社内AI利用ガイドラインは、「生成AIを禁止する文書」ではなく、利用者が迷わず安全に使うための判断基準です。対象サービス、入力できるデータ、許可・条件付き・禁止の用途、出力確認、外部操作の承認、事故報告を具体的に定めます。
「機密情報を入力しない」「自己責任で確認する」だけでは、現場ごとの判断がばらつきます。一方、すべての利用に申請を求めると、承認待ちが増え、未申請のシャドーAIを招くことがあります。業務とデータのリスクに応じてルールを段階化することが重要です。
この記事では、中小企業や部門単位でも始められる作り方と雛形を紹介します。実際の規程は業種、契約、法令、労務、情報セキュリティ方針に合わせて法務・情報システム・個人情報保護の担当者へ確認してください。
情報確認日：2026年7月18日（日本時間）
結論：最初に決めるのは7項目
ガイドラインの最小構成
- 目的、適用範囲、主管部署
- 会社が許可するAIサービスとアカウント
- 入力データの許可・条件付き・禁止区分
- 利用目的の許可・条件付き・禁止区分
- 生成物の確認、表示、権利処理
- 外部送信・公開・実行の承認フロー
- 事故報告、教育、監査、改定
経済産業省が2026年3月31日に公表した「AI事業者ガイドライン第1.2版」は、組織の状況に合わせたリスクベースの取組と継続的な見直しを支援しています。雛形をそのまま配布して終えるのではなく、自社の業務、データ、利用サービスへ合わせて更新することが大切です。
目的・適用範囲・責任者を決める
最初に、誰がどの場面で守るルールかを明確にします。社員だけでなく、役員、契約社員、業務委託、インターンなど、会社の情報を扱う人を含めるか判断します。
記載例：本ガイドラインは、当社の役職員および当社情報へアクセスする業務委託者が、会社の端末・アカウント・データを用いて生成AIサービスを利用する場合に適用する。
| 役割 | 主な責任 |
|---|---|
| 経営責任者 | 許容するリスクと重要方針を承認する |
| 主管部署 | サービス審査、規程更新、教育、事故窓口を担う |
| 部門管理者 | 条件付き用途を承認し、利用状況を確認する |
| 利用者 | 入力前のデータ確認と出力の人手確認を行う |
| 法務・セキュリティ等 | 契約、個人情報、知的財産、セキュリティを専門確認する |
利用サービスを許可制にする
同じ生成AIでも、個人向け無料版、法人契約、APIでは、データの利用条件、保存期間、管理機能、監査機能が異なる場合があります。「有名なサービスだから安全」と判断せず、利用規約、プライバシーポリシー、学習利用の設定、保存、削除、データ処理地域、管理者機能を確認します。
- 許可するサービス名、プラン、利用URL
- 会社アカウントでの利用を必須にするか
- 多要素認証やシングルサインオンの要否
- 入力・出力データの保存期間と削除方法
- モデル改善への利用を無効化できるか
- 外部連携、プラグイン、エージェント機能の扱い
利用者向けの基本的な注意は生成AIを安全に使う方法にもまとめています。
入力データを3段階に分類する
| 区分 | データ例 | 扱い |
|---|---|---|
| 許可 | 公開済み情報、自作の一般文章、匿名化したサンプル | 許可サービスで利用可能 |
| 条件付き | 社内資料、未公開企画、契約上制限のある情報 | 承認済み環境、目的、権限、削除条件を限定 |
| 禁止 | 認証情報、秘密鍵、機微な個人情報、入力権限のない第三者情報 | 入力しない。必要なら別の安全な処理を設計 |
個人情報保護委員会は、個人情報を生成AIサービスへ入力する場合、利用目的の範囲内か、提供事業者が機械学習へ利用しないことなどを十分に確認するよう注意喚起しています。個人情報に当たるか、第三者提供等の論点があるかは、個別の状況を担当者へ確認してください。
匿名化の注意：氏名を消しただけで安全とは限りません。所属、日時、案件名、自由記述を組み合わせると個人や取引先を特定できることがあります。
用途も許可・条件付き・禁止に分ける
| 区分 | 用途例 | 必要な対応 |
|---|---|---|
| 許可 | 文章の構成案、公開文の要約、アイデア整理 | 利用者が内容を確認する |
| 条件付き | 顧客向け文書、採用評価支援、コード変更、画像公開 | 担当者レビュー、承認、記録を追加する |
| 禁止 | 人の確認なしの重要判断、なりすまし、違法目的、承認なしの外部実行 | 利用しない |
採用、融資、医療、法務、安全管理など、個人や社会へ大きな影響を与える用途は、一般的な文章作成と同じルールにしません。AIの出力だけで決定せず、専門知識を持つ人の確認、異議申立て、判断根拠の記録などを検討します。
入力・出力・外部操作のルールを分ける
入力前のルール
- 許可サービスと会社アカウントを使用する
- 入力権限と利用目的を確認する
