生成AIの社内利用ガイドラインの作り方
必須10項目のチェックリストと、第一版を作る6ステップ

01

生成AIの社内利用ガイドラインとは？中小企業にも必要な理由

ガイドラインは「使い方の線引き」

生成AIの社内利用ガイドラインは、社員が仕事で生成AIを使うときの決まりをまとめた文書です。決めるのは、使ってよいAI、入力してよい情報、出力の確かめ方、困ったときの相談先などです。就業規則や情報セキュリティの規程とのちがいは、AIの使い方に絞った運用ルールだという点です。

目的は、AIを禁止することではなく、社員が迷わず使える範囲を示すことです。

公的機関が示していること

IPAが公表した「情報セキュリティ10大脅威 2026」の組織向けでは、「AIの利用をめぐるサイバーリスク」が初めて選ばれ、3位に入りました［1］。この順位は、約250名の選考会が審議と投票で決めたものです。想定されているのは、意図しない情報漏えいや権利侵害、生成結果を確かめずに鵜呑みにすることによる問題などです［1］。

同じIPAの解説書は、会社が認めていないAIを社員が個人で業務に使う「シャドーAI」を取り上げています。持ち出しが禁止されている業務データをAIに入力すれば情報漏えいにつながること、職場が個人アカウントでの業務利用を把握できないこと自体もリスクだとしています［2］。対策としては「AIガバナンスおよびサービス利用規定の整備」や「個人アカウントにおける業務利用の制限」などを挙げています［2］。

総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」は、AIを業務で使う事業者を「AI利用者」と呼んでいます。そのうえで、個人情報や機密情報を不適切に入力しないよう注意することなどを求めています［3］。法的な拘束力のない「ソフトロー」ですが、自社のルールの土台になります［3］。

中小企業はまだ決めていない会社が多い

総務省の「令和7年版 情報通信白書」では、中小企業では生成AIの活用方針を「明確に定めていない」との回答が多く、約半数を占めるとされています［4］。また、IPAの調査では、生成AIの業務利用について何らかのルールを定めている割合は52.0%でした［5］。この調査の回答者は、情報システム、リスクマネジメント、サイバーセキュリティ、経営企画の部門や経営層など1,200人です［5］。

大事なのは、何を決めればよいかです。次の節から、準備と入れる項目を順に見ていきます。

02

作り始める前に決める3つ：担当・範囲・今ある規程

書き始める前に、次の3つを決めておきます。

決める人と相談窓口

最初に、3つの役割を決めます。最終的に承認する人（経営者や役員）、ガイドラインを作って持つ担当者、迷ったときに聞ける相談窓口です。中小企業では、担当者と窓口を同じ人が兼ねてもかまいません。IPAの解説書も、対策の1つに「トラブルの発生に備えた専門家、相談窓口の確保」を挙げています［2］。

誰に、どの業務に適用するか

次に、適用する人と業務の範囲を決めます。役員・正社員だけでなく、契約社員、派遣社員、業務委託先の扱いも決めておきます。IPAの人材育成プログラムの修了プロジェクトがまとめた手引書も、ガイドラインに書く事項として、まず「適用範囲・対象者」を挙げています［6］。なお、この手引書はIPAの意見を代表するものではなく著者の見解だと、手引書自身に書かれています［6］。

今ある規程とつなぐ

情報セキュリティの規程や秘密保持のルールがある会社は、それと矛盾しないようにします。規程がまだない会社は、IPAの「中小企業の情報セキュリティ対策ガイドライン 第4.0版」が土台になります。付録に「情報セキュリティ基本方針（サンプル）」や「情報セキュリティ関連規程（サンプル）」があります［7］。

同じガイドラインのコラムは、生成AIを使うときの注意点として、次の4つを挙げています［7］。

• 利用規約やプライバシーポリシーを事前に確認する
• 機密性の高い情報や個人情報などは入力しない
• 生成された成果物は必ず人間が確認し、正確性や法的リスクをチェックする
• 出力をそのまま使わず、補助的なツールとして使う

就業規則の変更や法的な判断が要る場合は、社会保険労務士や弁護士などの専門家に相談してください。いまの社内の守りを先に確かめておくと、どこから決めるかの順番をつけやすくなります。

