MENU
Webサイトの制作・運用・集客なら｜ Duo Partner Design（デュオパートナーデザイン）
お問合せ
  1. ホーム
  2. TOPIC NEWS
  3. 生成AIの社内ルールの作り方｜中小企業がまず決める7項目（ひな形付き）

生成AIの社内ルールの作り方｜中小企業がまず決める7項目（ひな形付き）

TOPIC NEWS
目次

【はじめに】

社員が仕事でChatGPTなどの生成AIを使い始めている。
便利なのは分かるけれど、「お客様の情報を入れていないか」「AIが作った文章をそのまま外に出していないか」が気になる——。
生成AIの社内ルールは、こうした不安が出てきたときが作りどきです。

結論から言うと、生成AIの社内ルールは、禁止事項を並べる前に「使ってよいツールと設定」「入力してはいけない情報」「最後に確認する人」の3点を決めると、使いながら守りやすい形になります。

この記事では、中小企業がまず決めたい7つの項目、禁止型と許可型の違い、1枚にまとめるルールのひな形、社員への伝え方と最初の30日の運用、参考になるガイドライン・公的資料を紹介します。
分厚い規程をつくるのではなく、明日から使える1枚をつくることを目指します。

この記事でわかること
  • ルールがないまま生成AIが使われている現状と、そのリスク
  • 中小企業がまず決めたい7つの項目
  • 入力してよい情報を「青・黄・赤」で分ける方法
  • 「禁止型」と「許可型」ルールの違い
  • そのまま使える1枚のルールのひな形
  • 社員への伝え方と、最初の30日の運用

ルールがないまま使われている現状

東京商工会議所が主に東京23区内の中小企業を対象に行った「中小企業のデジタルシフト・DX実態調査」（2026年3〜4月実施、回答1,272社）では、デジタル化がある程度進んだ企業の83.9%が生成AIを活用していました（「個人レベルで活用」の40.3%を含む）。

一方で、生成AIを活用している企業の43.2%が「無料ツールのみ利用」で、生成AIの指針・ガイドラインを策定している企業は7.7%にとどまっています。
東京商工会議所は、社内ルールのないまま従業員が生成AIを独自に使う「シャドーAI」などのリスクを指摘しています。

帝国データバンクの調査（2026年3月実施）でも、生成AIを活用するうえでの課題として「情報の正確性」（50.4%）が最も多く挙がり、情報漏えいのリスクや、トラブルが起きたときの責任の所在といったルールの整備も課題として挙げられています。

また、総務省の「情報通信白書」令和8年版によると、生成AIを「積極的に活用する方針である」または「活用する領域を限定して利用する方針である」と答えた中小企業は58.1%で、大企業（74.0%）を下回っています。

ポイント：いちばんのリスクは「個人の判断で使われること」

社員が個人の判断で生成AIを使い始めている会社は少なくありません。
ルールがないことのいちばんのリスクは、禁止も許可もされないまま、使ってよい場面や入力してよい情報が、一人ひとりの判断に任されてしまうことです。

まず決める7項目

中小企業が最初に決めたいのは、次の7つです。とくに1〜3の3つが決まれば、社員が安心して使い始めやすくなります。

No.項目決めること決めないと起こりうること
1使ってよいツールと設定会社として許可するツール・アカウント・学習の設定個人の無料アカウントで、入力内容が学習に使われる設定のまま使われるおそれがある
2入力してはいけない情報入力してはいけない情報と、加工してから入力する情報の線引きお客様の個人情報や未公開の情報が、社外のサービスに入力される
3出力の確認者公開・送信の前に、誰が何を確かめるか誤った情報や不自然な表現が、そのまま社外に出る
4著作権と引用他者の文章・画像の扱いと、生成物の使い方他者の作品に似たものを、知らずに使ってしまう
5お客様への説明お客様の情報や成果物にAIを使う場面での説明後から知ったお客様に不信感を持たれる
6記録いつ・誰が・何に使ったかの残し方問題が起きたときに原因をたどれない。良い使い方が共有されない
7見直し時期ルールを見直すタイミングと担当者ツールやサービスの変化に、ルールが追いつかない

1．使ってよいツールと設定

  • 会社として使ってよいツールを決め、名前で書き出す（例：会社で契約した◯◯、△△）
  • 業務で使うのは、会社が用意したアカウントにする
  • 入力内容が学習に使われない設定になっているかを確かめる

