この記事でわかること
- 社内ルールがないまま生成AIが広がると何が起きるか
- ルール作りで参照できる公的な指針（AI事業者ガイドライン等）
- ガイドラインに盛り込むべき6つの章と書き方
- 「入力してよい情報／禁止の情報」の線引きの作り方
- 策定から社内定着までの5ステップと、よくある失敗
なぜ生成AIの社内ルールが必要なのか
「うちはまだ生成AIを導入していないので、ルールは先でいい」——中小企業の経営者からよく聞く言葉ですが、実態としてはすでに使われているケースがほとんどです。個人のアカウントで無料版のチャットAIを開き、議事録の要約や提案書のたたき台作成に使う。会社が把握していないところで進むこうした利用は「シャドーAI」と呼ばれ、導入の有無にかかわらず発生します。
ルールがない状態で困るのは、禁止できないことではなく、何が起きているか会社が把握できないことです。具体的には次のような問題につながります。
ルール不在で起きやすい問題
- 顧客から預かった資料や個人情報が、社員の判断で外部サービスに入力される
- 取引先との秘密保持契約（NDA）の対象情報が、無自覚に第三者サービスへ渡る
- AIが生成した誤った内容が、確認されないまま提案書や公開記事に載る
- 生成物の著作権・利用可否を誰も判断していないまま納品物に使われる
- 逆に「危なそうだから禁止」とだけ通達され、活用のチャンスを丸ごと失う
ポイント：社内ルールの目的は「使わせないこと」ではなく「安全に使わせること」です。禁止一辺倒のルールは守られず、むしろ隠れた利用を増やします。使ってよい範囲を明示することが、結果的にリスクを下げます。
参照できる公的な指針と法律の現在地
ゼロから考える必要はありません。国内には、企業がAIを利用する際の考え方を整理した公的な文書がすでに複数あります。中小企業がガイドラインを作る際に押さえておきたいものを整理します。
| 文書・法令 | 主体 | 位置づけ・使いどころ |
|---|---|---|
| AI事業者ガイドライン（第1.2版） | 総務省・経済産業省 | 2026年3月31日公表。法的拘束力のないソフトローとして、AIガバナンスの統一的な指針を示す。企業が業務でAIを使う場合は「AI利用者」の項目が該当 |
| AI推進法（人工知能関連技術の研究開発及び活用の推進に関する法律） | 内閣府ほか | 令和7年法律第53号。2025年6月公布、同年9月全面施行。基本法・理念法としての性格が強く、事業者の義務は努力義務が中心で罰則は設けられていない |
| 生成AIサービスの利用に関する注意喚起 | 個人情報保護委員会 | 2023年6月公表。個人情報を含むプロンプト入力の考え方、利用目的の範囲、要配慮個人情報の取得に関する注意点を整理 |
| AIと著作権に関するチェックリスト＆ガイダンス | 文化庁 | 2024年7月公表。生成物が既存著作物に類似した場合の考え方など、著作権面の判断材料になる |
| 生成AIの利用ガイドライン（ひな形） | 日本ディープラーニング協会（JDLA） | 2023年5月公開、同年10月に第1.1版。自社向けに追加・修正して使う前提のひな形として配布されている |
特に土台になるのがAI事業者ガイドラインです。同ガイドラインは対象者を「AI開発者」「AI提供者」「AI利用者」の3つに大別しており、ChatGPTなどの外部サービスを業務で使う一般企業は、基本的に「AI利用者（AI Business User）」に当たります。AI利用者について重要とされている事項は、おおむね次の観点に整理されています。
AI事業者ガイドラインが「AI利用者」に求める観点
- 安全を考慮した適正な利用（提供者が想定する使い方の範囲で使う）
- 入力データやプロンプトに含まれるバイアスへの配慮
- 個人情報の不適切な入力とプライバシー侵害への対策
- セキュリティ対策の実施
- 関連するステークホルダーへの情報提供・説明
- 提供された文書の活用および利用規約の遵守
注意：AI推進法に罰則がないことをもって「AIの利用は法的にフリー」と受け取るのは誤りです。生成AIに個人情報や他社の秘密情報を入力する行為は、個人情報保護法や契約上の秘密保持義務といった既存の法令・契約の問題として評価されます。ルール作りは「AIの法律対応」ではなく「既存の情報管理ルールをAIに拡張する作業」と捉えるのが実務的です。
ガイドラインに盛り込む6つの章
中小企業の場合、最初から数十ページの文書を作る必要はありません。むしろA4で3〜5枚程度の分量に収め、運用しながら育てるほうが定着します。最低限、次の6章を押さえておけば実務上の判断に耐えます。
第1章：目的と適用範囲
何のためのルールか、誰に適用されるか（正社員だけか、業務委託・アルバイト・インターンを含むか）を明記します。業務委託先に自社の資料を渡している場合は、委託先の生成AI利用についても契約書側で扱いを決める必要があります。
第2章：利用してよいツールと申請方法
