生成AIの社内ルールの作り方を徹底解説！盛り込む項目とひな形も紹介
社員が思い思いに生成AIを使い始め、ルールがないまま顧客情報や社外秘が入力されていないか不安。そんな状態で「社内ルールを作れ」と任されて、何から手を付けるべきか迷っていないでしょうか。ゼロから条文を考える必要はなく、公的なひな形と定番の項目立てがすでに揃っています。
この記事では、生成AIの社内ルール(利用ガイドライン)に盛り込む項目と作り方の手順を、公的機関の一次資料に沿って解説します。読み終えるころには、自社の策定作業を具体的に始められるはずです。結論から言うと、完璧な初版を目指すより、公的ひな形を土台にした最小構成で始めて育てるのが近道になります。
生成AIの社内ルールはなぜ必要か
前提として押さえたい理由は以下の3つです。
- ルールがないと入力の判断が個人任せになる
- 公的ガイドラインが利用企業の遵守事項を定めている
- 禁止ではなく安全に使うためのルールと捉える
ルールがないと入力の判断が個人任せになる
最大のリスクは、何を入力してよいかの判断が社員それぞれに委ねられる状態です。個人情報保護委員会は2023年6月に注意喚起を出しました。本人の同意なく個人データを含むプロンプトを入力し、そのデータが応答の生成以外の目的で扱われる場合は、個人情報保護法違反となる可能性を指摘しています。
同時に、サービス事業者が入力データを機械学習に利用しないことなどを十分確認するよう求めており、この確認は個人ではなく組織の仕事です。同じ注意喚起は一般の利用者にも、応答には不正確な個人情報が含まれ得る点や、利用規約とプライバシーポリシーを確認して入力内容を判断するよう促しています。ルールは、社員を縛るためではなく、こうした判断を個人に押し付けないために必要になるのです。
危機感の公的な裏付けも新しくなりました。IPAの情報セキュリティ10大脅威2026では、AIの利用をめぐるサイバーリスクが組織向けの3位に初めて選ばれています。ルールのない利用は、公的に名指しされたリスクを個人の注意力だけで受け止める状態だと言えます。
公的ガイドラインが利用企業の遵守事項を定めている
国も、AIを使う企業側の心得を明文化しています。総務省と経済産業省のAI事業者ガイドライン(第1.2版・2026年3月31日)は、事業でAIを利用する企業をAI利用者と定義し、守るべき事項を列挙した公式文書です。
代表的な項目は、提供者が定めた範囲内での適正利用・個人情報の不適切な入力への対策・機密情報を不適切に入力しない注意・サービス規約の遵守です。出力の精度やリスクを理解したうえで確認して使う利用姿勢まで求められています。社内ルールは思いつきで作るものではなく、この公的な骨格を自社の言葉へ翻訳する作業です。そう捉えると、何を書くべきかの迷いが減ります。
法律の面でも流れは明確になりました。AIの研究開発と活用を推進する国の基本法として、AI法(AI推進法)が2025年9月に全面施行され、2026年7月には同法に基づくAI基本計画の第2期が閣議決定されています。企業のAI活用は国の政策の本流であり、だからこそ禁止一辺倒ではなく、安全に使うための社内ルールが求められる構図です。
禁止ではなく安全に使うためのルールと捉える
ルールの目的は禁止ではありません。東京都の生成AI利用の手引き(Version1.0・2026年3月)が実物の好例です。透明性・公平性・安全性・プライバシー・セキュリティ・アカウンタビリティの6つの留意事項を掲げたうえで、生成物を構成案などの中間成果物として活用し、最終成果物には職員が創作性を持って加筆・修正する前向きな運用指針まで定めています。
厳しすぎるルールは、隠れて個人アカウントを使う行動を生み、かえって危険です。使ってよい条件を明確にして、安心して使わせるための道具と位置づけましょう。
社内ルールに盛り込む定番の項目
盛り込む項目は以下の3グループに整理できます。
- 対象範囲と使ってよいツールを決める
- 入力してよい情報の線引きを決める
- 生成物の確認と責任のルールを決める
対象範囲と使ってよいツールを決める
最初に決めるのは、誰に適用するか(役員・社員・派遣・委託先)と、どのツールを許可するかです。会社が認めたツールだけを列挙する許可リスト方式が実務の定番で、個人アカウントの業務利用は対象外にします。
東京都の手引きでも、許可を受けたツール以外の業務利用と私物端末での利用は禁止され、違反すると懲戒処分の対象となる場合があると明記されています。あわせて決めたいのが、新しいツールの追加を申請できる窓口です。窓口があれば、許可リストが実態から離れません。利用状況のログをどの範囲で把握するかも、この項目とセットで決めておくと、ルールが守られているかを後から確かめられます。
