生成AIの利用ルールの作り方（ひな形つき）

ルールは使うことを止めるためのものではなく、社員が安心して使える範囲を示すためのものです。この記事では、項目ごとの考え方、作る手順、運用で詰まりやすい点、ひな形の見出し構成をご紹介します。

そもそも、なぜ社内ルールが必要なのですか？

生成AIは便利な一方で、入力した情報の扱い、誤った出力、他者の権利など、従来のソフトウェアとは違う注意点があります。ルールがないと、社員は「使ってよいのか」がわからず使わないか、自己判断で使うかのどちらかになりがちです。

会社が把握していないAIの利用は「シャドーAI」と呼ばれます。シャドーAIを減らすには、禁止するよりも、会社として使えるツールと、使ってよい範囲をはっきり示すほうが効果的と考えています。

社内ルールを考えるうえで参考になる公的な資料として、次の3つがあります。

• AI事業者ガイドライン（総務省・経済産業省）： AIの開発者・提供者・利用者ごとに、取り組むとよい事項をまとめた指針です。2026年3月31日に第1.2版が公表されました。第1.2版では、自律的に動く「AIエージェント」の定義が加わり、人の判断を間に入れる仕組みの大切さや、扱うデータを必要最小限にする考え方（データ最小化）などが追記されています。ガイドラインは事業者の自主的な取組を支える指針と位置づけられ、今後も更新を重ねる文書（リビングドキュメント）とされています。社内ルールの項目を考える土台になります。
• 個人情報保護委員会の注意喚起（2023年6月2日）： 個人情報を含む指示文（プロンプト）を入力する場合は利用目的の範囲内かを十分に確認すること、本人の同意なく個人データを入力し、それが出力以外の目的に使われると法令違反のおそれがあること、サービス提供者がそのデータを機械学習に使わないこと等を確認することが示されています。
• 文化庁「AIと著作権に関する考え方について」（2024年3月）と「チェックリスト＆ガイダンス」（2024年7月）： 生成物の利用が著作権侵害になるかは、通常の著作物と同じく、既存の著作物との「類似性」と「依拠性」（既存の作品をもとにしたか）で判断されると整理されています。利用者向けには、利用前に似たものがないかを確かめることや、社内ルールを定めることが望ましいとされています。

ルールにはどんな項目を入れればよいですか？

ここでは11の項目をご紹介します。すべてを長く書く必要はありません。自社の規模や使い方に合わせて、短い文で決めておくことが大切です。

① 目的

何のためにルールを定めるかを書きます。例：「生成AIを業務で安全かつ効果的に使い、業務の質と効率を高めること」。使うことを前提にした目的にすると、社員に前向きに受け止めてもらいやすくなります。

② 対象（人と範囲）

誰に適用するか（役員、正社員、契約社員、派遣社員、業務委託先など）と、どの利用が対象か（業務での利用。私物の端末での業務利用を含むか）を決めます。

③ 使ってよいツールと契約

会社が契約・承認したツールを一覧にします。一覧は別紙にして、追加の申請方法も決めておきます。承認の目安として、入力内容が学習に使われない設定ができるか、会社のアカウントで管理できるか、多要素認証が使えるかなどを書いておくと、判断がぶれにくくなります。

④ 入力してはいけない情報

ルールの中心になる項目です。例：

• お客様・取引先の個人情報
• 秘密保持契約などで預かった他社の秘密情報
• 未公表の決算、M&A、人事、価格などの情報
• パスワード、アクセスキーなどの認証情報

「入力してよい情報」「条件付きで入力してよい情報（例：会社が承認したツールに限る）」「入力してはいけない情報」の3段階で示すと、現場で判断しやすくなります。詳しい一覧は別紙（入力してはいけない情報の一覧）にまとめると更新しやすくなります。

⑤ 出力の確認と責任

生成AIの出力には、事実と違う内容がもっともらしく含まれることがあります（ハルシネーション）。出力を使った結果の責任は、使った人と所属部署にあることを明記し、社外に出すもの、契約や判断に使うものは、人が内容を確かめてから使うと決めます。数字、固有名詞、日付、法令の記載は特に確認の対象にします。

AI事業者ガイドライン第1.2版でも、出力が重大な影響を及ぼし得る場面では、人の判断を間に入れることの重要性が示されています。AIが自動で操作まで行う使い方（AIエージェントなど）を認める場合は、どの操作に人の承認を必要とするかも決めておきます。

⑥ 著作権と他者の権利

文化庁の整理をふまえ、次のような点を決めます。

• 生成した文章・画像を社外に出す前に、既存の作品と似ていないかを検索などで確かめる
• 特定の作品名や作家名、キャラクター名を指定して、似たものを作らせない
• 他人の著作物を入力する場合は、ツールの利用規約を確かめる
• どのような指示で生成したかを、後から確かめられるように残しておく

