「社員がChatGPTなどの生成AIを使い始めたが、会社としてルールがない」
「顧客情報や社内資料を入力してもよいのか判断できない」
「生成AIを禁止するのではなく、安全に業務活用したい」
「社内向けの生成AIガイドラインには何を書けばよい？」
生成AIを企業で利用する場合、最初に整理しておきたいのが社内ガイドラインです。
生成AIは、
メール作成
議事録要約
報告書作成
アイデア整理
プログラミング
社内文書検索
など、さまざまな業務を効率化できます。
一方で、ルールがない状態で利用を広げると、
顧客情報を入力してしまう
機密資料をアップロードする
AIの回答を確認せず利用する
著作物をそのまま入力・出力する
個人アカウントのAIを業務利用する
といった問題が発生する可能性があります。
2026年3月に公表された経済産業省の「AI事業者ガイドライン 第1.2版」でも、AIを利用する事業者がリスクを把握し、組織として必要な対応を行うための考え方やチェックリストが示されています。
重要なのは、
生成AIを禁止する
ことではありません。
どのAIを
何の業務で
どの情報まで使ってよいか
を社員が判断できる状態を作ることです。
この記事では、社内向け生成AIガイドラインに盛り込みたい項目、利用可能な情報と禁止情報、個人情報・著作権・機密情報への対応、運用方法まで解説します。
生成AIの社内ガイドラインとは
生成AIの社内ガイドラインとは、社員が生成AIを業務利用するときの基本的なルールを定めたものです。
例えば、
利用できる生成AIサービス
入力してよい情報
入力してはいけない情報
AI出力の確認方法
社外公開時の確認
問い合わせ先
などを決めます。
IPAの「テキスト生成AIの導入・運用ガイドライン」でも、組織で生成AIを運用する際には、利活用ルールを策定・文書化し、リスク管理と組み合わせることが重要な要素として整理されています。
なぜ生成AIの社内ルールが必要なのか
生成AIは通常の業務システムと異なり、社員が自由入力欄へさまざまな情報を入力できます。
例えば、
この契約書を要約して
この顧客への返信を作って
このソースコードの問題点を教えて
と簡単に依頼できます。
便利な反面、入力した内容に、
- 個人情報
- 顧客情報
- 営業秘密
- 未公開情報
- 認証情報
- 著作物
などが含まれる可能性があります。
そのため、
社員の自己判断だけに任せない
ことが重要です。
生成AIガイドラインに入れたい基本項目
最低限、次の項目を決めておくと運用しやすくなります。
1．ガイドラインの目的
最初に、
なぜこのルールを作るのか
を明記します。
例えば、
本ガイドラインは、生成AIによる業務効率化を推進するとともに、
情報漏えい、誤情報、権利侵害等のリスクを低減することを目的とする。
という考え方です。
禁止事項だけを書くより、
安全に活用するためのルール
と位置付けた方が社内展開しやすくなります。
2．利用できる生成AIサービス
社員が自由にAIサービスを選べる状態にするか、会社が指定するかを決めます。
例えば、
利用可能
会社が契約した生成AIサービス
会社が承認したAI機能
社内AIシステム
原則禁止
個人アカウントで契約した未承認AI
出所不明の生成AIサービス
とします。
これによって、
社員が検索して見つけたAIへ
機密情報を入力する
といった利用を抑えられます。
3．生成AIを利用してよい業務
生成AIの使用対象も整理します。
例えば、
利用しやすい業務
文章の下書き
文章校正
要約
アイデア整理
議事録整理
コード作成支援
公開情報の整理
などです。
一方、
原則として人の判断が必要
契約判断
採用判断
人事評価
医療・法律など専門判断
重要な顧客対応
支払い・返金
などを分けます。
重要なのは、
生成AIを使用してよいか
だけでなく、
AIの結果だけで最終判断してよいか
も決めることです。
4．入力してはいけない情報
社内ガイドラインの中でも特に重要な項目です。
