生成AIのガイドラインとは？企業が定めるべき項目と作り方・参考にできる公的指針【2026年版】

生成AIを社内で使えるようにするとき、ツールの選定と並んで決めておきたいのが利用のルールです。ただ、何を決めればよいのか、どこから手をつければよいのかが分からず、検討が止まってしまう場合もあるでしょう。

国（総務省・経済産業省）や業界団体、自治体は、生成AIの利用に関するガイドラインや、そのまま改変して使えるひな型を公開しています。2025年9月にはAI法も全面施行され、国を挙げた推進の枠組みが整いました。

この記事では、生成AIのガイドラインが必要とされる理由から、盛り込むべき項目、参考にできる公的な指針、そして実際の作り方の手順までを順に解説します。

※デロイト トーマツ ミック経済研究所「LLM（大規模言語モデル）を自律的に連携させ非定型業務を自動化するAIエージェント ソリューションサービスの市場動向 2025年度版
※富士キメラ総研「2026 生成AI／AIエージェントで飛躍するAI市場総調査」＜2024年度実績・サードパーティ対話型生成AIアプリケーション・ベンダーシェア＞

生成AIのガイドラインとは｜社内ルールが必要とされる背景

生成AIのガイドラインは、社内で生成AIを安全に使うための判断基準をまとめた文書です。利用を縛るためのものではなく、安全に使える範囲を示して活用を後押しする役割を担います。何を入力してよいか、生成物をどう扱うか、誰が責任を持つかを明文化し、現場が迷わず使える状態をつくることが目的です。

ガイドラインの役割と既存規程との関係

ガイドラインが定めるのは、おおむね次の4つの領域です。情報セキュリティポリシーや就業規則など既存の社内規程を置き換えるものではなく、生成AIに固有の論点を補う位置づけになります。

• 適用範囲：誰が、どの業務で、どのツールを使ってよいか
• 入力情報：何を入力してよく、何を禁止するか
• 生成物：著作権・正確性の確認や、最終的な責任の所在
• 体制：管理責任者、違反時の対応、相談窓口、教育

他社が公開しているガイドラインをそのまま流用しても、十分に機能するとは限りません。扱う情報や業務の性質によって、必要な項目やリスクの重さが変わるためです。公開されたひな型に、自社の業務に合わせて項目を足し引きして使います。

全社で守る共通ルールと、部署や用途ごとの運用ルールに分けて考えると、過不足を防げます。共通ルールで入力禁止情報などの最低線を示し、リスクの高い業務には個別の追加ルールを定める形です。

ルールがないと生じる主なリスク

ガイドラインがないまま利用が広がると、次のようなリスクが現場任せになります。主なリスクと対応の方向性をまとめました。

無料で使える生成AIサービスの中には、入力した内容がモデルの学習に使われる設定のものもあります。一度入力した情報は取り消せないため、何を入れてよいかをあらかじめ線引きしておくことが重要です。

個人アカウントでの業務利用が広がると、会社はどんな情報が外部に渡っているかを把握できなくなります。個人情報の入力については個人情報保護委員会が、生成物と著作権の関係については文化庁が、それぞれ留意点を示しています。詳細は後半で扱います。

整備が求められる背景

生成AIをめぐる国の制度は、この1〜2年で整備が進みました。全体としては活用を後押しする方向で、企業には「使わない」ではなく「ルールを整えて使う」ことが求められています。ガイドラインづくりの背景として、次の3点を押さえておきましょう。

• AI法（人工知能関連技術の研究開発及び活用の推進に関する法律）が2025年9月1日に全面施行されました。罰則のある規制法ではなく、第7条で活用事業者の責務として、AIの積極的な活用に努めることと、国や地方公共団体の施策への協力を定めています。社内ルールを整えて活用する企業を後押しする位置づけです。
• 総務省・経済産業省の「AI事業者ガイドライン」が、開発・提供・利用の各立場で取るべき取り組みの基本的な考え方を、拘束力のないソフトローとして示しています。自社のガイドラインを書くときの土台にできます。
• 海外でも法規制が進んでいます。EU（欧州連合）のAI Actは域外適用があり、EU向けに事業を行う企業は適用時期に注意が必要です。

