。
11. 事故・不明点の報告
誤入力、誤送信、不審な出力、アカウントの不正利用に気づいた場合の連絡先と初動を決めます。自己判断で隠さず、早く報告できる運用が重要です。
12. 管理責任者と見直し
ルールの管理者、承認者、問い合わせ先、更新日を記載します。サービスの規約・機能変更、新しい業務での利用、事故の発生時にも見直します。
コピペして検討できる「最小版ひな形」
以下は、最初の社内検討に使うための短いひな形です。角括弧の部分を自社向けに書き換え、既存の情報管理規程や就業規則との整合も確認してください。
［会社名］生成AI利用ルール（初版）
1. 目的
当社は、業務の効率化と品質向上のため、生成AIを本ルールに従って利用します。生成AIの出力は参考情報であり、業務上の最終判断は利用者と承認者が行います。
2. 対象者
本ルールは、［対象者：全役員・従業員／利用を承認された従業員など］に適用します。
3. 利用可能なサービス
業務で利用できる生成AIは、［承認済みサービス名・プラン］です。［会社が発行したアカウント］を使用し、個人アカウントや未承認サービスへ業務情報を入力してはいけません。
4. 利用可能な業務
生成AIは、［メールの下書き／議事録の要約／アイデア出し／公開情報の整理など］に利用できます。［契約判断／採用・人事評価／顧客への重要回答など］へ利用する場合は、事前に［承認者］の承認を得てください。
5. 入力情報
公開情報、秘密を含まない文章、会社が認めた方法で匿名化した情報は入力できます。個人情報、顧客・取引先情報、契約書、社内数値、未公開情報は、［承認済み環境と承認手順］を満たす場合に限ります。パスワード、認証コード、秘密鍵、決済情報、法令・契約・社内規程で外部提供を禁じられた情報は入力してはいけません。
6. 出力の確認
利用者は、生成AIの出力をそのまま正しいものとして扱わず、事実、数字、日付、固有名詞、出典、著作権、不適切な表現を確認します。確認できない内容は使用しません。
7. 社外への利用
顧客メール、提案書、契約関連文書、広告、SNSその他の社外向け情報に利用する場合は、［承認者・既存の承認手順］による確認を受けます。
8. 著作権等への配慮
入力する文章・画像等を利用する権限があることを確認します。生成物が他者の著作物、商標、営業秘密その他の権利を侵害するおそれがないか、公開前に確認します。
9. アカウント管理
アカウントやパスワードを共有しません。多要素認証など、会社が指定するセキュリティ設定を使用します。未承認の拡張機能や外部サービスと連携しません。
10. 保存と削除
生成物と利用記録は［保存先・保存期間］に従って管理します。不要になった情報は［削除方法］に従って削除します。
11. 相談・事故報告
入力可否に迷った場合は、入力前に［担当者・連絡先］へ相談します。誤って禁止情報を入力した、不審な挙動があった、誤情報を社外へ出した場合は、直ちに［事故報告先］へ連絡し、指示に従います。
12. 管理と見直し
本ルールの管理責任者は［役職・氏名］です。［毎月／四半期ごと／半年ごと］に利用状況を確認し、サービスの変更、新しい用途、事故の発生などに応じて見直します。
制定日：［年月日］
次回見直し日：［年月日］
管理責任者：［役職・氏名］
このひな形をそのまま配るのではなく、少なくともサービス名、入力情報、承認者、相談先は空欄を埋めてから運用してください。
形骸化しやすいルールと修正方法
「機密情報を入力しない」で終わっている
利用者にとって、議事録、名刺情報、見積書、社内売上が機密情報に当たるかは曖昧です。
「原則入力可・条件付き・入力禁止」に分け、自社でよく扱う情報を例示します。判断に迷う情報は、入力前に相談する手順も必要です。
「自己責任で使う」と書いている
業務利用を個人の自己責任にすると、慎重な社員ほど使えません。会社が利用できる環境と用途を決め、最終判断・事故対応の責任者を置きます。
「出力を確認する」だけで、確認項目がない
確認という言葉だけでは、文章を読み直して終わる可能性があります。
数字、日付、固有名詞、引用元、契約条件、著作権など、業務ごとの確認項目と承認者を決めます。
作成後、一度も更新していない
生成AIのサービス、機能、利用規約、社内の用途は変わります。更新日と管理責任者を明記し、定期見直しに加えて、サービス変更や事故発生を見直しのきっかけにします。
作ったルールを定着させる5ステップ
ステップ1：対象業務を1つ決める