例えば、
パスワード
APIキー
秘密鍵
認証トークン
マイナンバー
会社が禁止した機密情報
などは、原則として入力禁止にできます。
特に認証情報は、
AIに入力しない
という明確なルールにしておく方がよいでしょう。
個人情報の取り扱いを決める
生成AIへ個人情報を入力する場合は注意が必要です。
個人情報保護委員会は、生成AIサービスへの個人情報の入力について、利用目的の範囲や、サービス提供者がその情報を機械学習へ利用するかなどを確認する必要がある旨を注意喚起しています。
そのため、社内ルールとして、
個人情報は原則入力禁止
とする方法もあれば、
会社が承認した環境のみ利用可能
かつ
業務上必要な範囲に限定
とする方法もあります。
会社の利用サービスや契約内容によって判断します。
個人情報を必要以上に入力しない
例えば問い合わせ文章をAIで要約するとします。
元データに、
氏名
住所
電話番号
生年月日
問い合わせ内容
が含まれていても、要約に必要なのが、
問い合わせ内容
だけなら、その他の情報をAIへ渡す必要はありません。
業務データ
↓
不要な個人情報を除去
↓
生成AI
という方法もあります。
5．機密情報・営業秘密のルールを決める
企業では、
新製品情報
原価
顧客リスト
営業戦略
設計資料
ソースコード
未公開の経営情報
などを扱います。
これらを生成AIへ入力できるかは、会社の利用環境や情報管理ルールによって判断する必要があります。
経済産業省は営業秘密について、有用性・秘密管理性・非公知性の3要件を満たす情報として管理する必要があると説明しており、企業には秘密情報を適切に管理することが求められます。
そのため、
機密区分A
→ AI入力禁止
機密区分B
→ 社内AIのみ利用可能
一般社内情報
→ 承認されたAIで利用可能
のように、既存の情報管理区分と生成AIルールを組み合わせる方法があります。
6．生成AIの学習利用・データ保持を確認する
生成AIサービスによって、
入力データを学習に利用するか
どのくらい保持するか
管理者がログを確認できるか
データ保存地域はどこか
などの条件が異なります。
そのため、
ChatGPTだからOK
○○AIだからNG
という名前だけで判断するのではなく、会社で契約しているプランや設定を確認します。
企業向けプランと個人向けサービスで条件が異なる場合もあるためです。
7．著作権のルールを決める
生成AIでは著作権も考える必要があります。
例えば、
有料記事全文を入力して要約
他社の文章を入力して類似文章を生成
生成画像を広告へそのまま使用
などです。
文化庁は「AIと著作権に関する考え方」やチェックリストを公開しており、生成AIの開発・利用と著作権の関係には、利用目的や具体的な利用態様によって判断が必要な事項があると整理しています。
社内ルールでは例えば、
第三者の著作物を必要以上に入力しない
生成物を公開する前に類似性を確認する
AI生成物だから自由に利用できるとは考えない
といった注意事項を入れます。
8．AI出力には誤りがあることを明記する
生成AIはもっともらしい誤情報を生成する可能性があります。
そのため、
生成AIの回答を事実としてそのまま使用しない
というルールが重要です。
特に、
- 金額
- 日付
- 法律
- 統計
- 人名
- URL
- 製品仕様
- 引用
などは確認します。
例えば、
AIで契約書の要約
↓
担当者が原文確認
↓
利用
とします。
生成AIは「下書き担当」と考える
社内導入初期は、
AI
→ 最終成果物
ではなく、
AI
→ 下書き
↓
人
→ 確認・修正
↓
最終成果物
とすると安全に利用しやすくなります。
9．社外へ公開する文章の確認ルール
社外公開するものについては、社内利用より確認を強くします。
例えば、
顧客メール
ホームページ
プレスリリース
SNS投稿
提案書
契約関連文書
などです。
ルールとして、
生成AIによる出力は
担当者が内容を確認した上で公開する
