生成AIガイドラインの作り方：中小企業向け1ページの社内ルール

5〜200人規模の会社では、生成AIガイドラインで日々の判断基準を明確にすることが大切です。従業員が使えるアカウント、入力してはいけないデータ、出力の確認担当者を決めましょう。まずは1ページのAI利用ポリシーを用意し、承認済みの業務用アカウントを使えるようにして、相談に応じる責任者を置きます。AIを使って作成したものは、責任を持つ人が確認するまで下書きとして扱います。

そのまま使える生成AIガイドラインのテンプレート

以下のひな形を社内ハンドブックや共有ドキュメントにコピーしてください。角括弧の項目を自社の情報に置き換え、承認したアカウントだけをリストに記載し、施行前に全員が閲覧できる状態にします。1ページに収める想定ですが、自社の情報を加えた後にレイアウトを確認してください。

導入前に、契約や自社が負う義務に照らして問題がないか、弁護士の確認を受けてください。

[会社名]のAI利用ルール

施行日：[日付]。責任者：[氏名・役職]。質問・インシデントの連絡先：[連絡先]。次回見直し日：[日付]。承認済みアカウントと利用可能なデータ：[最新リストへのリンク]。

1. 対象者と対象ツール。 従業員、管理職、業務委託先を含め、当社の業務に従事する全員が本ルールを守ってください。AIによるチャット、文章作成、コーディング、画像作成、会議支援、検索の各ツールに加え、ほかのソフトウェアに組み込まれたAI機能も対象です。

2. 承認済みのアカウントを使う。 承認リストに記載されたツール、プラン、会社のワークスペースだけを使ってください。個人で契約していることや、業務用メールアドレスで登録していることだけでは、承認を受けたことにはなりません。責任者の承認なしに、ほかのアプリとの連携、ブラウザ拡張機能、会議の録音・録画、自動実行、データ共有の設定を追加しないでください。ログイン情報の共有は禁止です。

3. 利用できる業務。 承認済みアカウントでは、公開情報と使用を許可された社内資料を使い、アイデア出し、下書き、要約、作業の準備にAIを利用できます。共有する権限がある資料だけを使用してください。どの作業にも担当者を置き、その人が責任を持ちます。人を欺く行為、ハラスメント、差別、アクセス制御の回避にAIを使ってはいけません。

4. 入力してはいけない情報。 本ポリシーの下では、パスワード、アクセストークン、秘密鍵、決済カード情報一式、公的な身分証明書の番号、医療記録、従業員の機密記録をAIツールに入力してはいけません。営業秘密、未公開の財務情報、非公開のソースコードは、その情報の利用が承認リストで明示的に認められている場合に限りアップロードできます。ファイル、スクリーンショット、録音・録画、連携先のフォルダにも同じルールが適用されます。

5. 顧客データの扱い。 可能な限り架空の例を使うか、個人を特定できる情報を取り除いてください。顧客を特定できる情報を使う場合は、作業、ツール、アカウント、データを特定したうえで、事前に書面による承認を得てください。責任者は、顧客との取り決め、共有の許可、ベンダーの規約、アクセスと保存期間の設定を確認します。送信するのは作業に必要な情報だけにしてください。承認の有無が不明、または承認されていない場合は、作業を止めて確認してください。

6. 利用前に確認する。 出力を判断の根拠にしたり、送信・公開したりする前に、事実、出典、計算、機密性、素材を利用する権利、不公正な内容や誤解を招く表現がないかを確認してください。送信する人が引き続き責任を負います。コードには通常どおりのレビューとテストが必要です。AIに単独でメッセージを送らせる、支出させる、記録を変更させる、採用・給与・与信などの重大な判断をさせることは認めません。こうした用途には、別途承認された手順が必要です。

7. AIの利用を適切に伝える。 AIが下書きや分析に実質的に関わった場合は、社内の確認担当者に伝えてください。契約で求められる場合、顧客がAIと直接やり取りする場合、AIの関与を隠すと顧客の誤解を招く場合は、顧客にも伝えてください。事実でない限り、AIの出力を人が行ったインタビュー、独自調査、自ら検証した成果として説明してはいけません。迷ったら責任者に相談してください。

