生成AIの社内ルール（ガイドライン）ひな形｜10か条を全文公開

AI活用コンサルタントのナオキです。中小企業の皆さんや個人事業主の方々へ、AIを使った業務効率化のお手伝いをしています。

この記事を読まれている経営者の方の中に、「自分では使えている。ただ、社員に任せるとなると、どこまで使わせていいのか迷う」――そんな場面に遭遇したことはありませんか？

迷いの原因は知識不足ではなく、会社としての線引きがまだ文章になっていないことです。そこで本記事では、そのまま使える生成AI利用ルールのひな形を全文公開し、条文に込めた意図もあわせて解説します。社名を入れ替えれば、今日から使える内容ですのでぜひご活用ください。

ルールがない状態で、何が起きているか

生成AIのトラブルの多くは、悪意からではなく「知らなかった」から起きるもの。これは10社以上を支援してきた私の実感でもあります。例えばOpenAIの公式ヘルプには、個人向けのChatGPTでは入力した内容がAIの学習（モデルの改善）に使われることがある、と明記されています。設定でオフにできますが、その事実自体を知らない方も珍しくないでしょう。法人向けのChatGPT BusinessやEnterprise、APIが初期設定では入力内容を学習に使わないのとは、扱いが異なります（いずれも2026年7月15日時点。最新の条件は公式サイトで必ずご確認ください）。

行政の動きも見逃せません。個人情報保護委員会（個人情報の扱いを監督する国の機関）が生成AIサービスの利用に関する注意喚起を2023年6月2日に公表しています。その中で、個人情報を入力する際は、利用目的の達成に必要な範囲内かを確認するよう利用する側にも求めています。つまり、「うっかり入力した社員が悪い」ではすまされない、会社の管理が問われる領域だということを覚えておいてください。

生成AI利用ルールのひな形（全文公開）

ここからは、実際に社内で生成AIの利用ルールを作成するときのひな形をご紹介します。

10か条ありますが、A4・1枚に収まる分量に抑えてあります。禁止一辺倒にせず、第1条を「活用の促進」から書き始めているのがポイント。取り締まるためではなく、安心して使ってもらうためのルールとして活用してください。

―――――――――――――――

生成AI利用ルール（株式会社◯◯　◯年◯月◯日制定）

第1条（目的）　本ルールは、情報漏洩・権利侵害・誤情報という生成AI利用の3つのリスクを防ぎ、業務での安全な活用を促進することを目的とする。

第2条（適用範囲）　役員、正社員、パート・アルバイト、業務委託など、当社の業務に従事するすべての者に適用する。

第3条（利用するサービス）　業務には、会社が指定した生成AIサービスとアカウントのみを使用する。私用アカウントでの業務利用、会社が認めていないサービスの業務利用は行わない。

第4条（入力してはいけない情報）　次の情報は入力しない。（1）顧客・取引先・従業員・採用応募者の個人情報、（2）秘密保持契約の対象となる情報や取引先から預かった情報、（3）未公開の財務・技術・営業情報、（4）ID・パスワードなどの認証情報。

第5条（学習させない設定）　入力内容がAIの学習に使われない設定、または学習に使われないプランで利用する。設定の確認は利用者任せにせず、管理者が行う。

第6条（出力の確認と責任）　AIの出力は誤りを含むことがある。数字・固有名詞・法令や契約に関わる内容は、必ず元の資料や公式情報で確認する。成果物の最終責任はAIではなく、利用した本人と会社にある。

第7条（著作権・商標への配慮）　特定の作家・企業の作風を意図的に模倣させる指示はしない。他社の著作物や商標に似た出力は、そのまま使用しない。

第8条（社外に出す成果物）　社外向けの文章・画像・資料の作成に利用した場合は、送付・公開の前に責任者の確認を受ける。

第9条（報告と免責）　入力してはいけない情報を誤って入力した場合は、速やかに◯◯（例：総務担当、社長）へ報告する。報告した者を、報告を理由に不利益に扱わない。

第10条（教育と見直し）　会社は利用方法を学ぶ機会を設ける。本ルールは四半期に1回見直し、実態に合わない条文は改定する。

―――――――――――――――

生成AIルールの条文に込めた意図

条文だけ配っても、ルールは機能しません。運用する側が「なぜこの条文があるのか」を自分の言葉で語れるかどうかが分かれ目です。特に重要な3つの条文について、意図を説明します。

まず第4条。私が現場で最も危ないと感じるのは、自社の情報より「取引先から預かった情報」の扱いです。自社の情報なら漏れても自社の損失で済みますが、預かり情報は相手の信用まで巻き込みます。秘密保持契約を結んでいる場合、AIへの入力自体が契約違反と評価されるおそれもあるため、ここはよく社員と確認するようにしましょう。

次に第6条。これは「AIが間違えたので」という言い訳を、組織として認めないと宣言するための条文です。責任の所在が曖昧なままでは、出力の確認作業はどうしても形骸化しがちです。最終責任は人にあると先に決めておくからこそ、確認の手間が省かれなくなります。

そして第9条。情報漏洩が深刻化する最大の原因は、入力ミスそのものではなく「言い出せずに隠すこと」にあります。報告した人を責めないと明文化しておけば、問題が小さいうちに表に出るようになるはず。この条文は、必ず明記するように心がけましょう。

今日から活用！まずやる一歩

まずはひな形をコピーし、社名・指定サービス名・報告先の3か所だけ埋めて印刷してください。完璧を目指すより、暫定版として配り、四半期ごとに直していく方が実態に合っておりおすすめです。配るときには「これは禁止のためではなく、安心して使ってもらうためのルール」と添えると、受け取る社員側の姿勢は大きく変わるでしょう。

ナオキの所感

研修の現場では、ルールを先に示した会社ほど、社員の質問が「使っていいのか」から「どう使えばうまくいくか」へ早く切り替わると感じています。ルールは制限ではなく、挑戦してよい範囲を示す地図のようなものです。また、法人向けプランが学習に使わない扱いを標準にするなど、ツール側の安全性は着実に上がっていますが、何を入力してよいか・出力をどう確かめるかという運用の判断まで肩代わりしてくれるわけではありません。A4・1枚でも自社の言葉で書かれたルールを持つ会社とそうでない会社では、半年後の活用の深さに差がつくと私は感じています。

まとめ

今回は、生成AIを社内でどのように活用していくのか、ルールについてわかりやすく解説しました。生成AIの社内ルールは、今回のひな形のように10か条・A4・1枚から始められます。柱になるのは、入力してはいけない情報を具体的に挙げること、最終責任は人にあると明記すること、そして報告した人を責めないことです。個人情報保護委員会の注意喚起が示すとおり、個人情報の扱いは会社の管理責任が問われる領域です。まず暫定版を配り、実態に合わせて育てていくことから始めてみてください。

参考：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（2026年7月15日時点）

参考：OpenAI「How your data is used to improve model performance」（2026年7月15日時点）

参考：OpenAI「Data Controls FAQ」（2026年7月15日時点）

この記事の監修者