生成AIの社内利用ガイドラインのつくり方（ひな形付き）

社員が業務で生成AIを使い始めると、「顧客情報を入力していいのか」「AIが作った文章をそのまま社外に出していいのか」といった疑問が出てきます。ルールがないまま利用が広がると、情報漏えいや誤情報の発信につながりかねません。

この記事では、中小企業が最初につくる「生成AIの社内利用ガイドライン」の考え方と、そのまま編集して使えるひな形の本文を紹介します。

なぜガイドラインが必要か

生成AIの利用には、主に次のリスクがあります。

個人情報保護委員会は、事業者が個人データを含むプロンプトを入力する場合、そのデータが応答以外の目的（機械学習など）に使われないことを十分に確認するよう注意喚起しています。また、経済産業省・総務省の「AI事業者ガイドライン」では、AIを業務で使う企業（AI利用者）にも、適切な利用やリスクへの対応が求められています。

ガイドラインに入れるべき5つの項目

1. 対象と利用できるサービス

どのサービスを、誰が、どの業務に使ってよいかを決めます。会社として「入力データが学習に使われない設定・プラン」を確認したサービスを指定し、それ以外の個人アカウントでの業務利用を禁止するのが基本です。

2. 入力してはいけない情報

最も重要な項目です。具体例を挙げて明記します。

• マイナンバー（個人番号）：番号法で利用範囲が限定されているため、いかなる場合も入力しない
• 個人情報（氏名・住所・電話番号・メールアドレス・社員番号など）
• 要配慮個人情報（健康状態・病歴・障害・犯罪歴など）
• 人事評価・給与・懲戒などの人事情報
• 顧客・取引先から預かった情報、契約上の秘密情報
• 未公表の経営情報（決算・M&A・新製品など）
• パスワード・APIキーなどの認証情報

3. 出力の確認

AIの出力を使う前に、人が確認する責任を明記します。特に、法令・金額・期限・数値は一次情報で確認すること、社外に出す文書は上長などの確認を経ることを定めます。

4. 権利と表示

他者の著作物や画像をむやみに入力しないこと、生成物が既存の作品に似ていないか確認すること、必要に応じて「AIを利用して作成」と表示することなどを定めます。

5. 相談窓口と違反時の対応

迷ったときの相談先と、誤って禁止情報を入力したときの報告先を明記します。「報告した人を責めない」ことを書いておくと、早期の報告につながります。

ひな形（本文）

以下は、従業員30〜300名規模の会社を想定したひな形です。自社の体制に合わせて編集してください。

このひな形は一般的な例です。自社の業種、取り扱う情報、利用するサービスの規約に合わせて調整し、必要に応じて弁護士などの専門家に確認してください。

---

生成AI利用ガイドライン

第1条（目的） 本ガイドラインは、当社の役員および従業員（以下「従業員等」）が業務で生成AIを利用する際のルールを定め、情報の漏えいや誤った情報の発信を防ぎつつ、業務の効率化を図ることを目的とする。

第2条（対象） 本ガイドラインは、文章・画像・音声・プログラムなどを生成するAIサービス（以下「生成AI」）を業務で利用するすべての従業員等に適用する。

第3条（利用できるサービス）

1. 業務で利用できる生成AIは、別表に定めるサービス（以下「許可サービス」）に限る。
2. 許可サービスは、会社が発行したアカウントで利用し、個人のアカウントを業務に使用してはならない。
3. 許可サービス以外の生成AIを業務で利用したい場合は、事前に＿＿＿＿（担当部署）に申請する。

第4条（入力禁止情報） 従業員等は、生成AIに次の情報を入力してはならない。

1. マイナンバー（個人番号）
2. 個人を特定できる情報（氏名、住所、電話番号、メールアドレス、社員番号、顔写真等）
3. 健康状態、病歴、障害その他の要配慮個人情報
4. 人事評価、給与、懲戒その他の人事に関する情報
5. 顧客・取引先の情報および秘密保持契約の対象となる情報
6. 未公表の経営情報、技術情報
7. パスワード、認証情報
8. その他、会社が機密として指定した情報

第5条（出力の確認）

1. 生成AIの出力は、誤りを含む可能性があることを前提に利用する。
2. 法令、金額、期限、数値その他の事実に関する内容は、公的機関の公表資料などの一次情報で確認してから利用する。
3. 社外に提出・公開する文書に生成AIの出力を利用する場合は、＿＿＿＿（上長等）の確認を受ける。

第6条（判断への利用の制限） 採用の可否、人事評価、懲戒その他従業員等の権利や処遇に関わる判断を、生成AIの出力のみに基づいて行ってはならない。

第7条（権利の尊重）

1. 第三者の著作物、画像、商標等を、権利者の許諾なく生成AIに入力してはならない。
2. 生成物を利用する際は、既存の著作物等と類似していないかを確認する。

第8条（事故時の報告） 禁止情報を誤って入力した場合、または生成AIの利用により問題が生じた（そのおそれがある）場合は、直ちに＿＿＿＿（担当部署）に報告する。会社は、速やかに報告した者に対し、報告したことを理由として不利益な取扱いをしない。

第9条（相談窓口） 本ガイドラインに関する相談は、＿＿＿＿（担当部署・連絡先）で受け付ける。

第10条（見直し） 本ガイドラインは、法令やサービスの変更等をふまえ、原則として年1回見直す。

別表（許可サービス）

制定日：＿＿＿＿年＿＿月＿＿日

---

つくり方と運用の進め方

ステップ1：利用実態を把握する

まず、社員がどのサービスを、どの業務に使っているかを簡単なアンケートで把握します。禁止する前提ではなく「実態を知りたい」と伝えると、正直な回答が集まりやすくなります。

ステップ2：許可サービスを決める

利用規約やプライバシーポリシーで、入力データの学習利用、保存期間、管理者機能を確認し、許可サービスを決めます。比較の観点は人事・労務・総務でAIに任せられる業務の線引きも参考にしてください。

ステップ3：ひな形を自社向けに編集する

上のひな形をもとに、担当部署、許可サービス、確認者を埋めます。最初はA4で2〜3枚程度に収め、細かな運用は別のQ&Aにまとめるほうが読まれます。就業規則の服務規律との関係が気になる場合は、就業規則・社内規程の改定案をAIで作る手順もあわせて確認してください。

ステップ4：周知と研修

全社員に配布し、短い説明会を開きます。「入力してはいけない情報」の具体例を、実際の業務に即して示すと効果的です。

ステップ5：定期的に見直す

生成AIのサービスや機能は短い期間で変わります。AI事業者ガイドラインも改訂が続いています。半年〜1年ごとに、許可サービスの規約変更や社内での事故・ヒヤリハットをふまえて見直しましょう。

まとめ

• ガイドラインには「対象サービス」「入力禁止情報」「出力の確認」「権利・表示」「相談窓口」を入れる
• マイナンバー・個人情報・機密情報の入力禁止を、具体例で明記する
• 判断（採用・評価・懲戒）をAIの出力だけで行わないことを定める
• 簡潔な版から始めて、定期的に見直す

許可サービスの選定や、社内の業務にどのAIツールが合うかの整理には、Otsumu株式会社のAIツール診断をご利用いただけます。