生成AIの社内ルール・ガイドラインの作り方｜盛り込む項目と条文例

社員が生成AIを使い始めているが、会社としてのルールがない。何を禁止し、何を認めればよいのか分からない。厳しくしすぎると誰も使わなくなりそうで、決めきれない。生成AIの社内ルールづくりでは、こうした迷いがよく聞かれます。

この記事では、生成AIの社内ルール・ガイドラインに盛り込むべき項目と、そのまま使える条文例を紹介します。情報の区分の決め方、作成の6ステップ、運用のチェックリスト、作り込みすぎなくてよいケースも、国や自治体のガイドラインを出典に解説します。

生成AIの社内ルールが必要な理由

まず、生成AIの利用とルール整備がどこまで進んでいるかを、公的な調査の数字で確認します。

総務省の令和8年版情報通信白書によると、2025年度の企業向け調査で、何らかの業務で生成AIを利用している日本企業は86.4%に達しました。一方で、リスク対策として「全社的な指針やガイドラインを整備している」と答えた日本企業は41.1%でした（出典：総務省「令和8年版情報通信白書」第Ⅰ部第2章第1節）。利用が広がる一方で、ルールが追いついていない会社が少なくないことが分かります。

同じ調査で、企業が最も懸念するリスクは「社内情報の漏洩などのセキュリティリスクがある」で、次いで「出力結果の精度に問題がある」「著作権等の権利を侵害する可能性がある」が挙がっています（出典：総務省「令和8年版情報通信白書」）。社内ルールは、この3つのリスクに会社としてどう備えるかを決めるものです。

社内ルールの役割は、禁止することだけではありません。「ここまでは使ってよい」という範囲をはっきり示すことで、社員が安心して使えるようになります。ルールがないと、慎重な社員は使わず、慣れた社員だけが自己判断で使う状態になりがちです。

ルールがないと起きやすいトラブル

顧客の個人情報や取引先の資料を、入力データが学習に使われる設定のまま入力してしまう
生成AIが出した誤った数値や制度の説明を、確認せずに顧客へ伝えてしまう
既存の文章や画像に似た生成物を、そのまま広告や資料に使ってしまう
取引先との秘密保持契約で禁止されている使い方をしてしまう

参考になる公的なガイドラインとひな形

社内ルールをゼロから作る必要はありません。次のような資料を参考に、自社の実態に合わせて作ると効率的です。

資料	発行元	参考になる点
AI事業者ガイドライン（第1.2版、令和8年3月31日）とチェックリスト	総務省・経済産業省	AIを業務で使う「AI利用者」が気をつけることの全体像。取組を確認するチェックリストもある
生成AIサービスの利用に関する注意喚起等（2023年6月2日）	個人情報保護委員会	個人情報を入力する際の注意点
AIと著作権に関する考え方について（令和6年3月）	文化審議会著作権分科会法制度小委員会（文化庁が公表）	生成物を利用する際の著作権の考え方
AI導入・活用ガイドライン（令和8年3月）	東京都デジタルサービス局	留意すべき事項ごとの対応の方向性。自治体向けだが整理の仕方が参考になる
生成AI導入の進め方の手引（令和7年3月）	愛媛県	中小企業向けに、利用ルールの設定を導入手順の中に位置づけている
生成AIの利用ガイドライン（ひな形、第1.1版、2023年10月）	一般社団法人日本ディープラーニング協会	社内ルールの条文の構成。自社の目的に合わせて修正して使うことが想定されている

AI事業者ガイドラインの別添のチェックリストには、「AIガバナンスやプライバシーに関するポリシー等を策定しているか」という確認項目があります（出典：総務省・経済産業省「AI事業者ガイドライン別添7 チェックリスト」）。日本ディープラーニング協会のひな形も、組織内での活用目的等に照らして必要な追加や修正を加えて使うよう案内しています（出典：日本ディープラーニング協会「資料室生成AIの利用ガイドライン」）。ひな形はあくまで出発点です。そのまま使わずに自社用に書き換えてください。

社内ルールに盛り込むべき8つの項目

中小企業の社内ルールでは、次の8項目を押さえておけば、基本的なリスクに対応できます。

項目	決めること
1. 目的	何のために生成AIを使うのか、会社としての方針
2. 対象者と範囲	誰が、どの業務で使ってよいか。派遣社員や業務委託先を含むか
3. 利用できるサービス	会社が認めたサービスとプラン、設定（入力データを学習に使わない設定など）
4. 入力してはいけない情報	個人情報、機密情報、取引先から預かった情報などの具体例
5. 生成物の確認	事実確認の方法、誰が確認してから使うか
6. 社外への公開	生成物を広告や資料に使う場合の確認、著作権への配慮、AI利用の表示の要否
7. 相談・報告の窓口	迷ったときの相談先、誤って入力した場合の報告先と対応
8. 見直し	ルールを見直す時期と担当者

