生成AIの社内ルールの作り方｜決める項目と文例、運用のコツを公的資料から解説

「社員がChatGPTやClaudeを使い始めているが、会社としてのルールがない」「何を決めておけばよいのか分からない」と悩んでいる担当者の方も多いのではないでしょうか。

生成AIの社内ルールは、使うことを禁じるためのものではありません。どの情報を入れてよく、出てきたものをどう確かめ、困ったときに誰に聞くかを決めておくことで、社員が安心して使えるようにするためのものです。決める項目の多くは、国が公表している資料にまとまっています。

この記事では、社内ルールが必要な理由、参考にできる公的資料、ルールに入れる項目、作り方の手順と文例、定着させるための運用までを順に解説します。内容は2026年10月時点の公式情報をもとにしています。法律や指針は改訂されることがあるため、運用の前には公式ページもあわせて確認してください。個別の法的な判断が必要な場合は、弁護士などの専門家にご相談ください。

生成AIの社内ルールが必要な理由

生成AIは、アカウントを作れば誰でもすぐに使えます。そのため、会社が把握しないまま、社員が自分の判断で業務に使い始めているケースは珍しくありません。ルールがないと、使う人によって判断がばらばらになります。

個人情報保護委員会は、2023年6月に「生成AIサービスの利用に関する注意喚起等」を公表しています。事業者が本人の同意なく個人データを含むプロンプト（AIへの入力文）を入力し、そのデータが応答結果の出力以外の目的で扱われる場合には、個人情報保護法の規定に違反する可能性があるとされています。社員個人の注意に任せるのではなく、会社としての基準が必要になる理由です。

法律で義務づけられているわけではない

生成AIの社内ルールを作ることは、法律で一律に義務づけられているものではありません。2025年9月1日に全面施行されたAI法（人工知能関連技術の研究開発及び活用の推進に関する法律）は、事業者にAIの活用に努めることなどを求める内容で、罰則の規定は置かれていません。

総務省と経済産業省のAI事業者ガイドラインも、事業者が自主的に取り組むための指針という位置づけです。ガイドラインでは、リスクの程度や各事業者の資源の制約に配慮しながら進めることが重要とされています。つまり、会社の規模や使い方に合わせて、無理のない範囲で決めればよいということです。

ただし、個人情報保護法や著作権法など、AIを使うかどうかに関係なく守る必要のある法律は、生成AIの利用にもそのまま当てはまります。社内ルールは、これらを社員が日々の操作の中で守れるようにするための道具です。

一律禁止にしない方がよい理由

「リスクが心配だから全面禁止にする」という選択肢もあります。しかし、禁止しただけでは、社員が私用のアカウントで使い続け、会社からは見えなくなる可能性が残ります。

日本ディープラーニング協会（JDLA）は2026年2月に公表した報告書で、生成AIは「一律に禁止すべきもの」でも「無条件に利用できるもの」でもなく、条件を整理して運用することで活用できる技術だとしています。個人データの入力についても、一律に禁止されるものではなく、一定の条件下では個人情報保護法上、適法に行える場合があるという整理を示しています。この報告書は法的拘束力のない参考情報で、最終的な判断は各社が契約条件や運用体制を踏まえて行うものとされています。

そのため、多くの会社にとって現実的なのは、入れてはいけない情報を明確に決めたうえで、会社が認めたサービスの範囲で使ってもらう形です。

参考にできる公的な資料

ルールを一から考える必要はありません。国や関連団体が公表している資料には、決めるべき項目や考え方が整理されています。主なものを表にまとめました。

IPAのガイドラインは、プロジェクトメンバーの見解をまとめたもので、IPAや産業サイバーセキュリティセンターの公式見解ではないと明記されています。参考資料として使う際は、この位置づけを踏まえてください。

AI事業者ガイドラインの読み方

AI事業者ガイドラインは、AIに関わる事業者を「AI開発者」「AI提供者」「AI利用者」の3つに分けて整理しています。AI利用者は、事業活動でAIシステムやAIサービスを利用する事業者のことです。ChatGPTやClaudeを自社の業務で使う多くの会社は、この「AI利用者」にあたります。

