生成AIの社内ルールの作り方は？盛り込む項目と手順をサンプル付きで解説【2026年版】

生成AIの業務利用を検討し始めたとき、最初の論点になりやすいのが「何を、どこまで使ってよいか」という社内のルールです。利用環境を整える前に社員が個人のアカウントで使い始めると、誰がどんな情報を入力しているのかを把握できないまま広がってしまいます。

国の機関からは生成AIの利用に関するガイドラインや注意喚起が公表され、そのまま活用できる雛形も公開されています。この記事では、社内ルールに盛り込む項目と作り方の手順を中心に解説し、規程に落とすとどうなるかを条文のサンプルで具体的に示します。

なぜ生成AIに社内ルールが必要なのか

社内ルールは生成AIの利用を制限するためのものというより、安全に使い続けるための土台です。まずはルールがない状態のリスクと、整備が前提になりつつある背景を確認します。

ルールがない状態で起きる4つのリスク

ルールがないまま利用が広がると、個人任せで機密の入力を防げない 次の4つのリスクが起こり得ます。

• 情報漏えい：機密情報や個人情報をプロンプトに入力し、外部に出てしまう
• 著作権の侵害：生成物が既存の著作物に似てしまい、そのまま使ってトラブルになる
• 誤った情報の利用：事実と異なる内容をAIが事実のように出力し、その情報を信用してしまう
• 把握できない利用：社員が個人のアカウントで使い、会社が利用実態を確認できなくなる

たとえば、会議の議事録や顧客リストをそのまま要約させると、本人の同意がないまま個人情報を外部のサービスへ渡してしまう恐れがあります。便利さの裏で、こうした入力が日常的に起こり得る点に注意が必要です。

このうち、最初に対策したいのが情報の入力です。入力した内容が提供事業者の学習に使われる設定の場合、利用者から提供者へ個人データを提供したことに当たり得ると整理されています。一度入力した情報を後から完全に取り消すのは難しいため、入力前に防ぐのが基本の考え方です。

出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」

誤った情報の利用も見落とせません。生成AIは、事実と異なる内容をそれらしい文章で出力することがあり、根拠を確かめずに資料へ転用すると、社外への説明やお客様対応で問題につながります。社外へ出す生成物は、公表の前に内容の正確性と、既存の著作物との類似を確認する手順を決めておくと安全です。

把握できない利用も、放置すると後からリスクが増大します。誰がどのツールで何をしているかが見えないと、リスクの大きい使い方に気づけず、教育や効果の確認もできないまま広がってしまいます。

整備が前提になりつつある外部環境

社内ルールは社内の都合だけで決めるものではなく、国内外の指針や規制とも関わります。主なものを挙げます。

• 国内のAIの指針：総務省・経済産業省の「AI事業者ガイドライン」が、利用する企業に対して、提供者が定めた留意点の遵守や、出力の精度とリスクを理解したうえでの利用を求めている（出典：総務省・経済産業省「AI事業者ガイドライン（第1.2版）」）
• 個人情報の扱い：個人情報保護委員会が、プロンプトに個人情報を入力する際は利用目的の範囲内とすること、入力内容が学習に使われないかを確認することを求めている（出典：個人情報保護委員会）
• 著作権の扱い：文化庁が、学習段階と生成・利用段階を分けた考え方を示し、生成物が既存の著作物に似ていてそれを参考にしたと見られる場合は侵害になり得るとしている（出典：文化庁「AIと著作権について」）
• 海外の規制：EUのAI規則は、AIを使う企業に従業員のリテラシー確保を求める規定を2025年2月から適用しており、出力がEUで使われる場合は日本企業も対象になり得る（出典：EU AI規則「AI Act」）

これらは努力目標ではなく、参照すべき前提として扱うと、社内ルールの説得力が増します。海外と取引がある企業ほど、国内の指針だけで完結しない点を早めに押さえておくと安心です。

国内だけで使う場合でも、これらの公的資料は条文の根拠を社内で説明する材料として役立ちます。

社内ルールに盛り込む項目

何を決めればよいかを、まず全体像でつかみます。「ガイドライン」と「利用規程」の違いを整理してから、盛り込む項目を一覧にします。

ガイドラインと利用規程の違い

ガイドラインは「会社として生成AIをどう位置づけ、どんな考え方で使うか」という方針をまとめたものです。利用規程は、その方針を具体的な禁止事項や申請手続きの形で定めたもので、就業規則のように守るべき決まりを明文化します。