3と4は、AI事業者ガイドラインがAI利用者に求める事項と対応しています。同ガイドラインは、AI提供者が定めた利用上の留意点を守ることや、個人情報や機密情報等を不適切に入力しないよう注意を払うことを挙げています（出典：総務省・経済産業省「AI事業者ガイドライン（第1.2版）本編」第5部）。

部署ごとに追加したいルールの例

全社共通のルールに加えて、扱う情報が多い部署には追加のルールを設けると運用しやすくなります。たとえば人事・採用では、応募者の履歴書や面接記録を入力しないこと、求人原稿の労働条件は必ず人が確認することを定めます。営業では、見積金額や取引条件を入力しないこと、顧客への提案内容は事実を確認してから送ることを定めます。

マーケティングでは、広告やウェブサイトに使う文章・画像について、誇張した表現がないか、既存の作品に似ていないかを確認する手順を決めておきます。部署ごとのルールは、全社ルールの別紙として短くまとめると、更新もしやすくなります。

そのまま使える条文例

ここでは、社員30名前後の会社を想定した条文の例を紹介します。〔　〕の部分を自社の内容に書き換えて使ってください。法的な判断が必要な部分は、顧問の弁護士や社労士に確認することをおすすめします。

目的と範囲

第1条（目的）本ルールは、当社の業務における生成AIの適切な利用を定め、業務の効率化と情報の保護を両立することを目的とする。

第2条（対象）本ルールは、当社の役員、従業員、および当社の業務に従事する〔派遣社員・業務委託先〕に適用する。

利用できるサービス

第3条（利用できるサービス）業務で利用できる生成AIサービスは、〔推進担当〕が承認した〔サービス名・プラン〕に限る。個人で契約したアカウントや、承認されていないサービスを業務に利用してはならない。

入力してはいけない情報

第4条（入力の禁止）次の情報は、生成AIサービスに入力してはならない。ただし、〔推進担当〕が個別に認めた場合を除く。(1)顧客・従業員の氏名、連絡先などの個人情報 (2)取引先から秘密として提供された情報 (3)未公表の財務・人事・価格に関する情報 (4)パスワードなどの認証情報

生成物の確認と社外への公開

第5条（生成物の確認）生成AIの出力には誤りが含まれる可能性があることを前提とし、利用者は、数値・日付・制度・固有名詞などの事実を元の資料で確認してから利用する。

第6条（社外への公開）生成物を広告、ウェブサイト、顧客向け資料など社外に公開する場合は、〔上長〕の確認を受ける。既存の著作物に類似していないかを確認し、特定の作品や他者の文章に似せる目的で生成AIを利用してはならない。

相談・報告と見直し

第7条（相談・報告）利用にあたって判断に迷う場合は、〔推進担当〕に相談する。禁止された情報を誤って入力した場合は、速やかに〔推進担当〕に報告する。

第8条（見直し）本ルールは、〔半年〕ごと、および法令や公的なガイドラインの改訂、利用するサービスの変更があった場合に見直す。

第6条を決めるときに読んでおきたい著作権の考え方

社外への公開の条文は、文化庁の整理を踏まえて決めると根拠を説明しやすくなります。生成物に既存の著作物との類似性と依拠性が認められると著作権侵害になり得ますが、依拠性について、文化庁の資料は次のように書いています。

また、生成AIの開発・学習段階で当該既存の著作物が学習されていた場合は、AI利用者が既存の著作物を認識していない場合でも、通常、依拠性があったと推認される
出典：文化庁「AIと著作権に関する考え方について【概要】」

つまり「似せるつもりはなかった」だけでは安心できません。社外に出す前に人が類似の有無を確認する手順を、ルールに入れておく意味はここにあります。東京都のガイドラインも、対応の方向性として次のように示しています。

生成物はあくまで中間成果物（アイデア・構成案）として利用し、最終成果物には職員が創作性を持って加筆・修正を行うことで、著作物として保護される可能性を高める
出典：東京都デジタルサービス局「東京都AI導入・活用ガイドライン」（令和8年3月）

