生成AIの社内利用ガイドライン策定ガイド2026｜入力してよい情報・承認フロー・出力物の責任を6項目で整理する

なぜいま、生成AIの社内ルールが必要なのか

生成AIの利用は、情報システム部門が管理する前に現場から広がることが少なくありません。担当者が個人の判断で無料のサービスに業務資料を貼り付ける。その一件が、顧客情報の外部送信になってしまう。こうした行き違いは、悪意ではなく手順の不在から起こります。

ルールがないと、現場は「使ってよいのか」を判断できません。結果として、過度に萎縮して活用が進まないか、逆に無防備なまま使われるかのどちらかに振れます。社内ガイドラインの役割は、利用を禁じることではありません。安全に使える範囲をはっきりさせて、迷いをなくすことです。

国内では、総務省と経済産業省が「AI事業者ガイドライン」を公表し、AIを開発・提供・利用する立場ごとの考え方を示しています。欧州では、リスクの大きさに応じて義務を定めるEU AI Actの整備が進んでいます。自社の規程をつくる際は、こうした公的な枠組みの考え方を土台にすると、後から見直す負担が軽くなります。なお、これらの内容は改定されることがあります。実際に規程へ落とし込む前に、必ず原文の最新版を確認してください。

ガイドラインに必ず入れる6つの項目

分量は多くする必要がありません。現場が読み返せる長さに保つことのほうが大切です。最低限、次の6つを決めておきます。

1. 適用範囲と対象者

誰に適用されるのかを最初に書きます。正社員だけでなく、契約社員や派遣、業務委託の方まで含めるのが一般的です。あわせて、会社が契約したサービスと、個人が私的に契約したサービスを区別します。個人契約のアカウントで業務データを扱わないという一文は、早い段階で入れておきたい項目です。

2. 入力してよい情報と、してはいけない情報

ガイドラインの中心はここです。抽象的に「機密情報は入力しない」と書くだけでは運用できません。自社の情報区分に沿って、具体例まで落とし込みます。

3. 出力物の取り扱いと責任の所在

生成された文章やコードは、そのまま成果物にはできません。事実確認と権利の確認を経て、担当者が責任を持つ。この線引きを明文化します。「AIが出したから」は理由になりません。

4. 利用できるサービスの一覧

許可した製品名を列挙し、それ以外を使う場合の申請先を書きます。無制限に増やすと点検が追いつきません。まずは少数から始めます。

5. 申請と承認の手順

新しいサービスを使いたいとき、誰に、何を出せばよいのか。窓口が分からないと、現場は申請せずに使い始めます。手順の簡単さは、抜け道を防ぐ最大の対策です。

6. 違反時の対応

罰則を並べる必要はありません。むしろ、事故が起きたときに速やかに報告できる連絡先と、報告した人が不利に扱われないことを明記するほうが、被害の拡大を防ぎます。

入力してよい情報を整理する

もっとも相談が多いのが、この線引きです。自社の情報区分がすでにあるなら、それに合わせます。ない場合は、次のような三段階から始めると運用しやすくなります。

区分	具体例	生成AIへの入力	補足
公開情報	プレスリリース、公開済みの製品説明、自社サイトの掲載内容	可	制限なく利用できます
社内限定情報	社内手順書、議事録、企画の下書き	条件付きで可	会社が契約した学習に使われない設定のサービスに限ります
秘密情報	個人情報、顧客から預かったデータ、未公表の財務情報、認証情報	不可	匿名化しても復元の恐れが残るため、原則として入力しません

ここで見落とされがちなのが、認証情報です。接続用の鍵やパスワードを、設定作業の相談として貼り付けてしまう例があります。コードの相談をする場面では特に起こりやすいため、具体例として明示しておくことをおすすめします。

また「学習に使われない設定」は、サービスや契約の種類によって異なります。同じ製品でも、個人向けと法人向けで扱いが変わることがあります。導入前に、提供元の最新の説明を確認してください。

用途ごとに、確認の重さを変える

すべての用途に同じ手順を課すと、現場は守らなくなります。出力物が外部に出るかどうか、誤りが生じたときの影響がどれくらいかで、確認の重さを変えます。

用途	外部への影響	求められる確認
議事録の要約、社内文書の下書き	小さい	担当者による読み返し
ソースコードの補完、テストの雛形作成	中程度	レビューと動作の確認、ライセンスの確認
顧客に送る文面、公開する記事	大きい	事実確認と上長の承認
採用の合否、与信、人事評価	非常に大きい	AIの出力のみで決定しない。人が判断する

最後の行は特に重要です。個人の権利に大きく関わる判断を、AIの出力だけで確定させない。この原則は、前述の公的な枠組みでも共通して重視されている考え方です。文章作成の支援には文章生成カテゴリの製品が、開発の支援にはコード支援カテゴリの製品が使われますが、どちらも判断を代行する道具ではありません。

承認フローは、二段階で足りる

複雑な承認は形骸化します。多くの企業では、次の二段階で足ります。

第一に、あらかじめ許可した製品の一覧を用意します。この一覧にある製品を、許可された用途で使う場合は、都度の申請を不要にします。ここを軽くしないと、現場は申請そのものを避けてしまいます。

