生成AIの社内ルールの作り方。ガイドラインの項目サンプルと守れる環境

「生成AIの社内ルールを作りたいのですが、どこかにサンプルはありませんか」。
ガイドライン作成の相談は、たいていこの一言から始まります。

他社のガイドラインや利用規程のひな形を探してはみたものの、自社に当てはめると項目が多すぎて手が止まった、という話をよく聞きます。
逆に、時間をかけて立派な規程を作ったのに、現場に聞くと「読んでいない」「どこにあるか知らない」と返ってくる組織もあります。

この記事では、生成AIの社内ルールを、社員に配る1枚、利用規程、別紙の3つに分けて考えます。
そのまま書き換えて使える1枚のサンプルと、規程に足す項目、作る順番、決めたルールを守れる環境の用意まで、順に見ていきます。

AI推進の全体の順番から見たい場合は、AI推進の進め方。組織にAIを定着させる10の段階と着手順が入口になります。

生成AIの社内ルールは、配る1枚と規程と別紙に分けて書きます

最初に、「ガイドライン」「利用規程」「社内ルール」という言葉の整理をしておきます。
この3つを1つの文書に混ぜてしまうのが、ルールが読まれなくなる原因の1つだと思っています。

ガイドラインは、社員が仕事の中で「これはAIに入れていいか」「この答えをそのまま使っていいか」を判断するための基準です。
利用規程は、それを会社の決まりとして定めたもので、就業規則や情報セキュリティの規程とつながります。
別紙には、使ってよいツールの名前、相談先の担当者、情報の種類の一覧のように、数か月で変わる中身をまとめます。

分けておくと、ツールや担当が変わったときに直す範囲が小さく済みます。
情報の区分の考え方や「最終判断は人が行う」といった原則はめったに変わらないので規程に置き、ツールの名前や相談先は別紙に置いて、更新の手続きを軽くしておきます。
1つの文書に混ぜると、ツールが1つ増えるたびに規程改定の稟議が必要になり、実態と文書がずれていきます。

最初に配る1枚は、このサンプルの10項目で足ります

ここからが、「社内ルールのサンプルはありますか？」への答えです。
社員に配る1枚の見本を、項目と書き方の例で並べます。
〇の部分を自社の名前や担当に置き換えれば、そのまま配れる形にしてあります。

書き換えるときに気をつけたいのは、次の3点です。

• 「自由に使ってよいこと」を、入れないものより先に書く：使える範囲が見えないと、慎重な人ほど使わなくなる

• 入れないものは5つ前後にとどめる：20項目並ぶと覚えられず、「よく分からないから使わない」が選ばれる

• 3分で読める量に収める：A4で1枚を超えると、忙しい部署では開かれないと考えておく

入れないものの詳しい線引きと加工の型は、生成AIに入れてはいけない情報とは。社内ルールを3段階で線引きするにまとめています。
「使ってよいAI」の欄は、契約の形で入力した情報の扱いが変わるので、AIに入力した情報は学習される？無料版・法人版・APIの違いを整理を横に置いて書くと迷いにくくなります。

ChatGPT、Gemini、Claude、Copilot のどれを使う会社でも、サンプルの項目は同じです。
変わるのは「使ってよいAI」の欄のサービス名と契約の形くらいで、残りの9項目はそのまま使えます。

利用規程には、1枚の内容に7つの項目を足します

1枚のサンプルは社員向けなので、会社の決まりとして持っておくべき項目のいくつかは入っていません。
生成AIの利用規程を作るときに足す項目を、決めることと書き方の例で並べます。

違反の扱いは、就業規則や懲戒の規定とつながるので、社労士や弁護士などの専門家と確かめてから書きます。
ただ、軽い誤操作まで一律に罰する書き方にすると、入れてしまったときの報告が遅れます。
報告した人を責めない扱いを先に書いておくほうが、被害を小さく抑えやすいと思います。

社員が作ったAIツールの項目は、他社のひな形では抜けやすいところです。
現場で作った業務ツールが社内のデータを読むようになると、共有の設定が「リンクを知っている全員」のまま、社外から開ける状態になっていることがあります。
とはいえ、締めつけすぎると作る人がいなくなるので、社外に出すときだけ確認を通す、くらいから始めます。

申請の受け方と審査の型は、AIツールの利用申請をどう審査するか。希望者を3層に分けて配るで詳しく扱っています。

作る順番は、使われ方を聞いてから、推進担当がドラフトします

項目が決まっても、誰がどの順で書くかで止まる組織は少なくありません。
ここでは、最初の2週間で1枚を配り、3か月かけて規程と運用を整える順番を見ます。

1. 使われ方を聞く：どの部署が、どのAIを、どの契約で使っているか、使いたい業務は何かを聞いて回る
2. 推進担当がドラフトを書く：サンプルの1枚を、自社の言葉と業務の例に書き換える
3. 法務・情報管理がレビューする：全項目ではなく、論点を絞って見てもらう
4. 2週間で1枚を配る：入れないもの5つと、自由に使ってよい範囲を先に確定させる
5. 1か月で足す：加工の型、部署ごとの判断者、例外申請の道を足して、利用規程にまとめる
6. 3か月目から回す：届いた質問を月に1回見直し、別紙と1枚を書き足す