とできます。
重要度によって、
通常メール
→ 本人確認
契約文書
→ 上長または専門担当確認
などと分けてもよいでしょう。
10．生成AIによる意思決定のルール
生成AIを、
採用候補者の選考
社員評価
与信判断
契約判断
などに利用する場合は特に慎重な設計が必要です。
AI事業者ガイドラインは、公平性、透明性、アカウンタビリティなどを含むAIガバナンスの考え方を事業者向けに示しています。
社内ルールとして、
AIの出力のみを根拠として
重大な意思決定を行わない
と定める方法があります。
11．生成AIで作成したプログラムの確認
エンジニアが生成AIを使う場合は、コードにもルールが必要です。
例えば、
AI生成コードをそのまま本番へ反映しない
レビューする
テストする
依存ライブラリを確認する
機密コードの入力可否を確認する
などです。
AIが生成したコードには、
動作しない
セキュリティ問題がある
存在しないAPIを利用している
可能性があります。
通常のコードレビューと同じように確認します。
12．ファイルアップロードのルール
生成AIではPDF、Excel、Word、画像などをアップロードできます。
そのため、
文章を入力してはいけない
だけでは不十分です。
例えば、
顧客一覧.xlsx
契約書.pdf
給与データ.xlsx
社内設計書.pdf
などのファイルをアップロードしてよいかも決めます。
ルールとして、
機密ファイルはアップロード禁止
または、
会社承認済みのAI環境のみ利用可能
などとします。
13．外部検索・外部連携機能について決める
生成AIサービスによっては、
Web検索
Google Drive連携
メール連携
外部アプリ連携
MCP
などを利用できます。
通常のチャット利用より、アクセスできる情報が広がります。
そのため、
外部サービスとの接続は
管理者承認を必要とする
とする方法があります。
14．生成AIの利用ログをどう扱うか決める
企業利用では、
誰が
いつ
どのAIを
どの程度利用したか
を管理できる環境があります。
ただし、
全プロンプトを永久保存
すればよいわけではありません。
ログ自体に機密情報や個人情報が含まれる可能性があります。
そのため、
保存対象
保存期間
閲覧権限
利用目的
を決めます。
15．生成AI利用時の禁止事項を明確にする
禁止事項は、曖昧にせず具体的にします。
例えば、
・パスワード、APIキー、秘密鍵を入力しない
・会社が禁止した機密情報を入力しない
・生成AIの回答のみで重要判断を行わない
・生成結果を確認せず社外公開しない
・未承認AIを業務利用しない
などです。
「機密情報を入力しない」だけでは分かりにくい
社員からすると、
何が機密情報なの？
となる可能性があります。
そのため、
NG例
顧客一覧
未公開売上
新商品情報
個人情報
契約情報
システムの認証情報
のような具体例を付けます。
生成AIガイドラインは3段階に分けると分かりやすい
実務では、
○ 利用可能
△ 条件付き
× 禁止
に分ける方法がおすすめです。
例えば次のようにします。
| 情報・用途 | 判定 | 例 |
|---|---|---|
| 公開情報の要約 | ○ | Web記事・公開資料 |
| 社内メールの下書き | ○ | 機密情報なし |
| 社内資料の要約 | △ | 承認済みAIのみ |
| 顧客情報 | △ | 必要性・利用環境を確認 |
| 契約書 | △ | 承認環境・担当者確認 |
| パスワード | × | 入力禁止 |
| APIキー | × | 入力禁止 |
| マイナンバー等 | × | 原則入力禁止 |
| AIだけによる重要判断 | × | 人が最終判断 |
この形式なら社員も判断しやすくなります。
社内生成AIガイドラインの簡易テンプレート
例えば、最低限のルールなら次のように整理できます。
目的
生成AIを安全かつ効果的に業務利用し、
業務効率と品質を向上させる。
利用サービス