無料版や個人向けのプランでは、入力内容がサービスの改善（学習）に使われる設定が初期値になっていることがあります。法人向けのプランには、入力内容を学習に使わないことを標準にしているものもあります。
扱いはサービスやプランによって違い、変わることもあるため、各サービスの最新の規約と設定画面で確かめてください。

2．入力してはいけない情報

入力する情報は、信号のように「青・黄・赤」の3つに分けると、社員が迷いにくくなります。

信号区分例扱い
赤個人を特定できる情報、お客様の機密、未公開の情報、認証情報顧客の氏名・連絡先、従業員の評価や健康に関する情報、お客様から預かった資料、未発表の新商品の情報、パスワード入力しない
黄社内資料、案件の内容会議の文字起こし、提案書の下書き、問い合わせの内容会社名・氏名・金額などを伏せてから入力する（例：「A社」「◯◯万円」）
青公開済みの情報、一般的な内容自社サイトに載っている情報、一般的な文章の言い換え、アイデア出しそのまま利用してよい

個人情報の扱いについては、個人情報保護委員会が2023年6月に「生成AIサービスの利用に関する注意喚起等について」を公表しています。
個人情報を含む内容を入力する際の注意点が示されているので、ルールをつくる前に一度目を通しておくと安心です。

3．出力の確認者

  • 社外に出すもの（お客様への文書、Webへの掲載、SNSの投稿）は、公開・送信の前に人が確認する
  • 確認するのは「事実（数字・固有名詞・日付）」「表現（誤解を招かないか、会社の言葉としてふさわしいか）」「権利（他者の作品に似ていないか）」の3点
  • 確認者は「作った本人＋もう1人」にするか、業務ごとに決める

先に紹介した調査でも、課題のトップは「情報の正確性」でした。
生成AIはもっともらしい文章を作るのが得意な分、誤りも自然な文章に紛れ込みます。確認の手順は、ルールの中でいちばん省略してはいけない部分です。

「情報管理が不安」という段階から相談できます

DPDの「社外AI・Web戦略室 3ヶ月実装プログラム」では、会議整理・提案書作成・Web記事作成・採用発信・問い合わせ対応などから1つの業務を選び、使い方の設計、業務への実装、担当者の育成までを3ヶ月で伴走します。
何から始めればよいか分からない、情報管理が不安、という段階からご相談いただけます。

4．著作権と引用

  • 他者の文章や画像を読み込ませて、それに似たものを作る使い方はしない
  • AIが作った文章や画像は、既存の作品に似ていないかを確かめてから使う
  • 引用するときは、引用部分を本文と区別し、出典を明記する（引用の要件は文化庁の資料などで確認する）

考え方の参考になるのが、文化庁の「AIと著作権に関する考え方について」（2024年3月）と「AIと著作権に関するチェックリスト＆ガイダンス」（2024年7月）です。判断に迷う場合は、専門家に相談してください。

5．お客様への説明

  • お客様から預かった情報をAIで扱う場合や、お客様への成果物にAIを使う場合の扱いを決める
  • 契約や取引先の方針で、AIの利用が制限されていないかを確かめる
  • 必要に応じて、事前に説明して了承を得る

6．記録

  • 業務でAIを使ったときに、何を記録するかを決める（例：使ったツール、目的、日付）
  • うまくいった指示文（プロンプト）は共有フォルダに残し、チームの財産にする
  • 問題が起きたときに、何を入力して何が出たのかをたどれるようにする

記録は、ルールを守らせるためというより、良い使い方を共有するための仕組みと考えると続きやすくなります。

7．見直し時期

  • 3ヶ月ごとなど、見直す時期と担当者を決める
  • 新しいツールを使いたいときの相談窓口を決める
  • 公的なガイドラインの改訂も、見直しのきっかけにする（例：「AI事業者ガイドライン」は2026年3月31日に第1.2版が公表されています）

