生成AIの社内利用ルールの作り方｜決める9項目と、自社用に書き換えられる記入例

生成AIの社内利用ルールは、従業員が業務で生成AIを使うときに、使ってよい業務、入力してよい情報、使ってよいサービス、出力の確認方法を定める文書です。この記事では、ルールで決める9項目を、自社用に書き換えられる記入例とあわせて紹介します。顧客情報や議事録を入力してよいかを確かめる例や、利用申請・例外承認・見直しの担当と記録の例も載せています。顧客や社会に向けて公表するAIポリシーとは別の文書として扱います。

記事内の記入例・部署名・サービス名・日付はすべて架空の例です。自社の業務、情報区分、契約しているサービスに合わせて書き換えて使ってください。

社内ルールは、次のような骨子で1つの文書にまとめると、従業員が必要な箇所を探しやすくなります。各項目に何を書くかは、次の節で記入例とあわせて説明します。

生成AI利用ルール（第1版　2026年○月○日施行）
1. 目的と適用範囲 …… 対象者、対象業務、対象サービス
2. 利用してよい業務・禁止する用途 …… 利用可／確認後に利用可／禁止の3段階
3. 入力する情報の扱い …… 社内の情報区分ごとの扱いと条件
4. 利用できるサービス …… 承認サービス一覧（別表）と、個人アカウント利用の扱い
5. 出力の確認 …… 事実確認・権利確認の担当、社外公開時の承認者
6. 申請と例外承認 …… 申請先、承認者、承認の条件
7. 記録 …… 記録する場面と保存先
8. 問題が起きたとき …… 連絡先と初動
9. 教育・責任者・見直し …… 管理責任者、周知方法、見直しの時期と契機
別表 承認サービス一覧／改訂履歴

生成AIの社内利用ルール（社内ガイドライン）は、利用を禁止するか許可するかの二択を決めるものではなく、どの業務で、どのサービスを、どんな条件で使ってよいかを示すものです。

ルールがない状態で問題になりやすいのは、次の3点です。

• 入力する情報：顧客情報や未公表の社内情報を、外部のサービスに入力してよいかの判断が個人任せになる
• 使うサービスと契約：個人アカウントでの利用、無料プランでの利用など、会社が把握していない形での利用が生じる
• 出力の扱い：生成された文章やコードを、事実確認や権利面の確認をせずに成果物へ使ってしまう

いずれも、悪意がなくても、判断基準が共有されていなければ起こり得ます。ルールを作る目的は、この判断を個人から組織に引き取ることにあります。

以下の9項目は、社内ルールを作成するために本記事で分けた構成例です。法令やガイドラインが、一律にこの9項目の様式を指定しているわけではありません。

分類	決めること
①適用範囲	誰が、どの業務で、どのサービスを使う場合に適用されるか
②利用してよい業務・禁止する用途	許可する業務範囲と、禁止する使い方
③入力情報	入力してよい情報と、入力してはいけない情報
④サービス・契約・設定の条件	承認済みサービス、契約プラン、学習利用などの設定条件
⑤出力の取り扱い	事実確認、権利面の確認、成果物への利用条件
⑥申請・承認	利用申請、例外の承認、新しいサービスを導入する手続き
⑦記録	利用記録・確認記録をどの範囲で残すか
⑧問題発生時の対応	誤入力や権利問題が起きたときの連絡先と対応
⑨教育・責任者・見直し	周知と教育の方法、管理責任者、見直しの契機

正社員だけか、派遣・業務委託のメンバーも含むのか。業務での利用すべてか、特定の業務に限るのか。対象とするサービスの範囲も最初に定めます。

記入例　本ルールは、当社の役員、従業員、派遣社員および当社業務に従事する業務委託先の要員が、当社の業務で生成AIを利用する場合に適用します。対象には、社外の生成AIサービス、業務ツールに組み込まれたAI機能、社内で構築したAI環境を含みます。

書き換えるところ：対象者に業務委託先の要員を含めるか。業務ツールに組み込まれたAI機能を対象に含めるか。

広く許可できる業務と、慎重な扱いが必要な業務を分けます。AIの出力だけで最終判断をしてはいけない業務を明示しておくと、運用時の迷いが減ります。

区分	業務の例	条件
利用可	社内向け文書の下書き、公開情報の要約、翻訳の下訳	③の入力ルールを守る
確認後に利用可	社外向け文書、プログラムのコード、提案資料	⑤の確認を経てから使う
禁止	採用の合否、人事評価、与信判断をAIの出力だけで決めること	人が判断し、出力は参考に留める

