生成AIの社内ガイドラインの作り方
中小企業向けひな形つき

「社員が個人のアカウントで生成AIを使っているようだが、会社として何も決めていない」「禁止にすると便利さを手放すことになるし、放置すると情報漏えいが心配」。生成AIの相談を受けていると、こうした声をよく聞きます。社内ルールは大企業だけのものと思われがちですが、人数が少ない会社ほど一人の判断ミスの影響が大きく、むしろ簡潔なルールの効果が出やすい面があります。

なぜ中小企業にも生成AIガイドラインが必要か

生成AIは、メールの下書き、議事録の要約、企画のたたき台、表データの整理など、日常業務の多くの場面で使えます。ChatGPT、Claude、Geminiといった汎用の対話型AIは無料または低価格で始められるため、会社が導入を決める前に、社員が自分の判断で使い始めているケースも珍しくありません。

ここで問題になるのは「使っていること」そのものではなく、「何を入力してよいか」「出てきた内容をどこまで信じてよいか」が人によってばらばらな状態です。ある人は顧客名を伏せて使い、別の人は契約書をそのまま貼り付けている、という状況では、会社として情報を守れているとは言えません。

禁止するためではなく、安心して使うため

ガイドラインというと「〜してはいけない」を並べた文書を想像しがちです。しかし禁止事項だけが並んでいると、社員は「面倒だから使わない」か「見つからないように使う」のどちらかに流れます。後者は会社から見えない利用が増えるため、かえって管理が難しくなります。

そこで、ガイドラインの目的は次のように置くのがおすすめです。

• 使ってよい範囲をはっきりさせる。 「この用途なら、このツールで、この情報までなら使ってよい」と示すことで、社員が迷わず使えるようにします。
• 判断に迷う場面の相談先を決める。 線引きが難しいケースはどうしても出てくるため、個人で抱え込まずに聞ける窓口を用意します。
• 問題が起きたときの動き方を決めておく。 誤って機密情報を入力した場合などに、隠さず早く報告できる流れを作ります。

つまり、ガイドラインは「ブレーキ」ではなく「ガードレール」です。道の端が分かっているからこそ、安心してスピードを出せる、という考え方です。

中小企業ならではの事情

中小企業では、情報システム部門や法務部門が独立していないことが多く、経営者や総務担当者が兼任でルールを作ることになります。そのため、分厚い規程を作っても運用が追いつきません。また、取引先から「御社では生成AIをどう管理していますか」と聞かれる場面も出てきています。そのときに一枚の文書で説明できると、信頼にもつながります。

生成AIで業務を効率化する全体像については、生成AIで業務効率化する方法でも整理しています。ガイドラインは、こうした活用を広げるための土台と位置づけてください。

ガイドラインに入れる10の項目

生成AIの社内ルールに入れておきたい項目は、次の10個です。すべてを細かく書く必要はなく、自社の規模や使い方に合わせて濃淡をつけて構いません。

1. 目的

なぜこのガイドラインを作るのかを最初に書きます。「生成AIを業務で安全かつ効果的に活用するため」のように、活用を前提とした書き方にすると、社員の受け止め方が変わります。

2. 対象範囲

誰に、どの業務に適用するかを決めます。正社員だけでなく、契約社員、パート・アルバイト、派遣社員、業務委託先にも適用するかは、会社によって判断が分かれるところです。また、会社のパソコンだけでなく、私物のスマートフォンで業務の内容を入力する場合も対象にするのかを明記しておくと、抜け穴が減ります。

3. 使ってよいツール

会社として利用を認めるツールを一覧にします。同じサービスでも、個人向けプランと法人向けプランで、入力データの扱い（学習に使われるかどうか、保存期間など）が異なる場合があります。ツールごとに、どのプラン・どのアカウントで使うのかまで指定するのがポイントです。具体的な条件は契約プランや提供元の規約によって異なり、変更されることもあるため、導入時と定期見直しのたびに確認してください。

4. 入力してはいけない情報

ガイドラインの中で最も重要な部分です。個人情報、顧客から預かった情報、未公開の経営情報、パスワードや認証情報などを具体的に挙げます。「機密情報は入力しない」だけでは、何が機密かの判断が人によって分かれるため、後述の判断表のように例を添えるのが効果的です。

5. 出力の確認と責任

生成AIは、もっともらしいが事実と異なる内容を出力することがあります。出力をそのまま社外に出さず、人が内容を確認すること、そして最終的な責任は利用した本人と所属部署にあることを明記します。「AIがそう言ったから」は理由にならない、という共通認識を作るための項目です。