8. 事前に相談し、問題は速やかに報告する。 新しいツールの利用や例外の適用は、使い始める前に責任者へ申請してください。データ漏えい、安全性を損なう操作、有害な出力が疑われる場合は、上記の連絡先へ直ちに報告してください。その際、機密情報を誰でも閲覧できるチャネルにコピーしないでください。該当する作業を中止し、責任者の指示に従ってください。本ポリシーを確認し、了承した旨を伝えてください。違反は、従業員または業務委託先に関する既存の手続きに従って対処します。責任者は四半期ごとに加え、ツール、規約、業務フローが変わったときにも内容を見直します。

ポリシーを簡潔に保つため、承認済みアカウントのリストは別に管理します。各項目には、正確な製品名とプラン名、会社のワークスペース、利用可能なデータ、許可された作業、責任者、承認日を記載してください。項目が空欄であれば、そのツールは承認待ちです。

従業員のAI利用で法人向けプランが重要な理由

非公開の業務資料を従業員が使う前に、アカウントとデータの取り扱い条件を承認してください。業務データをモデルの学習に使わないというベンダーの約束には価値があります。ただし、それだけで顧客の記録を共有する権限が得られるわけではありません。

2026年10月19日に各社の公開中の公式ドキュメントで確認した内容です。 以下の法人向けサービスは、対象となる顧客データを標準設定で、または許可なく学習に使わないとしています。ただし、対象範囲や例外は異なります。モデルの学習とは、基盤となるAIの改善にデータを使うことです。会話を保存することや、リクエストに答えるためにデータを処理することとは別です。

OpenAI ChatGPT：承認済みの法人向けワークスペースを使う

OpenAIの対話型AIアシスタントChatGPTでは、ChatGPT BusinessとChatGPT Enterpriseの顧客コンテンツは、標準設定でモデルの学習対象から除外されます。OpenAIのデータガバナンスに関するドキュメントはこの方針を明記し、チャット履歴の保存については別に説明しています。アカウントを承認する際は、学習に関する条件と併せて保存期間も確認してください。

個人契約の料金を会社が精算することと、会社のワークスペースの利用を承認することは、別の判断として扱います。アカウントリストには利用を認めたワークスペースを明記し、従業員が社内情報を貼り付ける前に、そのワークスペースかどうかを見分けられるようにしてください。

アカウント選びについて詳しくは、ChatGPTのビジネス利用ガイドで解説しています。

Anthropic Claude：フィードバック送信のルールも決める

文章の下書きや分析を支援するAnthropicのAIアシスタントClaudeは、商用製品への入力と出力を標準設定では学習に使いません。Claude TeamやEnterpriseを使う従業員にとって、注意すべき例外がフィードバックです。Anthropicは、明示的に送信したフィードバックやバグ報告、その他の任意の共有によって、チャットやコーディングセッションが学習に使われる場合があるとしています。Anthropicの商用データに関するポリシーに、原則と例外の両方が説明されています。

フィードバックとして共有してよいかどうかは、責任者が判断します。Anthropicは、オーナーが**組織設定（Organization settings）> データとプライバシー（Data and Privacy）> チャットの評価（Rate chats）**で、TeamとEnterpriseのメンバーによる高評価・低評価のフィードバックを無効にできると説明しています。この設定に加え、「業務上の会話をフィードバックとして共有しない」という従業員向けルールも設けてください。

Microsoft Copilot：エンタープライズデータ保護の適用を確認する

Microsoftの業務用アシスタントMicrosoft Copilot（旧称Microsoft 365 Copilot）とMicrosoft Copilot Chatには、組織向けのデータ保護があります。Microsoftによると、プロンプト、応答、業務情報に接続する仕組みであるMicrosoft Graphを通じてアクセスしたデータは、基盤モデルの学習には使われません。同社のドキュメントには、移行期間中は旧製品名が残る場合があるとも記載されています。対象範囲はMicrosoftのエンタープライズデータ保護のページで確認できます。

