生成AIの社内利用ルールの作り方｜ガイドラインで決める項目と参考資料

社内で生成AIを使う場面は、文章の下書き、翻訳、コードの作成、資料の要約など、業務の広い範囲に及ぶようになりました。一方で、明文化されたルールがないまま、何を入力してよいか、どのサービスを使ってよいかが各自の判断に委ねられている組織もあります。

本記事で扱うのは、従業員が業務で生成AIを使う際の社内ルールです。顧客や社会に向けて公表するAIポリシーとは分けて考えます。何を決めるべきか、どの資料を参考にできるか、作ったあとにどう周知・確認するかを、順に見ていきます。

生成AIの社内利用ルール（社内ガイドライン）とは、従業員が業務で生成AIサービスを使う際の条件を定めた文書です。利用を禁止するか許可するかの二択を決めるものではなく、どの業務で、どのサービスを、どんな条件で使ってよいかを示すものです。

ルールがない状態で問題になりやすいのは、次の3点です。

• 入力する情報：顧客情報や未公表の社内情報を、外部のサービスに入力してよいかの判断が個人任せになる
• 使うサービスと契約：個人アカウントでの利用、無料プランでの利用など、会社が把握していない形での利用が生じる
• 出力の扱い：生成された文章やコードを、事実確認や権利面の確認をせずに成果物へ使ってしまう

いずれも、悪意がなくても、判断基準が共有されていなければ起こり得ます。ルールを作る目的は、この判断を個人から組織に引き取ることにあります。

2025年6月4日に「人工知能関連技術の研究開発及び活用の推進に関する法律」（AI法）が公布され、同年9月1日に全面施行されました。AIの研究開発と活用の推進について、基本理念や関係主体の責務、基本計画、推進体制などを定めた法律です。

AI法は、AIを事業活動に利用する事業者（活用事業者）の基本的な責務として、事業活動でのAI関連技術の活用に努めることや、国・地方公共団体が実施する施策への協力を定めています。一方で、AI法は、社内の生成AI利用ルールに盛り込む項目や様式を具体的に定めていません。社内ルールを作成していないこと自体に罰則を設けた法律でもありません。

また、AI法に基づき、2025年12月19日には「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」が決定されています。これは国としての基本的な方向性を示すもので、社内ルールの直接のひな形ではありません。

これらを単純な上下関係としてではなく、役割の違いで捉えると分かりやすくなります。AI法は基本理念や政策の枠組みを、適正性確保指針は自主的な取り組みの方向性を、AI事業者ガイドラインは事業者が取り組む事項を示しています。JDLAのひな形は、それらを社内文書へ落とし込む際の参考になります。具体的なルールを作る際は、これらを参照しながら自社の利用状況に合わせる必要があります。

社内ルールをゼロから考える必要はありません。次の資料が参考になります。

資料	位置づけ	社内ルールへの使い方
AI法・適正性確保指針（内閣府）	法律と国の基本方針	制度全体の背景として押さえる
AI事業者ガイドライン 第1.2版（経済産業省・総務省）	事業者が取り組む基本事項	AI利用者向けの事項を項目設計の軸にする
生成AIサービスの利用に関する注意喚起（個人情報保護委員会）	個人情報の入力・取扱い	個人情報を入力する条件と禁止範囲の設計に反映する
AIと著作権に関するチェックリスト＆ガイダンス（文化庁）	著作物の入力と生成物の利用	出力の取り扱い条件に反映する
生成AIの利用ガイドライン 第1.1版（JDLA）	社内規程の条項例	文書の骨格・条文表現の参考にする

AI事業者ガイドラインは、2026年3月31日にとりまとめられた第1.2版が最新です。本編・別添に加えて、チェックリストとExcel形式のワークシートも公開されており、自社の取り組み状況を確かめる素材として使えます。AI利用者向けの事項では、提供者が意図した範囲での適正な利用、人間の判断の介在、個人情報や機密情報の不適切な入力への注意などが示されています。また、全主体に共通する指針として、プライバシー保護、セキュリティ確保、文書化、教育・リテラシーなども示されています。

