生成AIの社内利用ルールに必要な10項目｜中小企業向け作成手順

生成AIを業務で使う際、「機密情報を入れない」だけでは現場は判断できません。顧客名を伏せた議事録はよいのか、公開前の資料は誰が承認するのか、誤った出力を送信したらどこへ報告するのかまで決めて初めてルールが機能します。本記事では、中小企業が過度に利用を止めず、情報の重要度と用途に応じて安全に使うための10項目と作成手順を整理します。

全面禁止ではなく「情報・用途・ツール」で判断する

ルールの目的は生成AIを禁止することではなく、誰が、どの情報を、どのサービスで、何のために扱い、誰が結果に責任を持つかを明確にすることです。経済産業省のAI事業者ガイドライン第1.2版は、AI利用者にも、リスクを理解した適正利用、出力の事業利用に伴うリスクへの留意、関係者への情報提供などを求めています。自社ではこれを、日常業務で迷わない短い判断基準へ変換します。

既存の中小企業の生成AI導入ガイドは対象業務の選定からPoC、効果測定までを扱い、生成AI活用事例15選は業務候補を扱っています。本記事は、その前提となる社内規程、承認、記録、事故対応の設計に対象を絞ります。

生成AIの社内利用ルールに必要な10項目

1〜4. 使える人・ツール・情報・用途を先に決める

適用範囲には正社員だけでなく、業務データへアクセスする役員、派遣社員、アルバイト、委託先も含めるかを明示します。承認済みサービス一覧には製品名だけでなく、法人向け・個人向けなどの契約区分、利用可能な機能、管理者、契約確認日を記載します。同じ名称のサービスでもプランや設定により、入力データの利用、保存、管理機能が異なることがあるためです。

入力情報は「公開」「社内」「機密」「特別管理」など、既存の情報管理規程と同じ区分を使います。IPAは2026年公開の利用者向け資料で、クラウドAIへ営業秘密を入力しないことを基本対策として示しています。個人情報保護委員会も、個人情報を含む入力は利用目的の範囲を確認し、個人データが応答生成以外に扱われる場合は、学習利用の有無などを十分に確認するよう注意喚起しています。「氏名を消せば必ず安全」とは限らないため、他の情報と組み合わせて個人や案件を特定できないかも確認します。

用途は、下書き・要約・翻訳などの「許可」、個人情報や対外公開を伴う「要承認」、人事評価・採用・与信・契約など重大な判断をAIだけで確定する「禁止」のように段階化します。AIブラウザや外部連携機能は、閲覧中のページ、ファイル、他システムへアクセスできる範囲も確認対象です。

5〜6. 出力を誰が、何と照合するかを決める

生成AIの回答は、流暢でも正確とは限りません。数値、固有名詞、引用、法令、契約条件は原資料と照合し、顧客送信、Web公開、システム登録の前に業務責任者の承認を置きます。「AIが回答した」は免責にならないため、最終判断者と承認記録を明確にします。

著作権は「AI生成だから自由に使える」と一律に判断できません。文化庁は、AI開発・学習段階と生成・利用段階を分け、生成物の利用時には既存著作物との類似性や依拠性などを個別に検討する考え方を示しています。社外公開物では、既存作品・商標・人物との類似、入力素材の利用許諾、サービス規約、出典表示の必要性を確認し、判断が難しい場合は専門家へ相談します。

7〜10. 管理・記録・事故対応を日常業務に組み込む

業務利用は会社管理のアカウントを基本とし、多要素認証、最小権限、退職・異動時の停止、外部連携の承認を既存のアカウント管理へ組み込みます。ログはプロンプト全文を無条件に保存すると、かえって機密情報を複製する可能性があります。目的、利用者、日時、情報区分、出力の利用先、確認者を基本記録とし、本文保存の要否と閲覧権限、保存期間を業務リスクに応じて決めます。

誤って機密情報を入力した、誤情報を公開した、権利侵害の疑いを受けたといった場合は、利用者が隠さず報告できる一本道の窓口を用意します。初動は該当利用の停止、共有・公開の停止、サービス上で可能な削除、影響範囲の保全・確認です。個人情報漏えい等に該当するか、本人・取引先・所管機関への連絡が必要かは、担当者が関係法令と契約に基づいて判断します。

