生成AIの社内ルール（活用ガイドライン）の作り方：禁止より「使い方」を決める

「生成AIの社内ルールを作ってほしい」。推進担当になると、早い段階でこう頼まれます。参考になりそうな資料を集めて、守るべきことを書き出していくと、気づけば「〜しないこと」がずらりと並んだ文書ができあがっています。

禁止事項が中心のルールが利用を止めてしまうことは、社員が生成AIを使わない5つの理由の理由4で取り上げました。ここでは、ガイドラインを実際に作る側に立ち、「何を、どの順番で決めるか」を具体的に整理します。

この記事で答える問い

• 国のガイドラインがあるのに、なぜ社内ガイドラインが要るのか
• 禁止ではなく「使い方」を決めるガイドラインは、どう組み立てるのか（信号機の整理と7つの項目）
• 作った後、穴をどう見つけて直していくのか

生成AIの社内ルールは、国の指針を自社の言葉に直したもの

社内ルールの仕事は、国の指針を書き写すことではなく、「この資料をこのツールに貼ってよいか」に自社の言葉で答えることです。

国のガイドラインが示しているもの

日本では、総務省と経済産業省が「AI事業者ガイドライン」を公表しています。2024年4月に第1.0版が出て、その後も改訂が続いています。このガイドラインは、AIに関わる事業者を「AI開発者」「AI提供者」「AI利用者」の3つに分けて、それぞれが取り組むことを示しています。生成AIのサービスを契約して業務で使う会社の多くは、このうち「AI利用者」にあたります。

法律のような強制力はなく、技術の変化に合わせて見直していく前提の文書です。考え方の土台としては頼りになりますが、「この資料をこのツールに貼ってよいか」という日々の判断には、そのままでは使えません。社内ガイドラインの役割は、この土台を自社の業務、自社のツール、自社の言葉に置き換えることです。

あわせて見ておきたい資料

• ひな形：日本ディープラーニング協会（JDLA）が「生成AIの利用ガイドライン」のひな形を無償で公開しています。項目の抜けを確かめるのに使えます
• 個人情報：個人情報保護委員会が2023年6月に、生成AIサービスの利用について注意喚起を出しています。個人情報を入力するときに確かめる点が書かれています
• 著作権：文化審議会著作権分科会の法制度小委員会が2024年3月に「AIと著作権に関する考え方について」をまとめ、文化庁が公表しています

どれも、最新の版を発行元のサイトで確かめてから使ってください。

禁止型と活用型は、何が違うのか

この記事では、禁止事項を中心に書かれたガイドラインを「禁止型」、守る線と使い方の両方を書いたものを「活用型」と呼びます。

活用型は、リスクを軽く見る考え方ではありません。守る線をはっきりさせるからこそ、その内側では迷わず使える、という順番です。

整理の道具1：使い方を信号機の3色で分ける

この記事では、使い方を赤・黄・青の3色で分けて示すことをすすめます。社員がガイドラインを開くのは、条文を読みたいからではなく、目の前の使い方が許されるかを知りたいからです。国のガイドラインやひな形がこの分け方を求めているわけではなく、判断を速くするためにこのブログで使っている整理です。

黄の条件は、「誰が承認するか」ではなく「使う人が何を確かめるか」で書きます。承認を条件にすると、件数が増えたときに承認する人が詰まり、黄が事実上の赤になりがちです。確かめる点が決まっていれば、使う人がその場で判断できます。

整理の道具2：ガイドラインに盛り込む7つの項目

ガイドラインに盛り込む項目は、目的と基本姿勢、対象とツール、入力してよい情報、出力の扱い、すすめる使い方、相談先と報告、見直しのルールの7つです。項目の分け方も、このブログでの整理です。JDLAのひな形などと見比べて、自社に足りないものを探すときの目安にしてください。

1. 目的と基本姿勢：なぜ生成AIを使うのか。会社として活用をすすめていることを最初に書く
2. 対象とツール：誰が、どのツールを使ってよいか。社員だけでなく、業務を担う委託先などを含めるかも決める
3. 入力してよい情報：公開情報、社内情報、機密情報、個人情報などの区分ごとに、使えるツールを示す
4. 出力の扱い：事実の確かめ方、著作権への配慮、社外に出す前に確かめる点
5. すすめる使い方：業務ごとの使いどころと、指示の書き方の例
6. 相談先と報告：迷ったときの相談先と、誤って入力したときなどの報告の手順
7. 見直しのルール：見直しの間隔、担当、質問の受け付け方

禁止型のガイドラインは、3と4だけでできていることがよくあります。1、5、6が加わると、読んだ人は「使ってよいのだ」と受け止め、困ったときに次の行動がとれます。

2の「ツール」は、サービス名の一覧だけで決めないようにします。すでに使っている会議ツールや文書作成ソフトに、後から要約や文章生成の機能が加わることがあるからです。「社内の情報をAIの機能に渡す使い方」を対象と書いておき、使ってよいツールの一覧は別表にして更新するほうが、穴があきにくくなります。