実務では、方針をガイドラインで示し、その中の具体的な決まりを利用規程に落とす形が一般的です。現場の疑問に答える想定問答を別紙で添えると、規程の文面だけでは伝わりにくい判断も補えます。両者を分けて整理すると、現場が迷いにくくなります。

ルールに盛り込む項目の一覧

一般的に盛り込まれる項目を、決めることと参照先とあわせて整理します。

なかでも優先度が高いのが、入力してよい情報の線引き、出力物の確認義務、利用の記録の3つです。この3つは情報漏えい・品質事故・説明責任に直結するため、最初の版から具体的に書き込んでおくと安全です。

違反時の対応は、新しい罰則を作るより、既存の就業規則と結びつけておくと運用しやすくなります。すべてを一度に完璧にする必要はありません。自社で扱う情報やリスクに合わせて取捨し、公開されている雛形を出発点にすると、項目の抜け漏れを防ぎやすくなります。

出典：JDLA（日本ディープラーニング協会） 「生成AIの利用ガイドライン」

項目に抜け漏れがないかを確かめる

禁止事項を並べるだけでは、運用中の点検や見直しが抜けやすくなります。アメリカの国立標準技術研究所（NIST）が示す生成AI向けの枠組みは、リスク管理を「方針を決める・利用を把握する・影響を測る・対応して回す」の4つの機能で整理しています。

この4つを社内ルールの言葉に置き換えると、抜け漏れを確かめやすくなります。

• 方針を決める：目的、使ってよいツール、禁止事項、入力の可否を定める
• 利用を把握する：利用申請や記録で、誰が何に使っているかを見えるようにする
• 影響を測る：出力の確認手順や、効果と問題点の振り返りを決める
• 対応して回す：定期的な見直しと改定の担当・頻度を決める

禁止事項を決めるところで止まらず、把握・確認・見直しまでをセットにすると、作って終わりにしないルールに近づきます。この4つの観点で自社の案を見直すと、足りない項目に気づけます。

出典：NIST「Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile（AI 600-1）」

条文サンプルで見る規程の作り方

ここまでで決めた項目を、実際の規程の条文にする手順を示します。イメージしやすいように、主要な条文はそのまま下敷きにできるサンプルを添えます。

規程の全体構成

まず章立ての全体像です。

• 第1章 総則（目的／定義／適用範囲／利用対象者）
• 第2章 利用手続き（利用申請と承認）
• 第3章 遵守事項（基本原則／入力情報の取扱い／禁止事項／出力情報の取扱い）
• 第4章 管理体制（管理責任者／利用の記録／教育・研修）
• 第5章 その他（免責／違反時の対応／改定）
• 附則

章立てで持っておくと、後から条文を足すときに置き場所が決まり、改定の見通しも立てやすくなります。この章立ての全体像は、JDLAが公開している雛形や自治体の例とも整合します。会社の規模が小さければ、申請・承認を簡素にするなど、必要に応じて章を増減してください。

出典：JDLA「生成AIの利用ガイドライン」／東京都デジタルサービス局「AI導入・活用ガイドライン、生成AI利用の手引き」

主要な条文のサンプル

■まず、規程の入口にあたる目的・定義・適用範囲のサンプルです。

第○条（目的） 本規程は、当社の役員および従業員が業務で生成AIを安全かつ適切に利用するための基本的な事項を定める。

第○条（定義） 本規程において「生成AI」とは、入力した指示に応じて文章・画像・プログラム等を生成するサービスをいう。

第○条（適用範囲） 本規程は、当社の役員、従業員、および当社業務に従事する委託先のすべての者に適用する。

■次に、運用の中心となる基本原則と、入力・禁止・出力の取扱いです。

第○条（基本原則） 利用者は、関係法令および社内規程を遵守し、生成AIの出力を最終的に判断・確認するのは人であることを前提に利用する。

第○条（入力情報の取扱い） 利用者は、個人情報や顧客から預かった秘密情報、社外未公表の経営・財務に関する情報を、会社が認めた環境以外の生成AIに入力してはならない。