6. 著作権や他者の権利

生成した文章や画像が、既存の著作物や他社の商標、他人の肖像などに似てしまう可能性があります。特定の作家や作品、ブランドに似せる指示を避けること、社外に公開するものは類似していないかを確認することを定めます。著作権の考え方は法改正や議論が続いている分野でもあるため、判断に迷う場合は専門家に相談するよう書いておきます。

7. 顧客への説明

納品物や顧客対応に生成AIを使う場合、取引先との契約で生成AIの利用に条件がついていないかを確認する必要があります。また、AIが作成した文章をそのまま送る場合に、その旨を伝えるかどうかの方針も決めておくと、現場が迷いません。

8. 記録と相談窓口

誰がどのツールを使っているかを把握するための簡単な記録の方法と、判断に迷ったときの相談先を決めます。中小企業なら、相談窓口は総務担当者や推進担当者1名で十分です。大切なのは「誰に聞けばよいか」が全員に分かっていることです。

9. 違反時の対応

誤って入力してはいけない情報を入力した場合の報告手順と、会社としての対応を書きます。ここで注意したいのは、罰則を前面に出しすぎないことです。報告すると重く処分されると思われると、ミスが隠れてしまいます。「速やかに報告した場合は、その点を考慮する」といった一文を入れておくと、早期の報告につながります。懲戒との関係は就業規則の定めにより異なるため、社労士などの専門家に確認してください。

10. 見直し

生成AIのツールや機能、各社の規約は変化が速い分野です。半年に一度など、見直しの時期と担当者を決めておきます。新しいツールを使いたいという要望が出たときの申請・承認の流れも、ここに含めておくと運用しやすくなります。

そのまま使える生成AI社内ガイドラインのひな形

以下は、中小企業向けに10条で構成したひな形です。{{会社名}}などの波かっこの部分を自社の内容に差し替えて使ってください。あくまで一般的なたたき台であり、自社の就業規則・情報管理規程・取引先との契約との整合は、必要に応じて社労士や弁護士などの専門家に確認することをおすすめします。

ひな形を使うときのコツ

• 条文は短く保つ。 細かな運用ルールは別紙（Q&A集や手順書）に分け、本文は一度読めば覚えられる量に抑えます。
• 自社の言葉に置き換える。 社内で普段使っている部署名、ツール名、情報の呼び方に揃えると、読み手が自分ごととして受け止めやすくなります。
• 別表は更新しやすい形にする。 利用できるツールは変わりやすいため、本文とは別の表で管理し、更新日を記録します。

入力してよい情報／いけない情報の判断表

ガイドラインで最も迷いが出るのが、「この情報は入力してよいのか」という判断です。次の表は、一般的な中小企業を想定した目安です。実際の線引きは、利用するツールの契約プランやデータの扱いに関する設定、取引先との契約によって変わります。

表の右端にあるように、「入力しない」と決めた情報でも、置き換えや抽象化をすれば生成AIの助けを借りられる場面は多くあります。たとえば、人事評価のコメントを書くときに、実際の評価内容は入れずに「目標を達成したが、チーム内の連携に課題がある社員へのフィードバック文の構成例」を尋ねる、といった使い方です。こうした工夫の例を研修や社内Q&Aで共有すると、ルールが「使えない理由」ではなく「使い方の工夫」として浸透します。

生成AIガイドラインの作り方：5つの手順

ガイドラインは、作ること自体よりも、社内で実際に守られる状態にすることが大切です。次の5つの手順で進めると、無理なく定着させやすくなります。

ガイドラインの作成から研修、見直しまでを継続的に伴走してほしい場合は、AI顧問・AIコンサルのような形で外部の支援を受ける方法もあります。研修やツール導入の費用感は、AI導入費用の比較で整理しています。

公的機関・業界団体の資料の使い方

生成AIの利用については、国の機関や業界団体などが、事業者向けのガイドラインや考え方を整理した資料、社内ルール作りの参考になるひな形などを公開しています。自社のガイドラインを作る際には、こうした資料に目を通すと、検討漏れを減らすのに役立ちます。

ただし、公開されている資料は、想定している読者や事業規模、作成された時期がそれぞれ異なります。また、生成AIをめぐる議論は進行中で、資料が改訂されることもあります。資料を参考にするときは、次の点に気をつけてください。

• 作成元と公開日・改訂日を確認し、最新版を参照する
• 大企業向けの内容をそのまま写すのではなく、自社の規模で運用できる形に絞る
• 法的な解釈に関わる部分は、資料の記述だけで判断せず、弁護士などの専門家に確認する

