生成AIの社内ルールの作り方——「禁止か放置か」の次に来る、10条のテンプレート

合同会社保戸丸　AIガバナンス診断 連載・第1回／読了約9分

「社員が勝手に生成AIを使い始めて、もう半年」。こうなると、経営者に残されている道は実は2つしかありません。禁止にするか、ルールを決めるか。そして、禁止にした会社ほど「裏で勝手に使う」現象が起きやすくなります。

本記事は、生成AIの社内ルール（利用規程）を「何から手をつければいいか分からない」状態から始めて、最短で整えるための5ステップを解説します。記事の後半には、そのまま書き込める10条構成の規程テンプレートと、ルールに入れる6つの項目ごとの考え方を付けています。まずは形にして、自社に合わせて削る——それが、現場で守られるルールの作り方です。

なぜ今、社内ルールが必要なのか

結論から言うと、「使う企業」に対する社会的なお約束が、この1年で一気に具体的になったからです。

• AI法（人工知能関連技術の研究開発及び活用の推進に関する法律）が2025年6月に公布され、AIを活用する事業者にも適正な活用への協力が求められました。
• 総務省・経済産業省の「AI事業者ガイドライン」は2026年3月に第1.2版に改訂され、AIを開発しない「使う側」の企業も対象になりました。
• 改正個人情報保護法が2026年7月に成立し、生成AIへの個人情報の入力をめぐる規律が今後強化されます。

出典：内閣府「AI法」／経済産業省 AI事業者ガイドライン第1.2版／個人情報保護委員会

ルールがない状態では、次のような問題が起きやすくなります。

• 社員ごとに判断が違い、同じ業務でも扱いが異なる
• 入力してはいけない情報の境界が分からず、社員が迷う
• 問題が起きたとき、誰に報告すればよいか分からず、対応が遅れる

なお本記事で扱うのは「社内ルール（利用規程）」の部分です。AIを開発・提供する事業者向けの高度な技術基準や、個別の契約・法律相談までは範囲に含めていません。ルールづくりの中で法的判断が必要になった場面では、弁護士等の専門家に相談してください。中小企業がまず整えるべきは、実務の土台です。

とはいえ、法律の文言を読み込むのが先ではありません。先に整えるのは、社員が明日の朝から迷わず使えるための線引きです。以下の5ステップで進めます。

1. 実態を把握する：匿名アンケート3問で現状を知る
2. 入力禁止情報を決める：営業秘密・個人情報・未公開情報の線引き（最重要）
3. 利用規程を書く：まずは10条テンプレートで形にする
4. 周知する：15分の説明会・A4一枚の要約・聞ける窓口
5. 四半期ごとに見直す：アンケートを繰り返し、規程と現実のズレを補修する

ステップ2の線引きが、全体の9割を決めます。

ステップ1：実態を把握する——「あるべき論」で作ると守られない

最初にやるのは、机に向かって規程を書くことではなく、社内で何が起きているかを知ることです。現実と規程が違えば、規程は飾りになります。まずは匿名アンケートで3問だけ聞いてください。

このとき必ず冒頭で「使ったことに対して追及はしません。今後のルールを現実に合わせて作るための調査です」と伝えてください。罰を恐れて回答しなくなると、実態はつかめません。

ステップ2：入力禁止情報を決める——ここが9割

ルールづくりで最も重要なのは、規程の文章よりも「入力してよい情報」と「入力してはいけない情報」の線引きです。次の3つを中心に、自社の業務一覧と照らしながらリスト化します。

• 営業秘密：顧客名簿、見積・原価、仕入先、ノウハウが入った資料
• 個人情報：氏名・住所・電話番号など、人を特定できる情報すべて。社員の健康情報や人事評価の内容も含めて考える
• 未公開情報：決算発表前の数値、採用・訴訟・M&Aなど、出るタイミングが決まっているもの

身近なたとえで言うと、「入力禁止情報」は「友達に全部話してしまうかもしれない飲み会には持っていかないもの」と同じです。入力した瞬間に、外の世界に一度出てしまう——そう考えると、何を持ち込んでよいかは自ずと決まります。「機密情報は入力しない」だけでは、社員は判断できません。必ず例を挙げて書きます。

線引きは、「業務 × 情報」のマス目に落とすと一気に楽になります。代表的な3つの業務で示すと、こうなります。

ステップ3：利用規程を書く——まずは10条でいい

いきなり数十条の規程を目指さないでください。読まれない規程が一番の失敗です。まずは次の10条で形にします。

ここで示す文例は考え方の例です。自社の業務・取り扱う情報・使うツールに合わせて書き換えてください。

第4条の書き方（記入例）

一番大事な第4条は、「機密情報は入力しない」のような一言で終わらせず、具体名で書くのがコツです。例：「〈入力禁止〉顧客の氏名・会社名の組み合わせ、見積額・原価、契約書の条文、決算確定前の数値、採用・訴訟に関する未公開情報。〈入力可〉すでに公開されている情報の要約、自社で書いた企画の骨子（顧客名を除く）」。