第○条（禁止事項） 利用者は、法令や公序良俗に反する目的での利用、第三者の権利を侵害する利用、事実と異なる情報を作成・拡散する利用を行ってはならない。

第○条（出力情報の取扱い） 利用者は、生成AIの出力をそのまま使用せず、内容の正確性を自ら確認し、既存の著作物との類似がないかを点検したうえで利用する。

■最後に、管理と運用を支える条文です。

第○条（利用申請と承認） 業務で生成AIを利用する場合は、所定の方法で利用目的と対象業務を申請し、管理責任者の承認を得る。

第○条（管理体制・記録） 会社は、生成AIの利用状況を記録し、管理責任者がこれを定期的に確認する。

第○条（教育・研修） 会社は、利用者に対し、生成AIの適切な利用とリスクに関する教育の機会を設ける。

第○条（違反時の対応） 本規程に違反した場合、就業規則の定めに従い、必要な措置を講じることがある。

これらは、個人情報保護委員会の注意喚起や文化庁の考え方に沿った内容です。条名や号は、自社の規程体系に合わせて整え、申請の要否や教育の頻度などは自社の運用に合わせて具体化します。

なお、ここで示したのは一般的な例で、業種や扱う情報によって必要な条項は変わります。自社で用いるときは、法務部門や弁護士など専門家の確認を受けることをおすすめします。

出典：個人情報保護委員会／文化庁

申請・承認は、全件を必須にすると手続きが重くなり守られにくくなるため、機密性の高い用途や新しいツールの利用に絞る運用も選べます。自社のリスクの大きさに合わせて、申請の対象範囲を決めます。

入力してよい情報・避けたい情報の早見表

条文だけでは、現場が日々の判断に迷います。何を入力してよいかを、区分と扱いで早見表にします。

線引きは業種や部署で変わるものです。たとえば人事は個人情報、開発はソースコードというように、扱う情報の重さが異なります。自社の具体例に置き換えると、現場が判断しやすくなります。

迷ったときは入力しない側に寄せるという原則も添えておくと、判断に詰まる場面でも安全側に寄せられます。

自社に合わせてルールを設計する

雛形やサンプルは出発点で、そのまま使うと自社の実態に合わないことがあります。設計のパターン、参照先の使い方、進め方の順に整理します。

3つの設計パターン

ルールの作り方は、大きく3つのパターンに分かれます。組織の規模や、部署ごとの使い方の違いによって、向き不向きがあります。

設計の軸はもう一つあります。やってはいけないことを並べる禁止リスト型と、使ってよい場面を示す許可リスト型です。禁止リスト型は分かりやすい反面、現場が「結局何を使ってよいか」を判断しづらいため、許可される使い方も示すと迷いが減ります。

実務では、全社の最低ラインを共通で定めつつ、部署ごとに推奨する使い方を足すハイブリッド型に落ち着く例があります。最初は全社共通から始め、利用が広がった段階で部署別の推奨を足す進め方も取りやすい形です。

雛形や参照先の使い方

ゼロから作る必要はありません。

• 業界団体の雛形：JDLAが組織向けの利用ガイドラインのひな形を公開しており、章立てと条文の基礎として活用できる（出典：JDLA）
• 自治体の例：東京都などが職員向けの利用ルールと手引きを公開しており、書きぶりの参考になる（出典：東京都デジタルサービス局）
• 国のガイドライン：AI事業者ガイドラインで、利用する側に求められる取り組みを確認できる（出典：総務省・経済産業省）

これらをそのまま使うのではなく、自社の事業特性に合わせて調整するのが前提です。規制のある業種か、海外と取引があるか、扱うデータの機微さはどの程度かによって、強めるべき条文が変わります。他社が公開しているガイドラインも参考にできますが、そのまま流用すると自社の実態と合わないため、項目の確認にとどめます。

策定の5ステップ

進め方は、次の5ステップが分かりやすいです。各ステップに、つまずきやすい点を添えます。

• 現状把握：すでに誰がどのツールを使っているかを洗い出す。把握を飛ばすと現実と合わないルールになる
• 方針決定：使う目的と、標準で使うサービスを決める。ここを曖昧にすると以降の判断がぶれる
• ルール設計：雛形をもとに項目を埋め、入力の可否を具体化する。抽象論で止めず自社の例まで書く
• 現場レビュー：実際に使う部署の声を反映し、運用可能か検証する。机上だけだと守られない
• 周知・運用：説明会や研修で広め、運用しながら更新する。配布しただけで放置しない

いきなり厳格にせず、最低限のルールの試行版から始める進め方だと、現場が萎縮しにくく、改善点も拾えます。三か月ほど運用して問題点を洗い出し、正式版に仕上げる流れも取り入れやすいやり方です。

