生成AIの社内ルールの作り方｜利用ガイドラインのひな形と運用例

2026-10-22

生成AIの社内ルールは、禁止事項だけを並べるより、「どの環境で、何を入力し、誰が結果を確認するか」を一枚で判断できる形にすると使いやすくなります。最初から全社の全業務を対象にせず、許可する用途を限定して運用し、現場の質問を基に見直します。

この記事のひな形は社内検討用です。自社の情報管理規程、顧客との契約、利用する製品の条件に合わせ、責任者が承認してから適用してください。

最初に決める四つのこと

「有料版なら何でも入力可」というルールは避けます。学習への利用、保存、第三者との共有、管理機能はそれぞれ別に確認する事項です。

コピーして調整できる利用ガイドラインの骨子

以下は記入欄を含むひな形です。空欄を埋めて責任者が承認するまでは、会社の正式な規程として配布しません。

1. 目的と対象者：本ルールは［対象部署・雇用形態］が［対象業務］で生成AIを使う場合に適用する。
2. 承認済み環境：利用できる製品・プラン・アカウントは［管理台帳］に記録し、追加は［責任者］が判断する。
3. 入力範囲：公開情報と利用許諾を確認した資料を基本とし、顧客情報・個人情報・未公開情報は［確認手続き］を経る。パスワードや秘密鍵は入力しない。
4. 出力確認：数値、固有名詞、引用元、条件を原資料と照合する。契約・会計などの判断は担当部門が行う。
5. 外部送信：対外資料は［承認者］の確認後に送付する。自動送信や本番データ更新は別途承認を必要とする。
6. 保存と共有：入力資料・生成物・操作履歴の保存先と保存期間を［管理台帳］に記録する。
7. 事故時の対応：誤入力・誤送信に気づいたら利用を止め、［連絡先］へ日時・対象環境・情報の種類を報告する。被害がないと自己判断しない。
8. 見直し：管理者は［見直し時期］に利用状況と製品条件の変更を確認し、改訂内容を周知する。

編集用の社内ルールひな形をダウンロードして、会議で記入できます。

例外申請は「データ・目的・期間」で判断する

たとえば社外秘の提案書を要約したい場合は、資料の所有者、契約上の制約、使う環境、利用目的、保存期間を申請に含めます。許可の判断と、単にアカウントを発行する手続きは分けます。名前を消しても、案件名や取引額の組み合わせで特定できる場合があるため、匿名化だけで一律に許可しないことも大切です。

配布して終わらせない運用

周知会では「公開された会社案内」「顧客との未公開契約書」「架空の商談メモ」の三例を使い、入力してよいかを参加者に判断してもらいます。正解を暗記するより、迷った場合の相談経路を説明できる状態を目指します。

問い合わせの多い項目は翌月に追記します。製品名だけでなくプラン、アカウント区分、確認日も管理すると、条件変更による見落としを減らせます。

よくある質問

全面禁止から始めるべきですか？

一律には決まりません。会社の条件に合う範囲を明示し、公開情報や架空データで試せる業務を用意する方法もあります。禁止事項と同時に「利用できる例」を示してください。

このひな形だけで法令や契約への対応は完了しますか？

完了しません。情報の種類、業種、顧客契約で必要な対応が変わります。法務・情報管理の担当者による確認と、実際の設定確認を組み合わせます。

ZETTAiに相談する前に

現在の社内規程、扱う情報の種類、承認が必要な操作を持ち寄ると、利用ルールの見直し点を整理しやすくなります。ZETTAiの法人向けAI研修について、ルールの周知と演習をどう結び付けるか相談できます。個別の支援範囲はご相談時に確認します。

あわせて読みたい記事

• 生成AIに入力してはいけない情報は？業務データの判断基準と対処
• 生成AIが社内に定着しない原因は？利用状況別の改善手順

参考資料

• IPA：AI利用者のためのセキュリティ豆知識

参考資料の確認日：2026年10月22日。ひな形は、自社で利用するサービス、情報区分、承認体制に合わせて更新してください。