推進担当がドラフトを書くのは、業務でどう使いたいかを推進側がいちばん知っているためです。
法務や情報管理に丸ごと頼むと、網羅性の高い文書は返ってきますが、現場の業務が入らないまま項目だけが増えていきます。
「やりたいことを書いてから、危ないところを削る」順番のほうが、実務で使える文書になります。

レビューを頼むときは、入れてはいけない情報の区分、他社から預かったデータの扱い、社外に出すときの基準の3点に絞ると、早く返ってきます。
情報システムの担当には、文書のレビューより、どのアカウントを全社の標準にするか、個人アカウントでの業務利用をどう抑えるかで入ってもらいます。

運用が回り始めると、届く質問の総数は減っていき、判断の難しいものだけが上がってくるようになります。

他社のひな形と国の指針は、項目の抜けを確かめるのに使います

ゼロから書かなくても、公開されているひな形や国の指針はいくつもあります。
ただ、そのまま自社のルールにすると合わない部分も多いので、使い方を見ておきます。

日本ディープラーニング協会（JDLA）は、「生成AIの利用ガイドライン」のひな形を公開しています。
2023年5月に第1版、2023年10月から第1.1版が公開されていて、協会のページでは、組織の活用目的に照らして必要な追加や修正を加えて使うよう案内されています（JDLAの資料室）。

国の指針では、総務省と経済産業省が2026年3月31日に「AI事業者ガイドライン（第1.2版）」を公表しています（総務省の掲載ページ）。
仕事でAIを使う会社はこの指針でいう「AI利用者」にあたり、提供者が定めた利用上の留意点を守る、出力の精度とリスクを理解して使う、個人情報や機密情報を不適切に入力しない、といった事項が挙げられています。
自社の案ができたら、これらが1枚か規程のどこかに入っているかを見比べると、抜けに気づけます。

「AIガバナンス」という言葉も、この指針と一緒によく出てきます。
AI事業者ガイドラインは「我が国におけるAIガバナンスの統一的な指針」を示すものとされ、環境とリスクの分析、ゴールの設定、仕組みの設計、運用、評価のサイクルを回し続ける考え方が書かれています。
そこでは、会社が定める取り組みの方針（「AIポリシー」などと呼ぶもの）がゴールの例として挙げられていて、生成AIの社内ルールは、その方針を現場で使う形に書き下ろしたものと考えると位置づけが分かりやすくなります。

一方で、他社のひな形をそのまま使えないのは、扱う情報、使う環境、組織の成熟度が会社ごとに違うためです。
受託や広告代理業のように他社から預かった情報を日常的に扱う会社なら、「他社から預かっているデータ」という区分を必ず立てる必要があります。
また、ひな形は特定のツールを想定していないので契約の形の指定が入りませんが、実務で困るのは「どのアカウントで使ったか」の場面です。
情報管理の規程がすでに整っている組織なら、AIのルールは既存の規程への追補で足りることもあります。

禁止の一覧だけでは、ルールは守られません

ルールを作っても現場が動かない組織には、共通する形があります。
まずその形を見てから、決めたルールを守れる環境の話に進みます。

よくあるのが、禁止事項の一覧になっている形です。
「〜してはいけない」が20項目並ぶと、慎重な人はAIを使わなくなり、大胆な人だけが使うという、いちばん困る分かれ方になります。

次が、迷ったときの行き先が書かれていない形です。
ルールは境界線を引くものなので境界上のケースは必ず出てきて、聞く先が無ければ、人は自分の判断で進めます。

もうひとつが、環境の指定が無い形です。
「機密情報を入力しない」とだけ書かれていても、使っているのが個人の無料版か法人契約かで、前提がまったく変わります。

作り始めから見直しまでのどの場面でルールが止まるかは、AIの社内ルールが整わない・形骸化する5つの原因と対策で見られます。

禁止だけを示して正規の道を用意しないと、仕事でAIを使いたい人は、会社が把握していないAIに流れやすくなります。
そのため、ルールを配るのと同じ時期に、次の3つを用意しておきます。

• 会社が契約したAIを、使いたい人がすぐ使える形で配る

• 標準とは別のAIを使いたいときの申請を、フォーム1枚と短い返答の期限で受ける

• 部署ごとの利用率を見て、使われていない部署に「普段の仕事で、どこにAIを使っていますか」と聞く

把握できていない利用の見つけ方は、シャドーAI（野良AI）とは。禁止せずに見える化と正規の道で減らす対策にまとめています。
ルールがあっても情報が外に出る経路と、漏れたときに最初にすることは、AIの情報漏洩はなぜ起きるか。事例と、禁止だけに頼らない対策で扱っています。

