生成AIの社内ルール【ひな形つき】

生成AIの社内ルールのひな形は、業界団体や国の指針、各社の解説記事などで公開されていますが、大企業向けの長いものや、項目の説明だけのものも少なくありません。社員が ChatGPT や Claude を仕事で使い始め、総務や情報の担当者が「社内ルールを作るように」と任される場面が増えています。

ひな形の中身と書き換えのポイントを把握すると、自社に合ったルールを短い期間で作り、社員に守ってもらえる形で運用できます。取引先から「生成AIの利用ルールはあるか」と聞かれたときにも、説明できるようになります。

本記事では、生成AIの社内ルールで決める項目、作り方の6STEP、中小企業がそのまま書き換えて使えるひな形の全文をまとめています。さらに、書き換えの4つのポイントと、形だけにしない運用のしかた、よくある失敗も紹介します。

生成AIの社内ルールとは？ 決める項目の早見表

生成AIの社内ルールとは、社員が仕事で生成AI（質問や指示に応じて文章や画像を作るAI）を使うときに、使ってよいサービスや入れてよい情報を決めた社内の約束です。会社と取引先、お客さまの情報を守りながら、AIを安全に使うことが目的です。

生成AIの社内ルールで決める項目は、以下のとおりです。

決める項目	中身	ないと起きること
入れてよい情報・だめな情報	情報を3つの区分に分ける	社員ごとに判断がばらばらになり、顧客情報などが入る
使ってよいサービスとプラン	会社で契約したサービスに絞る	入力が学習に使われる個人向けの無料版で、仕事の情報が扱われる
アカウントの管理	二段階認証、共有、退職時の停止	乗っ取りや共有リンクから漏れる
生成物の確認	事実と権利を人が確かめる	AIの間違いや、他人の著作物に似たものを社外に出す
困ったときの連絡先	入れてしまったときの連絡と、申し出た人の扱い	隠されて、気づくのが遅れる
見直し	半年に1回、新しいサービスを使うとき	サービスの変更に追いつかず、ルールが古くなる

ここでは、社内ルールが要る理由、既存の規程との関係、参考にできる公的なひな形の3つを解説します。

生成AIの社内ルールが要る理由

生成AIの社内ルールが要るのは、社員が良かれと思って顧客情報や社外秘をAIに入れてしまうことがあるからです。AIの使い方を社員一人ひとりの判断に任せると、入れてよい情報の線引きが人によって変わります。

たとえば、IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」組織編では、「AIの利用をめぐるサイバーリスク」が初めて選ばれ、3位に入りました（2026年1月29日公開）。報じられた漏えいの事例は 生成AIからの情報漏えいの事例と防ぎ方 にまとめています。

ただし、ルールの目的はAIを止めることではありません。安全に使える形を会社として示すことが、社内ルールの役割です。

社内ルールと就業規則・情報セキュリティ規程の関係

生成AIの社内ルールは、就業規則や情報セキュリティの規程を土台に、生成AIの使い方を具体的に決める位置づけにするのが分かりやすい形です。秘密を守る義務や懲戒の扱いは、すでに就業規則や秘密保持の規程で決まっていることが多いからです。

社内の文書と、生成AIの社内ルールとの関係を以下の表にまとめます。

文書	決めていること	生成AIの社内ルールとの関係
就業規則	服務の規律、秘密を守る義務、懲戒	ルールに反したときの扱いの根拠になる
情報セキュリティの規程・秘密保持の規程	情報の扱い、持ち出しの禁止	情報の区分の考え方をそろえる
生成AIの社内ルール（本記事のひな形）	使ってよいサービス、入れてよい情報、生成物の確認	現場がふだん読む具体的な約束

社内ルールに反したときの扱いを就業規則とどうつなぐかは、会社によって変わります。社会保険労務士や弁護士などの専門家に確かめてから決めてください。

参考にできる公的なひな形と指針

生成AIの社内ルールを作る際は、業界団体のひな形と国の指針を参考にできます。どれも無料で公開されており、自社のルールの抜けや漏れを確かめるのに役立ちます。

参考にできる主なひな形と指針は、以下のとおりです。

名前	出している団体	特徴
生成AIの利用ガイドライン（第1.1版）	日本ディープラーニング協会（JDLA）	組織が生成AIを導入するためのひな形。2023年10月公開。目的に合わせて追加・修正して使う前提
AI事業者ガイドライン（第1.2版）	総務省・経済産業省	AIを開発・提供・利用する事業者向けの指針。チェックリストとワークシートが付いている
生成AIサービスの利用に関する注意喚起等	個人情報保護委員会	個人情報を生成AIに入れる際の注意点（2023年6月2日）