本記事のひな形も一般的なたたき台であり、特定の法令への適合を保証するものではありません。個人情報の取り扱い、著作権、労務管理、取引先との契約に関わる判断は、最終的に専門家に確認することをおすすめします。

ガイドラインを形骸化させないための運用のコツ

作ったガイドラインが読まれなくなる、守られなくなるのにはいくつかの典型的なパターンがあります。

また、ガイドラインとあわせて、業務ごとの具体的な使い方を共有すると、ルールと活用が結びつきます。たとえば、議事録の要約や社内FAQへの回答など、社内で完結しやすい業務から始めると、入力情報の判断もしやすくなります。具体的な業務の流れはAI活用事例で紹介しています。

生成AI社内ルール作成チェックリスト

ガイドラインを社内に公開する前に、次の項目を確認してください。

• □ 目的に「安全に活用するため」という前向きな位置づけが書かれている
• □ 対象者（雇用形態・業務委託先）と対象端末（会社支給・私物）が明確になっている
• □ 利用を認めるツールが、プラン・アカウントの種類まで指定されている
• □ 利用ツールの規約やデータの扱いに関する設定を、導入時に確認した記録がある
• □ 入力してはいけない情報が、具体例つきで示されている
• □ 判断表または判断に迷ったときの基準がある
• □ 出力を人が確認すること、確認が必要な場面、責任の所在が書かれている
• □ 著作権や他者の権利に配慮する旨が書かれている
• □ 顧客・取引先との契約を確認する手順がある
• □ 相談窓口の担当者名と連絡先が書かれている
• □ 誤入力などの際の報告手順があり、早期報告を促す書き方になっている
• □ 就業規則など既存の社内規程との関係を確認した
• □ 法的な判断が必要な部分について、専門家に確認する手配をした
• □ 少人数での試行を行い、現場の意見を反映した
• □ 全員向けの説明会や研修の予定がある
• □ 見直しの時期と担当者が決まっている

よくある質問

Q. 社員が数人の会社でもガイドラインは必要ですか？

A. 人数が少なくても、顧客情報や取引先の資料を扱う以上、最低限のルールはあった方が安心です。少人数の会社なら、ひな形の第3条（利用できるツール）、第4条（入力してはいけない情報）、第5条（出力の確認）、第8条（相談窓口）だけを抜き出した1枚の文書から始めても構いません。

Q. 生成AIの利用を全面的に禁止した方が安全ではないですか？

A. 全面禁止は一見安全に見えますが、業務効率化の機会を逃すうえ、個人のスマートフォンなど会社から見えないところでの利用を招くおそれがあります。使ってよい範囲を示し、相談しやすい環境を作る方が、結果として情報を守りやすくなると考えています。

Q. 無料版のツールを業務で使ってもよいですか？

A. ツールやプランによって、入力内容が学習に使われるかどうか、どの程度保存されるかなどの扱いが異なります。無料版を認めるかどうかは、各サービスの規約と設定を確認したうえで会社として判断し、ガイドラインの別表に明記してください。機密性の高い業務に使う場合は、会社契約のプランを検討するのが一般的です。

Q. ガイドラインを就業規則に組み込む必要はありますか？

A. ガイドラインを独立した社内ルールとして運用し、違反時の扱いを就業規則の既存条項に委ねる形が多く見られますが、どの形がよいかは会社ごとの規程の構成によって異なります。懲戒などに関わる部分は、社労士などの専門家に確認することをおすすめします。

Q. 社員への研修はどの程度必要ですか？

A. 最低限、ガイドラインの内容と判断表の使い方を説明する機会を一度は設けることをおすすめします。あわせて、実際の業務での安全な使い方を体験してもらうと、ルールが活用の後押しになります。研修の進め方については、法人向けAI研修のページで内容を紹介しています。

まとめ

生成AIの社内ガイドラインは、社員の利用を縛るためではなく、安心して使える範囲を会社として示すためのものです。目的、対象範囲、使ってよいツール、入力してはいけない情報、出力の確認と責任、権利への配慮、顧客への説明、相談窓口、違反時の対応、見直しの10項目を押さえ、短い文書から始めてください。ひな形でたたき台を作り、少人数で試し、研修で周知し、定期的に見直すことで、現場で守られるルールになります。自社でどの業務に生成AIを使えそうかを整理したい場合は、無料AI活用診断もご活用ください。

著者