生成AIの社内ルールの作り方｜最低限決める7項目とそのまま使えるひな形

社員が生成AIを使い始めたけれど、会社としてのルールがまだ無い。何を入れてよくて、何がだめなのか、聞かれても答えられない。この記事は、そんな状態の中小企業の経営者・総務・マーケティング担当に向けて書いています。

結論から言うと、最初のルールはA4で1枚、7項目で足ります。いちばん大事なのは「入れてはいけない情報」と「社外に出す前に人が確かめること」の2つです。完璧な規程を作ろうとして何か月も止まるより、1枚のルールを今週配って、使いながら直すほうが安全です。

生成AIを使う会社は、もう少数派ではありません。総務省の調査では、生成AIを「積極的に活用する方針である」「活用する領域を限定して利用する方針である」と答えた企業の合計は、日本において68.9%でした。中小企業でも58.1%です（総務省「令和8年版 情報通信白書」から引用）。

一方で、ルールづくりは追いついていません。同じ白書では、リスク対策として「全社的な指針やガイドラインを整備している」と答えた割合は、日本全体で41.1%でした（総務省「令和8年版 情報通信白書」から引用）。企業規模別のデータを見ると、大企業の44.9%に対して、中小企業は29.1%です。中小企業では「特に実施している施策はない・把握していない」が24.1%ありました。

使う会社は増えたのに、ルールがある会社は半分に届かない。この差を埋めるのが、この記事の目的です。

この記事でわかること:

• 社内ルールが要る理由と、公的な資料が示すリスク
• 最低限決める7項目と、それぞれの決め方
• そのまま使える社内ルールのひな形
• 生成AIにルールの下書きを作らせる指示文
• ルールを配ったあと、定着させる進め方とチェックリスト

なぜ社内ルールが要るのか——公的な資料が示すリスク

ルールが無いと、社員は「どこまでやってよいか」を自分で判断するしかありません。その結果、慎重な人は使わず、慣れた人は何でも入れてしまう、という差が生まれます。

企業がどんなリスクを心配しているかは、白書にはっきり出ています。日本では「社内情報の漏洩などのセキュリティリスクがある」と答えた割合が最も高く、次いで「出力結果の精度に問題がある」、「著作権等の権利を侵害する可能性がある」の順でした（総務省「令和8年版 情報通信白書」から引用）。割合はそれぞれ46.4%、35.3%、31.3%です。

この3つは、そのままルールで決める中身になります。

• 情報の漏えい：個人情報保護委員会は、本人の同意なく個人データを含むプロンプト（AIへの指示文）を入力し、それが応答の出力以外の目的で扱われる場合について、「当該個人情報取扱事業者は個人情報保護法の規定に違反することとなる可能性がある。」と注意しています（個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」から引用）。
• 出力の誤り：同じ注意喚起で「生成AIサービスでは、入力されたプロンプトに対する応答結果に不正確な内容が含まれることがある。」としています（個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」から引用）。
• 著作権：文化庁は、AIを業務で使う会社に向けて「生成AIの利用に関する内部的ルールの策定等、著作権侵害に対する適切な予防措置を講じることが望まれます。」と書いています（文化庁「AIと著作権に関するチェックリスト＆ガイダンス」から引用）。

国のガイドラインも、使う側がやるべきことを挙げています。総務省と経済産業省の「AI事業者ガイドライン」は、AIを使う人に向けて「AIシステム・サービスへ個人情報を不適切に入力することがないよう注意を払う」「AIシステム・サービスに機密情報等を不適切に入力することがないよう注意を払う」ことを求めています（総務省・経済産業省「AI事業者ガイドライン（第1.2版）」から引用）。

つまり、社内ルールは「使わせないための決まり」ではありません。社員が迷わず使えるように、国が示している注意点を自社の言葉に直したものです。

最低限決める7項目

最初のルールで決めるのは、次の7項目です。

① 使ってよいツールとアカウント

会社として使ってよい生成AIのサービスを決め、名前で書きます。あわせて「会社のアカウントで使うのか、個人のアカウントでもよいのか」を決めます。

ここで必ず確かめたいのが、各サービスの利用規約と、入力した内容をAIの学習に使うかどうかの設定です。個人情報保護委員会は、個人データを含むプロンプトを入力する場合には、サービスを提供する事業者が「当該個人データを機械学習に利用しないこと等を十分に確認すること」を求めています（個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」から引用）。設定の確認は、社員任せにせず、ルールを作る人が1回まとめて行います。