第6条・第8条の書き方（記入例）

第6条の禁止事項は、抽象的な倫理論ではなく具体行動で列挙します。例：「AIの出力を確認せずに社外へ送信しない／生成物に他社のロゴ・キャラクター等が写ったまま使用しない／窓口の承認なく新しいAIツールを業務で使い始めない」。第8条は、誤って入力してしまったときの動線を最優先に書きます。例：「誤って入力禁止情報を入力した場合は〔担当名〕へ即時報告。報告したことのみを理由に処分することはない。チャット履歴の削除などの対応は〔担当名〕が行う」。事故は必ず起きる——その前提で報告しやすい道を作っておくと、この2条が規程の中で一番機能します。

ルールに入れる6つの項目と考え方

10条のテンプレートを自社に合わせて書くとき、中身として必ず決めておきたいのは次の6つです。どの条に当たるかも添えています。

1. 利用範囲（第2条）：どの業務でAIを使ってよいかを決めます。例：社内向けの文章の下書き、会議メモの要約は可。顧客の個人情報を含む加工、人事評価に関わる判断への利用は不可。ポイントは、「可・不可」だけでなく「確認が必要」という中間の区分を作ることです。
2. 入力してはいけない情報（第4条）：社員が最も迷う項目です。ステップ2のリストを、例を挙げて書きます。
3. 出力の確認（第5条）：確認する担当者と、確認した記録（誰が、いつ）を残す方法を決めます。
4. 使ってよいツール（第3条・第7条）：無料版と有料版では、入力データの扱いや利用規約が異なる場合があります。会社として許可するツールの一覧を作り、個人のアカウントでの業務利用を認めるかどうかも決めます。
5. 研修と周知（第9条）：新しく入る社員にも同じ内容を伝えます。具体的な事例（ヒヤリハット）を使うと伝わりやすくなります。
6. 見直しの時期と担当（第10条）：AIのツールと国の基準は変わります。見直しの時期と担当者を決めておきます。

ステップ4：周知する——配って終わりが失敗の始まり

規程を作っただけで守られるわけではありません。効果があったとされるのは、次の3点セットです。

• 15分の説明会：規程の全文ではなく「なぜ第4条なのか」を実際の例で話す。
• ワンページ要約：A4一枚に「入力禁止リスト＋困ったときの窓口」。全員のデスクに貼れる形に。
• 聞ける窓口：迷ったときに気軽に確認できる担当を決める。「罰則で縛る」より「迷ったら聞ける」の方が、現場ではるかに事故が減ります。

ステップ5：四半期ごとに見直す

生成AIの環境は3ヶ月で変わります。ツールが増え、機能が変わり、法整備も進みます（改正個人情報保護法の施行に向けた準備も進行中）。ステップ1の匿名アンケートを四半期に一度だけ繰り返し、規程と現実のズレを補修する——これが、ルールを「生き物」に保つ唯一の方法です。周知・定期点検・改訂の3つを回し続けることで、ルールが現場に定着します。

自社だけで決めきれないこと

次の点は、自社だけで判断せず、専門家に確認することをおすすめします。

• 個人情報の扱いの細かい線引き（個人情報保護法の解釈）
• 営業秘密として守るべき範囲
• 契約書や取引先との約束に関わる部分

よくある失敗3つ

• 禁止一辺倒：表向き禁止→裏で個人アカウント（シャドーAI）→実は何も管理できていない、が最悪のシナリオ。
• 長文規程：数十条を完璧に仕上げたくなりますが、読まれない規程は規程ではありません。10条から始めて、現場の声を聞きながら増やす方が結果的に早い。
• 作りっぱなし：導入時だけ盛り上がり、1年後にルールだけが取り残される。盛り上がっているうちに「次の見直し日」を第10条に書き込んでおく。

まとめ

生成AIの社内ルールは、法律の専門知識よりも「現実に合わせて、具体名で、短く」が鉄則です。実態把握→入力禁止リスト→10条の規程→15分の周知→四半期の見直し。ここまでなら、管理部門1人と数時間の作業で到達できます。まずは自社の足りないところを、次の無料診断で確かめてみてください。

ルールの前提になる考え方は中小企業のためのAIガバナンスとは？最初に決めること5つ、作ったルールに抜けがないかの点検はAIガバナンスのチェックリストで紹介しています。

※ 本記事は情報提供を目的としたもので、個別の法的助言ではありません。