全体の共通の指針は、人間中心・安全性・公平性・プライバシー保護・セキュリティ確保・透明性・アカウンタビリティ・教育とリテラシーなど10項目で構成されています。社内ルールを作るときは、まず本編の第5部「AI利用者に関する事項」と、実践方法を解説した別添5を読むのが近道です。

別添には、AI利用者が取り組む具体的な手法の例が載っています。たとえば次のような内容です。

• 利用前にログ（操作履歴や入力・出力の記録）の管理体制を整える
• AIの活用が適正な範囲で行われているかを定期的に確認する
• 出力によって重大な影響が生じうる場合は、人間の判断を介在させる
• 入力する個人データや機密情報が、サービスの提供者でAIの学習に使われる予定の場合は入力しない

なお、ガイドラインの別添は、全てを記載のとおり実施することを求めるものではないと明記されています。自社に必要な項目を選んで使うものです。

JDLAのひな形を使うとき

JDLAは、生成AIの活用を考える組織向けに、利用ガイドラインのひな形を無料で公開しています。公式ページによると、組織内での活用目的などに照らして、必要な追加や修正を加えて使うよう案内されています。個人情報や秘密情報を入力するリスク、他人の著作物の扱い、出力物の権利といった論点が取り上げられています。

注意したいのは、ひな形の公開時期です。条項のみの版は第1.1版（2023年10月公開）で、その後のAI事業者ガイドラインの改訂やサービスの変化は反映されていません。ひな形をそのまま使うのではなく、最新の公的資料と照らしながら、自社の実態に合わせて直してください。

ルールに入れる項目

社内ルールには、次の項目を入れておくと、現場で判断に迷う場面が減ります。公的資料の内容と、実務で必要になる項目を合わせた一例です。

入力してよい情報の決め方

社内ルールの中で、最も現場の判断が分かれやすいのが「何を入力してよいか」です。ここでは、情報を区分する考え方と、サービスのプランによる違いを説明します。

情報を3つに分ける

入力してよい情報を、次の3つに分けて決めると、社員が迷いにくくなります。表は一例なので、自社の情報の種類に合わせて書き換えてください。

AI事業者ガイドラインの別添でも、機密情報を含むプロンプトは、入力した情報がサービス提供者でAIの学習に使われる予定の場合は入力しないよう留意すること、また、AIに過度に感情移入して、秘匿性の高い情報をむやみに与えないようにすることが挙げられています。

個人情報を入力するとき

個人情報保護委員会の注意喚起は、個人情報取扱事業者に向けて、次の2点を挙げています。

• 個人情報を含むプロンプトを入力する場合は、特定された利用目的を達成するために必要な範囲内であることを十分に確認すること
• 本人の同意なく個人データを入力し、そのデータが応答結果の出力以外の目的で扱われる場合は、法の規定に違反する可能性がある。そのため、サービスを提供する事業者が、個人データを機械学習に利用しないことなどを十分に確認すること

つまり、個人情報を入れられるかどうかは、利用目的の範囲内か、サービス側でそのデータが学習などに使われないかで決まります。「個人情報は一切入力禁止」とするのか、「確認を終えた特定のサービスでのみ入力可」とするのかは、会社のリスクの許容度に応じて決めてください。

契約するプランで扱いが変わる

同じサービスでも、個人向けプランと法人向けプランでは、入力した内容が学習に使われるかどうかの扱いが異なります。公式ページに書かれている内容は、次のとおりです。

GeminiやMicrosoft Copilotなど、ほかのサービスを使う場合も、個人向けと法人向けで扱いが異なることがあります。使うサービスごとに、公式のプライバシーに関するページで確認してください。

取引先の情報は契約も確認する

取引先から預かった資料には、秘密保持契約（NDA）の対象になっているものがあります。契約では、情報の開示先や取り扱いの範囲が決められていることが多く、生成AIのサービスに入力することが、その範囲に収まるかどうかは契約書の内容で変わります。