② 入れてはいけない情報

ルールの中心です。社員が迷わないよう、情報を3段階に分けて表にします。

「個人情報を入れない」とだけ書くと、何が個人情報かで迷います。自社の業務でよく出てくる書類の名前（応募者の履歴書、顧客リスト、見積書など）を、表の例にそのまま書くのがこつです。

③ 使ってよい業務・使わない業務

業務ごとに、使ってよいかを決めます。たとえば次のような分け方です。

• 使ってよい：SNS投稿の案出し、求人原稿の下書き、議事録の要約、社内メールの文面、企画のたたき台
• 人の判断を必ず入れる：お客様への回答文、広告の文章、採用の合否に関わる資料
• 使わない：応募者の評価そのものをAIに決めさせること、契約書の最終判断

ポイントは「下書きと整理はAI、最後の判断は人」という線を引くことです。

④ 出力の確かめ方

AIの答えには誤りが混ざります。AI事業者ガイドラインも、AIを使う人に「AIの出力について精度及びリスクの程度を理解し、様々なリスク要因を確認した上で利用する」ことを求めています（総務省・経済産業省「AI事業者ガイドライン（第1.2版）」から引用）。

ルールでは、社外に出す前に確かめることを具体的に書きます。数字・日付・固有名詞・法律や制度の説明は、元の資料で必ず確かめる。確かめられないものは使わない。これだけでも事故は大きく減らせます。

⑤ 著作権

文化庁は、AIで作ったものを使う前に「まずは既存の著作物と類似していないかを確認することが必要です。」としています（文化庁「AIと著作権に関するチェックリスト＆ガイダンス」から引用）。

社内ルールには、次の3点を入れます。

• 他社の文章・画像・キャラクター名を、まねさせる目的でAIに入れない
• AIで作った画像や文章を社外に出す前に、似たものが無いかをインターネット検索で確かめる
• 社外に出すものは、使った指示文を残しておく

3つ目は、文化庁が「生成に用いたプロンプト等、生成物の生成過程を確認可能な状態にしておくよう努めることが望まれます。」としていることに沿ったものです（文化庁「AIと著作権に関するチェックリスト＆ガイダンス」から引用）。

⑥ 社外に出すときの扱い

SNSの投稿、自社サイトの記事、お客様への資料など、社外に出すものは「誰が最後に確かめて出すか」を決めます。担当者が下書きを作り、上長か別の人が読んでから出す、という2人の目を通す形がおすすめです。

⑦ 相談先と見直し

「これは入れてよいのか」と迷ったときに聞く人を、1人決めて名前を書きます。間違って入れてしまったときの連絡先も同じ人にします。隠されるのがいちばん困るので、「すぐ報告した人を責めない」と一文入れておきます。

ルールは3か月ごとに見直します。生成AIのサービスは機能や規約がよく変わるからです。

そのまま使える社内ルールのひな形

7項目を1枚にまとめたひな形です。（ ）の中を自社に合わせて書き換えてください。

【生成AI利用ルール】（会社名）（作成日）

1. 使ってよいツール
・（サービス名）を、会社のアカウントで使う
・入力した内容を学習に使わない設定にしてから使う

2. 入れてはいけない情報
・お客様・応募者・社員の個人情報（名前、電話番号、住所、履歴書など）
・取引先から預かった資料、未発表の売上や新商品の情報
・パスワードや社内システムの情報
・会議メモや問い合わせ内容は、名前と社名を消してから入れる

3. 使ってよい業務
・SNS投稿や求人原稿の案出し、議事録の要約、社内メールの下書き
・お客様への回答と広告文は、必ず人が直してから使う
・採用の合否や契約の判断はAIに任せない

4. 出力の確かめ方
・数字、日付、名前、制度の説明は、元の資料で確かめる
・確かめられないものは使わない

5. 著作権
・他社の文章や画像をまねさせる目的で入力しない
・社外に出す画像や文章は、似たものが無いか検索で確かめる
・社外に出すものは、使った指示文を残す

6. 社外に出すとき
・作った人とは別の人が読んでから出す

7. 相談先と見直し
・迷ったとき、間違って入力したときの連絡先：（担当者名）
・すぐ報告した人を責めない
・このルールは3か月ごとに見直す

生成AIにルールの下書きを作らせる指示文

ひな形を自社向けに直す作業も、生成AIに手伝わせることができます。次の指示文に、自社の情報を書き足して使ってください。会社の機密は入れず、業種や業務の名前だけで十分です。