会社が承認した生成AIサービスのみ利用する。
入力禁止情報
パスワード
APIキー
秘密鍵
会社指定の機密情報
法令・社内規程上入力できない個人情報
AI出力
生成AIの回答は必ず内容を確認する。
重要な判断をAIの出力だけで行わない。
社外公開
生成AIで作成した文章・画像等を社外公開する場合は、
内容、事実関係、権利関係を確認する。
ファイル
機密情報を含むファイルは、
会社が許可したAI環境以外へアップロードしない。
問い合わせ
判断できない場合は、
情報システム担当またはAI利用担当へ確認する。
このような基本ルールから始め、会社に合わせて追加します。
ガイドラインは長くしすぎない
生成AIガイドラインを、
50ページ
作っても、社員が読まなければ意味がありません。
おすすめは、
詳細規程
+
1〜2ページの簡易版
を作ることです。
例えば、
詳細版
→ 管理者・責任者向け
簡易版
→ 全社員向け
とします。
FAQも一緒に作る
社員が実際に困るのは、
このケースはOK？
という判断です。
例えば、
Q．顧客から届いたメールをAIで要約してよい？
A．会社が許可したAI環境で、
必要な個人情報だけを扱うなど、
社内ルールに従って利用してください。
Q．契約書をアップロードしてよい？
A．契約内容・利用環境・社内規程により異なるため、
指定された利用条件を確認してください。
Q．AIが書いた文章をそのまま顧客へ送ってよい？
A．内容を人が確認してから送信してください。
といったFAQがあると運用しやすくなります。
生成AIガイドラインを作る手順
STEP1．現在の利用状況を確認する
まず、
社員はどのAIを使っているか
どんな業務に利用しているか
会社契約か個人契約か
を確認します。
すでに利用が始まっている場合は、実態を無視してルールを作らないことが重要です。
STEP2．利用可能な生成AIを決める
例えば、
会社契約のAI
社内AI
既存システム内のAI機能
などです。
STEP3．扱う情報を分類する
既存の情報管理ルールと合わせ、
公開情報
社内情報
個人情報
機密情報
認証情報
などに分けます。
STEP4．業務別のリスクを整理する
例えば、
文章校正
→ 低リスク
顧客メール
→ 中リスク
契約判断
→ 高リスク
とします。
STEP5．社員向けルールを文書化する
○
△
×
で分かりやすく整理します。
STEP6．研修・周知を行う
ガイドラインを社内ポータルへ置くだけでなく、
30分程度の説明会
社内FAQ
Slackで質問受付
などを用意します。
STEP7．定期的に見直す
生成AIは変化が速いため、
一度作って終了
ではありません。
AI事業者ガイドライン自体も継続的に更新されるLiving Documentとして位置付けられており、2024年の第1.0版から、2025年の第1.1版、2026年3月の第1.2版へ更新されています。
社内ガイドラインも、
新しいAIサービス
新機能
社内利用状況
インシデント
法令・外部ガイドライン
に応じて更新します。
生成AIガイドラインでよくある失敗
全面禁止にする
安全性だけを重視して、
生成AI利用禁止
とすると、個人利用が見えない場所で行われる可能性もあります。
安全に利用できる環境とルールを用意する方法も検討します。
ルールが抽象的すぎる
機密情報に注意してください
だけでは判断できません。
具体例を示します。
禁止事項しか書かない
社員からすると、
結局何に使えるの？
となります。
利用可能な業務例も記載します。
利用サービスを決めない
社員が自由にさまざまなAIサービスを利用すると管理が難しくなります。
業務利用可能なサービスを決めます。
AIの出力確認について書かない
入力データだけでなく、
AIが出した結果をどう扱うか
も重要です。
一度作って更新しない
生成AIサービスや外部ガイドラインは変化します。
定期的に見直します。
社内生成AIガイドラインに関するよくある質問
