社内の生成AI利用ルール（ガイドライン）の作り方とひな形【中小企業向け】

「社員が ChatGPT などを仕事で使い始めている。でも、会社としてのルールはまだない」。そんな状態の中小企業の経営者・管理担当の方に向けた記事です。

この記事では、法務の専門部署がない会社でも作れるように、せとうちAI が書いた短いひな形（A4で1〜2枚程度）と、作る手順を紹介します。最初から完璧な規程を目指す必要はありません。まずは「使ってよいツール」と「入れてはいけない情報」を決め、使いながら直していく前提で進めます。内容は2026年10月時点の情報です。

生成AIの社内ルールとは

生成AIの社内ルール（利用ガイドライン）とは、社員が仕事で生成AIを使うときに、使ってよいツール、入力してはいけない情報、出てきた答えの扱いなどを、会社として決めた取り決めです。

禁止のためだけのものではありません。「ここまでは使ってよい」を示すことで、社員が迷わず使えるようにする役割もあります。

なぜ今、ルールが必要なのか

IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」（2026年1月29日公表）では、組織向けの3位に「AIの利用をめぐるサイバーリスク」が初めて選ばれました。

2026年に報じられた3つの事例では、原因は「AIが勝手に漏らした」ことではなく、アプリの設定、会話の共有、ログイン情報の管理でした（解説は「AIで情報が漏れるって本当？ 2026年の3つの事例に共通する原因」）。どれも、使う側の決まりで減らせる部分があると私たちは考えています。

国も、AIを使う側の注意点を示しています。総務省と経済産業省は2026年3月31日に「AI事業者ガイドライン（第1.2版）」を公表しました。JIPDEC（日本情報経済社会推進協会）のレポート（筆者個人の見解と明記されたもの）は、第1.2版の「AI利用者」に関する部で、個人情報を不適切に入力しないこと、AIサービスの利用規約などを確かめて守ること、使う人のAIの知識を高める取り組みが求められていると整理しています。

先に知っておきたい公的な資料

ルールの中身を考えるときに参考になる、公開の資料です。どれも原文は公式のページで確かめてください。

• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023年6月2日）: 事業者への注意点として、次の2つを挙げています。1つは、個人情報を含む内容を入力するときは、その個人情報の利用目的を達成するのに必要な範囲内かを十分に確かめること。もう1つは、本人の同意なく入力した個人データが、答えを出す以外の目的で扱われると、個人情報保護法に違反する可能性があるため、提供する事業者がそのデータを機械学習に使わないことなどを十分に確かめることです。一般の利用者への留意点としては、提供する事業者の利用規約やプライバシーポリシーなどを十分に確かめることも挙げています
• 文化庁「AIと著作権について」のページ: 文化審議会の小委員会が2024年3月に取りまとめた「AIと著作権に関する考え方について」と、その関連文書を紹介しています
• 日本ディープラーニング協会（JDLA）「生成AIの利用ガイドライン」: 企業などが自社のルールを作るときのひな形です。解説記事によると（2026年10月時点）、第1版が2023年5月1日に公開され、2023年10月6日に改訂版の第1.1版が公開されました。組織ごとに必要な追加や修正を加えて使うひな形として紹介されています。最新の版と利用の条件は、JDLAのページで確かめてください

自治体も、職員向けのルールを作っています。岡山県は「岡山県生成AI利活用ガイドライン」を公開しており、2026年10月時点で第2.0版です（ページの更新日は2026年4月1日）。香川県は2023年9月8日から全庁で生成AIを業務に使い始め、そのためのガイドラインを職員に示したと説明しています。岡山県のように、一度作って終わりにせず、版を重ねて更新している例もあります。

社内ルールの作り方（6つの手順）

1. 今の使い方を聞く: 誰が、どのツールを、何に使っているかを聞きます。責めるためではなく、実態を知るためだと伝えると、正直に答えてもらいやすくなると考えられます
2. 使ってよいツールとアカウントを決める: 会社として使ってよいツールを決めます。あわせて、個人のアカウント（社員が自分で登録したアカウント）を仕事で使ってよいかも決めます
3. 入れない情報の線引きを決める: 下の図の3段階を参考に、自社の業務の言葉で例を書きます。「機密情報」とだけ書くより、「見積書」「顧客名簿」のように書いたほうが、迷いにくくなると考えられます
4. ひな形を埋めて、A4で1〜2枚にまとめる: 下のひな形の［　］を自社の内容に置き換えます。合わない項目は消し、足りない項目は足してください
5. 社員に説明する: 紙を配るだけでなく、「この資料は入れてよい？」のような具体例で確かめ合うのがおすすめです
6. 見直す日を決める: 次に見直す日をルールに書いておきます。ツールの機能や設定は変わりやすいためです

生成AI利用ルールのひな形

せとうちAI が中小企業向けに書いた、短いひな形です。［　］の部分を自社の内容に置き換えて使ってください。

※このひな形は法的な助言ではありません。自社の就業規則・情報管理規程と合わせ、必要なら弁護士・社会保険労務士などの専門家に確認してください。

［会社名］生成AI利用ルール

制定日: ［年月日］　改定日: ［年月日］　管理担当: ［部署・氏名］

1. 目的
このルールは、社員が生成AIを安全に、迷わず仕事に使えるようにするためのものです。

2. 対象
役員・社員・パート・アルバイトなど、［会社名］の仕事をするすべての人が、仕事で生成AIを使うときに守ります。会社のパソコン・スマートフォンでも、個人の端末でも同じです。