管理者に、会社のアカウントとサービスが保護の対象になっていることを確認してもらってください。Microsoftは、エンタープライズデータ保護が適用されているときはCopilot Chatに緑色の盾が表示されると説明しています。また、会話の記録についても説明しているため、従業員が「学習に使われない」を「何も保存されない」と受け取らないようにしてください。確認事項はCopilot Chatのプライバシーと保護にまとめられています。

Bingに送られるウェブ検索クエリには別のデータ取り扱い条件があり、エージェントについても個別に規約を確認する必要があります。承認する業務フローごとに、これらの機能を使ってよいかを記録してください。メインのアシスタントを承認しただけで、連携するすべてのサービスまで承認したことにならないようにします。

Google Gemini：Workspaceのエディションを確認する

GoogleのAIアシスタントGeminiは、対象となるGoogle Workspaceのサービスを通じて利用する場合、法人向けの保護が適用されます。Googleは、顧客の事前の許可や指示なしに、Workspaceの顧客データを生成AIモデルの学習に使わないとしています。この対象には、Google Workspaceの生成AIプライバシーハブで説明されているプロンプトやコンテンツも含まれます。

Geminiアプリについては、Workspaceのライセンスでコアサービスに含まれていることを確認してください。コアサービスとは、該当するWorkspaceの規約が適用されるサービスです。Googleの現行リストには、Business Starter、Business Standard、Business Plusが含まれています。ほかのアカウント形態では保護が異なる場合があるため、Googleにログインできればよいと判断せず、仕事用アカウントのエディション別一覧を確認してください。

社内で標準にするサービスを検討している段階なら、GeminiとClaudeの比較やCopilotとGeminiの比較が選択の参考になります。従業員向けポリシーには、すでに承認したサービスを示してください。

生成AI利用ガイドラインは業務でどう役立つ？

AI利用ポリシーとは、AIを使った業務について会社が定めるルールです。「生成AI」は、指示に応じて文章、画像、コードなどのコンテンツを作るツールを指します。ポリシーは、共同で使うキッチンのルールに似ています。調理器具は誰でも使えても、特定の食材は鍵をかけて保管し、出来上がったものを出す前には誰かが確認する、という考え方です。

経営者の役割は、利用するツールを承認し、判断する責任者を決めることです。業務運営の担当者は、その決定を実際に使えるアカウントリストに落とし込み、質問に答えます。各従業員は入力する情報を確認し、出力に責任を持ちます。

公開情報・社内情報・利用制限のある情報を分ける

従業員が具体的に判断できる例を示してください。公開済みの商品説明は公開情報です。未公開の業務チェックリストは社内情報なので、その資料の利用が承認されたアカウントでしか扱えません。給与データのエクスポートには従業員の機密情報が含まれるため、この基本ポリシーの下ではAIに入力できません。

添付ファイルも確認します。一見問題のないエラー画面のスクリーンショットに、顧客のメールアドレスやアクセストークンが写っていることがあります。画像をアップロードすれば、そうした情報も共有されます。手入力するプロンプトだけを対象にしたルールでは、実際の業務をカバーできません。

顧客データは作業ごとに承認を得る

「名前を消す」のは有効な第一歩ですが、住所、注文番号、特徴的な苦情、複数の情報の組み合わせから、顧客を特定できる場合があります。本人の特定が不要な作業には、架空の例を優先してください。

配送遅延への返信を作るなら、サポート担当の責任者は「商品の到着が遅れている顧客」という設定と、公開されている配送ポリシーを使って、AIに文案を依頼できます。正しい顧客情報は、後から通常のサポートシステム上で追加します。苦情のやり取りを丸ごとアップロードするのは別の利用に当たり、明示的な承認が必要です。

顧客を特定できる情報が必要な場合、責任者は、共有できる項目、利用目的、使うアカウント、アクセスできる人、保存期間を記録してください。顧客データの保有をすでに認められていても、新しいAI業務フローで使うことまで自動的に承認されたと考えてはいけません。