小規模企業でも生成AIガイドラインは必要ですか？
社員数が少なくても、顧客情報や社内データを扱う場合は最低限のルールを決めておくことをおすすめします。
数十ページの規程ではなく、1〜2ページの簡易ルールから始めることもできます。
ChatGPTを使うだけでも必要ですか？
業務利用するのであれば、少なくとも利用可能サービス、入力禁止情報、AI出力の確認方法は決めておくとよいでしょう。
個人情報はすべて入力禁止にすべきですか？
会社の利用目的、サービスの契約・設定、個人情報保護法上の取り扱いなどによって判断が必要です。
個人情報保護委員会も、生成AIサービスへの個人情報入力時には利用目的やサービス提供者による取り扱いを確認するよう注意喚起しています。
AIが生成した文章には著作権がないのですか？
一律には判断できません。
AIを人が創作の道具として利用したと認められるかなど、具体的な生成過程によって判断が必要になります。文化庁もAI生成物の著作物性は個別具体的に判断されると説明しています。
社内資料を生成AIへアップロードしてよいですか？
利用するAIサービス、契約内容、社内の情報管理区分によって判断します。
「社内資料だからすべてOK」ではなく、機密性や個人情報の有無を確認します。
ガイドラインは誰が作るべきですか？
例えば、
経営・管理部門
情報システム
法務
セキュリティ
実際にAIを利用する各部門
などで検討します。
小規模企業では複数の役割を一人が兼任しても問題ありません。
hiro-dev-labの生成AI導入・システム化支援
hiro-dev-labでは、生成AIを実際の業務へ組み込むための整理・システム開発を支援しています。
例えば、
- 生成AIを利用する業務の整理
- AI PoC
- OpenAI API連携
- 社内向けAIシステム
- RAGによる社内文書検索
- DifyによるAIアプリ
- n8nによる業務自動化
- AIエージェント
- MCPによる社内システム連携
- ユーザー権限を考慮したAI機能
- AI処理ログ
- Human in the Loop
- Python・TypeScriptによるAIシステム開発
などを検討できます。
生成AIガイドラインだけでなく、
ルール
+
安全に利用できるシステム
の両方を整備することが重要です。
例えば、
社員が自由に顧客情報を
外部AIへコピーする
のではなく、
社内業務システム
↓
必要な情報だけ取得
↓
会社が管理するAI API
↓
結果を表示
という仕組みにすることで、システム側で利用範囲を制御できる場合もあります。
生成AIガイドラインは「禁止するため」ではなく「安全に使うため」に作る
生成AIの社内ガイドラインで重要なのは、
AIを使わせない
ことではありません。
社員が、
これは使ってよい
これは確認が必要
これは入力してはいけない
と判断できる状態を作ることです。
最低限、
1．利用できる生成AI
2．利用可能な業務
3．入力禁止情報
4．個人情報の扱い
5．機密情報の扱い
6．著作権への注意
7．AI出力の確認
8．社外公開時の確認
9．重要判断にAIだけを使わない
10．ファイルアップロード
11．外部サービス連携
12．ログ
13．問い合わせ先
14．ガイドライン更新
を整理します。
そして、
ガイドライン
↓
社員教育
↓
実際の利用
↓
問題・成功事例を収集
↓
ルール改善
というサイクルで運用します。
生成AIを安全に利用するには、ルールだけでも、システムだけでも不十分です。
分かりやすい利用ルール
+
社員教育
+
適切なシステム設計
を組み合わせることが重要です。
「生成AIを社内で使いたいがルールが決まっていない」
「会社で利用できるAI環境を整備したい」
「社内文書や業務システムを安全にAIと連携したい」
「生成AIを禁止するのではなく、業務改善へ活用したい」
このような段階からでも、お気軽にお問い合わせください。
生成AIの社内活用・AIシステム開発について相談する