※2026年10月時点・各団体の公式サイトより

AI事業者ガイドラインは法的な拘束力のない指針ですが、付属のチェックリストは、ルールに抜けがないかを確かめる材料になります。本記事のひな形は、上記の考え方を、社員50人ほどまでの会社が1〜2枚で運用できる形に絞ったものです。

自社に生成AIの社内ルールが要るか確かめる

自社に生成AIの社内ルールが要るかは、社員がAIを使っているか、扱う情報に個人情報や預かり情報があるかで判断できます。以下の項目に1つでも当てはまれば、ルールを作る時期です。

自社に当てはまるかを確かめる項目は、以下のとおりです。

#	確認すること	当てはまる場合に特に要るルール
1	社員が仕事で生成AIを使っている、または使っているかもしれない	全体
2	使っているサービスやプランを、会社として把握していない	使ってよいサービス
3	社員が個人の無料アカウントで仕事の文章を作っている	使ってよいサービス、アカウントの管理
4	顧客情報・取引先から預かった資料・従業員の個人情報を扱っている	入れてよい情報
5	AIで作った文章や画像を、HP・広告・提案書に使っている	生成物の確認
6	取引先から「生成AIの利用ルールはあるか」と聞かれた、または聞かれそう	全体（説明できる形にする）

当てはまる項目が多いほど、ルールを早く作る必要があります。社員が何を使っているか分からない場合は、責めずに聞き取るところから始めましょう。

生成AIの社内ルールの作り方【6STEP】

生成AIの社内ルールは、いま使われているAIの洗い出しから始め、説明と見直しまでを6つのSTEPで作ります。順番を守ると、実態に合わないルールを作って守られない、という失敗を避けられます。

ここでは、6STEPの全体を表で示し、各STEPのポイントを解説します。

STEP	やること	目安
1	いま使っているAIを洗い出す	1週間
2	会社として使うサービスとプランを決める	1〜2週間
3	情報の区分を決める	数日
4	ひな形を自社向けに書き換える	数日
5	社員に説明し、同意をもらう	1日（説明は10〜15分）
6	半年に1回見直す	継続

【STEP1】いま使っているAIを洗い出す

最初に、誰が・どのサービスを・どのプランで・何に使っているかを聞き取ります。実態を知らずにルールを作ると、現場の使い方と合わず、守られないからです。

たとえば、「無料版の ChatGPT でメールの下書きを作っている」「スマホの翻訳アプリで取引先の資料を訳している」といった使い方が見つかります。聞き取りでは、使っていたことを責めない姿勢を伝えることが大切です。

【STEP2】会社として使うサービスとプランを決める

仕事で使うサービスは、会社で契約し、入力を学習に使わない設定・プランのものに絞ります。個人向けのプランは、設定によって入力が学習に使われることがあるからです。

たとえば、Anthropic は法人向けの製品と API の入力・出力を、初期設定では学習に使わないとしています。一方、個人向けのプラン（Free・Pro・Max）は、利用者の選択によって学習に使われることがあります。各社のプランの違いは 入力した内容をAIの学習に使わせない設定（法人プラン別） をご覧ください。

【STEP3】情報の区分を決める

自社が扱う情報を、「入れてよい」「条件つき」「入れてはいけない」の3つに分けます。区分があると、社員が迷ったときに自分で判断できるからです。

区分の例は、ひな形の別表「情報の区分表」に載せています。どこまでが「入れてはいけない」に当たるかの詳しい線引きは ChatGPT・Claude に入れてはいけない情報 で解説しています。

【STEP4】ひな形を自社向けに書き換える

次の章のひな形をもとに、会社名・担当者・使うサービス名・自社が扱う情報の具体例を入れます。ひな形の【 】の部分を埋めるだけでなく、自社で使わない条文は削り、足りない条文は足します。

