生成AIの社内ガイドラインには、使ってよいツール、入力してよい情報の線引き、出力の確認と責任の所在、社外に出すときの確認、迷ったときの相談先を書く。禁止事項を並べるだけでなく、「この範囲なら使ってよい」と示すことが大切である。一から書く必要はなく、日本ディープラーニング協会（JDLA）のひな形や、総務省・経済産業省の「AI事業者ガイドライン」を出発点に、自社の業務に合わせて作るとよい。
本記事では、社内ガイドラインを作るときに参考にできる公的な資料、ガイドラインに入れる7つの項目、入力してよい情報の線引き、作成の手順を順に解説する。社内で使うAIツールを選ぶときのセキュリティ要件は「社内AIチャットボットのセキュリティ要件チェックリスト」で解説している。
生成AIは、文章の下書き、要約、翻訳、調べものなど、職種を問わず使える。一方で、社員がそれぞれの判断で使うと、顧客の個人情報や未公開の情報を外部のサービスに入力してしまう、AIの回答を確認せずに社外へ出してしまう、といった問題が起きやすい。
かといって全面的に禁止すると、業務の効率化の機会を逃すうえ、会社の把握していないところで個人のアカウントが使われることにもなりかねない。ガイドラインは、社員が「どこまでなら使ってよいか」を迷わず判断できるようにするためのものである。
総務省・経済産業省の「AI事業者ガイドライン」でも、事業活動でAIを利用する事業者を「AI利用者」と位置づけ、AIシステム・サービスに個人情報や機密情報を不適切に入力しないよう注意を払うことなどを、取り組む事項として挙げている。
次の資料は、いずれも公式サイトで無料で公開されている（2026年11月時点で確認）。
| 資料 | 発行元・公表時期 | 社内ガイドラインで参考になる点 |
|---|---|---|
| AI事業者ガイドライン（第1.2版） | 総務省・経済産業省 2026年3月31日公表 |
AIを利用する事業者（AI利用者）が取り組む事項。個人情報や機密情報を不適切に入力しない、出力の精度やリスクを理解したうえで使う、など |
| 生成AIサービスの利用に関する注意喚起等 | 個人情報保護委員会 2023年6月2日 |
個人情報を含むプロンプトを生成AIサービスに入力するときの注意点 |
| 生成AIの利用ガイドライン（第1.1版） | 日本ディープラーニング協会（JDLA） 2023年10月公開 |
社内ルールのひな形。自社の状況に照らして追加・修正して使う前提で公開されている。画像生成向けの「画像編」（2024年2月公開）もある |
| AIと著作権に関する考え方について／チェックリスト＆ガイダンス | 文化庁 2024年3月15日／2024年7月31日 |
生成AIと著作権の関係の整理と、立場ごとに望ましい取り組み |
ひな形をそのまま使うと、自社で使っているツールや扱う情報の種類に合わない部分が残る。ひな形は項目の抜け漏れを防ぐために使い、中身は自社の業務に合わせて書き直すとよい。
| 項目 | 決めること |
|---|---|
| 1. 目的と対象者 | 何のためのルールか。正社員だけでなく、派遣社員や業務委託先にも適用するか |
| 2. 使ってよいツール | 会社が認めたツールの一覧、個人アカウントの扱い、新しいツールを使いたいときの申請方法 |
| 3. 入力してよい情報 | 公開情報・社内情報・個人情報や機密情報の区分と、ツールごとに入力してよい範囲 |
| 4. 出力の確認と責任 | 事実・数字・固有名詞を元の資料で確かめること。成果物の責任はAIではなく使った人と部署にあること |
| 5. 社外に出すときの確認 | 他者の作品や商標に似ていないかの確認、顧客向けの文書や広告に使うときの承認の流れ |
| 6. 相談窓口と報告 | 迷ったときの相談先。誤って入力してはいけない情報を入力したときの報告先と手順 |
| 7. 見直し | ガイドラインを管理する部署と、見直す時期 |
最初から細かく書きすぎると、社員が読まなくなる。まずは7つの項目を1〜2ページにまとめ、具体例や判断に迷う事例は別の資料（FAQなど）に分けると読まれやすい。
社員がいちばん迷うのは「この情報を入力してよいか」である。情報を3つに分けて示すと判断しやすくなる。
公開済みの情報や一般的な質問は入力してよい。社内資料や業務データは会社が認めたツールでのみ入力する。個人情報・顧客情報、取引先から預かった秘密、パスワードなどは原則入力しない。 入力してよい ・自社サイトなどで公開済みの情報 ・一般的な質問、文章の下書きや言い換え 条件付きで入力する ・社内資料、業務データ ・会社が認めたツールに限って入力する 原則入力しない ・個人情報、顧客情報、取引先の秘密 ・パスワードなどの認証情報 図1：生成AIに入力してよい情報の3つの区分
自社サイトやプレスリリースなどですでに公開している情報、一般的な知識に関する質問、社名や個人名を含まない文章の下書きや言い換えなど。どのツールで使っても問題になりにくい。
社内規程、マニュアル、会議資料、業務データなど、社外に出していない情報。入力したデータがAIの学習に使われない、保存場所や保存期間がわかる、といった条件を確認したうえで、会社が認めたツールに限って入力する。