ブラウザやパソコンの画面をAIに操作させる機能も、こうして後から加わるものの一つです。AIが読んだページの文章を指示と取り違える危険があるため、このルールに数行を足しておくと安心です。足す文例はプロンプトインジェクションとは？画面を操作するAIを社内で使う前に、推進担当が決める線引きにまとめました。

ガイドラインの「すき間」が見えた例

すき間は、書いた人が想定していなかった所に出ます。後から加わった機能、慎重すぎた線、届いていなかった人の3つです。

例1：対象をサービス名で書いたら、後から加わったAI機能が抜けた

チャット型の生成AIを全社で使い始める際、ガイドラインの対象を「会社が契約したチャット型AIサービス」と書いた例です。数か月後、以前から使っていた会議ツールや文書作成ソフトに、要約や文章生成の機能が加わりました。現場からは「これも対象なのか」という問い合わせが続き、部署ごとに判断が分かれました。当初は、対象はサービス名で書けば十分だと考えていました。対象を使い方で書き直し、ツールの一覧は別表にする形に改めると、問い合わせは少し落ち着いてきました。

例2：「黄」が多すぎて、事実上の禁止になった

法務の担当者と相談しながら線を引いた結果、社外に出る文章はすべて「黄（上長の承認が必要）」に入りました。営業の担当者は、取引先へのメール1通の下書きにも承認を求めることになり、使う人は減っていきました。慎重に線を引くほど安心して使ってもらえる、と信じていました。見直しで黄の条件を「送る前に確かめる3つの点」に書き換え、承認は契約や価格に関わる文書だけに残すと、何人かがまた使い始めました。

例3：業務委託のスタッフに、ガイドラインが届いていなかった

ECサイトの商品ページを担当するチームで、生成AIを使って商品説明文の下書きを作る運用を始めたときのことです。ガイドラインは社員向けのポータルにだけ載せていました。同じ業務を担う業務委託のスタッフはその存在を知らず、自分たちで選んだ翻訳サービスに、発売前の商品の仕様書を貼り付けていました。社内の点検で分かったことですが、「載せれば届く」と考えて、届け方まで気を回していませんでした。委託先の責任者との説明の場を設け、ガイドラインの対象に委託先を含めるかを、契約とあわせて整理し始めました。

ガイドラインを作る7つのステップ

作る順番の要は、公開の前に判定テストを挟み、公開と同時に見直す日を決めておくところにあります。

1. 作る顔ぶれを決める：推進担当に加え、法務、情報システム、人事、現場の代表者に入ってもらいます。現場の代表者がいないと、実際の業務で判定できない文書になりやすくなります。関係部署の洗い出しにはステークホルダー分析が使えます。
2. 使ってよいツールを決める：契約の条件、入力したデータが学習に使われるかどうか、管理者が設定できる範囲を確かめ、認めるツールを決めます。
3. 情報の区分ごとに線を引く：社内の情報の区分に合わせて、赤・黄・青を決めます。黄の条件は、確かめる点で書きます。
4. すすめる使い方を集める：すでに使っている人から、うまくいった使い方を聞き、業務ごとの例として載せます。
5. 早見表と本文の二層にする：日々の判断は1枚の早見表で、細かい条件は本文で確かめられるようにします。
6. 想定場面で判定テストをする：よくありそうな場面を10件ほど書き出し、ガイドラインだけで判定できるかを試します。判定できなかった場面が、書き足す候補です。
7. 周知し、見直す日を先に決める：説明の場と質問の窓口を用意し、集まった質問をもとに見直す日を、公開する時点で決めておきます。

ガイドラインは、ADKARモデルでいえば「知識（Knowledge）」、つまり「どうやって変わればよいかを知っている」状態を支える道具です。ガイドラインだけで使う人が増えるわけではないので、研修や社内での事例共有と組み合わせて使います。組み合わせ方はAI導入をADKARで設計するの記事で整理しています。

ルールを公開したあと、自分で契約したAIを仕事に使っている人がいると分かることがあります。その使い方を止めるか、会社のツールに移してもらうかの決め方は、シャドーAIは禁止か、正規化かで整理しています。

ガイドラインと一緒に、「AIリテラシー研修は法律で義務になったので、全員に受けさせてほしい」と頼まれることもあります。法律が実際に求めていることと、役割ごとに研修の中身を決める考え方は、AIリテラシーは義務？EU AI法とAI推進法から、推進担当が決める研修の中身で整理しています。

作ったルールを一度きりにせず、見直し続ける仕組みにしたいときは、AIマネジメントシステムの国際規格ISO/IEC 42001が枠の参考になります。規格を入れても現場が変わらないときに何が起きているかは、ISO/IEC 42001を入れても現場が変わらないのはなぜ？で整理しています。

AI活用のポイント：想定場面でガイドラインを判定テストする

生成AIには判定そのものより、「本文のどの一文で判定したか」を言わせます。根拠の一文を示せない場面こそ、ガイドラインの穴です。ステップ6の判定テストは、ガイドラインの本文と場面のリストを渡し、本文だけを根拠に判定させると手早くできます。社名や固有名詞は伏せてから入力してください。

