生成AIの社内ガイドラインの作り方 — 条文構成と運用の型

ガイドラインは、禁止事項を並べただけでは機能しません。現場が自分で判断できる基準になっているか——そこが分かれ目です。実際に文書を書く担当者に向けて、条文の並べ方から改訂・教育・監査の回し方までを整理します。

結論：禁止の列挙ではなく「判断できる基準」を書く

生成AIの社内ガイドラインでよく起きる失敗は、禁止事項ばかりが並ぶことです。「顧客情報を入力してはならない」「未公表の情報を入力してはならない」——並べるほど網羅的に見えますが、現場で実際に困るのは、そこに書かれていない場面です。

取引先から受け取った資料は入れてよいのか。社内で公開されている議事録は。自分が書いた提案書の下書きは。禁止リストに載っていないものが出てきたとき、現場は判断できません。そして判断できないときの安全策は「使わない」です。こうしてガイドラインを作ったのに利用が広がらない、という状態が生まれます。

実装の要点は、個別の禁止事項ではなく「どう考えれば判断できるか」の基準を書くことです。そのうえで、判断に迷ったときに相談できる先を明示する。この2つが揃うと、ガイドラインは現場を止めるものではなく、動かすものになります。

まず参照すべき公的な指針

ゼロから考える必要はありません。国が示している指針がいくつかあり、自社のガイドラインはこれらと矛盾しない形で作るのが基本です。

AI事業者ガイドラインは、総務省・経済産業省が公表しているもので、第1.2版が令和8年3月31日に公表されています^※1。あわせて「活用の手引き」も公表されており、実務に落とすための補助資料が揃ってきています^※4。

個人情報保護委員会は、令和5年6月2日に「生成AIサービスの利用に関する注意喚起等」を公表しています^※2。個人情報取扱事業者向け、行政機関等向け、一般の利用者向けにそれぞれ注意点が示されているため、ガイドラインの個人情報に関する条文を書く前に原文を確認してください。

文化庁は「AIと著作権について」のページで、令和6年3月15日に取りまとめられた「AIと著作権に関する考え方について」と、令和6年7月31日公表の「AIと著作権に関するチェックリスト＆ガイダンス」を掲載しています^※3。著作権に関する条文はここを踏まえて書きます。

いずれも更新される可能性があるため、参照先には版数と公表日を明記しておくのが実務的です。

条文の全体構成 — 10の要素

社内ガイドラインに入れる要素を並べると、おおむね次の10になります。順序にも意味があり、「なぜ作るのか」から始めて「困ったときどうするか」で終わると読み手が迷いません。

すべてを一度に完璧に書く必要はありません。ただしこの10の枠だけは最初に作っておくと、後から埋めるときに構造が崩れません。空欄のまま「検討中」と書いておくほうが、項目自体が抜けているより安全です。

第1条・第2条：目的と適用範囲

目的の条文で、この文書の性格が決まります。「情報漏洩を防止するため」とだけ書くと、以降の条文が自然と禁止の方向に寄ります。「業務の生産性を高めるために生成AIを安全に活用すること」と書けば、活用を前提とした条文になります。どちらが自社の意図に合うかを、最初に決めてください。

適用範囲は、対象者と対象行為の2つを書きます。ここが曖昧だと、後で必ずもめます。

• 対象者… 正社員だけでなく、契約社員・派遣・業務委託先まで含めるかを明記します。業務委託先に適用する場合は、契約書側でも担保が必要になるため、法務との調整が要ります。
• 対象行為… 「業務における生成AIの利用」に限るのか、「業務に関する情報を扱う場合は私的な利用でも対象」とするのか。後者にする場合、その理由を明示しないと反発が出ます。
• 対象ツール… 汎用のチャットAIだけでなく、業務システムに組み込まれたAI機能も対象になるかを書きます。ここを書き忘れると、「これはAIではなく機能だから対象外」という解釈が生まれます。

用語の定義（第3条）は軽視されがちですが、「出力」と「生成物」を使い分けるのかといった細部が、後の条文の読みやすさを左右します。定義した語は、以降の条文で必ず同じ意味で使ってください。

第4条：利用してよいツールの決め方

「許可制」にするか「原則自由」にするかは、最初の分岐点です。

実務上は、許可制を基本にしつつ、申請の手順を軽くするのが現実的です。「申請したら2週間待たされる」状態だと、現場は申請せずに使うか、使うのをやめます。どちらも望ましくありません。

条文には、次の3点を書きます。

• 現時点で許可されているツールの一覧。無料版と法人版を区別して書きます。同じサービスでも契約形態でデータの扱いが変わるためです。
• 追加したいときの手順。誰に、何を書いて申請するか。判断にかかる目安の日数も書いておくと親切です。
• 一覧の更新方法。一覧を条文本体に書き込むと、ツールが増えるたびに規程改訂が必要になります。一覧は別表にして、別表だけを更新できる形にしてください。