書き換えるところ：自社で生成AIを使っている、または使いたい業務を3つの区分に振り分けます。

「機密情報は入力しない」だけでは判断が分かれるため、自社の情報区分と対応させて書きます。

以下は架空の社内規程例であり、法令・契約・自社の情報管理規程を満たすことが前提です。

情報区分	その情報区分の取扱いが承認されたサービス	未承認のサービス・個人アカウント
公開情報	利用可	承認前は入力しない
社内一般情報	利用可	承認前は入力しない
社外秘	その情報区分を扱うことが承認されたサービスで、必要な確認・承認を経た場合に限る	承認前は入力しない
個人情報・顧客から預かった情報	原則として入力しない。⑥の例外手続きは、下の確認事項をすべて確認できた場合に限る	承認前は入力しない

サービスの承認後も、入力できる情報は、承認された情報区分と用途に限ります。個人情報や顧客から預かった情報は、サービスの承認とは別に、下記の確認と必要な手続きを行います。

「承認されたサービス」は、法人契約であることや、学習利用なしの設定になっていることだけで決めません。サービスごと、扱う情報区分ごとに、次の事項を確認して承認します。

• 利用目的：入力する情報の利用目的の範囲に入るか。個人情報は、個人情報保護法上の利用目的の範囲内かを確認する
• 契約上の制限：顧客との契約や秘密保持契約に、外部サービスでの処理を制限する定めがないか
• 保存・削除：入力内容がサービス側にどのくらい保存され、どう削除されるか
• 学習などへの利用：入力内容が、応答の出力以外の目的（機械学習など）に使われないか
• アクセス権限：サービス側と社内で、誰が入力内容や履歴を見られるか
• 外部提供：入力内容が、サービス提供者の委託先などの第三者へ渡るか

個人情報保護委員会は「生成AIサービスの利用に関する注意喚起等」で、個人情報を含むプロンプトを入力する場合は、利用目的の達成に必要な範囲内かを十分に確認するよう注意を促しています。また、本人の同意なく個人データを入力し、それが応答結果の出力以外の目的で扱われる場合は、個人情報保護法の規定に違反する可能性があるとして、サービス提供者が機械学習に利用しないこと等を十分に確認するよう示しています。

⑥の例外承認は社内の手続きです。法令や顧客との契約による制限を解除するものではありません。

入力の前に確かめる質問の例です。可否を一律に決める判定表ではなく、迷ったときに立ち止まるための問いとして書きます。

• 顧客情報：上の確認事項のうち、利用目的・契約上の制限・学習などへの利用を確認する。確認できない項目があれば入力しない
• 会議の議事録：社外の参加者がいた会議か。個人名・顧客名・未公表の数値が含まれるか。氏名等を削除しても、本文や他の情報との組合せから個人・顧客を特定できる情報や、契約上の秘密が残っていないか確認する。利用目的、契約、サービスの取扱条件を確認できない場合は入力せず、担当部署へ相談する
• 公開情報：本当に公開済みか（プレスリリースの公表前ではないか）。他社の著作物を大量に入力していないか

同じサービスでも、契約プラン、入力データの学習利用に関する設定、管理者機能やログの有無、外部連携機能によって条件が変わります。会社が承認したサービスの一覧を持ち、個人アカウントでの業務利用を認めるかどうかを明確にします。

記入例（承認サービス一覧）

サービス	契約プラン	学習利用の設定	管理機能・ログ	入力できる情報区分	承認日	次回確認	担当
サービスA	法人プラン	学習に使わない（設定画面を保存）	管理者画面あり	社外秘まで	2026/11/1	2027/5/1	情シス

サービスの利用規約で入力情報や生成物がどう扱われるかを確認するときは、経済産業省の契約チェックリストが参考になります。読み方は経産省「AIの利用・開発に関する契約チェックリスト」とは？で紹介しています。

生成された内容の事実確認を誰が行うか、既存の著作物との類似など、著作権侵害の懸念をどう確認するか、社外向けの成果物へ使う場合に誰が承認するかを定めます。文化庁の資料は、AI利用者の立場での注意点を確かめる素材になります。

記入例　社外に出す文書やコードにAIの出力を使う場合、作成者は数値・固有名詞・引用元を確認し、所属長が公開前に承認します。画像やデザインは、既存の著作物やロゴと似ていないかを確認します。

新しいサービスや外部連携機能を使い始めるときの手続きと、ルールの外側で使いたい場面が出たときの例外の経路を決めます。経路があると、ルールが実態から離れにくくなります。