これらを踏まえると、社内ルールを整えること自体が国の進める方向と重なります。公的な考え方に沿わせておけば、取引先や監査にも筋道立てて説明できます。

出典：内閣府「人工知能関連技術の研究開発及び活用の推進に関する法律（AI法）」／総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（2026年3月）／European Commission「Timeline for the implementation of the EU AI Act」（2026年6月時点。EU AI Actは適用時期の調整が続いており、契約・対応の判断時は最新情報を確認してください）

生成AIのガイドラインに盛り込むべき項目

何を盛り込むべきかは、公開されている公的なひな型と指針から、おおよそ共通の骨格が見えてきます。とくに参照されるのが、日本ディープラーニング協会（JDLA）が公開する利用ガイドラインのひな型と、総務省・経済産業省のAI事業者ガイドラインです。ここでは最低限おさえたい項目を、4つの観点でまとめます。

適用範囲と利用してよいツール・用途

最初に決めるのは、ルールが及ぶ範囲です。対象者と対象業務、そして会社が利用を認めるツールを明確にします。

• 対象者・対象業務：全社か、特定部署か。業務での利用か、私的利用を含むか
• 利用してよいツール：会社が用意した環境に限るか、個人契約のサービスを認めるか
• 用途：許可する使い方と、禁止する使い方

用途を具体例まで示すと、現場が判断に迷いません。たとえば、文章の要約やたたき台の作成、翻訳、アイデア出しは許可し、確認していない情報をそのまま社外に発信することや、人の最終判断を伴わない自動処理は禁止する、といった形です。

禁止事項を並べるよりも、やってよいことを示す許可リスト型のほうが形骸化しにくくなります。一律に禁止すると、現場の利用が個人アカウントに流れ、かえって把握しにくくなるためです。

そのため、実態に合った運用にするには、条件付きで許可する範囲を示すことがおすすめです。部署によって扱う情報やリスクは異なるため、必要に応じて部署ごとに範囲を変えることも検討しましょう。

入力してよい情報・禁止する情報

生成AIに入力する情報の線引きは、ガイドラインの中心となる項目です。とくに次の情報は、入力前に取り扱いを確認する必要があります。

• 個人情報・要配慮個人情報：顧客や従業員の氏名・連絡先、健康情報など
• 自社の機密情報：営業秘密、未公表の財務・人事情報、開発中の技術情報
• 他社の秘密情報：秘密保持義務を負って受け取った資料やデータ

個人情報保護委員会は、個人情報を含むプロンプトを入力する場合、特定した利用目的の達成に必要な範囲内かを十分に確認するよう注意喚起しています。判断を現場任せにしないために、入力してよい情報と禁止する情報を具体例で示し、迷ったときは入力しないという原則も添えておくと安全です。

固有名詞や数値を伏せて入力する匿名化（マスキング）も、実務では有効な方法です。利用するサービスが入力内容を学習に使わない設定かどうかも、事前に確認しましょう。

生成物の取り扱いと責任

生成された文章や画像を業務に使う際のルールも欠かせません。確認すべきは、著作権と正確性、そして責任の所在です。

• 著作権：生成物が既存の著作物に類似していないかを確認する
• 正確性：人が事実確認をしてから使う（生成AIの回答をうのみにしない）
• 責任：生成物を使った結果の責任は、利用者と組織にある

著作権については、文化庁が「AIと著作権に関する考え方について」と、当事者の立場ごとに整理した「チェックリスト＆ガイダンス」を公開しています。たとえば、特定の作品名やキャラクター名を指示して画像を生成すると、既存の著作物に類似した画像が出力される場合があります

そのため、社外に公開・提出する前には、著作権上の問題が無いかを事前に確認することが重要です。

また、社外に出す文章や画像は公開前に類似や引用元を確認する、数値や固有名詞を含む回答は一次情報で裏を取る、といった確認手順をルールに明記しておきます。生成AIを使って作成した文書は、その旨を社内で記録しておくと、後から経緯を確認しやすくなります。

体制・教育・相談窓口

ルールを定めても、運用する体制がなければ機能しません。次の項目もあわせて決めます。

• 管理責任者：ガイドラインの管理・更新を担う部署や担当
• 違反時の対応：問題が起きたときの報告・対処の流れ
• 相談窓口：判断に迷ったときの問い合わせ先
• 教育：利用者向けのリテラシー研修

判断に迷う場面は必ず出てくるため、現場が止まらないよう相談先を明示しておくことが重要です。教育では、禁止事項を伝えるだけでなく、安全な使い方の具体例や、入力してよい情報の判断基準を扱うと、現場が前向きに使えるようになります。盛り込むべき項目を一覧で確認できるよう、参考になる公的指針とあわせてまとめました。