この点は公的な資料で一律の基準が示されているわけではありません。社内ルールには「取引先から預かった情報は、契約書の定めを確認したうえで入力する」と書いておき、判断に迷うときは法務担当者や責任者に相談する流れにしておきましょう。

出力の扱い・著作権

入力のルールと並んで決めておきたいのが、AIが作った文章や画像をどう扱うかです。

出力は誤りを含むことがある

個人情報保護委員会の注意喚起は、生成AIの応答は確率的な相関関係に基づいて生成されるため、不正確な内容が含まれることがあると指摘しています。AI事業者ガイドラインの別添でも、AIの出力について精度とリスクの程度を理解し、様々なリスク要因を確認したうえで利用することが挙げられています。

そこで、用途ごとに確認の方法を決めておきます。次の表は一例です。

AI事業者ガイドラインの別添には、AIが生成したコードに脆弱性が含まれていたり、他者の知的財産権を侵害したりする可能性があることも注意点として書かれています。コードを作らせる場合は、必ず人が確認する前提にしておきましょう。

著作権の考え方

文化庁は2024年3月に「AIと著作権に関する考え方について」を取りまとめています。生成物の利用に関する考え方の要点は、次のとおりです。

この考え方は、現行法の解釈についての審議会の一定の考え方であり、法的拘束力はありません。個別の事案は、最終的に裁判所が判断します。

社内ルールとしては、特定の作家・作品・ブランドの名前を挙げて似せるよう指示しないこと、社外に公開する画像や文章は、既存の作品に似ていないかを公開前に人が確認することを決めておくのが現実的です。JDLAの報告書も、生成物を一つずつ確認する運用だけに頼るのではなく、使い方やプロンプトの設計、社内ルールの整理といった利用段階での対策が重要としています。

自社の成果物の権利

文化庁の整理では、人が何も指示を与えず（または簡単な指示にとどまり）、ボタンを押すだけでAIが生成したものは、著作物に当たらないと考えられるとされています。一方、人が創作的な表現のための道具としてAIを使い、創作的な寄与をしたと認められれば、著作物に当たり、利用者が著作者になります。指示が長いこと、試行回数が多いこと、複数の生成物から選んだことは、それだけでは創作的寄与の判断に影響しないとも整理されています。

ロゴやキャラクターのように、自社の権利として守りたい成果物は、AIの出力をそのまま使うのではなく、人が加筆・修正を加えた経緯を残しておくとよいでしょう。これは社内ルールとして書いておく価値のある項目です。

社外に向けた利用方針

AIの出力が顧客などの社外の人に直接影響を及ぼす使い方をする場合は、AIを利用している旨や活用の範囲、リスク、相談窓口を示した「利用方針」を作成して公開することが、AI事業者ガイドラインの別添で期待されています。

一方で、AIを人間の思考に供する分析の道具として使うにとどまる場合や、AIが原案を作り、最終的に人間が判断することが実質的に担保されている場合は、利用方針の公表は必ずしも求められないとされています（自主的な公表は期待されています）。社内の業務効率化が中心であれば、まずは社内ルールだけを整えれば足りることが多いでしょう。

社内ルールの作り方

ルールは、最初から完成させようとすると進みません。小さく作って、使いながら直していく進め方が向いています。

1. 使われ方を把握するどの部署が、どのサービスを、何のために使っているかを聞き取ります。個人のアカウントで使っている場合も、責める意図ではなく、実態を知るために確認します。
2. 使うサービスとプランを決める会社として認めるサービスを決めます。業務データを扱うなら、法人向けのプランを前提にするかどうかも、このときに決めます。
3. ルールの案を作る前の章の項目表に沿って、A4で1〜2枚に収まる分量で書きます。JDLAのひな形を使う場合は、不要な条項を削り、自社に必要な項目を足します。
4. 関係者に確認してもらう現場の社員、情報システムの担当者、法務や総務の担当者に読んでもらい、「現場で守れるか」「判断に迷う箇所はないか」を確かめます。
5. 周知して、使い始める文書を配るだけでなく、短い説明の場を設けます。使い始めてから見えた問題をもとに、最初の見直しを行います。