ただし、空欄を残したまま配ると、社員はどう判断すればよいか分かりません。【 】をすべて埋めてから配ることを守りましょう。

【STEP5】社員に説明し、同意をもらう

ルールは紙を配るだけでなく、10〜15分でよいので「なぜ必要か」「何がだめか」を説明します。理由が分からないルールは、忙しいときに守られなくなるからです。

たとえば、説明の最後に、ルールを読んで理解したことを署名や社内のフォームで確かめると、新しく入った人への説明も同じ手順で進められます。

【STEP6】半年に1回見直す

ルールは少なくとも半年に1回、使っているサービスの規約と設定を確かめて見直します。AIのサービスは、プランや学習の扱いが数ヶ月単位で変わるからです。

たとえば、Anthropic は2025年8月、個人向けプランで学習を許可した場合のデータの保存期間を5年に延ばすと発表しました。規約の変更に気づかないと、ルールの前提が崩れます。

生成AIの社内ルールのひな形（中小企業向け）

生成AIの社内ルールのひな形は、社員50人ほどまでの会社が1〜2枚で運用できるように、9つの条文と別表にまとめました。【 】の部分を自社に合わせて書き換えて使ってください。

ここでは、ひな形の本文と、別表の情報の区分表を示します。就業規則・秘密保持の規程とのつながりや、労務上の扱いは、社会保険労務士や弁護士などの専門家に確かめてもらうと安心です。

生成AIの社内ルールのひな形の本文

ひな形の本文は、目的・対象・使ってよいサービス・入力してよい情報・アカウントの管理・生成物の確認・禁止事項・事故のときの連絡・見直しの9条です。コピーして使えるように、以下にテキストで示します。

生成AI利用ルール

【会社名】
制定日：【2026年◯月◯日】
担当：【部署・氏名】

第1条（目的）
このルールは、社員が業務で生成AI（文章・画像などを作るAIサービス）を
安全に使い、会社と取引先、お客さまの情報を守るために定める。

第2条（対象）
1. このルールは、役員・正社員・契約社員・パート・アルバイト・派遣社員など、
   当社の業務に関わるすべての人に適用する。
2. 業務で使う場合は、会社の端末か個人の端末かを問わず適用する。

第3条（使ってよいサービス）
1. 業務で使ってよい生成AIは、次のサービスとプランに限る。
   ・【サービス名】【プラン名（法人向けプラン）】
   ・【サービス名】【プラン名】
2. 上記にないサービスを使いたいときは、事前に担当へ申し出て、許可を得る。
3. 個人で契約したアカウント（無料版を含む）を業務に使ってはならない。

第4条（入力してよい情報）
1. 生成AIに入力する情報は、別表「情報の区分表」に従う。
2. 区分Cの情報は、どのサービスにも入力してはならない。
3. 区分Bの情報は、第3条の法人向けプランで、学習に使われない設定のときに限り、
   固有名詞や数字を伏せたうえで入力できる。
4. 判断に迷うときは入力せず、担当に相談する。

第5条（アカウントの管理）
1. 生成AIのアカウントには二段階認証を設定する。
2. ログイン情報を他人と共有しない。
3. 会話の共有リンクを社外に送らない。公開や検索エンジンへの表示を選ばない。
4. 退職・異動のときは、担当が速やかにアカウントを停止する。

第6条（生成物の確認）
1. 生成AIの回答には誤りが含まれることがある。事実・数字・法律に関わる内容は、
   元の資料で確かめてから使う。
2. 生成AIで作った文章・画像を社外に出すとき（HP、広告、提案書など）は、
   他人の著作物や商標に似ていないかを確かめ、【責任者】の確認を受ける。
3. 生成AIの回答だけをもとに、契約・法律・お金に関わる判断をしない。

第7条（してはいけない使い方）
次の目的で生成AIを使ってはならない。
・法令や公序良俗に反すること
・他人になりすますこと、人をだます文章・画像・音声を作ること
・会社が許可していない業務の自動化（メールの自動送信、外部サービスへの接続など）

第8条（事故・ミスのときの連絡）
1. 区分Cの情報を入力してしまったとき、アカウントに心当たりのないログインが
   あったときは、すぐに担当へ連絡する。
   連絡先：【担当者名・電話番号・社内チャット】
2. 正直に申し出た人を、そのことを理由に不利益に扱わない。