人による確認では、内容そのものを検証する

確認担当者には、元の資料と、回答をうのみにせず検証できる知識が必要です。自然な文章の返信でも、会社が提供していない返金を約束しているかもしれません。もっともらしい表計算データの要約でも、参照した列が間違っていることがあります。

社外に出す前に、記述を原資料と照合し、重要な合計値を再計算して、最終的な送付先や公開対象、添付ファイルを確認してください。影響の大きい業務には、適切な専門知識を持つ確認担当者を指定します。結果を評価できる人がいない場合は、下書きのままにして、判断できる担当者に相談してください。

AIの利用を伝えるときは、「この要約の下書きにはAIを使い、私が原資料と照合しました」のように、平易に説明します。ただし、実際にそのとおりの作業をした場合に限ります。軽微な誤字修正の支援と、AIが作成した分析とでは、必要な説明の程度が異なります。社外への開示は、顧客との契約と、相手に誤解を与えるおそれを踏まえて判断してください。

日常業務でのAI利用ルールの適用例

アカウント、データ、確認担当者が明確なら、日常的な下書き作成から利用を始められます。顧客を特定できる情報のアップロードや、自律的な操作については、明示的な承認が得られるまで待ってください。以下は、このテンプレートを業務に当てはめた例です。

• 告知文を準備する経営者： 承認済みのアシスタントで、すでに公開している商品情報を書き直します。公開前に、約束している内容と日付をすべて確認してください。機密の発売予算をアップロードする必要はありません。
• 顧客対応を行う業務運営担当者： 架空の状況と承認済みのサービス方針を基に返信を作ります。特定の業務フローで認められている場合を除き、顧客の記録はサポートシステム内にとどめます。
• 代理店の顧客担当者： 顧客向けレポートの下書きにAIを使ったことを、社内の確認担当者に伝えます。顧客の資料を処理する前や、納品物でAI利用をどこまで説明するかを決める前に、顧客との契約を確認してください。
• 開発担当者： リポジトリ内のデータの利用について承認されたコーディング手順だけを使います。変更内容をレビューし、プロジェクトで通常行っているチェックを実施してください。コードの下書きを許可したからといって、アシスタントによるデプロイまで認めたことにはなりません。

承認されたルールの範囲内で公開情報を調べている従業員は、そのまま作業を続けられます。一方、顧客情報の共有フォルダを接続しようとしている従業員は、先に相談する必要があります。ポリシーは、この違いを迷わず判断できるものにしてください。

20分のミーティングでAI利用ルールを共有する

短いミーティングを開き、従業員が実際に直面する判断を練習しましょう。以下は20分の進行案です。アカウントの契約、契約書の確認、アクセス設定までその時間で終わるという意味ではありません。

ミーティング前に、責任者はポリシーの必要事項を埋め、承認済みアカウントを確認し、代わりの連絡担当者を決め、アカウントリストを共有します。管理者はアクセスと、該当するデータ共有設定を確認します。管理職は、顧客向けの業務や重大な影響を伴う業務の確認担当者を決めてください。

1. 1

   5分：ルールを説明する

   ポリシーを見せ、今日から何ができるのかを伝えます。入力禁止情報の一覧を示し、これまでにない用途を承認できる責任者を紹介してください。公開済みの商品説明文と、エクスポートした顧客データの違いを使い、境界を具体的に説明します。

2. 2

   5分：アカウントを確認する

   全員に、承認済みの会社のワークスペースやサービスを確認してもらいます。承認リストの場所も示してください。アクセスできない問題は記録して後で対応し、利用できない人には、そのアカウントが必要な作業を待つよう伝えます。

3. 3

   7分：判断を練習する

   公開する告知文、顧客からの苦情、給与データのエクスポートという3つのケースを取り上げます。使ってよい情報、削除するか入力を避けるべき情報、出力を確認する人を考えてもらってください。この基本ポリシーでは、給与データのエクスポートは入力できません。架空の情報を使ったプロンプトを実演します。

4. 4

   3分：担当者と報告先を確認する

   全員に、ポリシーを確認して了承した旨を伝えてもらい、質問やインシデントの連絡先を確かめてもらいます。それぞれの通常業務を確認する担当者も明確にしてください。ミスを速やかに報告すれば影響を抑えやすくなり、隠すと対応が難しくなることを説明します。