出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（令和5年6月）／文化庁「AIと著作権について」／一般社団法人日本ディープラーニング協会「生成AIの利用ガイドライン」

参考にできる公的ガイドラインと国際的な枠組み

ガイドラインはゼロから書く必要はありません。国内外に、ひな型や枠組みが公開されています。自社のガイドラインを作るとき「どれを下敷きにするか」という観点で、代表的なものを整理します。

国内で参照できる主な指針

国内では、ひな型をそのまま改変して使えるものから、考え方を示すもの、担当者向けに具体化したものまで、性格の異なる指針が公開されています。

JDLAのひな型は、組織の利用目的に合わせて項目を追加・修正して使うことが想定されています。最小限の項目をまとめたものなので、まずこれを骨格にして、自社の業務に合わせて具体化すると効率的です。

会社全体の基本方針はAI事業者ガイドラインの考え方を参照し、現場で使う具体的なルールはJDLAのひな型で形にする、という使い分けが現実的です。

IPAのガイドラインは導入・運用の担当者向けで、社内データを検索して回答に使うRAG（検索拡張生成）を導入した場合に生じる新たなリスクまで踏み込んでいます。また、デジタル庁や東京都の資料のように、行政が安全性を確保したうえで利用する前提でまとめた実例も、入力禁止情報や生成物の確認の書き方の参考になります。

出典：デジタル庁「テキスト生成AI利活用におけるリスクへの対策ガイドブック（α版）」（2024年5月）／IPA「テキスト生成AIの導入・運用ガイドライン」（2024年7月）／東京都デジタルサービス局「『文章生成AI利活用ガイドライン』を策定」（2023年8月）

海外の代表的なフレームワーク

国際的には、リスク管理の枠組みや認証規格が整備されています。日本のガイドラインがソフトロー中心なのに対し、海外には規格や法規制があり、将来の取引や監査を見据えて整合させておく価値があります。

NIST AI RMFは「統治・特定・測定・管理」の4機能でリスクを管理する枠組みで、2024年7月公開の生成AIプロファイル（NIST AI 600-1）が、ハルシネーションやデータの来歴、知的財産など生成AIに固有のリスクを整理しています。

EU AI Actはリスクの高さに応じて義務を変える規制で、違反には高額の制裁金が定められています。ISO/IEC 42001は2023年発行の、世界で初めて認証を取得できるAIマネジメントシステムの規格で、計画・実行・確認・改善のサイクルを通じて継続的な管理を行うための仕組みです。。

いずれも、リスクを洗い出し、対策を定め、定期的に見直すという考え方は共通しています。海外と取引がある企業や、海外に拠点を持つ企業では、社内ガイドラインをこうした枠組みと突き合わせておくと、説明や監査の場面で役立ちます。認証を取得しない場合でも、NISTの4機能は自社のルールの抜けを点検する観点として活用できます。

出典：NIST「AI Risk Management Framework」／European Commission「Timeline for the implementation of the EU AI Act」／ISO「ISO/IEC 42001:2023」

ここまで見てきたとおり、ガイドラインは公開されたひな型をもとに作成できます。一方で、文書を作るだけでは機能しません。入力情報の制御やログの取得といった、ルールを守れる環境が伴って初めて実効性を持ちます。

当社は、複数の言語モデルを使い分けられ、入力データを学習に利用せず、データ処理を国内リージョンで完結する法人向け生成AI「エクサベース AI」を提供しています。禁止ワードの登録や利用状況の可視化といった管理機能を標準で備えるほか、自治体向けでは生成AI利用ガイドラインの骨子作成から納品までの伴走支援も行っています。サービスの詳細は、エクサベース AIのサービスページからご確認いただけます。

生成AIのガイドラインの作り方｜4ステップと形骸化を防ぐ運用

ガイドラインは、作って終わりにすると使われなくなります。厳しすぎるルールは現場で守られず、ゆるすぎるとリスクが残ります。運用と見直しまで含めて初めて機能する前提で、現状把握から定期更新までの4ステップで進めると無理がありません。

当社が導入を支援してきた現場でも、定着の仕組みがないまま展開すると、利用がごく一部にとどまることがあります。ルールづくりと、使われ続ける工夫は、セットで考える必要があります。

