生成AIの社内ルールの作り方　1枚⁠で伝わる項目と例文を中小企業向けに

生成AIの社内ルールは、使ってよいサービス、入れない情報、結果の確かめ方など6項目⁠をA4で1枚⁠に書けば、今週中に出せます。細かい規程を作るのは、そのあとで間に合います。

今日は、社員が仕事で使っているAIサービスの名前を聞き取ってください。朝礼の一声や、チャットでの短い質問で足ります。個人のアカウントで使っている人がいないかも、責めずに聞きます。

なぜ、規程より先に1枚なのか

理由は、ルールがない間も社員はAIを使っているからです。

IPAの情報セキュリティ10大脅威 2026 解説書は、職場にAIサービスが無い場合などに、個人で使っているAIサービスを従業員が業務に使うことがあると説明しています。シャドーAIと呼ばれるものです。

同じ解説書は、米国のAI企業の調査として、業務で生成AIにデータを貼り付けて入力している利用者が77％いたと紹介しています。そのうち82％は、組織に管理されていないアカウントを使っていたとのことです。米国の調査なので、日本の中小企業にそのまま当てはまるとは言えません。それでも、ルールが届く前に使い方が決まってしまう様子は想像できます。

IPAが解説書で経営者層に挙げている対策は、AIサービス利用の検討、利用規程の整備、個人アカウントの業務利用の制限、学習対象から除外する設定の徹底などです。1枚⁠のルールは、これを社員の言葉に直したものになります。

1枚⁠に入れる6つの項目

以下の例文の【 】⁠は⁠、自社の内容に置き換えてください。

例文1　対象と使ってよいもの

このルールは、【社員、パート、派遣社員、常駐の協力会社⁠】⁠が会社の仕事で生成AIを使うときに適用します。

仕事で使えるのは【サービス名】だけです。会社が発行したアカウントで使います。個人のアカウントや、一覧にないサービスは仕事に使いません。新しいサービスを使いたいときは【担当部署】⁠に申請してください。

禁止だけにしないのがこの項目の要点です。使ってよいものが1つ⁠も無いと、個人のサービスへ流れやすくなります。

選ぶときは、提供元の規約と設定を先に確かめます。IPAのAI利用者のためのセキュリティ豆知識は、規約や利用時の設定を確認すれば、入力を保存や学習の対象から除外できると説明しています。解説書でも、AIサービス契約時の約款の確認を挙げています。

設定の例文も1行入れます。

【サービス名】⁠の【設定画面の項目名】⁠は【オフ】⁠のまま使います。変更しないでください。

設定の名前や置き場所はサービスごとに違い、変わることもあります。実際の画面を見てから書いてください。

例文2　入れない情報

ここが、1枚⁠の中で最も大事な項目です。「機密情報を入れない」だけでは、現場は判断できません。自社の書類の名前で書きます。

次の情報は、使ってよいサービスであっても入力しません。

• 取引先から預かった図面、仕様書、見積書
• 自社の図面、加工条件、不具合の報告書
• 取引先ごとの単価と原価
• 社員や応募者、顧客の氏名、住所、連絡先、評価
• パスワード、アクセスキー、社内システムの設定

迷ったら入力せず、【担当部署】⁠に聞いてください。

一覧は製造業の例です。業種に合わせて入れ替えてください。

使ってよいサービスでも入れない情報を分けているのは、取引先との秘密保持契約が関わるからです。預かった図面を外部サービスへ入力してよいかは、学習に使われるかどうかとは別の問題です。契約の内容を確かめてから、例外を足してください。

個人情報には別の決まりがあります。個人情報保護委員会の注意喚起（2023年6月2日⁠。内閣府の会議資料に載った写し）⁠は⁠、個人情報を含むプロンプトの入力は、利用目的の達成に必要な範囲内かを十分に確認するよう求めています。本人の同意なく個人データを入力し、応答の出力以外の目的で扱われる場合は、法律違反となる可能性があるとも指摘しています。迷いをなくすため、1枚⁠の段階では入れない側に置きました。

例文3　結果の確かめ方

AIの答えには誤りが含まれます。数字、規格、法令、仕様、会社名は、元の資料で確かめてから使います。AIの答えだけを根拠に判断しません。使った人が結果に責任を持ちます。

AIが架空の情報を事実のように出す現象は、ハルシネーションと呼ばれます。IPAの解説書は、米国の弁護士が提出した書面に実在しない判例が引用されていた例を挙げ、生成結果の精査が利用者に求められると説明しています。