ここまでのルールは、書いただけでは守られず、入力の制限や利用の記録といった仕組みで支えて初めて機能します。当社は法人向けの「エクサベース AI」を提供しており、禁止ワードの登録や機密情報の自動ブロック、利用ログの記録、データを国内で処理し学習に使わない設定などを、管理画面からまとめて運用できます。サンプル規程の禁止事項や入力ルールを、運用の仕組みとして落とし込みたい場合の選択肢です。

サービスの詳細は、エクサベース AI のページから確認できます。

作ったルールを形骸化させない運用

ルールは作った後の運用で価値が決まります。ここで紹介してきた進め方は、定着の工夫があって初めて成果につながるもので、配って終わりにすると、使われないまま形だけが残ることがあります。

守られるルールにする3つの条件

読まれて守られるルールには、共通点があります。

• 短く具体的に書く：法律のような長文ではなく、現場の言葉で書き、例も添える
• 想定問答を用意する：「会社名だけなら入力してよい？」など、よく出る質問に先に答える
• 現場の声を反映する：実際に使う部署の意見を入れ、回らない規定を直す

机上で完璧を目指すより、現場で回る形を優先すると、結果的に守られるルールに近づきます。すでに使っている部署があれば、その実態をルールに取り込むと、現実とのずれを小さくできます。

現場で迷いやすい場面と答え方

規程を配るだけでは判断しきれない場面が残ります。先に答えを用意しておくと、現場が止まりません。

• 取引先名だけを入力してよいか：単独でも機密に当たる場合があるため、伏せるか、許可された環境で使う
• 議事録の下書きに使ってよいか：参加者名や未公開情報を外せば、要約や整形の下書きに使える
• 生成物をそのまま社外資料に使ってよいか：事実と権利を確認したうえで、人の責任で仕上げる
• 無料のツールを個人で使ってよいか：会社が許可したサービスに統一し、個人利用での業務情報の入力は避ける

こうした問答を増やして共有すると、似た判断で迷う時間が減り、ルールが現場の言葉になじみます。

教育と周知の進め方

ルールを配るだけでなく、説明会や研修で使い方とリスクを伝えると、定着が進みます。文章だけの周知では読み飛ばされやすいため、実際の業務での使い方と、やってはいけない例をセットで示すと伝わりやすくなります。

教育の深さは、役割ごとに変えると無理がありません。推進担当や管理者には仕組みと運用を、一般の利用者には入力の可否と確認の手順を中心に伝えます。従業員のリテラシー確保はEUのAI規則でも企業に求められる取り組みとして位置づけられており、一度の説明で終わらせず、入社時や定期のタイミングで繰り返し伝えると効果的です。

出典：EU AI規則「AI Act」

定期的な見直しと仕組みでの担保

生成AIの状況は変わり続けるため、四半期に一度など頻度を決めて見直すと、内容が古いまま残るのを防げます。新しいモデルやサービスを使い始めるときも、ルールを点検する機会です。

見直しを確実にするには、利用状況の記録や禁止ワードの設定といった仕組みで運用を支えるのが現実的です。誰が何に使ったかを記録できれば、不適切な利用の早期発見にも、効果の確認にもつながります。記録と見直しをセットにすると、ルールが回り続けます。

見直した結果は、日付と変更点を改定履歴に残し、現場へ知らせておくと安心です。履歴があれば、なぜその決まりにしたのかを後から説明でき、棚卸しもしやすくなります。

出典：NIST「Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile（AI 600-1）」

ルールを仕組みで支えるエクサベース AI

当社は、法人向けの生成AIサービス「エクサベース AI」を提供しています。社内ルールで定めた内容を、管理機能で支える形に落とし込めます。

※2026年7月時点

汎用のツールで足りない部分を、ルールと一体で運用したい場合の選択肢です。とくに、全社へ安全に広げたい、利用状況を経営層に説明したい、という段階で検討の価値があります。サービスの詳細は、エクサベース AI のページから確認できます。

まとめ

最後に、進め方を行動の順に整理します。

• まず雛形を入手する：JDLAや自治体の公開資料を下敷きにする
• 項目を埋める：本文の項目一覧と入力の可否の早見をもとに自社版を作る
• 自社仕様に整える：規模や部署に合わせてパターンを選び、許可する使い方も示す
• 運用を設計する：教育・記録・見直しと、仕組みでの担保まで決める

社内ルールは、一度決めて終わりではなく、運用しながら育てるものです。まずは小さく始めて、現場の声と利用の記録をもとに整えていくと、無理なく定着します。入力の制限や利用の記録を仕組みで支えたい場合は、エクサベース AI もあわせてご検討ください。