「会社が契約している法人プランのみ」「個人アカウントでの業務利用は禁止」など、使ってよいツールを列挙します。新しいツールを使いたい場合の申請先・判断者もここで決めておきます。誰に聞けばいいか分からない状態が、無許可利用の最大の温床です。
第3章：入力してよい情報の基準
ガイドラインの中核です。詳細は次章で扱いますが、抽象的な「機密情報は入力しない」ではなく、自社の実際の情報資産に即して具体的に列挙することが重要です。
第4章：出力物の取り扱い
生成された文章・画像・コードをどう扱うか。人による確認を必須とする範囲、外部に出す前のチェック手順、著作権面で気をつける点を定めます。
第5章：禁止事項と違反時の対応
明確に禁止する行為（顧客の個人情報の入力、他社の非公開資料の入力、AI生成物を人が作成したものとして偽ることなど）と、違反が判明した場合の報告ルート・対応フローを定めます。処罰よりも「まず報告してもらう」ことを優先した設計にしておくと、事故の早期発見につながります。
第6章：管理体制と見直し
責任部門・問い合わせ窓口・改定の頻度を書きます。生成AIの機能や規約は短期間で変わるため、最低でも半年に一度は見直すことを前提にしておきます。
入力してよい情報・してはいけない情報の線引き
もっとも相談が多いのがこの部分です。「機密情報は入力しない」とだけ書かれたルールは、現場では機能しません。何が機密かの判断が各社員に丸投げされるためです。実務では、情報を3段階に分けて具体名で列挙するのが分かりやすい方法です。
| 区分 | 扱い | 例 |
|---|---|---|
| 区分A：自由に入力してよい | そのまま入力可 | 自社サイトの公開情報、一般公開されている統計・記事、社内の定型フォーマット、固有名詞を含まない相談・壁打ち |
| 区分B：加工すれば入力してよい | 固有名詞・数値を伏せる、要約してから入力 | 社内の議事録、案件の進行相談、社内向け資料のたたき台、匿名化した売上傾向の相談 |
| 区分C：入力禁止 | 入力しない（必要な場合は情報システム担当へ相談） | 顧客・従業員の個人情報、顧客から預かった資料、NDA対象の情報、未公開の財務情報、ソースコードや認証情報、人事評価に関する情報 |
区分Cを定めるときは、既存の情報管理規程や就業規則の秘密保持条項を出発点にすると早く決まります。生成AIのために新しい機密区分を作るのではなく、すでにある「社外に出してはいけない情報」の定義をそのまま持ち込むのが基本です。
ポイント：あわせて、利用するサービス側のデータ取り扱い設定も確認します。サービスやプランによって入力内容が学習に使われるかどうかの扱いは異なり、設定変更で挙動が変わる場合もあります。導入時に一度確認し、その結果をガイドラインの付録として残しておくと、担当者が変わっても判断がぶれません。
出力物の扱いで決めておくこと
入力側のルールは作られていても、出力側が空白になっている会社は多くあります。最低限、次の3点は決めておきたいところです。
1. 人による確認を必須とする範囲
生成AIは、事実と異なる内容をもっともらしく出力することがあります（ハルシネーション）。社外に出る文書、金額・法令・数値を含む記述、顧客への回答文などは、必ず人が一次情報にあたって確認する運用にします。AI事業者ガイドラインでも、AIの出力を鵜呑みにせず適切なタイミングで人間の判断を介在させることの重要性が繰り返し示されています。
2. 著作権・権利面のチェック
生成物が既存の著作物に似てしまうケースを想定し、外部公開物については類似性の確認手順を決めます。画像生成を使う場合は、特定の作風・キャラクターを指示するプロンプトの扱いも定めておくと安全です。文化庁の「AIと著作権に関するチェックリスト＆ガイダンス」が判断の参考になります。
3. AI利用の開示ルール
納品物やクライアント向け資料の作成に生成AIを使う場合、その事実を開示するかどうかを決めます。取引先によっては契約でAI利用を制限していることもあるため、受注時の確認項目に入れておくと後々のトラブルを防げます。
策定から定着までの5ステップ
進め方の目安
- ①現状把握：誰がどのツールを何に使っているか、匿名アンケートで棚卸しする（禁止・叱責はしない）
- ②たたき台作成：JDLAのひな形などをベースに、自社の業務に合わせて6章構成で書き起こす
- ③関係者レビュー：現場担当者に「これだと業務が回らない箇所」を指摘してもらい調整する
- ④周知と教育：配布だけで終わらせず、実際にツールを触る説明会をセットで実施する
- ⑤運用と見直し：質問・ヒヤリハットを窓口に集約し、半年に一度を目安に改定する
特に①を飛ばさないことをおすすめします。現状を知らずに作ったルールは、現場の実態と噛み合わず、初日から形骸化します。匿名で「困っていること・すでに使っていること」を集める段階を挟むだけで、ルールの精度は大きく変わります。
実務のコツ：完璧な文書を3か月かけて作るより、7割の完成度のたたき台を2週間で出して運用を始めるほうが、結果的に良いルールになります。生成AIの機能も規約も変化が速いため、「変える前提の文書」として設計しておくことが重要です。
