生成AIの社内ガイドラインの作り方｜盛り込む7項目と記載例
この記事の要点
- 生成AIの社内ルール（ガイドライン）は、全面禁止ではなく「安心して使える範囲」を示すことが目的です。
- 目的、利用してよいサービスとアカウント、入力してはいけない情報、出力の取り扱い、利用に向く業務・向かない業務、困ったときの相談先、見直しの時期の7項目を、A4用紙1〜2枚から始めれば十分です。
- 入力してはいけない情報は「顧客の氏名・連絡先」「取引先から預かった資料」など、現場の言葉で具体的に例示すると迷いが減ります。
生成AIを業務で使い始めるとき、多くの経営者や管理職が気にされるのが「情報漏えいは大丈夫なのか」という点です。一方で、心配するあまり「とりあえず全面禁止」にしてしまうと、社員が個人のスマートフォンや私用アカウントでこっそり使う、いわゆる「隠れ利用」が起きやすくなり、かえってリスクが見えにくくなります。
大切なのは、禁止か自由かの二択ではなく、「安心して使える範囲」を会社として示すことです。この記事では、中小企業でも無理なく作れる生成AIの社内利用ルール（ガイドライン）の作り方を解説します。
なぜ社内ルールが必要なのか
生成AIの社内ルールには、大きく分けて次の3つの役割があります。
- 情報を守る：入力してはいけない情報を明確にし、顧客情報や機密情報の流出を防ぎます。
- 品質を守る：AIの出力に含まれる誤りをそのまま外部に出さないよう、確認の手順を定めます。
- 社員を守る：「どこまで使っていいのか分からない」という迷いをなくし、安心して活用できる環境をつくります。
ルールは社員を縛るためのものではなく、積極的に使ってもらうための土台です。この視点を持っておくと、現場に受け入れられやすいルールになります。
生成AI利用で想定しておきたいリスク
ルールを作る前に、どのようなリスクがあるのかを整理しておきましょう。
| リスク | 起こりうること | 主な対策 |
|---|---|---|
| 情報漏えい | 入力した情報がサービス側で保存・利用される可能性がある | 入力禁止情報の明確化、利用サービスと設定の確認 |
| 誤情報 | 事実と異なる内容をそのまま社外に出してしまう | 人による確認の義務化 |
| 権利侵害 | 出力が既存の文章や画像と酷似してしまう | 公開物は特に慎重に確認、出典の確認 |
| 隠れ利用 | 会社が把握していないツールやアカウントで業務利用される | 利用可能なサービスとアカウントを会社が指定 |
入力したデータがAIの学習に使われるかどうかは、サービスの種類や契約プラン、設定によって異なります。利用するサービスの利用規約やデータの取り扱いに関する説明を確認し、必要に応じて学習に利用されない設定や法人向けのプランを選ぶことが大切です。
社内ルールに盛り込みたい7つの項目
中小企業の場合、最初から分厚い規程を作る必要はありません。まずは次の7項目を、A4用紙1〜2枚程度にまとめるところから始めましょう。
- 目的：業務効率化や品質向上のために生成AIを活用すること、ルールはそのための指針であることを示します。
- 利用してよいサービスとアカウント：会社として認めるサービスを指定し、業務では会社が用意したアカウントを使うことを定めます。
- 入力してはいけない情報：個人情報、顧客や取引先から預かった情報、未公開の経営情報、パスワードなどを具体例とともに挙げます。
- 出力の取り扱い：出力は下書きとして扱い、社外に出す前に必ず人が内容を確認することを定めます。
- 利用に向く業務・向かない業務：推奨する使い方の例と、慎重に扱うべき業務の例を示します。
- 困ったときの相談先：判断に迷ったときに誰に相談すればよいかを明記します。
- 見直しの時期：生成AIは変化が早いため、半年に1回など定期的に見直すことを決めておきます。
「入力してはいけない情報」は具体的に書く
