生成AI社内ルールの作り方｜9項目テンプレートと3段階の導入手順

結論: 生成AIの社内ルールは、9つの項目をA4で1〜2枚にまとめることから始められる。完璧な規程を目指して策定が遅れるより、「最低限の枠」を先に置くほうが、野放しのリスクも過剰な禁止も防げます。経産省・IPAが2026年3月に公表したガイドラインを参照すれば、中小企業でも法的な方向性と整合したルール作りが可能です。

この記事の要点:

• 社内ルールはA4で1〜2枚・9項目のテンプレートからスタートできる
• 「試用期間→ルール整備→定着・改定」の3段階ロードマップで段階的に育てる
• 経産省・IPA・デジタル庁の2026年版ガイドラインとの対応表で、自社ルールがカバーすべき範囲を確認できる

対象読者: 社員がChatGPTやClaudeを使い始めたものの、社内ルールが未整備の中小企業の情シス担当者・総務・経営者。「使うな」とも「自由に使え」とも言えず判断に困っている方。

読了後にできること:

• この記事のテンプレートをコピーして、自社の最初のAI利用ルールを作成できる
• チェックリストで「AIに入力してはいけない情報」を社内に周知できる
• 政府ガイドラインとの対応表で、自社ルールの抜け漏れを確認できる

この記事では、社内ルールの必要性を整理したうえで、テンプレート、チェックリスト、導入ロードマップ、政府ガイドライン対応表を順に扱います。AI利用の承認が人間の判断で見落とされるリスクについては「AIエージェント承認を人間が3分の1見逃す｜4万回ゲーム実験の全容と対策」も参考になります。

社内ルールがないまま使い続けると何が起きるか

生成AIを社内ルールなしで使い続けると、次の3つの問題が表面化します。

機密情報がAIの学習データに入るリスク

社員がChatGPTの無料プランで顧客リストや契約書のドラフトを入力した場合、その内容がモデルの学習データに使われる可能性があります。OpenAIの利用規約では、API経由の入力はデフォルトで学習に使われませんが、ChatGPTのWeb版（無料・Plus）はオプトアウト設定をしない限り学習対象になります（OpenAI公式ヘルプ、参照日: 2026-08-24）。

ルールがなければ、社員は「便利だから使う」と判断します。入力してよい情報の線引きがないまま使い続けると、どこかで機密情報が外部サービスに渡ります。

出力をそのまま使う「ノーチェック運用」

生成AIの出力には、事実と異なる内容（ハルシネーション）が含まれることがあります。社内ルールに「出力は必ず確認する」と書かれていなければ、AIが生成した文章をそのまま顧客に送る、AIが作った数字をそのまま報告書に載せる、といった運用が定着します。

部署ごとにバラバラのツール選定

ルールがないと、営業はChatGPT、開発はClaude、経理はGeminiと、部署ごとに異なるツールを個人契約で使い始めます。法人契約ではないためデータ保護条項が適用されず、退職者のアカウントに会社の情報が残るリスクもあります。

9項目で組み立てるミニマルルール

社内ルールを最初から完璧に作ろうとすると、策定が進みません。まずは以下の9項目をA4で1〜2枚にまとめるところから始めてください。総務省・経産省「AI事業者ガイドライン（第1.2版）」とIPA「中小企業の情報セキュリティ対策ガイドライン（第4.0版）」の推奨事項をベースにした構成です。

項目1: 目的

「なぜこのルールを作るのか」を1〜2文で書きます。

記載例: 本ルールは、生成AIを業務に安全に活用するための最低限の基準を定め、情報漏えいと誤情報のリスクを低減することを目的とする。

項目2: 対象範囲

対象となるツール、部署、業務を明示します。「会社全体」か「特定部署のみ」か、「ChatGPTだけ」か「画像生成AIも含む」かを決めてください。

項目3: 利用可能なツールと契約形態

会社が認めるAIツールを列挙し、個人契約か法人契約かを指定してください。法人契約のツールを優先し、個人契約のツールはデータ保護条項を別途確認する必要がある旨を注記しておくとよいでしょう。

項目4: 入力禁止情報

AIに入力してはいけない情報を具体的に列挙してください（次のセクションで詳しく扱う）。

項目5: 出力の確認義務

AIの出力をそのまま社外に出さないルールを定めます。

記載例: 生成AIの出力を顧客への提出物・外部公開資料に使用する場合は、事実関係と固有名詞を人間が確認してから使用すること。

項目6: 著作権・知的財産への配慮

他者の著作物をAIに入力する場合の注意、AIが生成した文章や画像の著作権の扱いを決めておく項目です。2026年8月時点の日本の著作権法では、AI生成物に著作権が認められるかは個別の判断となります（文化庁「AIと著作権に関する考え方について」参照）。