民間企業でも、「生成物は下書きとして使い、社外に出すものは人が加筆・確認する」という一文を第6条に加えておくと、運用の考え方がそろいます。

入力してよい情報の線引きを決める判断基準

社内ルールで最も迷うのが、どの情報まで入力してよいかの線引きです。「機密情報は禁止」とだけ書くと、何が機密か分からず、社員が判断できません。情報を3つ程度に区分し、区分ごとの扱いを決めると運用しやすくなります。

区分	情報の例	扱いの例
入力してよい	公開済みの自社情報、一般的な知識、個人や取引先を特定できない業務メモ	承認されたサービスで自由に利用できる
加工すれば入力してよい	社内の議事録、顧客対応の記録、アンケートの自由回答	氏名・社名などを仮名や記号に置き換えてから入力する
入力禁止	個人情報、取引先から預かった秘密情報、未公表の財務・人事情報、認証情報	原則として入力しない。必要な場合は推進担当の承認を得る

個人情報については、個人情報保護委員会の注意喚起が判断の基準になります。個人情報取扱事業者が個人情報を含むプロンプトを入力する場合について、次のように求めています。

特定された当該個人情報の利用目的を達成するために必要な範囲内であることを十分に確認すること。
出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」別添1（2023年6月2日）

同じ注意喚起は、サービス提供者が入力された個人データを機械学習に利用しないことなどを十分に確認することも求めています（出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」）。区分を決める前に、使うサービスの規約と設定を確認しておきましょう。中小企業向けの愛媛県の手引も、参照データの個人情報や機密情報は削除・マスキングすることを挙げています（出典：愛媛県「生成AI導入の進め方の手引」）。

取引先と秘密保持契約を結んでいる場合は、契約で外部サービスへの提供が制限されていないかも確認が必要です。

社内ルールを作る6つのステップ

利用実態を調べる：社員がどのサービスを何に使っているか、簡単なアンケートで把握します。
目的と使う範囲を決める：経営者が、生成AIを何のために使うのかを決めます。
使うサービスと設定を決める：入力データの扱いや管理機能を確認し、会社として使うサービスを決めます。
ひな形をもとに案を作る：8つの項目と条文例をもとに、自社用の案を作ります。
確認して周知する：経営者の承認を得て、説明会や社内掲示で全員に伝えます。必要に応じて専門家の確認を受けます。
運用して見直す：運用中に出た質問や迷いを集め、定期的にルールを更新します。

ステップ3では、入力データが学習に使われない設定にできるかを必ず確認します。東京都のガイドラインも、情報漏洩を防ぐ対応の方向性として、入力データが学習に使われない設定（オプトアウト）を行うことを挙げています（出典：東京都「AI導入・活用ガイドライン」）。

中小企業では、ステップ1から5までを1か月程度で進めることも可能です。最初はA4用紙1〜2枚程度の基本ルールで始め、運用しながら追加していくほうが、完成を待って運用が遅れるよりも現実的です。

周知のしかたで定着が変わる

愛媛県の手引も、入力してよい情報と禁止する情報を明確にし、社内に周知することを利用ルールの要点に挙げています（出典：愛媛県「生成AI導入の進め方の手引」）。ただし、ルールを配布するだけでは、読まれないまま終わることがあります。説明会で具体的な例を示しながら伝える、よくある質問をまとめて共有する、研修の冒頭でルールを確認する、といった工夫が有効です。社員研修とセットにする場合は、生成AIの活用を学ぶ社員研修のように、ツールの使い方と業務での活用例をあわせて学べる研修を選ぶと、ルールと使い方を一度に伝えられます。

ルールづくりの費用と、作り込みすぎなくてよいケース

社内ルールは、ひな形を使えば自社で作ることもできます。その場合の主な費用は、推進担当の作業時間です。法的な確認を専門家に依頼する場合は、依頼する範囲や顧問契約の有無によって費用が変わるため、事前に見積もりを取ってください。

一方で、次のような場合は、最初から細かいルールを作り込む必要はありません。

社員が数名で、経営者が全員の使い方を直接把握できる
使う業務が社内向けの文書作成などに限られ、個人情報や取引先の情報を扱わない
まだ試行の段階で、使い方が固まっていない

こうした場合でも、「使ってよいサービス」と「入力してはいけない情報」の2点だけは決めておきましょう。この2点があれば、大きなトラブルの多くは防げます。反対に、ルールを細かく厳しくしすぎると、社員が使うのをためらい、活用が進まなくなることがあります。

運用を続けるためのチェックリスト

ルールの最新版がどこにあるか、全員が知っているか
新しく入社した社員に、ルールを説明しているか
使うサービスの規約や設定が変わっていないか、定期的に確認しているか
社員からの質問や迷った事例を集めているか
公的なガイドラインの改訂を確認しているか
誤って入力した場合の報告が、実際に上がる雰囲気になっているか