「禁止型」と「許可型」ルールの違い

生成AIのルールには、大きく分けて2つの考え方があります。

比べる観点禁止型許可型
考え方原則として禁止し、許可されたことだけ使える原則として使ってよい。ただし、やってはいけないことを明確にする
良いところ情報管理のリスクを抑えやすい現場で活用が進みやすく、工夫が共有されやすい
起きやすいこと使える場面が少なく、会社が把握していない個人利用が増えやすい線引きがあいまいだと、判断に迷う場面が出る
向いている会社機密情報を多く扱い、業務を細かく管理する必要がある会社少人数で幅広い業務をこなし、活用で生産性を上げたい会社

中小企業には、「許可型」をベースに、入力してはいけない情報（赤）をはっきりさせる形をおすすめしています。
禁止を厳しくしすぎると、会社が把握していない使い方（いわゆるシャドーAI）が増え、かえってリスクが見えにくくなるからです。

1枚にまとめるルールのひな形

以下は、中小企業がすぐに使い始められるよう、最小限の内容にまとめたひな形です。
会社名や使うツール、担当者を書き換え、自社の業務に合わせて修正してください。

◯◯株式会社　生成AI利用ルール（第1版　20XX年◯月◯日）
  1. 目的
    　このルールは、生成AIを業務で安全に活用し、仕事の質と効率を高めるために定めます。
  2. 使ってよいツール
    　業務で使えるのは、会社が指定したツール（◯◯、△△）と、会社が用意したアカウントのみとします。入力内容が学習に使われない設定であることを、管理担当が確認します。
  3. 入力してはいけない情報
    　次の情報は入力しません。お客様・取引先・従業員の個人情報（氏名、連絡先、評価など）お客様から預かった資料、契約の内容、見積もりの原本未発表の商品・サービス・経営に関する情報パスワード、ログイン情報などの認証情報
  4. 加工してから入力する情報
    　社内資料や案件の内容を入力するときは、会社名・氏名・金額などを伏せてから入力します（例：「A社」「◯◯万円」）。
  5. 出力の確認
    　社外に出す文章・画像・資料は、公開・送信の前に担当者が「事実」「表現」「権利」の3点を確認します。重要な文書は、もう1人が確認します。
  6. 著作権
    　他者の文章や画像を読み込ませて、それに似たものを作る使い方はしません。生成した文章や画像は、既存の作品に似ていないかを確認してから使います。
  7. お客様への説明
    　お客様から預かった情報をAIで扱う場合や、お客様への成果物にAIを使う場合は、必要に応じて事前に説明し、了承を得ます。
  8. 記録と共有
    　業務でAIを使ったときは、使ったツール・目的・日付を◯◯（記録用の表など）に記録します。うまくいった指示文（プロンプト）は、◯◯（共有フォルダ）に残し、社内で共有します。
  9. 困ったとき
    　入力してはいけない情報を誤って入力した場合や、判断に迷う場合は、すぐに◯◯（担当者）に相談します。早めに報告したことを理由に、不利益な扱いをすることはありません。
  10. 見直し
    　このルールは、3ヶ月ごとに◯◯（担当者）が見直します。新しいツールを使いたい場合は、◯◯に相談してください。

社員への伝え方と、最初の30日の運用

伝え方の3つのコツ

  • 禁止の理由を説明する：なぜ赤の情報を入れてはいけないのかが分かると、ルールが「自分ごと」になります。
  • 自社の業務の例で見せる：青・黄・赤の例を、自社の実際の業務で示すと、判断の迷いが減ります。
  • 相談窓口を1つにする：迷ったときに誰に聞けばよいかが決まっていると、自己判断で進める人が減ります。

最初の30日の運用

時期やることポイント
1日目30分の説明会でルールを共有する1枚のルールを配り、青・黄・赤の例を自社の業務で説明する
1週目使っている場面を集める誰が何に使っているかを、気軽に共有してもらう
2週目迷ったケースを集めて、Q&Aにする「この情報は黄？赤？」といった質問をまとめて答える
4週目振り返り、第2版に更新するうまくいった使い方を共有し、足りないルールを追加する