項目7: 責任者・相談窓口

ルールに関する質問や、判断に迷う場面での相談先を決めます。中小企業であれば、情シス担当者や総務が兼任するケースが多いです。

項目8: 教育・周知

ルールを作っただけでは浸透しません。最低限、「ルールの場所（社内Wiki・Slackの固定ポストなど）」と「新入社員への説明タイミング」を決めておきます。

項目9: 改定サイクル

生成AIは進化が速く、ツールの仕様や法制度が頻繁に変わる分野です。最低でも半年に1回はルールを見直すことをあらかじめ決めておいてください。経産省のAI事業者ガイドラインも、第1.0版（2024年4月）→第1.1版（2025年3月）→第1.2版（2026年3月）と毎年改定されています。

入力禁止情報チェックリスト — 見落としやすい7項目

9項目のうち「項目4: 入力禁止情報」は、社員が最も迷う箇所です。以下のチェックリストを社内に掲示し、判断に迷ったら入力しない、を基本姿勢にします。

判断基準のシンプルルール: 「この情報が社外に漏れたら困るか？」と自問し、答えがYesなら入力しない。迷ったら項目7で決めた相談窓口に確認する。

試用期間から定着まで — 3段階で育てるロードマップ

社内ルールは、使いながら育てるほうが定着します。以下の3段階で進めてください。

第1段階: 試用期間（1〜2週間）

まず、限定した部署またはチーム（3〜5名程度）で生成AIを試用します。この段階ではルールのドラフトを配り、使いながらフィードバックをもらうことが目的です。

• 試用メンバーに9項目テンプレートのドラフトを共有する
• 1週間後に「ルールで判断に迷った場面」をヒアリングする
• 入力禁止情報に該当するか迷ったケースを記録する

第2段階: ルール確定と社内周知（2〜4週間）

試用期間のフィードバックを反映してルールを確定し、対象部署へ順次広げます。

• フィードバックをもとにルールを修正する（曖昧だった箇所を具体化する）
• 定例会議やSlackで周知する
• ツールの法人契約を締結する（個人契約からの切り替え）
• 社内WikiやNotionに「AI利用ルール」ページを作る

第3段階: 定着と改定（3ヶ月〜）

ルールが日常業務に定着しているかを確認し、形骸化を防ぎます。

• 四半期に1回、ルールの見直しを行う
• ツールの仕様変更（料金改定、利用規約の変更、新機能の追加）をチェックする
• 新しいAIツールの導入希望があった場合の申請フローを整備する
• 法改正やガイドライン更新があったら、対応表を更新する

2026年の主要ガイドラインと自社ルールの対応

2026年3月〜6月に、政府機関から生成AIに関するガイドラインが集中して公表されました。自社ルールがこれらのガイドラインとどこで接点を持つかを整理します。

対応表の使い方

自社ルールの9項目と、各ガイドラインの推奨事項を突き合わせます。

この対応表は、自社ルールの9項目がガイドラインのどこに対応するかを示す早見表です。法的義務の詳細は各ガイドラインの原文を確認してください。

ツール選定で確認する3つの条件

社内ルールの「項目3: 利用可能なツール」を決めるとき、次の3つの条件を確認します。

条件1: データが学習に使われない設定があるか

主要ツールのオプトアウト対応状況（2026年8月参照時点）:

各ツールの仕様は頻繁に変わります。上記は参照時点の情報であり、導入前に各サービスの最新の利用規約とプライバシーポリシーを確認してください。

条件2: 法人契約にデータ保護条項が含まれるか

個人プラン（無料・Plus等）と法人プラン（Team・Enterprise等）では、データの取り扱いが異なります。法人契約を選ぶ理由は主に3つです。

• データ処理契約（DPA） が締結できる
• 管理者による利用状況の把握（監査ログ）ができる
• 退職者のアカウント管理（データの削除・引き継ぎ）ができる

条件3: 社内のセキュリティ基準と整合するか

ISMS（ISO 27001）やPマーク（個人情報保護マーク）を取得している企業は、既存のセキュリティポリシーとAIツールの利用が矛盾しないかを確認します。IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」では、生成AIツールの選定にも既存のセキュリティ基準を適用するよう推奨しています。

社内ルールが形骸化する5つのパターンと回避策

ルールを作っても、使われなくなっては意味がありません。

❌ パターン1: ルールが長すぎて誰も読まない

A4で10ページを超える規程を作ると、全文を読む社員はほぼいません。

⭕ 回避策: 最初のルールはA4で1〜2枚に収める。詳細は「補足資料」として分離し、本体は9項目に絞る。

❌ パターン2: 禁止事項ばかりで「使いたくない」ルールになる

「〜してはならない」が並ぶルールは、社員の利用意欲を下げます。結果として、ルールを無視して使うか、AIの利用自体をやめるかの二択になります。

⭕ 回避策: 禁止事項の隣に「こう使えばOK」の例を必ず添える。たとえば「顧客名を入力してはならない」の隣に「顧客名を伏せた状態での文章推敲は可」と書く。

❌ パターン3: ルールの存在を知らない社員がいる

策定しただけで周知しないと、「そんなルールがあったんですか」と後から言われます。

⭕ 回避策: 社内の全体チャンネル（Slack等）に固定ポストで掲示し、入社時のオンボーディング資料にも含める。周知のタイミングは「ルール策定直後」と「入社時」の2回あれば最低限は足りる。