申請項目の例：申請者／部署／サービス名／用途／入力する情報区分／利用期間／承認者／承認の条件

記入例　社内研修資料（社外秘。個人情報・顧客から預かった情報は含まない）の要約に、社外秘の取扱いが承認されたサービスAを2026年12月末まで利用する。条件：要約結果は社内に限って使う。

例外承認は社内の手続きであり、法令や顧客との契約による制限を解除するものではありません。

すべての利用を記録する必要はありませんが、重要な業務での利用や例外承認については、後から経緯を説明できる状態にしておきます。

記録する場面の例：例外承認／新しいサービスの承認／AIの出力を使った社外向けの成果物／⑧の問題が起きたときの対応

入力してはいけない情報を入力してしまった、生成物に権利上の懸念が見つかった、といった場面の連絡先と初動を決めておきます。報告しやすい窓口があることが、問題の早期把握につながります。

記入例　問題に気づいたら直ちに社内の指定窓口へ連絡し、対象情報の追加入力や共有を止めます。入力内容・時刻・サービス・共有範囲などを記録し、担当部署の指示に従って削除依頼等を進めます。個人データが含まれる場合は、法令上の報告が必要な事態に当たるかを担当部署が判断します。

画面上の履歴を利用者が自分で削除しても、サービス側に保存されたデータまで消えたとは限りません。また、何を入力したかの記録が失われると、その後の判断ができなくなります。削除は自己判断で行わず、担当部署の指示に従う流れにしておきます。

ルールの管理責任者と問い合わせ先、従業員への周知と教育の方法、見直しの契機を定めます。改訂の経緯は履歴として残します。

記入例（改訂履歴）

版	改訂日	主な変更	理由
1.0	2026/11/1	制定
1.1	2027/5/1	サービスBを承認サービスに追加	部門からの申請

見直しは、定期の時期だけでなく、次の契機でも行います。

• 新しい生成AIサービスを導入したとき
• 契約条件やデータ利用条件が変わったとき
• 新しい業務で使い始めるとき
• 法令・政府ガイドラインが更新されたとき
• 情報の誤入力や権利問題が発生したとき

ルールは、文書を作るだけでは機能しません。申請・例外・周知・見直しを誰が担い、何を残すかを決めておきます。担当は例なので、自社の体制に合わせて書き換えてください。

作業	担当（例）	記録の例	時期
利用申請の受付と承認	申請者の所属長。新しいサービスは情シス	申請内容、承認者、条件、承認日	随時
例外承認	情報管理責任者	例外の内容、期間、条件、期限後の扱い	随時
周知と受領確認	総務	配布日、対象者、受領確認の日時、質問と回答	制定時と改訂時
利用状況の確認	情シス	使っているサービスと業務、ルールとのずれ	年1回など
見直し	管理責任者（関係部署と一緒に）	改訂履歴、見直しのきっかけ	年1回と、⑨の契機があったとき

誰に届き、誰が内容を確認したかを記録すると、周知の状況を説明できます。ただし、確認済みの記録だけで、内容を理解し、実際に守っていることまで証明できるわけではありません。必要に応じて、判断に迷う項目や現在の利用状況も回答してもらいます。

マモリスでは、利用ルールをチェックシートとして配布し、従業員が内容を確認した記録や、現在の利用状況への回答を残せます。回答に不明点があれば差し戻して確認し、その経緯も記録に残ります。

作成したルールを社員へ配布し、内容を確認したか、どの生成AIを使っているかを回答してもらうところから始められます。

1. 利用実態を確かめる：いま誰が、どの業務で、どのサービスを使っているかを確かめます。実態と離れたルールは守られにくくなります。調査項目と記録の残し方は、社内の生成AI利用状況を棚卸しする方法で紹介しています
2. 骨子に記入する：完成イメージの9項目に沿って、記入例を自社の内容に書き換えます。実態と合わない一律禁止は、会社が把握できない利用につながる可能性があります。一方で、情報の種類や業務への影響によっては、禁止すべき場面もあります。条件を分けて書きます
3. 関係部署に確認する：入力情報の区分は情報管理部門、権利面は法務、教育は人事や総務と、項目ごとに確認先が異なります
4. 周知し、受領を確認する：配布と受領確認の記録を残します
5. 利用状況を確かめ、版を重ねる：生成AIのサービスと使われ方は変化が速いため、最初の版ですべてを網羅しようとせず、運用で見つかった課題を反映して更新します