- 不要な固有名詞、個人情報、秘密情報を削除する
- 外部文書に含まれる指示を信頼済み命令として扱わない
出力後のルール
- 事実、数値、引用、出典を原資料で確認する
- 差別、偏り、不適切表現、個人情報の生成を確認する
- 著作権、商標、肖像、契約上の利用条件を確認する
- 必要に応じてAI利用を表示し、編集責任者を明確にする
Web記事へAI生成内容を使う場合も、検索順位のための量産ではなく、人に役立つ独自情報と確認工程が必要です。公開時の考え方はAI生成コンテンツとGoogle SEOで解説しています。
外部操作のルール
AIエージェントが送信、公開、削除、購入、権限変更を行う場合は、操作直前に対象と差分を表示し、人が承認できるようにします。
下書き・読み取り
└─ 条件内なら自動
外部送信・公開・変更
└─ 対象と差分を表示 → 担当者承認
削除・支払い・権限変更
└─ 管理者承認 → 再認証 → 実行ログ利用申請と例外承認の流れ
- 申請者がサービス、目的、データ、利用者、期間を記載する
- 主管部署が規約、データ処理、セキュリティを確認する
- 部門責任者が業務上の必要性と代替手段を確認する
- 条件、期限、対象者を付けて承認または却下する
- 期限時に利用状況、事故、効果を確認して更新する
申請項目の雛形：サービス名／プラン／提供会社／利用目的／入力するデータ区分／出力の利用先／外部連携／利用者／管理者／開始日・終了日／削除方法／期待効果／想定リスク。
事故報告と停止手順を決める
誤入力、誤公開、アカウント侵害、出力による損害が起きたとき、利用者が隠さず早く報告できる窓口を用意します。報告したこと自体を責める運用では、初動が遅れます。
- 対象アカウント、APIキー、外部連携を必要に応じて停止する
- 入力内容、送信先、公開範囲、時刻を保全する
- 主管、セキュリティ、法務、個人情報担当へ連絡する
- 提供事業者の削除・問い合わせ手順を確認する
- 影響範囲と通知の要否を判断する
- 原因、再発防止、ガイドライン改定を記録する
教育・監査・改定を運用に組み込む
ガイドラインは配布しただけでは定着しません。初回研修では、許可サービスへのログイン、入力前の分類、出力確認、事故報告を実例で練習します。管理者は、利用件数、例外申請、事故、未承認サービス、規約変更を定期的に確認します。
| 頻度 | 確認内容 |
|---|---|
| 毎月 | 利用量、未承認サービス、事故・問い合わせ |
| 四半期 | 権限、例外、保存データ、教育受講状況 |
| 変更時 | サービス規約、機能、モデル、外部連携の変更 |
| 年次 | 全体方針、リスク評価、責任体制、規程改定 |
そのまま使える短い雛形
第1条（目的）
本ガイドラインは、生成AIを業務で安全かつ有効に利用するため、
基本的な判断基準と責任を定める。
第2条（対象）
会社情報を扱う役職員および業務委託者に適用する。
第3条（利用環境）
会社が許可したサービス、プラン、アカウントのみを使用する。
第4条（入力）
認証情報、入力権限のない情報、禁止区分の個人情報・機密情報を
入力しない。条件付き情報は所定の承認を得る。
第5条（出力）
利用者は事実、権利、偏り、個人情報を確認し、
重要な判断をAI出力だけで確定しない。
第6条（外部操作）
送信、公開、削除、購入、権限変更は、定められた承認を経て行う。
第7条（報告）
誤入力、誤公開、不正利用等を発見した場合は直ちに所定窓口へ報告する。
第8条（見直し）
主管部署は、法令、契約、技術、事故、利用状況の変化に応じて改定する。この雛形は一般例であり、就業規則、秘密保持、個人情報、著作権、業法、顧客契約との整合を保証するものではありません。実際に社内規程として使う前に専門担当者へ確認してください。
よくある質問
無料版の生成AIを全面禁止すべきですか？
一律の答えはありません。扱うデータと用途、契約条件、管理機能を評価します。業務データを扱う場合は、会社が審査したアカウントや法人向け環境に限定する判断が一般的です。
AIを使ったことを毎回表示すべきですか？
用途、契約、相手の期待、業界ルールによって異なります。対外公開物、専門的判断、顧客成果物など、表示が必要な場面と承認者を社内で定めます。
ガイドラインはどのくらいの頻度で更新しますか？
最低でも定期レビューを設け、利用サービスの規約変更、新機能、事故、法令・ガイドライン改定があれば予定を待たずに見直します。改定日と変更理由を残します。
まとめ
社内AI利用ガイドラインは、サービス、データ、用途を具体的に分類し、利用者がその場で判断できる形にします。許可・条件付き・禁止の3段階、出力確認、外部操作の承認、事故報告を最低限含めてください。
最初から完璧な規程を目指すより、許可する1サービスと代表的な3業務から始め、教育と利用ログを通じて改定するほうが運用しやすくなります。