AI事業者ガイドライン（第1.2版）⁠のAI利用者の部でも、出力の精度とリスクの程度を理解した上で使うことと、責任をもって事業利用を判断することが挙がっています。

製造業なら、たとえば材料の規格値や許容応力をAIに聞いた場合です。答えをそのまま図面や見積もりに写さず、規格書やメーカーのカタログで確かめます。「どの資料で確かめるか」⁠ま⁠で部署で決めておくと、確認が形だけになりません。

例文4　外に出すとき

AIで作った文章や画像を、社外に出す資料、サイト、提案書に使うときは、【部門長】⁠が内容を確認します。既存の作品や他社の資料に似ていないかも確かめます。

文化庁がAIと著作権に関するチェックリスト＆ガイダンス（2024年7月31日）⁠を出しています。担当者はここを一度読んでおくと、判断に迷ったときの基準ができます。

AIの利用を相手に伝えるかどうかは、契約や業界の慣習で変わります。取引先との間で決まりがあれば、それを優先します。

例文5　困ったときと違反したとき

入れてはいけない情報を入れてしまったときは、気づいた時点ですぐに【担当者名ではなく部署と内線】⁠へ知らせてください。早く知らせたことで不利に扱うことはしません。AIの答えがおかしいと感じたときも同じです。

ルールに反する使い方を続けた場合は、【就業規則に沿って対応します】⁠。

IPAの解説書は、規程違反時の対応を明確にすることと、トラブルに備えた専門家や相談窓口の確保を挙げています。処分まで書くなら、就業規則との関係を社労士や弁護士に確かめてください。

一方で、罰則だけを強く書くと、入力してしまった人が黙るおそれがあります。先に知らせやすくしておくほうが、対応を早く始められます。

1枚⁠に入れなくてよいものは？

全部を1枚⁠に載せると読まれなくなります。次のものは別に扱います。

• AIで作った資料の著作権の細かい解説：担当者が見る文書に分ける
• AIブラウザの使い方：導入する段になったら足す。IPAの豆知識は、常用するAIブラウザでは社内ポータルなど重要な情報にアクセスしないよう勧めている
• 社内データとつなぐAI：社員向けではなく作る側の話。プロンプトインジェクションの確かめ方と頼み方⁠で扱っている
• 採用や人事評価への利用：AI事業者ガイドラインは、特定の個人の評価の参考にする場合に本人への通知などを挙げている。1枚では「使わない」⁠と⁠し⁠、使うときは別に決める

なりすましへの備えは、1行足す価値があります。豆知識は、重要な依頼を受けたら本物かどうかを二重、三重に確かめるよう勧めています。

振込先の変更や機密情報の送付を求められたら、メールや会議の中だけで判断せず、別の方法で本人に確かめます。

今週中に出すまでの進め方

月曜から金曜で進める場合の例です。社員の少ない会社なら、半分の日数で足ります。

社長の口から伝えるのが近道です。配って終わりにせず、説明のときに「この図面は入れていいか」のような自社の例を2つほど挙げると、線引きが伝わります。

教育の仕組みまで整えたいときは、セキュリティ教育サービスの比較が使えます。IPAの豆知識もスライド形式で、社内研修に使えるように作られています。

ルールだけで守れなくなるのは、いつ？

社員が増えた、拠点が分かれた、持ち出されて困るデータが多い。こうなると、人の注意だけでは追えなくなります。

IPAの解説書は、通信ログやCASB（クラウドサービスの利用を把握する仕組み）⁠な⁠ど⁠で利用状況をつかむことを挙げています。その段階では、AIセキュリティ製品の比較やDLP（情報の持ち出し対策）⁠の比較を見て、自社の規模に合う種類を確かめます。

より詳しい規程に育てるときの土台は2つあります。日本ディープラーニング協会の生成AIの利用ガイドライン⁠はひな形で、第1.1⁠版（2023年10月公開）⁠に条項のみの版と簡易解説付きの版があります。組織の目的に照らして修正して使うものです。公的な資料の選び方は生成AIのセキュリティガイドラインの読み分け⁠にまとめました。AIの守りの全体はAIのセキュリティ記事の一覧から見られます。

1枚に、作った日と次に見直す日を書いておきます。

作成日：【日付】⁠　⁠次⁠の見直し：【3か月後の日付】　新しいAIサービスを入れたときにも見直します。

AIサービスの機能や規約は変わります。見直しの間隔に決まりはないので、自社で続けられる長さで決めてください。