よくある失敗パターン
禁止事項だけを並べてしまう
読んだ社員の理解は「使うと怒られるらしい」に収束し、隠れて使う人が増えます。禁止事項と同程度の分量で「推奨される使い方」「使ってよい業務の例」を書くと、ルールが活用の後押しにもなります。
他社のテンプレートをそのまま配布する
公開されているひな形は出発点として有用ですが、自社にない部署名や、扱っていない情報の記述が残っていると、現場は「うちの話ではない」と判断します。最低限、区分Cの情報例だけは自社の実物に置き換えてください。
問い合わせ窓口を決めていない
「これは入力していいのか」という判断に迷ったとき、聞く先がなければ社員は自己判断します。窓口の担当者名と連絡手段を明記するだけで、グレーゾーンの事故は目に見えて減ります。
作って終わりで更新されない
ツールの規約改定や新機能の登場でルールの前提が崩れても、誰も気づかないまま運用が続きます。改定責任者と見直し時期を文書内に書き込んでおくことが対策になります。
LnXの見解
ガイドライン策定の相談をいただくとき、最初に確認しているのは「そもそも自社のどの業務でAIを使うのか」が決まっているかどうかです。使う業務が定まっていない状態でルールだけを先に作ると、想定できないので禁止事項ばかりが増え、結果として誰も使わない文書になります。
順序としては、業務の棚卸し → 使う業務の特定 → その業務で扱う情報に即したルール策定、という流れが最も無駄がありません。ルールは活用の前提条件であって、活用の目的ではないからです。「まず何にAIを使うべきか」から整理したい場合は、中小企業のAI導入は何から始める？失敗しない進め方を5ステップで解説もあわせてご覧ください。
LnXでは、無料のAI業務診断を通じて、自社のどの業務がAI活用に向いているか、その業務でどんな情報を扱うことになるかを一緒に整理しています。ルール作りの前段としてもご活用ください。
具体的な進め方をご相談されたい方はお問い合わせからもご連絡いただけます。
よくある質問
Q社員10人程度の会社でも生成AIの社内ルールは必要ですか？
必要です。むしろ規模が小さい会社ほど、情報システム部門による端末管理やログ監視の仕組みがないため、誰がどのAIツールに何を入力しているかを会社が把握できない状態になりやすくなります。A4数枚のシンプルな文書で構いませんので、「使ってよいツール」「入力してはいけない情報」「出力物の扱い」の3点だけでも先に明文化しておくことをおすすめします。
Q生成AIの社内ルールを作るとき、参考にできる公的な指針はありますか？
総務省・経済産業省が公表している「AI事業者ガイドライン」（2026年3月31日に第1.2版が公表）が代表的です。法的拘束力のないソフトローですが、AI開発者・AI提供者・AI利用者という3つの主体ごとに取り組むべき事項が整理されており、一般企業が業務で生成AIを使う場合は基本的に「AI利用者」の項目が該当します。このほか、個人情報保護委員会による生成AIサービス利用に関する注意喚起（2023年6月）、文化庁「AIと著作権に関するチェックリスト＆ガイダンス」（2024年7月）、日本ディープラーニング協会（JDLA）が公開しているガイドラインのひな形などが参考になります。
Q生成AIの利用について、法律上の義務はあるのでしょうか？
「人工知能関連技術の研究開発及び活用の推進に関する法律」（令和7年法律第53号、いわゆるAI推進法）が2025年6月に公布され、同年9月に全面施行されています。ただし同法は基本法・理念法としての性格が強く、事業者に課されるのは努力義務が中心で、違反に対する罰則は設けられていません。一方で、生成AIに個人情報や他社の秘密情報を入力する行為は、個人情報保護法や契約上の秘密保持義務など既存の法令・契約の問題になり得ます。「AIの法律がないから自由」ではない点に注意が必要です。
QChatGPTなどに社内資料を入力しても大丈夫ですか？
サービスやプランによって入力データの学習利用の扱いが異なるため、一律に「大丈夫」とは言えません。実務上は、機密度に応じて「入力してよい情報」「加工・匿名化すれば入力してよい情報」「入力禁止の情報」の3段階に分け、禁止対象（個人情報、顧客から預かった資料、未公開の財務情報、他社との秘密保持契約の対象情報など）を具体的に列挙するのが現実的です。あわせて、利用するサービスの利用規約とデータの取り扱い設定を、導入前に必ず確認してください。
Qガイドラインを作ったのに社員が守ってくれません。どうすればよいですか？
禁止事項だけを並べたルールは、現場では「使うと怒られるらしい」という理解に変換され、結果として隠れて使う人が増えます。守られるルールにするには、禁止事項と同じ分量で「推奨される使い方」を示すこと、質問できる窓口を明示すること、実際のツールを触るハンズオン形式の説明会をセットで行うことが有効です。ルールは配布して終わりではなく、半年に一度程度の見直しを前提に運用してください。