社内ルールをゼロから考える必要はありません。次の資料が参考になります。

資料	位置づけ	社内ルールへの使い方
AI法・適正性確保指針（内閣府）	法律と国の基本方針	制度全体の背景として押さえる
AI事業者ガイドライン 第1.2版（経済産業省・総務省）	事業者が取り組む基本事項	AI利用者向けの事項を項目設計の軸にする
生成AIサービスの利用に関する注意喚起（個人情報保護委員会）	個人情報の入力・取扱い	個人情報を入力する条件と禁止範囲の設計に反映する
AIと著作権に関するチェックリスト＆ガイダンス（文化庁）	著作物の入力と生成物の利用	出力の取り扱い条件に反映する
生成AIの利用ガイドライン 第1.1版（JDLA）	社内規程の条項例	文書の骨格・条文表現の参考にする

AI事業者ガイドラインは、2026年3月31日にとりまとめられた第1.2版が最新です。チェックリストとExcel形式のワークシートも公開されており、自社の取り組み状況を確かめる素材として使えます。AI利用者向けの事項では、提供者が意図した範囲での適正な利用、人間の判断の介在、個人情報や機密情報の不適切な入力への注意などが示されています。また、リスクの大きさに応じて対応を選ぶ考え方（リスクベースアプローチ）も示されています。

JDLA（日本ディープラーニング協会）の「生成AIの利用ガイドライン」は、社内規程の形に近いひな形です。現行の第1.1版は2023年10月の公開で、AI法やAI事業者ガイドライン第1.2版より前の資料です。そのまま採用するのではなく、最新の状況に合わせた補正が必要です。

2025年6月4日に「人工知能関連技術の研究開発及び活用の推進に関する法律」（AI法）が公布され、同年9月1日に全面施行されました。AI法は、AIを事業活動に利用する事業者の責務として、AI関連技術の活用に努めることや、国・地方公共団体の施策への協力を定めています。一方で、社内の生成AI利用ルールに盛り込む項目や様式は定めておらず、社内ルールを作っていないこと自体に罰則を設けた法律でもありません。

AI法に基づき、2025年12月19日には「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」が決定されています。国としての基本的な方向性を示すもので、社内ルールの直接のひな形ではありません。

法令として守る必要があるのは、個人情報保護法や著作権法などです。AI事業者ガイドラインやJDLAのひな形は、取り組みの参考として使う資料です。

Q1. 生成AIの利用を禁止すれば、ルールは不要ではありませんか？

禁止も一つのルールですが、「何を、なぜ禁止するのか」「例外はあるのか」を明文化しなければ、判断は結局個人に残ります。業務ツールに組み込まれたAI機能も対象にする場合は、どの機能を禁止・許可の対象に含めるかを具体的に定義する必要があります。禁止する範囲を明確にすることも、ルール作りの一部です。

Q2. 部署ごとにルールを変えてもよいですか？

入力禁止情報や問題発生時の連絡先など、全社で共通にすべき項目と、許可する業務範囲のように部署の実態に合わせられる項目を分けると運用しやすくなります。全体を部署任せにすると、会社として説明できない状態になりやすいため、共通部分は全社ルールとして持つ形をおすすめします。

Q3. どのくらいの頻度で見直せばよいですか？

年1回などの定期見直しに加えて、新しいサービスの導入時、契約条件の変更時、法令やガイドラインの更新時、問題が発生したときを見直しの契機にします。生成AIは変化が速い領域なので、定期の間隔だけに頼らない設計が現実的です。

Q4. 委託先の生成AI利用はどう確認すればよいですか？

自社のルールで基準を定めたうえで、委託先には入力情報・利用サービス・再委託先の利用状況を確認します。具体的な確認項目は委託先のAI利用を確認するチェックリストにまとめています。

Q5. 社内の生成AI利用ガイドラインと、対外的なAIポリシーは同じですか？

別の文書です。社内ガイドラインは従業員の具体的な行動や手続きを定める文書で、対外的なAIポリシーは顧客や社会に向けて企業としての基本姿勢を示す文書です。対外ポリシーを公表する場合も、その裏付けとして社内ルールが機能している必要があります。

本記事は、以下の一次情報をもとに作成しています（2026年10月13日確認）。

• 人工知能関連技術の研究開発及び活用の推進に関する法律（AI法）｜内閣府
• 人工知能関連技術の研究開発及び活用の適正性確保に関する指針｜内閣府
• AI事業者ガイドライン（第1.2版）｜経済産業省
• 生成AIサービスの利用に関する注意喚起等について｜個人情報保護委員会
• AIと著作権について｜文化庁
• 資料室（生成AIの利用ガイドライン）｜日本ディープラーニング協会