あなたは中小企業の総務担当です。
社員向けの「生成AI利用ルール」を、A4で1枚に収まる長さで作ってください。

自社の情報：
・業種：（例：地域の工務店）
・社員数：（自社の人数）
・生成AIを使いたい業務：（例：SNS投稿の案出し、求人原稿、議事録の要約）
・扱う情報：（例：お客様の住所と電話番号、応募者の履歴書、見積書）

次の7項目に分けて書いてください。
1. 使ってよいツール 2. 入れてはいけない情報 3. 使ってよい業務
4. 出力の確かめ方 5. 著作権 6. 社外に出すとき 7. 相談先と見直し

条件：
・「入れてはいけない情報」は、上の「扱う情報」の書類名を使って具体的に書く
・社員が読んで迷わないよう、一文を短く、専門用語を使わない
・法律の判断が必要な所は言い切らず、「担当者に相談」と書く

AIが作るのはあくまで下書きです。とくに「入れてはいけない情報」の欄は、実際の業務を知っている人が読んで、抜けが無いかを確かめてください。

ルールを定着させる進め方

ルールは、作って配るだけでは守られません。次の3つの順で進めます。

Step1 30分の説明会で配る

紙やチャットで送るだけにせず、30分だけ全員で読み合わせます。「入れてはいけない情報」の表を、自社の書類を例に読み上げると伝わります。

Step2 禁止だけでなく「使い方の例」も渡す

禁止ばかりのルールだと、社員はAIを使わなくなるか、隠れて使うようになります。この記事の指示文のように、業務でそのまま使える例を一緒に渡すと、「こう使えばよい」が伝わります。

Step3 3か月後に、使われ方を見て直す

3か月たったら、相談が多かった所、使われていない業務、ヒヤリとした場面を集めて、ルールを直します。

使う前のチェックリスト

社員が生成AIに入力する前、出力を社外に出す前に確かめる5項目です。ルールの紙の下に貼っておくと便利です。

よくある質問

社員が少ない会社でも、ルールは必要ですか？

必要です。社員が少ない会社ほど、1人の入力ミスがそのまま会社の信用に関わります。ただし、大きな規程は要りません。この記事のひな形のように、1枚で十分です。

生成AIの利用を禁止するほうが安全ではありませんか？

禁止しても、個人のスマートフォンで使われてしまえば、会社からは見えなくなります。使ってよい範囲をはっきり決めて、会社が把握できる形で使ってもらうほうが、結果として安全です。

無料のサービスを業務で使ってもよいですか？

使う前に、利用規約と、入力した内容を学習に使うかどうかの設定を確かめてください。文化庁も「あらかじめ、利用しようとするAIシステム・サービスの利用規約等を確認し、これに従って利用することが必要です。」としています（文化庁「AIと著作権に関するチェックリスト＆ガイダンス」から引用）。確かめた結果をルールの①に書いておけば、社員が個別に調べる必要がなくなります。

ルールを作ったのに、社内で生成AIが使われません。

禁止事項ばかりになっていないかを見直してください。「この業務には、この指示文で使ってよい」という例を一緒に渡すと、使い始める人が増えます。

まとめ——ルールは1枚から始めて、使いながら直す

生成AIの社内ルールは、社員を縛るためではなく、迷わず使えるようにするためのものです。最低限決めるのは、使ってよいツール、入れてはいけない情報、使ってよい業務、出力の確かめ方、著作権、社外に出すときの扱い、相談先と見直しの7項目。どれも国の資料が示している注意点を、自社の言葉に直したものです。

明日やることは1つです。この記事のひな形をコピーして、「入れてはいけない情報」の欄に、自社でよく扱う書類の名前を書き込んでください。 そこが埋まれば、ルールの半分はできています。

参考資料

• 総務省「令和8年版 情報通信白書 第Ⅰ部 第2章 第1節 企業におけるAI利用の現状」（2026年）
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023年6月2日）
• 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（2026年3月31日）
• 文化庁著作権課「AIと著作権に関するチェックリスト＆ガイダンス」（2024年7月31日）

株式会社eマーケティングでは、SNS運用の支援と、生成AIの研修を行っています。

• 社内で生成AIを使える形にしたい方：自社の業務で使える形にする研修を、無料で相談できます

お問い合わせからお気軽にご相談ください。