入力情報と用途から利用可否を決める判断表

この表は一般的なたたき台です。医療、金融、教育、採用など分野固有の規制や、取引先との秘密保持契約がある場合は、それらを優先して個別に見直してください。

社内利用ルールを作る6ステップ

1. 利用実態を把握する：部署、ツール、アカウント、入力情報、出力の利用先を一覧にし、未承認利用も責めずに把握する
2. 情報と業務を分類する：既存の情報管理区分と業務影響度を使い、許可・要承認・禁止を決める
3. サービスを審査する：規約、学習利用、保存、削除、データ所在地、権限、ログ、外部連携、契約終了時を確認する
4. 10項目を文書化する：原則だけでなく、自社で起こる入力例、判断例、報告先を添える
5. 限定運用で試す：少人数で迷った判断、確認時間、事故・ヒヤリハットを記録し、文言を直す
6. 承認・周知・見直しを回す：経営責任者が承認し、研修と相談窓口を用意し、サービス変更や事故時に改定する

法務・セキュリティ専任者がいない場合でも、経営責任者、情報システム担当、個人情報管理担当、業務部門の4つの役割は分けて確認します。一人が複数役を兼ねる場合は、最終承認者と相談先だけでも明文化してください。

生成AI社内利用規程のひな形

以下は規程を作るためのたたき台です。角括弧内を自社の契約・体制へ置き換え、既存の情報セキュリティ規程、個人情報保護規程、就業規則、委託契約との整合を確認してください。

規程本文を長くしすぎず、承認済みサービス一覧、入力例、利用申請、インシデント報告は別紙にすると更新しやすくなります。サービスの画面や機能が変わっても、規程全体の再承認ではなく別紙更新で対応できる体制にします。

運用開始前チェックリスト

• 対象者、対象端末、委託先への適用範囲が明確である
• 承認済みサービスを契約区分・機能・管理者まで特定している
• 入力禁止情報と要承認情報を、自社の具体例で示している
• 許可・要承認・禁止用途を、誤りの影響度に応じて分けている
• 社外公開・顧客送信・システム反映前の確認者を決めている
• 個人情報、営業秘密、著作権、契約上の制約を確認できる担当がいる
• 会社管理アカウント、多要素認証、退職・異動時の停止手順がある
• ログへ何を残すか、誰が見られるか、いつ削除するかを決めている
• 誤入力・誤公開時の停止、報告、調査、連絡の窓口が一つに定まっている
• 研修日、規程の主管部署、次回見直し日を記録している
• 規程とサービス一覧を従業員がすぐ確認できる場所へ置いている
• 質問・例外申請を受け、判断例をルールへ反映する運用がある

よくある質問

無料版の生成AIを業務で使ってもよいですか？

無料か有料かだけでは判断できません。入力データの学習利用、保存・削除、管理者機能、認証、外部連携、契約主体を確認し、会社が承認した契約・設定だけを利用します。審査前の検証は公開情報や架空データに限定してください。

個人情報を匿名化すれば入力できますか？

氏名を削除しただけで十分とは限りません。部署、役職、案件、日時などとの組合せで本人を特定できないか、利用目的の範囲内か、サービス側でどのように扱われるかを確認します。判断が難しい場合は入力せず、個人情報管理担当へ事前相談します。

生成AIを使ったことを顧客へ伝える必要がありますか？

一律の回答ではなく、契約、業界ルール、成果物の性質、顧客の合理的な期待で判断します。顧客データを扱う、重要判断を補助する、成果物の作成方法が品質や権利に影響する場合は、利用範囲、確認体制、再委託・データ処理条件を事前に説明できるようにします。

ログはプロンプト全文を保存すべきですか？

必ずしも全文保存が最適ではありません。機密情報の複製や閲覧範囲拡大を防ぐため、まず目的、利用者、日時、情報区分、出力の利用先、確認者を残し、本文は調査・監査上必要な利用に限定して、権限と保存期間を定めます。

ルールはどのくらいの頻度で見直しますか？

定期点検に加え、利用サービスの規約・機能・データ処理条件が変わったとき、新しい連携やAIエージェントを導入するとき、事故・ヒヤリハットが起きたときに見直します。現場で判断に迷った事例も改定候補として記録します。

参考にした公式情報

• 経済産業省「AI事業者ガイドライン（第1.2版）」
• 経済産業省「AI事業者ガイドライン活用の手引（案）」
• IPA「AI利用者のためのセキュリティ豆知識」
• IPA「セキュリティ担当者のための生成AIセキュリティ」
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」
• 文化庁「AIと著作権について」