入力してよい情報の線引きを決める
次が入力ルールです。IPAのテキスト生成AIの導入・運用ガイドライン(2024年7月)は、記載すべき項目として入力制限を挙げています。対象は著作権で保護された情報・氏名や住所などの個人情報・内部文書や秘密保持契約で扱う機密情報です。
顧客情報を扱う業務や外部公開前の情報を扱う業務では、利用自体の制限を検討すべきとする業務例の整理も同資料の内容です。加えて同資料は、AI各社が利用規約で禁止する用途(違法行為や詐欺・なりすまし等)の整理も項目に挙げています。OKとNGの具体例を自社の業務名で書き換えることが、現場で迷わないルールを作る要点です。
生成物の確認と責任のルールを決める
出力側のルールも同じくらい重要です。IPAの同資料は、生成物の誤りの確認・著作権や商標などの権利侵害の確認・生成AIで作成した事実の明示を項目として挙げています。東京都の手引きも、根拠や裏付けの確認と、対外的に使う場合の「生成AIにより作成」の明記をチェックポイントにしています。
AIのハルシネーションとは？原因と対策・防ぐプロンプトを解説
あわせて、最終責任が利用した本人と所属組織にある点の明文化も必要です。AIのせいにできない構造にしておくと、確認の習慣が根づきます。迷ったときの相談窓口と、トラブル発生時の報告先をルール内に書いておくと、現場が問題を隠さず早く報告できるようになります。
社内ルールの作り方【最小構成で始める手順】
策定の流れは以下の3ステップです。
- 手順1: 公的なひな形を土台に選ぶ
- 手順2: 自社の業務に合わせて線引きを埋める
- 手順3: 暫定版として公開し定期的に見直す
手順1: 公的なひな形を土台に選ぶ
ゼロから書き始めるのは遠回りです。日本ディープラーニング協会(JDLA)は、生成AIの利用ガイドラインのひな形(第1.1版・2023年10月)を公開しています。条項のみの版と簡易解説付きの版、画像生成AI編まで揃っています。組織の目的に合わせて追加・修正して使う前提の資料です。
JDLAのひな形は2023年5月の第1版から同年10月に第1.1版へ改訂され、2024年2月には画像生成AI編も追加された、時点更新される前提の資料です。項目立ての参考にはIPAのガイドラインが、実物の完成例には東京都の手引きが使えます。AI事業者ガイドラインにはチェックリストとワークシートも付属しており、土台の材料は無料で揃います。
公的なひな形はもう1つ増えました。総務省が自治体向けのAI活用・導入ガイドブック(第4版・2025年12月)の別紙として、生成AIシステム利用ガイドラインのひな形Ver1.0をWord形式で公開しています。自治体向けの体裁ですが、編集して使う前提の公的ひな形として、JDLA版と並ぶ選択肢です。
手順2: 自社の業務に合わせて線引きを埋める
ひな形の空欄を埋める作業は、決裁と実務の2層に分けるのがコツです。経営側が決めるのは、許可するツールと契約プラン・責任の引き受け・違反時の扱いといった決裁事項です。現場側は、入力禁止情報の具体例や確認フローを業務の言葉で埋めます。
全部署一律で完璧を狙わず、生成AIの利用が多い部署の業務例から書き始めるのが、実態に合うルールを作る要領です。
手順3: 暫定版として公開し定期的に見直す
初版は暫定版と明記して公開し、運用しながら育てます。AI事業者ガイドライン自体が、状況に応じて更新し続けるリビングドキュメントとして設計されており、変化の速い分野ではルールも同じ発想が必要です。
実際、同ガイドラインは第1.0版から約2年で第1.2版まで3度更新されています。法律も動いており、個人情報保護法は2026年7月に改正法が公布され、施行に向けた整備が続く段階です。見直しを回さないルールは形骸化し、作った事実だけが残ります。
見直しの目安は半年に1回が実務の相場です。加えて新しいツールの採用時・トラブル発生時・関係する法改正の施行時には、周期を待たず臨時で改定する取り決めにしておきましょう。
コーディングAIまで含めるのが2026年の作り方
多くのひな形が想定していない追加ポイントは以下の3つです。
- 対象をチャット型のAIだけにしない
- エージェントに与える権限のルールを足す
- 生成コードの確認義務を明記する
対象をチャット型のAIだけにしない
既存のひな形の多くは、チャット画面に文章を入力する使い方を想定しています。しかし現在は、Claude CodeやCodexのようにファイルを読み書きしコマンドまで実行するエージェント型のAIが業務に入り始めており、チャット前提のルールでは穴が生まれます。対象をチャット型とエージェント型の両方と明記するだけでも、ルールの抜けの大部分は防げる計算です。