社内の守りとAIの使い方を、先に確かめる

12問・約2分の無料セキュリティ診断で、社内の守りとAIの使い方を確認できます。ルールづくりの前の現状把握にお使いください。結果の受け取りには会社名と会社のメールアドレスが必要です。

無料でセキュリティ診断をはじめる

03

必須項目チェックリスト：ガイドラインに入れる10項目

最初から全部を厚く書く必要はありません。次の10項目の見出しがそろっていれば、第一版として使えます。各項目は1〜3行で十分です。

表の番号は、記事の最後にある出典の番号です。

書くときのコツは、次のとおりです。

• 項目5の「入力してよい情報」は、2つの軸で決めます。1つは「どのAIか」（会社が契約したAIか、個人の無料版か）、もう1つは「どんな情報か」（公開情報か、社外秘か、個人情報か）です。具体的な判定表は、記事の最後の資料にまとめています。
• 個人情報の扱いは、特に注意が要ります。個人情報保護委員会は、本人の同意なく個人データを含む指示を生成AIに入力し、それが回答の出力以外の目的（機械学習など）で扱われる場合、個人情報保護法に違反することとなる可能性があるとしています。事業者が機械学習に使わないことなどを十分に確認するよう求めています［9］。
• 入力した情報を学習に使うサービスに個人データを入れると、事業者に提供したことになり、原則として本人の同意が必要です［10］。一方、クラウドサービスについては、事業者が契約上その個人データを取り扱わないこととなっている場合、提供にあたらないという考え方が示されています［11］。どれに当たるかは契約の内容で変わるため、利用規約を確認し、迷ったら専門家に相談してください。
• 項目3と4について、IPAの解説書は、許可していないAIサービスの利用の禁止、個人アカウントでの業務利用の制限、入力データを学習の対象から外す設定（オプトアウト）の徹底、契約時の約款の確認を挙げています［2］。また、政府が省庁など向けに出した申し合わせでは、利用規約への同意だけで使える外部サービスでは原則として機密情報を扱わないとしています。機密情報を扱わない場合も、使ってよい業務の範囲を先に決めて承認する考え方です［8］。省庁など向けですが、民間でも参考になります。
• 項目7について、IPAの中小企業向けガイドラインは「生成された成果物は必ず人間が確認し、正確性や法的リスクをチェックする」としています［7］。生成AIは、事実と違う内容をもっともらしく出すこと（ハルシネーション）がある、という前提で決めます。
• 項目8について、文化庁は、AIを業務で使う人向けに、生成物を使う前に既存の著作物と似ていないか確かめることを示しています。生成に使ったプロンプト（AIへの指示文）などを確認できる状態にしておくことや、生成AIの利用に関する社内のルールを作ることも挙げています［12］。
• 10項目のうち、最初の版で必ず決めたいのは、適用範囲（2）、使ってよいAI（3）、アカウントと設定（4）、入力してよい情報（5）、出力の確認（7）、相談窓口（9）の6つです。残りは、運用しながら厚くしていけば足ります。これは公的な決まりではなく、当サイトの提案です。

04

生成AIガイドラインの作り方6ステップ

ここからは、実際に第一版を作るまでの順番です。6つのステップを上から順に進め、ステップ6まで来たら、必要に応じてステップ3に戻って見直します。

ステップ1：担当者と対象範囲を決める

前の節で見た、承認する人・担当者・相談窓口と、適用する範囲を決めます。最初から全員の合意を取る必要はなく、担当者が案を作れる状態にすることが目的です。

ステップ2：社内の利用状況を聞く

誰が、どのAIを、どの業務に、どんな情報を入れて使っているかを聞きます。責めるためではなく、把握して支援するための確認だと、先に伝えます。匿名のアンケートでもかまいません。

IPAの解説書は、職場が個人アカウントでの業務利用を把握できないこと自体をリスクとしています［2］。いま使われているAIと用途が分かれば、現場の実態に合ったルールにできます。たとえば、営業担当が個人の無料版で提案書の文章を整えていたと分かれば、会社として使えるAIを用意する必要があると判断できます（架空の例です）。