顧客や社員の個人情報、取引先から預かった秘密情報、未公開の経営情報、パスワードなどの認証情報。個人情報保護委員会は、事業者が個人情報を含むプロンプトを入力する場合は利用目的の範囲内かを十分に確認すること、本人の同意なく個人データを入力し、それが応答の出力以外の目的で扱われると個人情報保護法に違反する可能性があるため、サービス提供者が学習に利用しないことなどを十分に確認することを求めている。業務上どうしても必要な場合は、会社が認めたツールと手順を個別に決めておく。
1 社内の使い方と困りごとを集める、2 使ってよいツールを決める、3 入力してよい情報の線を引く、4 関係部署で確認して周知する、5 定期的に見直す。5のあと1に戻って改善を続ける。 1 社内の使い方と困りごとを集める 2 使ってよいツールを決める 3 入力してよい情報の線を引く 4 関係部署で確認して周知する 5 定期的に見直す（1に戻る） 図2：生成AIの社内ガイドラインを作る5つの手順
各部署で、すでにどの生成AIをどんな業務に使っているか、使いたいが不安で止まっている業務は何かを聞き取る。実態がわからないまま書くと、現場に合わないルールになりやすい。
候補のツールごとに、入力データが学習に使われるか、データの保存場所、ログイン方法や利用者の管理ができるかを確かめ、会社として認めるツールを決める。法人向けのプランと個人向けのプランで、データの扱いが異なるサービスもある。
前の章の3つの区分を、自社で扱う情報に当てはめる。既存の情報セキュリティ規程に情報の分類（社外秘・部外秘など）があれば、それに合わせると社員にとってわかりやすい。
情報システム、法務、人事、広報など関係する部署で案を確認する。公開したら、ルールの要点と「迷ったときの相談先」を、社員が普段見る場所（社内ポータルやチャットツール）で案内する。短い研修や具体例の共有があると定着しやすい。
生成AIのサービスは機能や利用規約の変更が多く、公的な指針も改訂される。AI事業者ガイドラインも、2024年4月の第1.0版から2026年3月の第1.2版まで改訂が重ねられている。管理する部署と見直す時期をあらかじめ決め、相談窓口に寄せられた質問もルールの改善に生かす。
「入力禁止」「利用禁止」ばかりでは、社員は使ってよい場面がわからず、活用が進まない。禁止事項と同じくらい、「この業務なら、このツールで使ってよい」という例を示す。
規程集に追加しただけでは読まれない。要点を短くまとめて繰り返し案内し、新しく入った社員の研修にも組み込む。
「社内資料は会社が認めたツールでのみ」と定めても、そのツールが用意されていなければ、社員は個人のアカウントを使ってしまう。ルールを作るときは、社内資料を安心して入力できるツールもあわせて用意しておく。
chai+は、デフィデ株式会社が提供する法人向けのAIチャットボットで、登録した社内資料を参照して回答する（RAG）。ガイドラインで「会社が認めたツール」を決めるときに確認したい点は、次のとおりである。
ただし、chai+は外部の生成AIエンジンをAPI経由で利用しており、推論処理の際にはデータが一時的に米国などの海外サーバーへ送信される（推論目的のみに使われ、学習や二次利用はされない）。データを社外・海外に一切送れない業務には向かない。詳しくはchai+のセキュリティ・トラストページで公開している。
生成AIの社内ガイドラインには、目的と対象者、使ってよいツール、入力してよい情報、出力の確認と責任、社外に出すときの確認、相談窓口と報告、見直しの7つを書く。入力してよい情報は「入力してよい」「条件付き」「原則入力しない」の3つに分けて示し、個人情報を扱う場合は学習に使われないことなどを確認する。JDLAのひな形やAI事業者ガイドラインを出発点に、自社の業務と使えるツールに合わせて作り、定期的に見直すことが大切である。
A. 目的と対象者、使ってよいツール、入力してよい情報の線引き、出力の確認と責任、社外に出すときの確認、相談窓口と報告の方法、見直しの時期の7つが基本です。禁止事項だけでなく、使ってよい範囲を具体例とともに示すと、社員が判断しやすくなります。
A. 日本ディープラーニング協会（JDLA）が「生成AIの利用ガイドライン」のひな形を公式サイトの資料室で公開しています（第1.1版、2023年10月公開）。自社の状況に照らして追加・修正して使う前提のため、自社のツールや扱う情報に合わせて書き直してください。
A. 原則として入力しないルールにするのが安全です。個人情報保護委員会は、事業者が個人情報を含むプロンプトを入力する場合、利用目的の範囲内かを十分に確認し、サービス提供者が入力データを学習に利用しないことなどを確認するよう求めています。業務上必要な場合は、会社が認めたツールと手順を決めておきます。
A. そのまま出さず、事実・数字・固有名詞を元の資料で確かめてから使うルールにします。顧客向けの文書や広告に使う場合は、他者の作品や商標に似ていないかの確認と、社内の承認の流れも決めておきます。生成AIと著作権の考え方は、文化庁が公式サイトで整理しています。
A. 情報システム部門やDX推進部門が中心になり、法務、人事、広報など関係する部署で内容を確認する進め方が一般的です。あわせて、ガイドラインを管理し、社員からの相談を受ける部署を決めておきます。
A. 決まった頻度はありませんが、管理する部署と見直す時期をあらかじめ決めておきます。使っているツールの機能や利用規約が変わったとき、公的な指針が改訂されたときにも見直します。AI事業者ガイドラインは、2024年4月の第1.0版から2026年3月の第1.2版まで改訂されています。
［無料相談を申し込む ］
提供：デフィデ株式会社｜戦略AIコンサルティング