商標や肖像、他社の営業秘密など、著作権以外の権利にも触れておくと安心です。

⑦ 個人情報

個人情報保護委員会の注意喚起をふまえ、個人情報を入力する場合の条件を決めます。例：「原則として入力しない。業務上必要な場合は、利用目的の範囲内であること、学習に使われない設定のツールであることを担当部署が確認したうえで認める」。個人情報の扱いは、既存の個人情報保護の規程と合わせて確認します。

⑧ お客様への説明

お客様に出す資料や回答に生成AIを使う場合、どこまで説明するかを決めます。例：「チャットでの自動応答など、相手がAIと話していると気づきにくい場面では、AIによる応答であることを示す」。契約でAIの利用に条件がある取引先もあるため、契約の確認を営業や法務の手順に入れておくとよいと考えています。

⑨ 記録

何を記録するかを決めます。例：ツールの利用者一覧、承認の記録、社外に出した生成物の指示文や確認者。記録は、問題が起きたときの原因の確認や、著作権で「もとにしていない」ことを説明する材料になります。

⑩ 相談窓口と問題が起きたときの対応

迷ったときに相談する窓口（担当部署、連絡方法）を書きます。あわせて、入力してはいけない情報を入れてしまった場合などに、すぐに報告すれば責めない方針を示しておくと、報告が早くなります。報告を受けた後の流れ（利用停止、影響の確認、再発防止）も簡単に決めておきます。

⑪ 見直し

生成AIのサービスや公的な指針は更新が続いています。見直しの時期（例：半年ごと、または大きな制度変更があったとき）と、見直しの担当を決めておきます。

どんな手順で作ればよいですか？

① 担当と関係部署を決めます。 管理部門（総務・法務・情報システム）が中心になり、実際に使う部署からも1〜2人に入ってもらいます。

② いまの使われ方を把握します。 どの部署で、どのツールを、何に使っているかを簡単なアンケートで確かめます。実態に合わないルールは守られにくくなります。

③ 既存の規程を確認します。 情報セキュリティ規程、個人情報保護の規程、秘密情報の管理規程、就業規則などと重なる部分を洗い出し、新しいルールではそれらを参照する形にします。

④ 暫定版を作ります。 11の項目を、まずは短い文で埋めます。ひな形（生成AIの利用ルール（ひな形））を使うと早く進められます。

⑤ 試行で確かめます。 一部の部署で1か月ほど運用し、迷った場面や質問を集めます。

⑥ 正式版にして周知します。 承認の手続きを経て公表し、短い説明会や確認テストで内容を伝えます。

⑦ 定期的に見直します。 集まった質問や事例をもとに、別紙の一覧を中心に更新します。

運用で詰まりやすい点はどこですか？

• 禁止が多すぎて使われない： 禁止事項を並べるだけだと、結局使われないか、隠れて使われます。「この条件なら使ってよい」という形で書くと運用しやすくなります。
• 「機密情報」の範囲があいまい： 社員によって判断が分かれます。具体例を挙げた一覧を別紙にすると判断がそろいます。
• 新しいツールの承認が遅い： 申請から承認までの流れと目安の日数を決めておくと、シャドーAIを減らせます。
• ツールの設定が変わる： サービス側の仕様や規約は更新されます。承認したツールの設定と規約を定期的に確かめる担当を決めておきます。
• 業務委託先の扱いが抜ける： 委託先が生成AIを使う場合の条件を、契約や発注の手順にも反映させます。
• 作って終わる： 見直しの時期を決め、質問の記録を残しておくと、更新が続けやすくなります。

チェックリスト

• ルールの目的を、使うことを前提にした文で書いた
• 適用する人（委託先などを含むか）と範囲を決めた
• 使ってよいツールの一覧と、追加の申請方法を決めた
• 入力してはいけない情報を、具体例つきの一覧にした
• 出力の確認と責任の所在を明記した
• 著作権など他者の権利について、利用前の確認方法を決めた
• 個人情報を入力する場合の条件を決めた
• お客様への説明と、取引先との契約の確認方法を決めた
• 相談窓口と、問題が起きたときの報告の流れを決めた
• 見直しの時期と担当を決めた

ひな形の見出し構成

ひな形（生成AIの利用ルール（ひな形））は、次の見出しで構成しています。

生成AI利用ガイドライン
第1条　目的
第2条　適用範囲（対象者・対象となる利用）
第3条　用語の定義（生成AI、プロンプト、生成物 など）
第4条　利用できるツールと承認の手続き
第5条　入力してはいけない情報（別紙1：入力情報の区分一覧）
第6条　生成物の確認と責任
第7条　著作権その他の権利の尊重
第8条　個人情報の取扱い
第9条　お客様・取引先への説明
第10条　記録と保存
第11条　相談窓口と問題が起きたときの対応
第12条　教育
第13条　見直し
附則　制定日・改定履歴
別紙1　入力情報の区分一覧（入力してよい／条件付き／入力してはいけない）
別紙2　承認済みツール一覧（ツール名・契約の種類・設定・管理者）
別紙3　生成物の確認チェック表