❌ パターン4: ツールの仕様が変わったのにルールが更新されない

生成AIツールの仕様は数ヶ月単位で変わります。料金改定、利用規約の変更、新機能の追加に対応しないと、ルールが現実と乖離します。

⭕ 回避策: 9項目の「改定サイクル」で半年に1回の見直しを決めておく。ツールの公式ブログ・リリースノートを定期的にチェックする担当者を決める。

❌ パターン5: 経営者が関与していない

情シスだけで作ったルールは、部署横断の強制力を持ちにくいです。

⭕ 回避策: ルールの承認者に経営者を入れる。策定の目的とリスクを経営者に説明し、「会社としての意思決定」にする。IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」でも、セキュリティ対策の第一歩は経営者の責任として位置づけられています。

よくある質問

Q1: 法的に社内ガイドラインの策定は義務ですか？

2026年8月時点の日本の法律では、生成AIの社内ガイドライン策定を直接義務づける規定はありません。ただし、個人情報保護法（個人データの安全管理措置義務）や不正競争防止法（営業秘密の管理）は生成AIの利用にも適用されるため、ルールなしで運用するとこれらの法律に抵触するリスクがあります。

Q2: まず何から始めればよいですか？

この記事の9項目テンプレートをコピーし、自社に合わせて書き換えるところから始めてください。最初は空欄があっても構いません。「項目4: 入力禁止情報」と「項目5: 出力の確認義務」だけでも先に決めると、最も大きなリスク（情報漏えいと誤情報の社外流出）を抑えられます。

Q3: 社員数10名以下でもルールは必要ですか？

はい。少人数だと「口頭で伝えれば済む」と考えがちですが、人が増えたとき・退職者が出たときに基準がないと困ります。A4で1枚のルールでも、あるのとないのでは大きく違います。

Q4: テンプレートはそのまま使ってよいですか？

この記事のテンプレートは一般的な構成を示したものであり、法的助言ではありません。自社の業種、取り扱うデータの種類、既存の就業規則やセキュリティポリシーに合わせてカスタマイズしてください。法的な確認が必要な場合は、弁護士や社会保険労務士に相談してください。

Q5: 海外の規制（EU AI Act等）も考慮すべきですか？

EU域内でサービスを提供する場合や、EU域内の顧客データを扱う場合はEU AI Actの対象になり得ます。2026年8月にEU AI Actは全面施行されています。詳しくは「EU AI Act全面施行の全容｜エンジニアが今日確認すべき3つのこと」を参照してください。

今日テンプレートを共有し、3ヶ月後に見直す

生成AIの社内ルール策定で最も避けたいのは、「完璧なルールを作ろうとして、いつまでも策定が終わらない」状態です。

今日できること:

• この記事の9項目テンプレートをコピーし、自社用に書き換える
• 入力禁止情報チェックリストを社内チャットに共有する
• ルールの責任者（相談窓口）を1名決める

来月までにやること:

• 試用チーム（3〜5名）でルールのドラフトを1〜2週間運用する
• フィードバックをもとにルールを確定し、対象部署へ周知する
• 法人契約への切り替えを検討する

3ヶ月後に確認すること:

• ルールは実際に参照されているか（社内Wikiのアクセス数等）
• ツールの利用規約やガイドラインに変更がないか
• 判断に迷ったケースが蓄積されていれば、ルールに反映する

まだ自社ルールがない場合、次に読む記事としては「EU AI Act全面施行の全容｜エンジニアが今日確認すべき3つのこと」で海外規制の動向を押さえておくことをおすすめします。

参考・出典

• AI事業者ガイドライン（第1.2版） — 総務省・経産省（参照日: 2026-08-24）
• 中小企業の情報セキュリティ対策ガイドライン 第4.0版 — IPA（参照日: 2026-08-24）
• 中小企業の情報セキュリティ対策ガイドライン 第4.0版 説明資料 — IPA（参照日: 2026-08-24）
• 行政の進化と革新のための生成AIの調達・利活用に係るガイドライン 第2.0版 — デジタル庁（参照日: 2026-08-24）
• 東京都AI導入・活用ガイドライン — 東京都（参照日: 2026-08-24）
• AI事業者ガイドライン第1.2版の公表 — 解説記事（参照日: 2026-08-24）
• 【詳細解説】中小企業情報セキュリティ対策ガイドライン 第4.0版の概要と改訂ポイント — 東京都サイバーセキュリティ（参照日: 2026-08-24）
• 生成AI社内ガイドラインの作り方 — AIxis（参照日: 2026-08-24）
• AI利用ガイドラインの作り方 — Admina by Money Forward（参照日: 2026-08-24）