第9条（見直し）
このルールは、少なくとも半年に1回、または新しいサービスを使い始めるときに見直す。

上記のひな形は、条文を増やすより、【 】を自社の言葉で具体的に埋めることを優先して作っています。

別表：情報の区分表

情報の区分表は、生成AIの社内ルールの中心になる表です。社員が「この情報を入れてよいか」を判断する基準になるため、例は自社が扱う書類の名前で書き換えてください。

情報の3つの区分と、生成AIへの入力の扱いを以下の表にまとめます。

区分	例	生成AIへの入力
A：入れてよい	すでに公開している情報（HPの文章、公開済みのお知らせ）、一般的な質問、個人や会社が特定できない文章の下書き	会社が認めたサービスなら可
B：条件つき	社内向けの資料、公開前の企画、議事録	会社が契約した法人向けプランで、学習に使われない設定のときだけ可。固有名詞や数字は伏せる
C：入れてはいけない	顧客・従業員の個人情報、取引先から預かった資料、契約書、パスワード・暗証番号・鍵、決算前の数字、秘密保持契約の対象になる情報	どのサービスでも不可

区分Cに個人情報を入れたのは、個人情報保護委員会が2023年6月の注意喚起で、本人の同意なく個人データを入れ、回答を作る以外の目的で扱われると個人情報保護法に違反する可能性があるとしているためです。

ひな形を自社向けに書き換える4つのポイント

ひな形を自社向けに書き換える際は、情報の区分・使ってよいサービス・生成物の確認・見直しの4か所に特に手を入れます。4か所とも会社によって答えが変わり、空欄のままでは社員が判断できないからです。

ここでは、4つのポイントを順に解説します。

情報の区分を自社の書類名で書く

情報の区分表の例は、自社で実際に使っている書類やデータの名前で書きます。「個人情報」と書くより、「顧客台帳」「見積書」「履歴書」と書いたほうが、社員が迷わないからです。

たとえば、業種ごとに以下のような書類名が入ります。

• 小売・EC：顧客台帳、注文履歴、配送先リスト
• 製造：取引先の図面、原価表、見積書
• 医療・福祉：カルテ、利用者の記録、職員の健康診断の結果
• 士業・コンサル：顧問先の決算書、相談の記録

上記のように自社の言葉で書くと、区分の判断を担当者に聞く回数も減ります。

使ってよいサービスを5つの観点で決める

第3条に書く「使ってよいサービス」は、5つの観点で確かめてから決めます。サービスの名前だけで選ぶと、学習の扱いや管理の機能の違いを見落とすからです。

使ってよいサービスを決める5つの観点は、以下のとおりです。

観点	確かめること
学習への利用	入力を学習に使わない設定・プランか
管理の機能	管理者が利用者を追加・停止できるか、利用の記録を見られるか
ログインの守り	二段階認証やシングルサインオン（1つのログインで複数のサービスに入れる仕組み）に対応しているか
データの保存	入力がどこに、どのくらいの期間保存されるか
契約と支払い	会社名義で契約し、会社の支払いにできるか

※確かめる際は、各サービスの利用規約とプランの説明ページを見て、確かめた日付を記録します。

契約していないサービスを第3条に書くと、ルールと実態が合わなくなります。先に契約を決めてから条文に書く順番を守りましょう。

生成物の確認を「事実」と「権利」に分ける

第6条の生成物の確認は、「事実の確認」と「権利の確認」に分けて書きます。2つは確かめる人も方法も違うため、まとめて「確認する」と書くと、どちらかが抜けるからです。

2つの確認の違いは、以下のとおりです。

• 事実の確認：数字・日付・法律・固有名詞が正しいかを、元の資料で確かめる。作った本人が担当する
• 権利の確認：文章や画像が他人の著作物・商標に似ていないかを確かめる。社外に出す前に責任者が担当する

権利の判断に迷う場合は、弁護士などの専門家に確かめてください。

見直しのきっかけを決めておく

第9条の見直しは、期間だけでなく、見直すきっかけも決めておきます。半年を待たずに、ルールの前提が変わることがあるからです。

見直すきっかけの例は、以下のとおりです。

• 新しいサービスやプランを使い始めるとき
• 使っているサービスの規約や学習の扱いが変わったとき
• AIに関わる事故や、ひやりとした出来事があったとき
• 取引先から、AIの利用について条件を求められたとき