第二に、一覧にない製品を使いたいとき、または秘密情報を扱いたいときだけ、申請を必要とします。申請の様式は、使いたい製品名、目的、扱う情報の区分、契約の種類の四点で十分です。判断に迷う項目を増やすほど、申請は滞ります。

窓口は一つに絞ります。情報システム部門と法務のどちらが受けるかを決め、社内に周知します。「誰に聞けばよいか分からない」状態は、無断利用の温床になります。

教育と点検を、続く形にする

配布して終わりのガイドラインは、読まれません。年に一度の研修よりも、短くて繰り返し届く仕組みのほうが定着します。

新しく入った方には、入社時の手続きに組み込みます。既存の社員には、実際に起きた事例を短く共有します。他社の事故でも構いません。「なぜだめなのか」を具体的に想像できることが、条文を覚えることより効きます。

点検は、許可した製品の一覧を定期的に見直すところから始めます。契約が切れた製品、使われなくなった製品を残しておくと、一覧そのものの信頼が落ちます。あわせて、申請の記録を振り返り、同じ相談が繰り返されていないかを確認します。同じ相談が続くなら、それはガイドラインの説明が足りない箇所です。

よくある失敗

もっとも多いのは、禁止事項だけを並べてしまうことです。読んだ現場は「使ってはいけないもの」と受け取り、活用が止まります。使ってよい範囲を先に書き、その外側を制限する順序にすると、受け取られ方が変わります。

次に多いのが、製品名を細かく書きすぎることです。生成AIの分野は移り変わりが速く、製品名を本文に埋め込むと、改定のたびに規程全体を差し替えることになります。規程の本文には考え方を書き、許可した製品の一覧は別紙にします。運用の負担が大きく変わります。

三つ目は、公開されている情報の正確さを確認しないまま、出力をそのまま使ってしまうことです。生成AIは、事実と異なる内容をもっともらしく出力することがあります。社外に出る文章や数値は、必ず一次情報にあたって確かめてください。この確認を担当者の責任として明記しておくことが、事故を防ぎます。

導入の進め方

完璧な規程を待つ必要はありません。次の順序で、段階的に整えていきます。

はじめに、情報の区分と、入力してはいけない情報の具体例を決めます。ここだけでも周知できれば、深刻な事故の多くは防げます。

次に、許可する製品を少数選び、契約の種類と設定を確認します。この段階で、学習に使われない設定になっているかを、提供元の説明で確かめます。

そのうえで、申請の窓口と様式を用意し、社内に告知します。最後に、用途ごとの確認の重さを定め、実際の運用で無理が出ないかを見ます。運用してみて重すぎる手順は、迷わず軽くします。守られない規程は、ないのと同じだからです。

よくある質問

無料版の生成AIを業務で使ってもよいですか

会社として契約していないサービスで、社内限定情報や秘密情報を扱うことは避けてください。無料版は、入力した内容の扱いが法人向けの契約と異なる場合があります。公開情報だけを扱う用途に限るか、法人向けの契約に切り替えることをおすすめします。

個人情報を匿名化すれば入力してよいですか

原則として、入力しない扱いにすることをおすすめします。氏名を伏せても、複数の項目の組み合わせから個人が特定できてしまうことがあります。どうしても必要な場合は、法務部門に相談したうえで、扱いの範囲を個別に定めてください。

生成AIが書いたコードを、そのまま製品に使えますか

そのままの利用は避けてください。動作の確認に加えて、既存のコードとの類似やライセンスの条件を確認する必要があります。最終的な責任は、コードを取り込んだ担当者と組織にあります。

ガイドラインはどれくらいの頻度で見直すべきですか

頻度をあらかじめ決めるより、見直す「きっかけ」を決めておくほうが実用的です。許可する製品を追加するとき、公的な枠組みが改定されたとき、社内で事故やひやりとした事例が起きたとき。この三つを合図にすると、形骸化を防げます。

小さな会社でも規程は必要ですか

必要です。ただし分量は少なくて構いません。入力してはいけない情報の具体例と、相談する窓口。この二点を一枚にまとめて共有するだけでも、事故の多くは防げます。人数が少ない組織ほど、一件の情報漏えいが事業に与える影響は大きくなります。

まとめ

生成AIの社内ガイドラインは、活用を止めるための文書ではありません。現場の迷いをなくし、安心して使える範囲をはっきりさせるための道具です。適用範囲、入力してよい情報、出力物の責任、許可した製品、申請の手順、事故時の連絡先。この6点が定まっていれば、出発点としては十分です。

大切なのは、分厚い規程を一度で完成させることではありません。入力してはいけない情報の具体例を今日決めて、明日共有する。運用してみて重すぎた手順は軽くする。この繰り返しが、守られる規程を育てます。

そして、どれだけ規程を整えても、最後に内容を確かめるのは人です。社外に出る文章、顧客に関わる判断、個人の権利に影響する決定。これらをAIの出力だけで確定させない。この一線を守ることが、生成AIを長く安全に使い続けるための土台になります。まずは自社の情報区分を書き出し、そのどれを入力してよいかを一行ずつ決めるところから始めてみてください。