AI事業者ガイドラインは、令和8年3月31日の第1.2版で、AIエージェントについて、自律的な行動による人間の意図しない動作などのリスクや、人間の判断を介在させる仕組みの構築といった留意事項を追加しました（出典：総務省・経済産業省「AI事業者ガイドラインの令和7年度更新内容」）。生成AIの機能は変化が早いため、ルールも一度作って終わりではなく、定期的に見直すことが前提です。

ツナグバで、生成AI活用のサービスを比べる

ツナグバは、BtoBサービスを無料で比べられる掲載サイトです。気になるサービスの資料を、まとめて無料で請求できます。ルールを決めたうえで活用を広げる段階では、次のようなサービスが掲載されています。

社員全員が生成AIを使いこなせる業務プラットフォーム：業務ごとに用意された指示文（プロンプト）を使い、社員が生成AIを手軽に活用できるようにするサービスです。社内で生成AIの活用を広げたい企業向けです。
生成AIの活用を学ぶ社員研修：代表的な生成AIツールの使い方を、業務での活用例とあわせて学ぶ研修です。社員のAIスキルを底上げしたい企業向けです。

ルールとあわせて、使い方をそろえる仕組みや研修を検討している場合は、資料を取り寄せて比べてみてください。

社員全員が生成AIを使いこなせる業務プラットフォーム

こんな課題に向いています。

生成AIを導入したが、使っているのは一部の社員にとどまっている
社員がAIにどう指示を書けばよいか分からず、活用が進んでいない
社員が個人で生成AIを使っていて、情報の扱いに不安がある

主な特徴は次のとおりです。

業務ごとに指示文（プロンプト）が用意されている：議事録やメールの下書きなど、業務ごとに使える指示文が用意されています。指示の書き方に慣れていない社員も使い始めやすくなります。
社内で使い方を共有できる：よく使う指示文を社内で共有できるものが一般的です。うまくいった使い方を広げやすくなります。
会社として利用を管理できる：誰がどのように使っているかを管理者が確認できる製品があります。管理機能や情報の扱いは製品によって違うため、資料で確認してください。

資料で確かめたいことの例です。

利用人数ごとの料金と、利用量による追加費用の有無
入力した情報がAIの学習に使われないか、保存先はどこか
自社の業務に合った指示文を追加・編集できるか

このサービスの詳細を見る

生成AIの活用を学ぶ社員研修

こんな課題に向いています。

生成AIに関心はあるが、業務でどう使えばよいか分からない社員が多い
社員によってAIの知識に差があり、社内で話がかみ合わない
生成AIを使うときの注意点を、社内で教えられる人がいない

主な特徴は次のとおりです。

代表的な生成AIツールの使い方を学べる：よく使われている生成AIツールの基本的な操作を学びます。初めて使う社員でも、基礎から順に進められる内容が一般的です。
業務での活用例とあわせて学べる：文章の下書きや情報の整理など、業務での使い方を例に学びます。学んだ内容を自分の仕事に当てはめて考えやすくなります。
使うときの注意点も学べる：誤った答えが出ることや、情報の扱いなどの注意点を学びます。社内で安全に使うための基礎になります。

資料で確かめたいことの例です。

研修の形式（対面かオンラインか、集合か個別か）
受講人数ごとの費用と、教材費などの追加費用
自社の業務に合わせて内容を調整できるか

よくある質問

社内ルールは就業規則に入れる必要がありますか？

必ずしも就業規則に入れる必要はなく、別の社内規程やガイドラインとして定める会社も多くあります。違反した場合の扱いまで定めたい場合は、就業規則との関係を整理する必要があるため、社労士などの専門家に相談してください。

無料の生成AIサービスの利用は禁止すべきですか？

無料版かどうかよりも、入力データの扱いと管理のしやすさで判断します。入力内容が学習に使われる設定になっているサービスは、業務での利用を避けるか、入力してよい情報を限定するのが一般的です。会社として認めるサービスを明示しましょう。

生成AIで作ったことを社外に表示する必要はありますか？

一律の表示義務があるわけではありませんが、取引先との契約や、媒体・業界のルールで求められる場合があります。社外に公開する生成物の扱いは、社内ルールの中で方針を決めておくと迷いが減ります。

ルールはどれくらいの頻度で見直せばよいですか？

半年から1年に1回の定期的な見直しに加え、使うサービスの変更、公的なガイドラインの改訂、社内でトラブルが起きたときなどに、臨時で見直すのが目安です。