職種別の例をつけると、自分の話として読まれます

1枚を配っただけでは、多くの人は自分の業務に引き寄せて読んでくれません。
説明会や研修では、職種ごとの具体的な例を出します。

営業なら提案書や商談メモの要約で、顧客名と取引条件が同時に入っているため、加工なしでは扱えない区分に入ります。
人事なら応募書類や評価コメントの整理で、氏名・連絡先・評価の記述が並ぶ、いちばん慎重さが要る領域です。
経理なら請求データや締め前の月次の数字で、未公開の経営情報に触れます。
開発や情報システムならエラーログや設定ファイルで、認証情報が紛れ込んでいるのに気づかないことがあります。

職種ごとにどの工程でAIを使うかは職種別AI活用まとめ。営業・マーケ・人事・経理・法務の使いどころにまとめてあるので、説明会の材料としても使えます。

説明会を1回で済ませようとせず、部門会議に15分の枠をもらって回るほうが、結果として浸透が早いと感じています。
中途入社の人や業務委託のメンバーは、何が機密かを知らないのが当然と考えて、入社時の案内にも1枚を入れておきます。

効いているかは、問い合わせ件数と利用率で見ます

社内ルールの効き目は感覚では測れないので、簡単な指標を2つ置いておきます。

1つは、「これは入れてよいか」という問い合わせの件数です。
配った直後は増えて、浸透してくると減っていくので、その減り方が浸透の目安になります。

もう1つが、AIを業務で使っている人の割合です。
ルールが厳しすぎると、この数字が上がりません。
社内ルールの目的は、事故を止めると同時に、安心して使える範囲を広げることでもあるので、両方を見ます。

AIのサービスは機能や料金プランが数か月で変わるので、見直しの時期も先に決めておきます。
四半期の定例と、大きな変更があったときの臨時の改定で回すやり方は、AI利用ガイドラインの見直し方。四半期の定例と臨時改定で回すで詳しく書いています。

よくある質問

生成AIの社内ルールについて、推進担当がよく聞かれる質問に短く答えます。

Q. 生成AIの社内ルールのサンプルはありますか？

この記事の2つ目の節にある1枚が、そのまま書き換えて使えるサンプルです。
条文の形のひな形が欲しいときは、JDLA の「生成AIの利用ガイドライン」を下敷きにして、自社の情報と環境に合わせて直します。

Q. ChatGPTを社内で使うときのルールは、何を決めればよいですか？

決めることは、ほかの生成AIと同じです。
会社が契約したプランとアカウントで使うこと、入れないもの、答えの確かめ方、迷ったときの相談先の4つを先に決めます。
ChatGPT は個人の無料版と法人向けのプランで入力した情報の扱いが違うので、「使ってよいAI」の欄にはプラン名まで書いておきます。

Q. 生成AIの社内ルールを作るのは、法律上の義務ですか？

国の AI事業者ガイドラインは、拘束力のない「ソフトロー」として、事業者の自主的な取り組みを促す形で作られています。
ただ、個人情報の扱いや秘密保持の契約のように、AIを使うときにも関わる法令や契約はあるので、規程の書き方は法務や専門家と確かめてから決めます。

Q. 生成AIの利用を全面的に禁止してもよいですか？

禁止するかどうかは会社が決めることですが、禁止しても、仕事で使いたい人が会社の把握していないAIを使うことは起こります。
禁止するなら、その理由といつ見直すかをあわせて伝え、使える道をどこに用意するかも決めておくほうが、守られやすいと思います。

ルールづくりと、守れる環境の用意は一緒に進められます

線引きを決めるところまでは自社でも進められますが、難しくなるのは、決めたルールを守れる環境まで用意する段階です。
どのツールをどの契約で全社に配るか、情報システムの担当とどう役割を分けるかは、文書づくりとは別の設計が要ります。

当社のAIガイドライン作成＋定着研修では、使っているAIと規程、現場での使われ方をうかがってドラフトを作り、話し合いながら生成AIの社内ルールを仕上げ、社内に定着させる研修まで行います。
また、組織のAIポータル「AI Portalize」では、Gemini と Claude の利用について、部署・職種・グレードごとの利用率と前期比が集計の手間なしで出ます。
ルールを配ったあとに、どの部署で使われ始めたかを確かめる材料になります。

最初の1枚を配り、届いた質問で書き足していきます

生成AIの社内ルールは、社員に配る1枚、利用規程、別紙の3つに分けると、書くのも直すのも軽くなります。
最初に決めるのは、使ってよいAI、入れないもの、迷ったときの行き先の3つです。

立派な規程を半年かけて作るより、1枚を2週間で配り、届いた質問をもとに書き足していくほうが、結果として守られるルールになります。
まずはサンプルの〇の欄を、自社のサービス名と担当者の名前で埋めてみてください。