文例

次の文例は、ルールの書き方のイメージを示すための一例です。実際に使う場合は、自社のサービスや体制に合わせて書き換えてください。

1. 目的：業務の効率化と品質向上のために、会社が認めた生成AIサービスを利用する。

2. 対象：役員、社員、派遣社員、業務委託先の担当者。

3. 利用できるサービス：会社が契約したサービスに限る。個人のアカウントや、会社が認めていないサービスは業務に使わない。

4. 入力してはいけない情報：顧客・従業員の個人情報、取引先から預かった機密情報、未公開の財務情報、パスワードや認証情報。

5. 条件つきで入力できる情報：社内の業務資料。会社が認めたサービスで、承認された用途に限る。

6. 出力の確認：AIの出力をそのまま社外に出さない。内容の正確性を、元の資料や公式情報と照らして担当者が確認する。

7. 著作権：特定の作家・作品・ブランドを挙げて似せる指示をしない。社外に公開する画像・文章は、既存の作品に似ていないかを確認する。

8. 相談と報告：判断に迷う場合や、誤って情報を入力した場合は、直ちに担当部署（総務部）へ連絡する。

9. 見直し：本ルールは、年に1回を目安に、または関係する法令・指針が改訂されたときに見直す。

ルールの文言は短くてもかまいません。社員が読んで、「自分の仕事ではどうなのか」を判断できる具体性があることが、長さよりも大切です。

定着させる運用

ルールは作っただけでは守られません。教育と相談窓口、見直しの仕組みをあわせて用意することで、現場に定着します。

教育は使う前に行う

AI事業者ガイドラインの共通の指針には「教育・リテラシー」があり、AIに関わる者が、その関わりにおいて十分なレベルのAIリテラシーを確保するために必要な措置を講じることが挙げられています。別添では、教育に含める内容の例として、次のような事項が示されています。

• データにバイアス（偏り）が含まれうることなど、AIとデータの特性
• AIの正確性・公平性・プライバシー保護に関する課題と、技術の限界
• AIが生成した虚偽情報が流通している可能性と、情報の取捨選択の必要性
• 生成AIから適切な回答を引き出すためのプロンプトの作り方

全員に同じ長い研修を行う必要はありません。最初は30分程度の説明会で、ルールの要点と、判断に迷いやすい具体例を共有するだけでも効果があります。

相談窓口と事故時の連絡を決める

判断に迷ったときに相談できる窓口がないと、社員は自己判断で使うか、使うのをやめてしまいます。相談窓口は、情報システムや総務などの既存の部署に兼任させる形でも構いません。

あわせて、誤って機密情報を入力したときなどの連絡の流れも決めておきます。AI事業者ガイドラインの別添では、インシデント（問題の発生）に備えて、危害が発生したときの連絡体制を事前に整備し、初動措置として停止や関係者への報告などを検討することが挙げられています。社員が責められることを恐れて報告を遅らせないよう、「早く報告すれば責めない」という方針を示しておくと運用しやすくなります。

利用状況を確認し、見直す

別添では、利用前にログの管理体制を整えること、利用中に適正な範囲で使われているかを定期的に確認することが挙げられています。法人向けプランの管理画面で利用状況を確認できるサービスもあるため、契約時に確認しておくとよいでしょう。

見直しの時期も決めておきます。AI事業者ガイドライン自体、第1.0版（2024年4月）から第1.1版（2025年3月）、第1.2版（2026年3月）へと更新されており、「Living Document」として今後も更新を重ねるとされています。社内ルールも、年に1回を目安に、または使うサービスや法令・指針が変わったときに見直すと、実態とのずれを防げます。

よくある質問

まとめ

社内ルールは、決めることが多いように見えても、公的資料の項目に沿って整理すれば、小さく始められます。まずは使われ方の把握と、入力してよい情報の区分から着手するのがおすすめです。

INTERCREATE JAPANでは、Claude CodeやCodexなどの生成AIの導入支援の中で、社内での使い方の整理もお手伝いしています。個別の法的な判断が必要な点は専門家と連携して進めますので、お気軽にご相談ください。