ステップ3：使ってよいAIと契約・設定を決める

会社として使ってよいAIを決めます。候補のサービスごとに、利用規約やプライバシーポリシーで、入力した情報が学習に使われるか、学習に使わせない設定があるかを確かめます［7］［9］。

同じ会社のサービスでも、個人向けと法人向けで入力データの扱いが違うことがあります。設定や条件は変わることもあるため、各社の公式の案内で確かめてください。決めたら、使ってよいAIの一覧と、一覧にないAIを使いたいときの申請の手順を、あわせて書きます。

ステップ4：入力してよい情報の線引きを決める

社内の情報を、いくつかの区分に分けます。たとえば、公開済みの情報、社内向けの情報、社外秘や取引先から預かった情報、個人情報、パスワードなどの認証情報、といった分け方です。そのうえで、情報の区分と使うAIの種類の組み合わせで、入力してよいかを決めます。

区分ごとの線引きは、担当者ひとりで決めず、承認する人と相談して決めます。迷う情報が出たときに誰に聞くかも、ここで決めておきます。情報の種類と使うAIの種類から、入力してよいかを○△×で見分ける判定表は、無料資料「生成AIの情報漏えい対策」にまとめています。

ステップ5：必須10項目で第一版を書き、説明して周知する

チェックリストの10項目を見出しにして、各項目を1〜3行で書きます。最初は短くてかまいません。条文の形のひな形は、記事の最後の資料で配布しています。

書けたら、短い説明会を開きます。入力してよい例といけない例を、架空の例で見せると伝わりやすくなります。出た質問をもとに、分かりにくい言い回しを直します。経営者や役員の承認を取るときは、社内提案書のひな形を使うと、決めてほしいことを整理しやすくなります。

ステップ6：運用しながら見直す

ガイドラインは、作って終わりではありません。見直しのきっかけは、新しいAIサービスを入れるとき、ヒヤリとした事例や相談が出たとき、公的な資料が改訂されたときです。たとえばAI事業者ガイドラインは、2024年4月の第1.0版から改訂が続き、2026年3月31日に第1.2版が公表されています［3］。

定期の見直しは、半年〜1年に1回を目安にするとよいでしょう。これは公的な基準ではなく、当サイトの提案です。IPAの人材育成プログラムの手引書も、網羅的なガイドラインを一度に作ろうとすると時間がかかるため、最低限の内容から始めて更新していく運用が現実的だとしています［6］。

ルールが決まったら、次は最初にAIを試す業務を決めます。業務の棚卸しから最初の1業務を選ぶ進め方は、AI導入は何から始める？で紹介しています。

ルールの次は、安全に試せる業務を決める

23問・約5分の無料AI活用診断で、AIを最初に試す業務の候補が分かります。結果の表示の前に、メールアドレス・会社名・お名前の入力があります。

無料でAI活用診断をはじめる

05

よくある失敗と避け方

つまずきやすい点と、避け方です。

• 全面禁止にする。禁止すると、会社に隠れて使われ、かえって把握できなくなることがあります。IPAの人材育成プログラムの手引書は、過度に厳格なルールはシャドーAIを増やし、かえってリスクを高める可能性があるとしています。そのうえで、禁止一辺倒ではなく、代わりの手段とセットで決めることを勧めています［6］。IPAの解説書も、職場でAIサービスを用意していない場合などに、社員が個人で使うAIを業務に使うことがあるとしています［2］。

• 長い文書を作って、配って終わる。長い文書は読まれにくく、守られません。10項目の短い第一版と、短い説明会で伝えます。
• 既存の規程と食い違う。社員がどちらに従えばよいか迷います。情報セキュリティの規程や秘密保持のルールと突き合わせてから出します。
• 相談先が決まっていない。迷った社員が自己判断してしまいます。相談窓口を1か所に決め、全員に伝えます。
• 法的な判断を担当者だけで抱える。担当者が判断に迷い、ルールが決まりません。個人情報、契約、就業規則にかかわる点は、専門家に確認します。