① 現状把握

最初に、社内で生成AIがどう使われているかを把握します。ここを飛ばすと、実態に合わないルールになりかねません。アンケートやヒアリング、すでに導入済みのツールがあればログを使って、次の点を洗い出します。

• 個人アカウントでの利用（シャドーAI）が広がっていないか
• どの部署が、どの業務で使いたいと考えているか
• その業務で扱う情報に、個人情報や機密情報が含まれるか

② 方針決定

次に、ガイドラインの基本方針を決めます。やってよいことを示す許可リスト型を基本にし、適用範囲と既存規程との関係も整理します。判断の軸になるのは次の3点です。

• 適用範囲：全社一律か、部署やリスクに応じて分けるか
• 利用環境：会社が用意した環境に限定するか、個人契約を認めるか
• 既存規程との関係：情報セキュリティポリシーや就業規則とどう接続するか

最初から全社・全業務を対象にする必要はありません。リスクの低い業務や一部の部署から試し、運用しながら段階的に広げていく進め方も選択肢になります。

③ ルール設計

方針が決まったら、前半で挙げた項目（適用範囲・入力情報・生成物・体制）を埋めていきます。ここでは、前述でお伝えしたJDLAのひな型をたたき台にすると早く進みます。

また、情報セキュリティポリシーなど既存の規程と矛盾しないよう、参照関係を整えておきましょう。専門用語が多くなりすぎると現場が読まなくなるため、判断に迷う場面を想定した具体例や、よくある質問への回答を添えると実用的です。

④ 運用と見直し

公開したら、利用者への研修と、ログや利用状況の確認による運用を始めます。利用率や削減できた時間を把握しておくと、定着しているかを判断でき、追加の研修やテンプレート整備の手がかりになります。

形だけのガイドラインになっていないかは、次のような状態が見直しの合図になります。

• 利用が一部の部署に偏っている
• 相談窓口に問い合わせが来ない
• 公開後に一度も更新されていない

生成AIをめぐる技術と制度は変化が速いため、ガイドラインは一度作って固定するものではありません。公的指針や法令の更新に合わせて定期的に見直す文書として扱うことが重要です。

相談窓口に寄せられた疑問を次の改訂に反映すると、現場の実態に合った内容へと育てていけます。AI事業者ガイドラインも、継続的に改善する前提で更新が重ねられています。

セキュリティの懸念に応える選択肢：エクサベース AI

ガイドラインで入力情報の管理や情報漏えい対策を定めても、汎用的なチャットツールではルールを守りきれないことがあります。こうした懸念に応える選択肢が、当社の法人向け生成AI「エクサベース AI」です。ガイドラインで決めたルールを、環境側の機能で担保できます。

※2026年7月時点

東京都港区の全庁導入事例

当社がご支援した事例として、東京都港区があります。区は業務の質と効率の向上を目的に、自治体向けの「エクサベース AIfor 自治体」を全庁に導入し、10種類以上の独自プロンプトテンプレートやRAGの活用を開始しました。国内リージョンでの利用と入力データの非学習、ログ蓄積といった機能を前提に、安全性を確保したうえで全庁規模の利用を進めた事例です。

サービスの詳細や導入のご相談は、エクサベース AIのサービスページからご確認いただけます。

出典：株式会社エクサウィザーズ「東京都港区が『エクサベース AIfor 自治体』を全庁に導入」（2025年11月）

まとめ

生成AIのガイドラインは、活用を止めるためではなく、安全に進めるための土台です。公開されたひな型と公的な指針を使えば、ゼロから書く必要はありません。最後に、次に取る行動を挙げます。

• まず把握する：社内の利用実態と、扱う情報を洗い出す
• 項目を埋める：JDLAなどのひな型をもとに、自社の業務へ具体化する
• 運用を決める：教育・ログ確認・定期更新の体制まで含めて設計する

ルールを定めるだけでなく、それを守れる環境まで一体で整えると、形だけのガイドラインになりません。複数モデルの使い分け、国内リージョンでの処理、管理機能と伴走支援を備えた選択肢として、エクサベース AIをご検討ください。

※デロイト トーマツ ミック経済研究所「LLM（大規模言語モデル）を自律的に連携させ非定型業務を自動化するAIエージェント ソリューションサービスの市場動向 2025年度版
※富士キメラ総研「2026 生成AI／AIエージェントで飛躍するAI市場総調査」＜2024年度実績・サードパーティ対話型生成AIアプリケーション・ベンダーシェア＞