ツールごとの学習ポリシーの確認も対象に含めてください。たとえばClaude Codeは、商用プランでは学習に使われない一方、個人プランは利用者の設定次第です。
Claudeに学習させない設定を解説！Claude Code・法人での扱いも紹介
エージェントに与える権限のルールを足す
エージェント型のAIは、どのフォルダを読ませるか、どこまで自動実行を許すかの権限の問題が加わります。ルールには、機密ファイルを読ませない設定と確認なし実行を許す条件(隔離された環境に限る等)の2点を足しておくと、チャット型との違いをカバーできます。
具体的な設定はツール側に用意済みです。守りの設計は次の記事で解説しています。
生成AIのセキュリティを徹底解説！リスクの分類と会社でやるべき対策も紹介
生成コードの確認義務を明記する
文章と同じく、AIが書いたプログラムにも誤りや脆弱性が混ざる可能性があります。生成コードを会社のシステムで動かす前に、内容を確認できる人のレビューを通す義務をルール化してください。
文章の生成物に確認義務を課すなら、コードにはより強い確認が必要です。ここまで書いてあるひな形はまだ少ないため、自社で1項目足すだけで実態に合ったルールになります。
生成AIの社内ルールに関するよくある質問
策定時に迷いやすい点への回答は以下の5つです。
- ひな形はどこで手に入りますか？
- 小さな会社でも作るべきですか？
- 策定は法律上の義務ですか？
- 取引先からAIの利用方針を聞かれたらどうしますか？
- 就業規則との関係はどう整理しますか？
ひな形はどこで手に入りますか？
無料の公的資料で揃います。JDLAの資料室では利用ガイドラインのひな形(条項のみ・簡易解説付き)を配布しており、AI事業者ガイドラインのページにはチェックリストとワークシートが付属しています。
実物の書きぶりは、東京都の生成AI利用の手引きが手本です。章立てから約束事の表現まで、公開資料でそのまま確認できます。
小さな会社でも作るべきですか？
作るべきです。ただしフル構成は不要で、対象範囲・許可ツール・入力禁止情報・生成物の確認・相談先の5項目を、1ページにまとめた最小版から始めて構いません。
教育とセットで運用するのが定着の近道です。IPAはAI利用者向けのセキュリティ豆知識を社内研修に使えるスライド形式で公開しており、導入・運用ガイドラインでも、eラーニングでの周知やプロンプトの社内共有といった活用文化づくりまで教育の項目に含めています。社内展開の進め方は次の記事も参考にしてください。
Claude Codeの法人導入と研修を徹底解説！Teamプランの選び方も紹介
策定は法律上の義務ですか？
社内ルールの策定そのものを直接義務付ける法律はありません。AI法も、AIの研究開発と活用を推進する基本法であり、社内ルールの策定を直接求めるものではありません。
ただし、入力する内容によっては個人情報保護法など既存の法律に触れる可能性を、個人情報保護委員会が注意喚起しています。義務ではないから不要、とはならないのが実務の答えです。
取引先からAIの利用方針を聞かれたらどうしますか？
自社ルールの文書がそのまま回答になります。対象範囲・入力の線引き・生成物の確認体制の3点を示せれば、取引先の確認におおむね答えられる内容です。
サプライチェーン経由の攻撃はIPAの10大脅威で毎年上位にあり、委託先のAI利用まで気にする会社は今後も増えます。聞かれてから慌てて作るのではなく、聞かれたら見せられる状態を先に作っておくのが得策です。
就業規則との関係はどう整理しますか？
違反時の扱いを懲戒と接続するかは、就業規則との整合が必要な論点です。東京都の手引きのように、違反すると懲戒処分の対象となる場合があると明記する実例はあります。
一方で、罰則の法的な有効性は既存規程との関係で決まるため、懲戒条項を入れる場合は法務担当や社会保険労務士の確認を通してから公開しましょう。既存の情報セキュリティ規程がある会社では、生成AIルールを独立の文書にするか下位文書として位置づけるかも、先に決めておくと改定時の混乱を防げます。
生成AIの社内ルール作りはひな形と最小構成で始めましょう
生成AIの社内ルールには定番の骨格があります。対象範囲とツール・入力の線引き・生成物の確認と責任です。ここにコーディングAIの権限と生成コードの確認を加えるのが2026年の作り方になります。根拠と土台は、JDLAのひな形・AI事業者ガイドライン・IPAと東京都の資料で揃います。すべて公的な一次情報です。
完璧な初版を待つ間も、社員の入力は止まらないのが現実です。経営の決裁と現場の記述の2層で分担すれば、着手から公開までの道のりは短くなります。まず5項目の最小版を暫定公開し、業務の実態に合わせて半年ごとに育てていきましょう。