3. 使ってよいツール

• 仕事で使ってよいのは、次のツールだけです: ［ツール名・契約の種類］
• 上にないツールを使いたいときは、管理担当に相談します
• 個人のアカウントを仕事で使うことは、［認めない／次の条件で認める: ［条件］］
• 管理担当は、使ってよいツールについて、利用規約やプライバシーポリシーと、入力した内容をAIの学習に使うかどうかなどの設定を公式のページで確かめ、決めた設定を記録します

4. 入れてはいけない情報

• 入れない: お客様・取引先・社員の個人情報（氏名・住所・電話番号・メールアドレスなど。例外は下に）、パスワードやAPIキー（プログラムからAIを使うための鍵）、取引先と秘密保持の約束がある資料、［未発表の価格・業績・人事など自社で決めたもの］
  • 例外: 個人情報を業務でどうしても使う必要があるときは、管理担当が、利用目的の範囲内か、ツールの提供事業者が入力した内容を機械学習に使わないことなどを確かめてから、使うかどうかを決めます
• 相談してから入れる: 個人名を除いた社内の資料、取引先名が入った文書。管理担当に確かめ、3で決めたツールだけで使います
• 入れてよい: 自社のサイトやパンフレットで公開済みの情報、一般的な質問、誰のことか分からない形に書き換えた文章

5. 出てきた答えの確認

• 生成AIの答えには、間違いが含まれることがあります。事実・数字・固有名詞・法令は、元の資料で確かめてから使います
• 社外に出す文書は、使う人が自分で読み、責任を持って出します
• 文章や画像を社外で使うときは、既存の作品と似すぎていないかを確かめます

6. 共有リンク

• 会話の共有リンク（AIとのやり取りをURLで人に見せる機能）は、インターネットに公開されるかもしれないものとして扱います
• 4の「入れない」「相談してから入れる」情報を含む会話は、共有リンクにしません
• 使い終わった共有リンクは取り消します

7. ログイン情報

• アカウントは1人1つとし、パスワードを人に教えたり、ほかのサービスと使い回したりしません
• 二段階認証（パスワードのほかにスマートフォンのコードなども使うログイン）を設定できるツールでは、設定します
• 退職・異動のときは、管理担当がアカウントを止めるか、引き継ぎます

8. 困ったときの窓口

• 迷ったとき、間違えて入れてはいけない情報を入れたときは、すぐに［窓口の部署・氏名・連絡先］に連絡します
• 早く報告した人を責めません

9. 見直し

• このルールは［半年に1回］と、新しいツールを使い始めるとき、使っているツールの規約や設定が変わったときに見直します
• 次に見直す日: ［年月日］

このルールの注意点と限界

• ルールを作っても、情報漏洩がなくなるわけではありません。 ルールは、リスクを減らすための取り組みの1つです。社員への説明や、ツールの設定の確認と組み合わせて使ってください
• 共有リンクは、作る前の確認が大切です。 共有を取り消しても、それまでに保存された内容までは消えないと報道で指摘されています
• 業種や契約によっては、ほかの決まりも関わります。 業界のガイドラインや、取引先との契約で情報の扱いが決まっている会社は、そちらも確かめてください
• 具体的な設定の手順は、このひな形では扱っていません。 入力した内容を学習に使わない設定などは、ツールや契約の種類によって違い、変わることもあります。管理担当が、使うツールの公式のヘルプで確かめてください
• 厳しすぎるルールは守られにくくなります。 「全面禁止」にすると、会社が把握していない個人のアカウントや端末で使われ、かえって見えなくなるおそれがあると私たちは考えています

よくある疑問

社員が数人の会社でも、ルールは要りますか？

人数が少なくても、お客様の情報を扱う点は変わりません。A4で1枚でもよいので、使ってよいツールと入れない情報だけは書いておくことをおすすめします。

就業規則に入れる必要はありますか？

この記事では判断できません。違反したときの扱いまで決めるなら、就業規則や情報管理規程との関係を、社会保険労務士や弁護士に確認してください。まずは「使い方の約束」として配り、運用しながら規程に入れるかを考える進め方もあります。

JDLAのひな形をそのまま使ってもいいですか？

解説記事によると、JDLAのひな形は、組織ごとに必要な追加や修正を加えて使うものとして公開されています。使うときは、JDLAのページで最新の版と利用の条件（出典の書き方など）を確かめてください。この記事のひな形は、せとうちAI が中小企業向けに一から書いたもので、JDLAのひな形を写したものではありません。

個人のアカウントを使うのは、禁止すべきですか？

会社の状況によります。会社のアカウントを用意できるなら、個人のアカウントは使わないと決めると、誰がどの設定で使っているかを把握しやすくなります。すぐに用意できないなら、「入れてよい情報だけに使う」などの条件を付けて認める方法もあります。大事なのは、どちらにするかをルールに書くことです。

まとめ

• 生成AIの社内ルールは、A4で1〜2枚から始め、使いながら直していけばよい
• 決める項目は、目的・対象・使ってよいツール・入れない情報・答えの確認・共有リンク・ログイン情報・窓口・見直し
• 入れない情報は3段階に分け、自社の業務の言葉で例を書く
• 個人のアカウントを仕事で使ってよいかは、どちらにするかを決めて書く
• ルールだけでリスクはなくならない。説明と見直しを続ける

ルールは、作ったあとに社員が理解して使えるかどうかが大切です。せとうちAI では、生成AIの研修・勉強会を行っています。