JDLA（日本ディープラーニング協会）の「生成AIの利用ガイドライン」は、社内規程の形に近いひな形として公開されています。現行の第1.1版は2023年10月公開であり、AI法やAI事業者ガイドライン第1.2版より前の資料です。そのまま採用するのではなく、最新の状況に合わせた補正が必要です。

どの資料も、そのまま自社のルールになる文書ではありません。自社が使うサービス、扱う情報、業務の内容に合わせて、項目を選び直す前提で参照します。

社内ルールで決める項目は、次の9つに分けられます。

分類	決めること
適用範囲	誰が、どの業務で、どのサービスを使う場合に適用されるか
利用してよい業務・禁止する用途	許可する業務範囲と、禁止する使い方
入力情報	入力してよい情報と、入力してはいけない情報
サービス・契約・設定の条件	承認済みサービス、契約プラン、学習利用などの設定条件
出力の取り扱い	事実確認、権利面の確認、成果物への利用条件
申請・承認	利用申請、例外の承認、新しいサービスを導入する手続き
記録	利用記録・確認記録をどの範囲で残すか
問題発生時の対応	誤入力や権利問題が起きたときの連絡先と対応
教育・責任者・見直し	周知と教育の方法、管理責任者、見直しの契機

正社員だけか、派遣・業務委託のメンバーも含むのか。業務での利用すべてか、特定の業務に限るのか。対象とするサービスの範囲（汎用の生成AIサービス、業務ツールに組み込まれたAI機能、社内で構築したAI環境）も最初に定めます。

文章の下書きや翻訳のように広く許可できる業務と、人事評価や取引先への正式回答のように慎重な扱いが必要な業務を分けます。AIの出力だけで最終判断をしてはいけない業務を明示しておくと、運用時の迷いが減ります。

個人情報、顧客から預かった情報、未公表の技術情報や経営情報などについて、どの範囲を禁止し、どのサービス・契約条件であれば利用を認めるかを具体化します。個人情報については、利用目的の範囲内か、入力した情報がサービス提供者の学習などに使われるかも確認します。「機密情報は入力しない」だけでは判断が分かれるため、自社の情報区分と対応させて書くのが実務的です。

同じサービスでも、契約プラン、入力データの学習利用に関する設定、管理者機能やログの有無、外部連携機能によって条件が変わります。会社が承認したサービスと契約形態の一覧を持ち、個人アカウントでの業務利用を認めるかどうかを明確にします。

生成された内容の事実確認を誰が行うか、既存の著作物との類似性など、著作権侵害の懸念をどのように確認するか、社外向けの成果物へ利用する場合に誰が承認するかを定めます。文化庁の資料は、AI利用者の立場での注意点を確かめる素材になります。

新しいサービスや外部連携機能を使い始めるときの手続きを決めます。ルールの外側で使いたい場面が出たときに、例外をどう申請し、誰が承認するかの経路があると、ルールが実態から乖離しにくくなります。

どの利用について記録を残すか、確認した事実をどう残すかを決めます。すべての利用を記録する必要はありませんが、重要な業務での利用や例外承認については、後から経緯を説明できる状態にしておきます。

入力してはいけない情報を入力してしまった、生成物に権利上の懸念が見つかった、といった場面の連絡先と初動を決めておきます。報告しやすい窓口があることが、問題の早期把握につながります。

ルールの管理責任者と問い合わせ先、従業員への周知と教育の方法、見直しの契機を定めます。ここは後のセクションで詳しく見ていきます。

現場の利用実態の把握から始める

ルールを机上で書き始める前に、いま誰が、どの業務で、どのサービスを使っているかを確かめます。実態と離れたルールは、作っても守られにくくなります。

一律禁止だけで終わらせず、条件を分ける

実態と合わない一律禁止は、会社が把握できない利用につながる可能性があります。一方で、情報の種類や業務への影響によっては、利用を禁止すべき場面もあります。何でも許可するのでも、すべて禁止するのでもなく、条件を分けて示す必要があります。AI事業者ガイドライン第1.2版も、リスクの大きさに応じて対応を選ぶ考え方（リスクベースアプローチ）を示しています。

最初から完璧を目指さず、版を重ねる

生成AIのサービスと使われ方は変化が速く、最初の版ですべてを網羅しきるのは難しいため、更新を前提にします。まず基本の項目で第1版を出し、運用で見つかった課題を反映して更新していきます。

