「社員が勝手にChatGPTを使い始めているが、ルールがない」「情報漏洩が怖くて全面禁止にしているが、さすがにまずい気がする」——生成AIの社内利用ルールは、いま多くの会社が直面している宿題です。帝国データバンクの調査でも、生成AIを「活用している」企業は34.5%まで増える一方、活用にあたっての懸念として「情報漏洩のリスク」を33.5%の企業が挙げています。
実は「無法状態」と「全面禁止」は、どちらも同じくらい危険です。無法状態は情報漏洩のリスクを放置し、全面禁止は社員が個人スマホでこっそり使う「見えない利用」を生みます。必要なのは、安心して使える範囲を明文化することです。
この記事では、生成AIの社内利用ルールに盛り込むべき7項目と、そのまま使えるひな形を、名古屋でAI実装支援を行う当社がまとめました。
→ ルール整備について相談したい方はこちら（初回30分無料）
ルールに盛り込むべき7項目
各社のガイドラインや、一般社団法人日本ディープラーニング協会（JDLA）が公開している『生成AIの利用ガイドライン』のひな形を参考にすると、押さえるべき項目は次の7つに集約されます。
- 利用してよいツールの指定——会社として認めるサービスと契約プラン（無料版・有料版・法人版の別）
- 入力してはいけない情報——ここが最重要。顧客情報・個人情報・取引先との秘密情報・未公開の財務情報など。個人情報保護委員会も、個人情報を含むプロンプトを入力する場合は、特定された利用目的の達成に必要な範囲内であることを十分に確認するよう注意喚起しています
- 学習への利用設定——入力データをAIの学習に使わせない設定（オプトアウト）を必須にするか。本人の同意を得ずに個人データを含むプロンプトを入力する場合は、提供事業者がそのデータを機械学習に利用しないことを十分に確認する必要があるとされています
- 出力の取り扱い——AIの回答は間違いうる前提で、事実確認と最終責任は人間が持つこと
- 著作権への配慮——他者の著作物をそのまま入力・出力利用しない（考え方の整理は文化庁の「AIと著作権に関する考え方について」が参考になります）
- 業務での利用範囲——推奨する使い方（下書き・要約・アイデア出し等）と禁止する使い方
- 相談窓口と見直しのルール——困ったときに聞ける人と、ルール自体の更新頻度。国の指針であるAI事業者ガイドラインも2026年3月に第1.2版へ改訂されており、自社のルールも定期的な見直しを前提に置いてください
そのまま使えるひな形
以下をベースに、自社の実情に合わせて調整してください。
生成AI利用ガイドライン（ひな形）
1. 目的 本ガイドラインは、業務における生成AIサービスの利用について、安全かつ有効な活用を促進するために定める。
2. 利用可能なサービス 会社が認めた生成AIサービス（例：ChatGPT、Claude、Copilot）のうち、会社が指定するプランのみを業務利用できる。個人契約アカウントでの業務情報の取り扱いは禁止する。
3. 入力禁止情報 以下の情報は生成AIに入力してはならない。 ・顧客・取引先の名称、個人情報、連絡先 ・取引先との契約内容、秘密保持義務のある情報 ・未公開の財務情報、人事情報、技術情報 ・パスワード等の認証情報
4. 学習利用の設定 業務利用にあたっては、入力内容がAIの学習に利用されない設定を必ず有効にする。
5. 出力の取り扱い 生成AIの出力は誤りを含みうる。事実の確認は利用者が行い、成果物の最終責任は利用者と会社が負う。出力をそのまま社外に提出してはならない。
6. 著作権 他者の著作物（記事・書籍・画像等）を無断で入力しない。出力が既存の著作物に酷似していないか確認する。
7. 相談・見直し 判断に迷う場合は［担当者名］に相談する。本ガイドラインは半年ごとに見直す。
ポイントは、A4で1〜2枚に収めることです。分厚い規程は読まれません。「これだけ守れば安心して使っていい」と言い切れる最小限のルールから始めて、運用しながら育てるのが現実的です。
ルールを作るときのよくある失敗
| 失敗 | 起きること | 対策 |
|---|---|---|
| 禁止事項だけのルール | 「面倒だから使わない」が正解になり、活用が進まない | 推奨する使い方をセットで示す |
| 作って配って終わり | 誰も読まず、実態と乖離していく | 研修や勉強会とセットで浸透させる |
| IT部門・外部任せの完璧主義 | 完成までに半年。その間は無法状態が続く | まず1枚のルールで始めて、運用しながら改訂する |
| 現場の業務を知らずに作る | 現実に合わず、守られないルールになる | どんな業務でどう使いたいかを現場に聞いてから作る |
ルールは「作ること」より「浸透させること」が難しい
正直なところ、ひな形をベースにルールを作ること自体は、この記事の通りにやれば数日でできます。難しいのはそこからです。
ルールが機能するのは、社員が生成AIを実際に使えるようになったときです。使わない人にとってルールはただの紙で、使う人が増えて初めて「これは入力していいんだっけ？」という問いが生まれます。だから当社は、ルール整備と研修はセットで考えることをおすすめしています。当社の生成AI研修でも、初回にこのルールの話から入り、受講者の実業務を題材に「何をどこまで入力してよいか」を具体的に確認しています。
東海エリアの会社であれば、名古屋から愛知・岐阜・三重・静岡のどこへでも伺い、業務の実態を見たうえでルールの整備からお手伝いできます。
よくある質問（FAQ）
Q. 無料版のChatGPTを業務利用させてもいいですか？
A. おすすめしません。個人情報保護委員会は、生成AIの利用者に対して提供事業者の利用規約やプライバシーポリシー等を十分に確認したうえで、入力する情報の内容を踏まえて利用を適切に判断するよう求めています。無料版は入力内容が学習に利用される設定が初期状態のサービスが多いため、業務情報を扱うなら、学習利用をオフにできる有料版・法人版を会社として契約し、そのアカウントのみ業務利用を認める形が安全です。
Q. ルール違反があったらどうすればいいですか？
A. 最初の期間は「罰する」より「ルールを直す」機会と捉えてください。違反が起きるのは、ルールが実務に合っていないサインであることが多いです。ただし顧客情報の入力など重大なものは、就業規則上の情報管理義務に沿って対応します。
Q. 中小企業でもここまで必要ですか？
A. 会社の規模に関係なく、顧客情報や取引先の情報を扱っているなら必要です。むしろ専任のIT部門がない中小企業ほど、シンプルな1枚のルールで「安全な使い方」を全員に共有する価値があります。
Q. ルールを作ったら次は何をすればいいですか？
A. 社員が「自分の業務でどう使うか」を体験する場（研修・勉強会）を作ることです。ルールと使い方はセットで初めて機能します。生成AI研修の費用相場と助成金も参考にしてください。
まとめ
生成AIの社内利用ルールは、①利用ツールの指定 ②入力禁止情報 ③学習利用の設定 ④出力の取り扱い ⑤著作権 ⑥利用範囲 ⑦相談窓口——この7項目をA4で1〜2枚にまとめるところから始めてください。この記事のひな形はそのまま使っていただいて構いません。
そして、ルールは作ることより浸透させることが本番です。研修とセットで「安心して使える状態」を作りましょう。
Central AXは名古屋を拠点に、東海エリアの企業の生成AI活用を、ルール整備から研修・実装まで一体で支援しています。お気軽にご相談ください。