最初から完璧なルールを目指すより、30日後に第2版をつくる前提で始めるほうが、現場に合ったルールになります。

参考にできるガイドライン・公的資料

ルールをつくるときや見直すときに参考になる資料です。改訂されることがあるため、見直しの時期に最新版を確かめてください。

資料公表元・時期どんなときに役立つか
AI事業者ガイドライン経済産業省・総務省（第1.2版：2026年3月31日）AIを開発・提供・利用する事業者の考え方を確かめたいとき。利用する側の注意点も含まれる
生成AIの利用ガイドライン日本ディープラーニング協会（JDLA）（第1.1版：2023年10月、画像編：2024年2月）組織で使うルールのひな形を参照したいとき。条項のみの版と、簡単な解説付きの版がある
AIと著作権に関する考え方について／チェックリスト＆ガイダンス文化庁（2024年3月／2024年7月）生成物の使い方や、著作権の考え方を確かめたいとき
生成AIサービスの利用に関する注意喚起等について個人情報保護委員会（2023年6月）個人情報を含む内容を扱う場面の注意点を確かめたいとき
テキスト生成AIの導入・運用ガイドラインIPA 中核人材育成プログラム卒業プロジェクト（2024年7月）導入や運用の際のセキュリティリスクと対策を整理したいとき（IPAの公式見解ではなく、プロジェクトメンバーの見解に基づく資料）

よくある質問

無料版の生成AIは、禁止したほうがいいですか？

一律に禁止するより、会社として使うツールとアカウントを決め、業務ではそれを使うルールにするのがおすすめです。
無料版を認める場合は、学習に使われない設定にできるかを確かめ、設定したうえで、入力してよいのは青の情報だけ、のように範囲を絞りましょう。

社員が自分のスマートフォンで使うのは、問題ありますか？

会社の情報を扱う業務では、会社が用意したアカウントで使うルールにしておくと管理しやすくなります。
個人の端末やアカウントで業務の情報を扱うと、退職時などに、どこに何が残っているのか分からなくなるおそれがあるためです。

AIで作った文章や画像は、自由に使ってよいですか？

生成物が既存の作品に似ている場合は、著作権の問題になることがあります。文化庁の資料を参考に、公開前に確認する手順を決めておきましょう。判断に迷う場合は、専門家に相談してください。

就業規則に入れる必要はありますか？

まずは運用のルールとして始め、必要に応じて就業規則や情報管理の規程との関係を整理するのが現実的です。
懲戒などに関わる内容を定める場合は、社会保険労務士などの専門家に相談してください。

ルールを作ったら、かえって使われなくなりませんか？

禁止事項だけを並べると、その心配があります。
「使ってよいこと」を先に示し、具体的な例と相談窓口をセットにすると、安心して使えるルールになります。

まとめ

  • 社員が個人の判断で生成AIを使い始めている会社は少なくない。ルールがないことのリスクは、使い方が一人ひとりの判断に任されること
  • まず「使ってよいツールと設定」「入力してはいけない情報」「最後に確認する人」の3点を決める
  • 7項目（ツール・入力・確認・著作権・お客様への説明・記録・見直し）を1枚にまとめる
  • 中小企業には「許可型」をベースに、赤の情報をはっきりさせる形がおすすめ
  • 30日後に第2版をつくる前提で始め、3ヶ月ごとに見直す
ルールをつくったら、次は「使える仕組み」に

ルールは、AIを安心して使うための土台です。
その次の一歩として、DPDの「社外AI・Web戦略室 3ヶ月実装プログラム」では、会議整理・提案書作成・Web記事作成・採用発信・問い合わせ対応などから1つの業務を選び、3ヶ月で実務に定着する仕組みづくりを伴走します。

関連記事

※この記事は一般的な情報の提供を目的としたもので、法的な助言ではありません。具体的な判断が必要な場合は、弁護士・社会保険労務士などの専門家にご相談ください。

この記事を書いた人

松口 賢士（まつぐち けんじ）
Duo Partner Design合同会社　代表社員／Webコンサルタント・デザイナー
フリーランスのデザイナーとしてサインデザインに携わり、その後デザイン会社を経営しながら、さまざまな会社のブランディングを手伝ってきた。
100名規模の企業でブランディング事業部長を務めた時期には、複数の事業でWebやマーケティング、採用に関わり、多くのことを学んだ。
現在は「コンサルティングから始めるWeb制作」を掲げ、中小企業の経営とWebをつなぐ伴走支援を行っている。
専門学校や職業訓練校でWeb分野の講師も務める。

参考資料

TOPIC NEWS
よかったらシェアしてね！
  • URLをコピーしました！
  • URLをコピーしました！
目次