「機密情報は入力しないこと」とだけ書いても、何が機密なのかは人によって受け止め方が違います。「お客さまの氏名・住所・電話番号」「見積書や契約書の内容」「社員の人事情報」のように、現場の言葉で具体的に例示すると迷いが減ります。どうしても扱いたい場合は、名前を「A社」「Bさん」に置き換えるなど、匿名化してから入力する方法もあわせて示しておくと実用的です。
ルールを作る手順
ルールは経営者や管理部門だけで作るより、実際に使う現場の声を取り入れた方が守られやすくなります。次の流れで進めるのがおすすめです。
- 現状を把握する：すでに誰がどんな目的で生成AIを使っているかを聞き取ります。責めるのではなく、実態を知ることが目的です。
- たたき台を作る：上記の7項目に沿って、まずは簡単な案を作ります。このたたき台づくりに生成AIを使ってみるのも一つの方法です。
- 現場の意見を聞く：「この業務では使えないと困る」「この表現が分かりにくい」といった声を反映します。
- 周知と研修を行う：ルールを配るだけでなく、具体例を交えた短い説明会を開くと理解が深まります。
- 運用しながら見直す：実際に使う中で出てきた疑問や事例をもとに、定期的に更新します。
なお、個人情報の取り扱いについては、個人情報保護法をはじめとする法令や、業界ごとのガイドラインにも配慮が必要です。判断が難しい場合は、専門家に確認することをおすすめします。
ルールを「使われるもの」にするために
せっかく作ったルールも、読まれずに放置されてしまっては意味がありません。定着させるためには、次のような工夫が効果的です。
- よく使う業務ごとに「OKな使い方」の具体例を添える
- 迷ったときにすぐ確認できるよう、1枚のチェックリストにまとめる
- 社内で良い使い方の事例を共有し、ルールを守りながら成果が出ることを示す
ルールを整えたうえでの導入の進め方は「生成AIを業務に取り入れる最初の一歩」、活用を社内に根づかせる工夫は「社内でAI活用が定着しない理由と対策」、具体的な業務での使い方は「議事録・メール作成を生成AIで時短するコツ」で紹介しています。
株式会社善の「ゼンシン」では、社内ルールづくりを含めたAI活用の土台づくりから、現場での定着までを伴走支援しています。自社だけで進めるのが不安な場合は、お気軽にご相談ください。
社内ルールの記載例
実際にどのような書き方をすればよいのか、イメージしやすいように簡単な記載例を紹介します。自社の業務や使うサービスに合わせて書き換えてご活用ください。
生成AI利用ルール（例）
1. 目的：業務の効率化と品質向上のため、生成AIを積極的に活用します。
2. 利用できるサービス：会社が指定したサービスを、会社が用意したアカウントで利用します。
3. 入力禁止の情報：お客さまや取引先の氏名・連絡先、契約や見積の内容、社員の個人情報、未公開の経営情報、パスワード等。
4. 出力の扱い：出力は下書きとして扱い、社外に出す前に必ず担当者が内容を確認します。
5. 相談先：判断に迷ったときは、【担当部署・担当者】に相談します。
6. 見直し：本ルールは【半年】ごとに見直します。
このくらいの分量であれば、全員が一度で読み切れます。細かな運用ルールは、実際に使う中で出てきた疑問に合わせて少しずつ追加していけば十分です。最初から完璧なルールを目指すより、まずは全員が守れるシンプルなルールを決めて運用を始めることが、結果として安全な活用につながります。
業務別の「OK例・NG例」を添えると伝わりやすい
たとえば「お客さまへのメールの文面を整える」はOKでも、「お客さまの名前や住所を入れたまま依頼する」はNGです。このように同じ業務の中でOK例とNG例を並べて示すと、現場の人が自分の仕事に置き換えて判断しやすくなります。OK例には、そのまま使えるプロンプトを添えておくのもおすすめです。書き方は「生成AIプロンプトの基本と業務テンプレ集」を参考にしてください。