関係部署を巻き込む

入力情報の区分は情報管理部門、権利面は法務、教育は人事や総務と、項目ごとに関わる部署が異なります。1つの部署だけで完結させず、確認先を決めながら進めます。

ルールは、文書を作るだけでは機能しません。従業員への周知、受領確認、判断に迷う点の把握、そして実際の利用状況の確認までを一連で考えます。

誰に届き、誰が内容を確認したかを記録すると、周知状況を説明できます。ただし、確認済みの記録だけで、内容を理解し、実際に遵守していることまで証明できるわけではありません。必要に応じて、判断に迷う項目や現在の利用状況も回答してもらいます。あわせて、現在どのサービスをどの業務で使っているかを定期的に確認すると、ルールと実態のずれを見つけられます。利用状況の確認には、無料で使えるチェックシートテンプレート一覧で紹介しているAI利用確認のテンプレートが参考になります。これは社内ルールそのもののひな形ではなく、ルールの周知後に利用状況を確認するチェックシートの例です。

マモリスでは、利用ルールをチェックシートとして配布し、従業員が内容を確認した記録や、現在の利用状況への回答を残せます。回答内容に不明点があれば差し戻して確認し、その経緯も記録に残ります。

見直しは、定期の時期だけでなく、次の契機でも行います。

• 新しい生成AIサービスを導入したとき
• 契約条件やデータ利用条件が変わったとき
• 新しい業務で使い始めるとき
• 法令・政府ガイドラインが更新されたとき
• 情報の誤入力や権利問題が発生したとき
• 定期確認の時期が来たとき

AI事業者ガイドライン自体も、技術や環境の変化に合わせて更新される文書として位置づけられています。社内ルールも同じ前提で運用します。

なお、自社のルールが定まると、委託先への確認もしやすくなります。自社の基準がないまま委託先に「AIを使っていますか」と聞いても、回答を判断できないためです。この関係は委託先のAI利用、なぜ「使っていますか」だけでは足りないのかで扱っています。

Q1. 生成AIの利用を禁止すれば、ルールは不要ではありませんか？

禁止も一つのルールですが、「何を、なぜ禁止するのか」「例外はあるのか」を明文化しなければ、判断は結局個人に残ります。また、業務ツールに組み込まれたAI機能も対象とする場合は、どの機能を禁止・許可の対象に含めるかを具体的に定義する必要があります。禁止する範囲を明確にすることも、ルール作りの一部です。

Q2. 部署ごとにルールを変えてもよいですか？

入力禁止情報や問題発生時の連絡先など、全社で共通にすべき項目と、許可する業務範囲のように部署の実態に合わせられる項目を分けると運用しやすくなります。全体を部署任せにすると、会社として説明できない状態になりやすいため、共通部分は全社ルールとして持つ形をおすすめします。

Q3. どのくらいの頻度で見直せばよいですか？

年1回などの定期見直しに加えて、新しいサービスの導入時、契約条件の変更時、法令やガイドラインの更新時、問題が発生したときを見直しの契機にします。生成AIは変化が速い領域なので、定期の間隔だけに頼らない設計が現実的です。

Q4. 委託先の生成AI利用はどう確認すればよいですか？

自社のルールで基準を定めたうえで、委託先には入力情報・利用サービス・再委託先の利用状況を確認します。具体的な確認項目は委託先のAI利用を確認するチェックリストにまとめています。

Q5. 社内の生成AI利用ガイドラインと、対外的なAIポリシーは同じですか？

別の文書です。社内ガイドラインは従業員の具体的な行動や手続きを定める文書で、対外的なAIポリシーは顧客や社会に向けて企業としての基本姿勢を示す文書です。対外ポリシーを公表する場合も、その裏付けとして社内ルールが機能している必要があります。

• 人工知能関連技術の研究開発及び活用の推進に関する法律（AI法）｜内閣府
• 人工知能関連技術の研究開発及び活用の適正性確保に関する指針｜内閣府
• AI事業者ガイドライン｜経済産業省
• 生成AIサービスの利用に関する注意喚起等について｜個人情報保護委員会
• AIと著作権について｜文化庁
• 資料室（生成AIの利用ガイドライン）｜日本ディープラーニング協会