最終更新：2026年7月13日
このひな形の使い方
以下は、中小企業が生成AIの業務利用を始める際の初期案です。角括弧の項目を自社の名称、承認ツール、担当窓口へ置き換え、実際の業務、扱う情報、契約、法令、業界ルールに合わせて調整してください。
このページは一般的な実務情報であり、法的助言ではありません。個人情報、顧客の秘密情報、医療・金融・法務など慎重な判断が必要な業務では、社内の責任者や専門家に確認します。
ルール作成前に確認すること
- 現在、従業員が業務で使っている生成AIサービスとアカウント
- 各サービスの契約プラン、入力データの取り扱い、学習利用に関する設定
- AIを使いたい業務と、期待する時間短縮・品質向上
- 個人情報、顧客情報、営業秘密、未公開情報など社内の情報区分
- 出力内容を確認できる担当者と、問題発生時の報告先
- 外部へ公開する文章、画像、コード、提案書などの承認手順
従業員がすでに利用している場合、利用実態を把握せずにルールだけを配布しても運用できません。まず用途、ツール、入力情報を聞き取り、実務に合う線引きを作ります。
生成AI社内利用ルールひな形
社内規程、利用ガイド、チェックシートなど、自社で周知しやすい形式へ変更して使用します。
第1条 目的と適用範囲
本ルールは、[会社名]の役員、従業員、業務委託者が、業務で生成AIを安全かつ適切に利用するための基本事項を定める。個人所有の端末やアカウントを業務に利用する場合も本ルールを適用する。
第2条 利用できるサービスとアカウント
- 業務では、会社が承認した[承認ツール名・契約プラン]を使用する
- 会社が指定したアカウント、認証方法、データ利用設定を使用する
- 未承認サービスを試す場合は、実在の社内情報・顧客情報を入力せず、事前に[担当窓口]へ相談する
第3条 入力してはいけない情報
- 氏名、住所、連絡先、健康情報、購入履歴など個人を識別できる情報
- 顧客、取引先、従業員から秘密として預かった情報
- 未公開の事業計画、価格、契約、財務、人事、採用、商品開発に関する情報
- パスワード、APIキー、認証コード、サーバー設定などの認証・セキュリティ情報
- 第三者から利用許可を得ていない文章、画像、データ、ソースコード
- その他、社内の情報管理区分で外部サービスへの入力が認められていない情報
第4条 利用者の確認責任
生成AIの出力は誤り、古い情報、不適切な表現、存在しない出典を含む場合がある。利用者は原典、社内資料、担当者への確認などにより内容を検証し、最終的な判断と成果物への責任を負う。AIが作成したことだけを根拠に承認してはならない。
第5条 著作権・引用・第三者の権利
出力された文章、画像、コードをそのまま使用せず、既存の著作物、商標、人物、機密情報との類似や権利侵害がないか確認する。引用する場合は、引用元を自分で確認し、必要な出典表示を行う。
第6条 外部公開と顧客への提供
WEBサイト、SNS、広告、提案書、契約文書、顧客向け回答など外部へ出す成果物は、業務上必要な確認・承認を受ける。事実、数値、価格、法令、固有名詞、引用元は特に確認する。AIだけに自動公開を任せない。
第7条 事前承認が必要な利用
- 採用、評価、与信、契約など、人の権利や重要な判断に影響する用途
- 顧客情報や社内システムと生成AIを連携する用途
- AI出力を自動で外部送信・公開・実行する用途
- 新しい有料契約、API利用、追加機能の導入
- 画像・音声・動画で実在の人物や企業を扱う用途
第8条 問題発生時の報告
入力禁止情報を送信した、誤情報を公開した、権利侵害や不正利用の疑いがあるなどの問題に気付いた場合、利用者だけで解決しようとせず、速やかに[担当窓口・連絡方法]へ報告する。報告には利用日時、サービス、入力・出力の概要、公開・共有範囲を含める。
第9条 教育とルールの見直し
[管理責任者]は、利用者への説明、事例共有、設定確認を行う。本ルールは、利用サービス、契約、法令、事業内容、発生した問題に応じて、少なくとも[見直し周期]ごとに見直す。
用途別に利用条件を分ける
| 区分 | 用途例 | 利用条件 |
|---|---|---|
| 通常利用 | 公開情報の要約、見出し案、会議項目、文章の校正、アイデア出し | 承認ツールを使用し、入力情報と出力を利用者が確認 |
| 確認者が必要 | WEB記事、SNS投稿、営業資料、商品説明、顧客向けメールの下書き | 事実・権利・表現を確認し、定めた承認者が公開前に確認 |
| 事前承認が必要 | 顧客データ連携、採用・評価支援、自動応答、自動公開、システム操作 | 責任者が目的、データ、権限、誤動作時の停止方法を確認 |
| 利用禁止 | 承認されていない機密情報の入力、AI出力だけによる重要判断、なりすましや虚偽の作成 | 利用しない。誤って実施した場合は直ちに報告 |
同じ文章作成でも、社内メモと契約文書では影響が異なります。ツール名だけでなく、用途と扱う情報で条件を決めます。
社内へ導入する手順
利用実態を把握する
部署、ツール、用途、入力情報、困っている点を聞き取ります。
小さな対象業務を決める
公開情報の整理や文章の下書きなど、確認しやすく影響が限定された業務から始めます。
承認ツールと設定を決める
契約、管理者、アカウント、学習利用設定、ログ、退職時の停止方法を確認します。
ルールと具体例を説明する
禁止情報だけでなく、使ってよい例、確認方法、報告先を実際の業務例で共有します。
試行結果を記録する
作業時間、品質、修正内容、誤り、利用者の質問を記録します。
対象業務を広げる
試行で確認できた範囲から、部署や用途を段階的に追加します。
ルールを見直すきっかけ
- 新しい生成AIサービス、プラン、外部連携機能を導入するとき
- 顧客情報や社内データを扱う用途を追加するとき
- AI出力を自動で公開・送信・実行する仕組みを導入するとき
- 誤入力、誤公開、権利上の問題、利用者からの判断に迷う事例があったとき
- 契約、法令、業界ガイドライン、社内の情報管理方針が変わったとき
改定日、改定理由、変更箇所を記録し、最新版の保存場所を一つにします。周知時には、全文だけでなく前回からの変更点を伝えます。
生成AIの社内利用ルールでよくある質問
無料版を業務で使ってもよいですか？
無料・有料だけでは判断できません。入力データの取り扱い、管理機能、契約条件、アカウント管理、利用目的を確認し、会社として承認した条件で使用します。
AIを使ったことを必ず外部へ表示すべきですか？
用途、契約、法令、媒体の方針によって判断します。表示の有無にかかわらず、公開者が内容を確認し、誤りや権利侵害を防ぐ責任は残ります。
すべての出力を上司が確認すべきですか？
社内のアイデア出しと、顧客へ渡す資料では影響が異なります。用途ごとのリスクに応じて、利用者確認、同僚確認、責任者承認を分けます。
一度ルールを作れば十分ですか？
生成AIの機能、契約、社内用途は変わります。利用事例と問題を収集し、定期的および重要な変更時に見直します。
参考情報
自社の業務に合わせてルールを具体化する
扱うデータ、利用中のツール、従業員の業務を確認し、禁止事項だけでなく、安全に使える業務と確認手順を整理します。