公的なガイドラインも参考にする
※参照しているガイドラインの版は2026年10月時点のものです（経済産業省・総務省「AI事業者ガイドライン」は第1.2版〔2026年3月31日〕）。改訂されることがあるため、公式ページで最新版を確認してください。
自社のルールを作るときは、公的機関が公表している資料も参考になります。すべてを取り入れる必要はありませんが、考え方を知っておくと、抜けやもれを防げます。
- 個人情報の扱い：個人情報保護委員会は、生成AIサービスに個人情報を入力する際の注意点をまとめた注意喚起を公表しています。
- 導入と運用の進め方：IPAの「テキスト生成AIの導入・運用ガイドライン」は、企業が生成AIを導入・運用するときの考え方を整理しています。
- AIを使う事業者の心構え：経済産業省と総務省の「AI事業者ガイドライン」では、AIを業務で利用する事業者にも求められる考え方が示されています。
また、使うサービスによって、入力した情報が学習に使われるかどうかや、管理者が設定できる範囲が異なります。例えばGoogle Workspaceの対象エディションでのGeminiの扱いは、Googleのプライバシーハブで説明されています。自社で使うサービスの規約と設定を確認したうえで、ルールに反映しましょう。
よくある質問
- 社員数が少ない会社でもルールは必要ですか？
必要です。人数が少ないほど一人の判断がそのまま会社の判断になるため、入力してはいけない情報と出力の確認の2点だけでも、文章にして共有しておくと安心です。
- 無料の生成AIサービスを仕事で使ってもよいですか？
サービスによって、入力した情報の扱いや管理機能が異なります。無料版を使う場合は、個人情報や社外秘の情報を入力しないことをルールに明記し、可能であれば会社として契約した環境を用意しましょう。
- ルールはどのくらいの頻度で見直せばよいですか？
生成AIのサービスや社内での使い方は変化が速いため、半年に一度程度を目安に見直すのがおすすめです。新しいサービスを導入したときや、困った事例が出たときも見直しのタイミングです。
- ルールを作っても守られるか不安です。
禁止事項だけを並べるより、使ってよい場面の例や、迷ったときの相談先を書くと、守られやすくなります。研修や朝礼で具体例を紹介し、定期的に思い出してもらう工夫も効果的です。
まとめ
- 生成AIの全面禁止は隠れ利用を招きやすく、「安心して使える範囲」を示すことが大切です。
- 情報漏えい、誤情報、権利侵害、隠れ利用といったリスクを整理したうえでルールを作りましょう。
- 最初はA4用紙1〜2枚程度、7つの項目から始めれば十分です。
- 入力してはいけない情報は、現場の言葉で具体的に例示すると迷いが減ります。
- ルールは作って終わりではなく、運用しながら定期的に見直していきましょう。
あわせて読みたい
- 中小企業の生成AI導入は何から？最初の一歩と5ステップ
- 社内でAI活用が定着しない理由と対策
- 介護・訪問看護の記録業務をGoogleツールと生成AIで軽くする方法
- Gemini Notebook（旧NotebookLM）とは？社内マニュアル・議事録を仕事で使う手順
- 生成AIの費用はいくら？ChatGPT・Gemini・Claudeの法人プランの考え方
- 大手企業で生成AIを活用するときの注意点｜情報管理・ガバナンス・展開の進め方
- ゼンシン AI人材レンタル
参考資料・出典
- 個人情報保護委員会 生成AIサービスの利用に関する注意喚起等について
- IPA テキスト生成AIの導入・運用ガイドライン
- 経済産業省 AI事業者ガイドライン
- IPA 中小企業の情報セキュリティ対策ガイドライン
- Google Workspace の生成 AI に関するプライバシー ハブ
製品や制度の内容は変更される場合があります。公開日・更新日とあわせて、各公式資料の最新情報をご確認ください。