見直した日と変えた内容をルールの末尾に記録しておくと、取引先への説明にも使えます。

生成AIの社内ルールを形だけにしない運用のしかた

生成AIの社内ルールは、作って配るだけでは守られません。運用のしかたを決めておくことで、ルールが現場の行動として定着します。

ここでは、形だけにしないための運用のしかたを3つ紹介します。

説明の場を設けて同意をもらう

ルールを配るときは、説明の場を設けて、理解したことの同意をもらいます。説明がないと、社員はルールの理由が分からず、忙しいときに自己判断で使ってしまうからです。

説明で伝える内容は、以下の3つに絞ると短く済みます。

• 入れてはいけない情報（区分C）の具体例
• 使ってよいサービスと、ログインのしかた
• 入れてしまったときの連絡先と、申し出ても責めないこと

新しく入った人にも、入社時の説明に組み込んで同じ内容を伝えましょう。

一部の部署で試してから広げる

ルールは、いきなり全社に配らず、一部の部署で1ヶ月ほど試してから広げる方法もあります。実際に使ってみると、区分の判断に迷う書類や、ルールでは禁止しているが仕事に必要な使い方が見つかるからです。

たとえば、総務や営業など、AIをよく使う部署で試し、出てきた質問をもとに別表の例を書き足します。

ただし、試す期間が長すぎると、他の部署では個人のアカウントで使われ続けます。期間を決めて進めることが大切です。

派遣社員・委託先にも伝える

ルールは、自社の社員だけでなく、派遣社員や業務を委託している先にも伝えます。派遣社員や委託先も、自社の顧客情報や資料を扱うことがあるからです。

たとえば、HPの更新や経理を外部に頼んでいる場合は、委託先が生成AIをどう使っているかを確かめ、自社の情報を入れる場合の条件を契約や覚書で決めておきます。委託先との取り決めの書き方は、弁護士などの専門家に確かめてください。

生成AIの社内ルールでよくある失敗

生成AIの社内ルールでよくある失敗は、禁止だけのルールにすることと、実態と合わないルールを作ることです。どちらも、ルールが守られなくなり、かえってAIの使われ方が見えなくなります。

ここでは、よくある失敗と、避けるための対策を表にまとめます。

よくある失敗	起きること	避けるための対策
禁止だけのルールにする	個人のスマホで隠れて使われる	使ってよいサービスを会社で用意する
契約しないまま「法人向けプランを使うこと」と書く	ルールと実態が合わず、守られない	先に契約を決める
作って配って終わりにする	新しく入った人に伝わらない	説明の場と入社時の説明を決める
AIの回答をそのまま社外に出す	もっともらしい間違いが混ざる	事実と権利の確認を分けて書く
AIをだます攻撃を想定していない	メールやWebページを読ませるAIがだまされる	第7条で自動化を許可制にする（プロンプトインジェクションとは。AIをだます攻撃）
規約の変更を見ていない	学習の扱いや保存期間の変更に気づかない	見直しのきっかけを決める

上記の失敗の多くは、作る前の聞き取りと、作ったあとの見直しで防げます。社内のAI利用に限らず、AIでサイバー攻撃全体がどう変わるかは AIで、サイバー攻撃はどう変わる？ 中小企業がいまやること にまとめています。

生成AIの社内ルールづくりを専門家に相談すべきとき

生成AIの社内ルールづくりは、社内だけで判断が難しい部分を専門家に相談すると、早く確実に進められます。就業規則とのつながりや契約の解釈など、法律や労務に関わる部分は、担当者だけでは判断できないからです。

相談先の目安は、以下のとおりです。

相談したいこと	相談先
就業規則とのつながり、違反したときの扱い	社会保険労務士
個人情報の扱い、取引先との契約、著作権	弁護士
使うサービスの設定、アカウントや端末の管理	ITやセキュリティの専門家

ルールづくりは、アカウントや端末の管理、HPの管理といった他の対策ともつながっています。HPを含めて外から見える状態を確かめたい場合は、HPの移管・保守サービス『サイガード』の無料診断もご利用いただけます。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。

まとめ

• 生成AIの社内ルールは、入れてよい情報・使ってよいサービス・困ったときの連絡先の3つが核になる
• 作るときは、いま使われているAIの洗い出しから始め、6STEPで進める
• ひな形は、自社の書類名と実際に契約するサービスに合わせ、【 】をすべて埋めてから配る
• 禁止で終わらせず、説明の場と半年に1回の見直しで、守られるルールにする

まず社員がいま使っているAIを聞き取り、ひな形の書き換えから始めてください。