以下は、社内の生成AI活用ガイドラインの本文です。
[本文を貼り付け（社名や固有名詞は伏せる）]
このガイドラインだけを根拠に、次の場面を判定してください。
場面1：[例：取引先から届いた見積書の内容を要約する]
場面2：[例：社内会議の録音を、会議ツールの要約機能でまとめる]
場面3：[例：業務委託のスタッフが、商品説明文の下書きに使う]
（場面は10件ほど用意します）
場面ごとに、次の形式で答えてください。
・判定：赤／黄／青／判定できない
・根拠：本文のどの一文から判断したか
・読み手によって解釈が分かれそうな言葉
最後に、「判定できない」になった場面について、本文に足すべき一文の案を出してください。
本文に書かれていないことを推測で補った場合は、その判定に「推測」と書いてください。

「判定できない」や「推測」が付いた場面が、改訂の候補です。書き足す内容は、法務などの担当部署と確かめてから決めます。AIの判定が本文の意図とずれていたら、その一文は人が読んでも誤解されやすいと考えて、言い回しを直します。

そのまま使える社内ルールのひな形（短縮版）

ここまでの信号機の3色と7つの項目を、1枚にまとめたひな形です。［　］の部分を、自社の内容に置き換えて使ってください。そのまま貼り付けるのではなく、自社の規程や情報の区分に合わせて調整し、公開する前に法務や情報セキュリティの担当者に確認してもらってください。

生成AIの利用ルール（［会社名］・短縮版）
1. 目的：当社は、業務の質と速さを高めるために、生成AIの活用をすすめます。
2. 対象：社員と、当社の業務を担う［委託先などの範囲］。社内の情報をAIの機能に渡す使い方は、すべて対象です。
3. 使ってよいツール：別表のとおりです。別表は［担当部署］が更新します。
4. 入力してよい情報：公開情報、社内情報、機密情報、個人情報の区分ごとに、使えるツールを別表で示します。
5. 赤（してはいけない）：会社が認めていないサービスに、個人情報や取引先の機密情報を入力すること。事実を確かめていない出力を、そのまま社外に出すこと。
6. 黄（条件つきでよい）：社外向けの文章の下書き。送る前に［確かめる点1］［確かめる点2］［確かめる点3］を確かめます。
7. 黄（条件つきでよい）：他者の著作物をもとにした文章や画像の生成。［確かめる点］を確かめてから使います。
8. 青（すすめる使い方）：認めたツールでの、社内文書の要約や校正、アイデア出し、会議メモの整理。
9. 出力の扱い：事実を確かめ、著作権に配慮してから使います。
10. 相談先：迷ったときは［相談窓口］に聞いてください。
11. 報告：誤って入力したときは、すぐに［報告先］へ知らせてください。
12. 見直し：［見直しの間隔］ごとに［担当］が見直します。質問は［受付窓口］で受け付けます。

チェックリスト：判断に使えるガイドラインになっているか

• 冒頭に、会社として生成AIの活用をすすめていることが書かれている
• 対象がサービス名ではなく使い方で書かれ、ツールの一覧は別表で更新できる
• 委託先など、社員以外で業務を担う人の扱いが決まっている
• 情報の区分ごとに、入力してよいかが具体例つきで示されている
• 黄の条件が、承認者ではなく「確かめる点」で書かれている
• 禁止事項だけでなく、すすめる使い方の例が載っている
• 迷ったときの相談先と、誤って入力したときの報告の手順がある
• 想定場面での判定テストをして、次に見直す日が決まっている

まとめ

• 社内ガイドラインは、国の指針を自社の業務とツールの言葉に置き換え、社員がその場で判断できるようにするものです
• 越えてはいけない線は少なくはっきり書き、それ以外はすすめる使い方を具体例で示します。黄の条件は確かめる点で書きます
• 対象の範囲と判定のしやすさにすき間が出やすいので、想定場面で判定テストをして、判定できなかった所から書き足します

「〜しないこと」が並んだ文書は、読んだ人に「使わないのがいちばん安全」と伝えてしまいます。ガイドラインの出来は条文の数ではなく、迷った社員がどれだけ早く答えにたどり着けるかで決まります。

関連記事

• 社員が生成AIを使わない5つの理由と、チェンジマネジメントの処方箋
• AI導入をADKARで設計する：現場が使い続けるまでのステップ
• ステークホルダー分析とは？変革の関係者マップを作る手順と例
• チェンジマネジメントとは？組織変革を成功させる基本と進め方【実務ガイド】

参照情報

• 総務省・経済産業省「AI事業者ガイドライン」第1.0版、2024年4月（その後、第1.1版 2025年3月、第1.2版 2026年3月と改訂。最新版は両省のサイトで確認してください）
• 一般社団法人日本ディープラーニング協会（JDLA）「生成AIの利用ガイドライン」2023年5月公開
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」2023年6月
• 文化審議会著作権分科会法制度小委員会「AIと著作権に関する考え方について」2024年3月（文化庁サイトに掲載）