見出し画像

【コピペOK】社内AI利用ガイドラインひな形 — 「ルールがないから使えない」を今日終わらせる

原典ケイ｜AIエージェント実務

「AIを業務で使っていいのか、ルールがない」——2026年になっても、これが一番多い相談です。ゼロから書くのは大変なので、そのまま社内規程のたたき台にできるひな形を置いておきます。全文コピペOK、自社用への改変もご自由に。

各条文の後ろの【解説】は、社内展開時には削除してください。

○○株式会社 生成AI利用ガイドライン(第1.0版)

① 目的

本ガイドラインは、当社役職員が生成AIサービスを業務に利用する際の基本原則を定め、業務効率の向上と情報資産の保護を両立させることを目的とする。

【解説】「禁止のための規程」ではなく「使うための規程」だと冒頭で宣言するのがポイント。禁止一辺倒はシャドーAI(隠れ利用)を生み、かえって統制を失います。

② 適用範囲

当社の役職員、派遣社員、および業務委託先(当社情報を扱う場合)に適用する。対象は、文章・画像・コード等を生成するAIサービス、およびAIエージェント(外部ツールと接続して自律的にタスクを実行するAI)を含む。

【解説】2026年の規程で重要なのは「AIエージェント」を明示的に含めること。チャットAIだけを想定した旧式の規程では、MCP等でツール接続するAIをカバーできません。

③ 利用原則

  1. AIの出力は必ず人間が確認してから業務に使用する(最終責任は利用者にある)

  2. AIに入力してよい情報は「4. データ分類と入力可否」に従う

  3. 会社が承認したAIサービスのみ業務利用できる(承認済みリストは情報システム部門が管理)

  4. AIエージェントに業務システムへのアクセス権を与える場合は、事前に情報システム部門の審査を受ける

④ データ分類と入力可否

  • 公開情報(公開済みプレスリリース、公式サイト掲載情報)→ 入力可

  • 社内限定情報(社内手順書、非公開の企画情報)→ 会社が承認し、学習に使われない設定のサービスのみ可

  • 機微情報(個人情報、顧客から預かった情報、認証情報)→ 原則禁止(匿名化・マスキング済みは個別判断)

【解説】3分類がおすすめです。5分類以上にすると現場が判断できず形骸化します。

⑤ 禁止事項

  1. 未承認AIサービスへの社内限定情報・機微情報の入力

  2. パスワード、APIキー等の認証情報のAIへの入力

  3. AIの出力を無確認で顧客提出物・公開物に使用すること

  4. AIエージェントへの、削除・支払い・外部送信を無承認で実行できる権限の付与

  5. 個人アカウントでの業務利用(会社アカウントと分離すること)

⑥ AIエージェント利用の追加ルール

  1. エージェント用アカウントは人間のアカウントと分離する

  2. 権限は最小限とし、読み取り/書き込み/削除/外部送信を区別して付与する

  3. ツール呼び出しのログを取得し、○ヶ月保存する

  4. 削除・外部送信・支払いを伴う操作には人間の承認を必須とする

  5. 利用するMCPサーバー等の接続先は台帳管理し、無断で追加しない

【解説】この⑥条が本ひな形の肝です。根拠は米NSAが公開したMCPセキュリティガイダンス(2026年5月付/6月公開。原文: https://media.defense.gov/2026/Jun/02/2003943289/-1/-1/0/CSI_MCP_SECURITY.PDF )。完全読解記事はこちらで公開しました:https://note.com/genten_kei/n/nbfe402282a61

⑦ インシデント対応

機微情報の誤入力、AIの誤出力による損害、不審な挙動を発見した場合は、速やかに○○(連絡先)へ報告する。報告者が不利益を受けることはない。

【解説】「報告者を罰しない」の一文が超重要。これがないと事故が隠蔽されます。

⑧ 教育と見直し

全役職員に年1回以上の教育を実施する。本ガイドラインは技術動向を踏まえ、半期ごとに見直す。

附則

本ガイドラインは20XX年X月X日から施行する。

使い方のヒント

  • まず第4条のデータ分類を自社に合わせるところから始めてください(ここが一番社内議論が必要な箇所です)

  • 「承認済みAIサービスのリスト」は別紙にすると改訂が楽です

  • AIエージェント(第6条)をこれから導入する会社向けの「導入前チェックリスト」も、このマガジンで公開しています:https://note.com/genten_kei/n/n82cffcb08486

※用語メモ: AIエージェント=指示を受けて調べる・判断する・実行するところまで自律的にこなすAI。機微情報=個人情報や経営情報など、漏れると影響が大きい情報。MCP=AIを外部ツールにつなぐ共通規格。

▼ 「そもそもMCPって何?」という方は、3分で読める解説からどうぞ

https://note.com/genten_kei/n/nf3be59b84994

本テンプレはAI(Claude)を活用して作成し、公開前に人間がレビューしています。法的助言ではないため、正式制定時は自社の法務・情報セキュリティ部門の確認を経てください。根拠となるNSAガイダンスは本文にリンクした原典で確認できます。

いいなと思ったら応援しよう！