最初の週が終わったら、寄せられた質問を振り返ります。曖昧な表現を直し、使われていない承認項目を削除し、役立つ例を追加してください。四半期ごとの定期的な見直しは継続し、新しい連携や業務フローによってアシスタントが参照できるデータや実行できる操作が変わるたびに、ポリシーを再確認します。

AI利用ポリシーに期待しすぎてはいけないことは？

ポリシーに署名しただけでは、アカウントの設定も、コネクタの接続解除も、自動送信の停止も実行されません。文書どおりの設定と権限にする担当者を置いてください。

法人データに関する各社の約束も、「どんな用途でも安全」という意味ではありません。学習、保存、アクセス、第三者のサービス、資料を共有する権限は、それぞれ別に確認する必要があります。法人向けプランを出発点にし、実際の作業について承認を得てください。

AIが書いた文章の量だけで、利用の適否を測るのは避けましょう。AIを大いに使った公開用の下書きでも、十分に確認すれば適切に利用できます。一方、短いプロンプトでも機密情報が含まれていれば、その時点でルールに反します。判断すべきなのは、データ、操作、そして誰が責任を持つかです。

よくある質問

AIの「30%ルール」とは何ですか？

このポリシーでは、AIが書く割合を30%に制限するルールは採用していません。AIが書いた文章の割合では、顧客データを共有してよいか、結果が正確かを判断できないからです。承認済みアカウント、利用可能なデータ、人による確認というルールで判断してください。

AIを使ってよい業務には、どのようなものがありますか？

公開情報を使ったアイデア出し、利用を許可された社内資料を基にした下書き、そのアカウントでの利用が承認された文書の要約などです。結果を使う前に、責任を持つ人が確認する必要があります。

AIはどこまで使ってよいのでしょうか？

承認された作業の範囲内で、人が責任を持って検証できるところまでです。入力禁止のデータを使う場合、許可されていない操作を行う場合、出力を評価できる人がいない場合は、利用を止めてください。

生成AI利用規程には、どのようなルールを書けばよいですか？

たとえば、「承認済みの会社のAIアカウントで許可された業務を行い、制限対象のデータは入力せず、結果を判断の根拠にしたり共有したりする前に必ず確認する」というルールです。上のテンプレートでは、これを実行するために必要な責任者、AI利用の開示、報告のルールも定めています。

AI利用ポリシーでは何が禁止されていますか？

このテンプレートでは、認証情報など記載された機密情報の入力、未承認の顧客データのアップロード、人を欺く利用や差別的な利用、別途承認された手順によらないAI単独での重大な操作・判断を禁止しています。ツールが承認リストに載っていても、これらの制限が解除されるわけではありません。

利用ポリシーによく書かれる5つのルールは何ですか？

ここでは、一般的な利用頻度のランキングを示しているわけではありません。中小企業向けのこのポリシーでは、承認済みアカウントを使う、データを守る、出力を確認する、実質的なAIの関与を適切に伝える、問題を速やかに報告する、という5つを優先します。

実効性のある利用ポリシーに必要な3つの要素は何ですか？

許可する用途が明確であること、データの制限が具体的であること、確認や判断に迷った際の相談を担う責任者がいることです。従業員が、自分の業務にそれぞれを当てはめられるようにしてください。

具体的なポリシーの文例はありますか？

たとえば、「顧客の苦情のやり取りをAIツールに入力できるのは、責任者が作業、アカウント、データを承認した場合だけです。承認がなければ架空の例を使ってください」というルールです。関連するルールも含めて整えるには、上のテンプレート全体をコピーして使ってください。

IT利用ポリシーのPDFサンプルはありますか？

AIに特化した文書なら、上のテンプレートを文書作成ソフトにコピーし、角括弧の項目を置き換えてからPDFとして書き出してください。対象はAIの利用です。端末、メール、アクセス、セキュリティを扱う、より広いITポリシーと併せて運用してください。

中小企業でAIを実務に生かす方法は、ニュースレターでお届けしています。