社員が個人でAIを使う「シャドーAI」への詳しい対策は、別の記事で扱う予定です。

06

参考にしたい公的な資料と使い分け

社内で「なぜこのルールか」を説明するときは、次の資料が使えます（2026年11月2日時点）。

このほか、IPAの産業サイバーセキュリティセンターの中核人材育成プログラムの修了プロジェクトがまとめた「生成AIおよびAIエージェントを安全に活用するための手引書」（2026年7月）も、ガイドラインに書く事項の整理に役立ちます［6］。ただし、この手引書は、IPAと産業サイバーセキュリティセンターの意見を代表するものではなく著者の見解である、と手引書自身に書かれています［6］。自社の規模に合う部分を選んで使ってください。

07

よくある質問

生成AIの社内ガイドラインには何を書けばいいですか？

目的、適用範囲、使ってよいAI、アカウントと設定、入力してよい情報、使ってよい業務、出力の確認、著作権と記録、困ったときの対応、教育と見直しの10項目がそろえば、第一版として使えます。各項目は、自社の言葉で1〜3行ずつ書けば足ります［2］［6］。

中小企業でもガイドラインは必要ですか？

必要です。総務省の情報通信白書では、中小企業の約半数が生成AIの活用方針を明確に定めていないとされています［4］。社員が個人のアカウントでAIを業務に使うと、会社がその利用を把握できないこと自体がリスクになると、IPAは指摘しています［2］。

生成AIは全面禁止にしたほうが安全ですか？

全面禁止にすると、会社に隠れて使われ、かえって把握しにくくなることがあります。IPAの人材育成プログラムの手引書は、厳しすぎるルールはシャドーAIを増やす可能性があるとして、禁止だけでなく使ってよい手段とセットで決めることを勧めています［6］［2］。

個人情報を生成AIに入力してもよいですか？

個人情報保護委員会は、本人の同意なく個人データを入力し、それが回答の出力以外の目的（機械学習など）で扱われる場合、個人情報保護法に違反することとなる可能性があると注意を呼びかけています［9］。入力する前に、利用目的の範囲内か、サービスの事業者がそのデータを学習に使わないかを、契約や利用規約で確認してください［10］［11］。判断に迷う場合は、専門家に相談します。

社員が個人で契約したAIや無料版を仕事に使ってもよいですか？

会社として認めるかどうかを、ガイドラインで決めておきます。IPAは対策として、個人アカウントでの業務利用の制限や、入力データを学習に使わせない設定の徹底を挙げています［2］。サービスごとの設定は、各社の公式の案内で確認してください。

国が出している生成AIのガイドラインはありますか？

総務省・経済産業省の「AI事業者ガイドライン」があり、2026年3月31日に第1.2版が公表されています［3］。AIを業務で使う事業者（AI利用者）向けの項目やチェックリストもあり、法的な拘束力のない指針として参考になります。

AIで作った文章や画像を社外に出すとき、何に気を付ければいいですか？

事実や数字を元の資料で確かめ、既存の作品と似ていないかを確認してから使います［7］［12］。文化庁は、生成に使ったプロンプトなどを確認できる状態にしておくことや、生成AIの利用に関する社内のルールを作ることも示しています［12］。

ガイドラインはどのくらいの頻度で見直せばいいですか？

公的に決まった頻度はありません。当サイトでは、半年〜1年に1回の定期の見直しに加え、新しいAIサービスを入れるとき、ヒヤリとした事例が出たとき、公的なガイドラインが改訂されたときに見直すことをおすすめしています。最低限の内容から始めて更新していく運用が現実的だとする手引書もあります［6］。

08

まとめ

生成AIの社内利用ガイドラインは、次の6ステップで作ります。

1. 担当者と対象範囲を決める
2. 社内の利用状況を聞く
3. 使ってよいAIと契約・設定を決める
4. 入力してよい情報の線引きを決める
5. 必須10項目で第一版を書き、説明して周知する
6. 運用しながら見直す

今日やることは1つです。この記事の10項目を紙に書き出し、自社ですでに決まっているもの、まだ決まっていないものに印を付けてください。決まっていない項目が、第一版で最初に決めることです。

条文の形にするときは、下の無料資料のひな形と判定表を使えます。

無料の個別相談

どこから試すか決めきれないときは、ご相談内容をもとに御社専用のAI導入ロードマップをお作りします。申込みは2ステップです。

無料で個別相談を申し込む