全社のあらゆる利用場面を想定するより、最初に試す業務を1つ決めます。たとえば、秘密情報を含まない社内メールの下書きや、公開資料の要約です。
ステップ2：ひな形を自社向けに修正する
対象業務で実際に扱う情報を書き出し、入力可・条件付き・禁止へ分類します。承認済みサービス、確認者、相談先も実名または役職で入れます。
ステップ3：数名で試す
利用者を数名に絞り、「判断できなかった場面」を記録します。ルール違反だけでなく、迷って使えなかった場面も改善材料です。
ステップ4：短い説明の場を設ける
文書を配るだけでなく、実際の入力例を使って説明します。禁止事項に加え、会社が認めている使い方も見せます。
ステップ5：1か月後に見直す
これは法律上の一律基準ではなく、AIよろず室が初回運用の目安として提案する期間です。相談内容、誤り、使われなかった理由を確認し、例を追加します。その後の見直し頻度は、利用量とリスクに合わせて決めます。
よくある質問
Q. 無料版の生成AIは、すべて禁止すべきですか？
無料か有料かだけでは判断できません。提供事業者、契約条件、データの取り扱い、管理機能、設定、利用目的を確認します。
会社が内容を確認できないサービスや個人アカウントへの業務情報の入力を禁止し、承認済み環境を用意する方法が考えられます。
Q. 法人向けプランなら、何を入力しても大丈夫ですか？
法人向けプランであっても、何を入力してもよいとは限りません。個人情報保護法、業種別の規制、取引先との秘密保持契約、自社の情報管理規程、アクセス権限などは別に確認が必要です。
サービスの公式な契約条件とプライバシー情報を確認し、自社として入力可能な範囲を決めてください。
Q. 生成AIを使ったことを顧客へ伝える必要はありますか？
すべての利用で一律に表示が必要とは限りません。ただし、契約で開示が求められている場合、顧客のデータを扱う場合、AIによる自動応答であることが相手の判断に影響する場合などは、説明の要否を検討します。
迷う場合は、用途ごとに取引先との契約と法的要件を確認してください。
Q. 弁護士の確認は必要ですか？
社内メールの下書きなど、限定的な試行の初版を作る段階では、まず自社の情報管理・法務・システム担当と整理する方法があります。
一方、個人情報や要配慮個人情報を扱う、顧客データを外部サービスへ送信する、採用・人事・金融・医療など重要な判断に使う、著作物を大量に利用する場合は、早い段階で該当分野の専門家へ相談することをおすすめします。
まとめ：最初に「使える範囲」を明確にする
生成AIの社内ルールは、社員を縛るためではなく、安全に判断して使うために作る
最初は、利用可能なツール、入力情報、出力確認、社外利用、相談先を明確にする
情報を「原則入力可・条件付き・入力禁止」に分け、具体例を添える
作成後は、実際に迷った場面とサービスの変更に合わせて更新する
厳しすぎるルールは利用を止め、曖昧すぎるルールは自己流の利用を増やします。大切なのは、公的なガイドラインをコピーすることではなく、自社の業務、情報、契約、利用環境に合わせて、社員が判断できる言葉へ置き換えることです。
AIよろず室の30分の無料相談では、現在利用している生成AIと扱う情報を伺い、最初に決めるべきルールを1つ整理します。相談後に契約する必要はありません。
AIよろず室では、月額39,800円（税別）の伴走プランのほかにも、課題やご希望に応じた支援を用意しています。社内ルールだけをどこから整理すればよいか分からない段階でも、AIよろず室のサイトからご相談いただけます。
この記事を書いた人
AIよろず室。中小企業を対象に、業務診断、AI活用ロードマップ、軽微な実装、社内定着までを支援しています。
参考資料
［1］経済産業省・IPA「AI事業者ガイドライン（第1.2版）」（2026年3月31日）
［2］個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（2023年6月2日）
［3］文化庁「AIと著作権に関するチェックリスト＆ガイダンス」（2024年7月31日）
参考：デジタル庁「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン（第2.0版）」（2026年6月12日）※行政機関向けの資料であり、中小企業へそのまま適用するものではありません。
ハッシュタグ
#生成AI #ChatGPT #生成AI活用 #社内ルール #社内ガイドライン #情報セキュリティ #個人情報保護 #著作権 #中小企業DX #AIよろず室