第5条：入力してよい情報 — もっとも重要な条文

ここがガイドラインの核心です。冒頭で述べたとおり、禁止事項の列挙では現場が判断できません。基準を先に書き、例を後に添えるという順序にしてください。

基準の書き方の一例です。

この形にすると、リストに載っていない情報が出てきても、(1)〜(3)に当てはまるかどうかで自分で判断できます。そのうえで、判断しやすくするための例を別表で示します。

最後の行のように、「内容による」と書ける項目を意図的に入れておくことをおすすめします。すべてを白黒で示すと、判断が要る場面があること自体が伝わりません。

なお、個人情報を含むプロンプトの入力については、個人情報保護委員会が注意喚起を公表しています^※2。自社の個人情報保護規程との整合を必ず確認してください。既存規程があるのに新しいガイドラインだけで判断させると、矛盾が生じます。

第6条：出力の取り扱いと責任の所在

入力の話に比べて手薄になりがちなのが、出力をどう扱うかです。実務上のトラブルはむしろこちら側で起きます。

条文に含めるべき要素は3つです。

1つ目、確認の義務。生成AIの出力には誤りが含まれ得ることを前提に、「そのまま使わず、内容を確認してから使用する」旨を書きます。ここで重要なのは確認の水準を場面ごとに変えることです。社内メモの下書きと、顧客に提出する文書では、求められる確認の厳しさが違います。一律に「必ず全て検証する」と書くと、現実に守られないルールになります。

2つ目、責任の所在。「AIが出力したから」は免責になりません。その出力を使って業務を行った人が責任を負うことを明記します。これは利用者を萎縮させるためではなく、確認の義務がなぜあるのかを理解してもらうためです。

3つ目、AI利用の明示が必要な場面。社外に出す成果物でAIを使ったことを明示すべき場面があるかを決めます。取引先との契約でAI利用の可否や開示が定められている場合もあるため、法務と確認してください。

第7条・第8条：著作権と個人情報

この2つは、自社だけで判断せず公的な指針を参照して書く領域です。

著作権について。文化庁のチェックリスト＆ガイダンス^※3は、生成AIに関係する当事者の立場ごとに望ましい取組みを整理したものです。条文を書く前に、自社がどの立場（開発者・提供者・利用者）にあたるかを確認してから該当箇所を読んでください。

条文としては、次のような内容を含めます。

• 他者の著作物をそのまま入力して、類似した出力を業務に使うことのリスク
• 生成物を社外に出す前に、既存の著作物と類似していないかを確認する手順
• 商標・意匠など著作権以外の権利にも留意すること
• 判断に迷う場合の相談先（法務または外部の専門家）

個人情報について。個人情報保護委員会の注意喚起^※2を踏まえ、既存の個人情報保護規程を参照する形で書くのが実務的です。ガイドラインの中に個人情報の扱いを全部書き直すと、規程との間で食い違いが生じたときに、どちらが優先するのか分からなくなります。

書き方としては「個人情報の取り扱いは、○○規程の定めによる。加えて、生成AIの利用にあたっては次の点に留意する」という形で、既存規程を上位に置き、AI固有の留意点だけを追加する構造にしてください。

第9条：問題が起きたときの設計

ここの設計を誤ると、ガイドライン全体が機能しなくなります。

ありがちなのは、違反時の懲戒だけを書くことです。そうすると、入力してはいけない情報をうっかり入れてしまった人は、報告せずに黙ります。会社としては、その事実を把握できないことのほうが損害です。

設計の要点は3つです。

• 報告先と手順を具体的に書く。「速やかに報告する」だけでは動けません。誰に、どの手段で、何を伝えるかまで書きます。
• 報告した人が不利益を受けない旨を明記する。これがないと報告は上がってきません。故意・重大な過失の場合の扱いは別途定めるとしても、「気づいて報告したこと」自体は評価されるという姿勢を文書に残してください。
• 報告後に会社が何をするかを書く。影響範囲の確認、必要に応じた関係先への連絡、再発防止の検討。手順が見えていると、報告する側の心理的な負担が下がります。

懲戒について書く場合も、既存の就業規則の定めによるという形で接続し、ガイドライン独自の懲戒規定を作らないのが無難です。二重の規定は運用で必ず矛盾します。

第10条：改訂の運用を条文に埋め込む

生成AIをめぐる状況は変わり続けます。作った時点で古くなり始める文書だという前提で、改訂の仕組みを条文の中に入れておいてください。

書くべきは次の4点です。

• 所管部門。誰がこの文書を管理するか。情シスか、総務か、法務か。曖昧なまま運用すると、誰も更新しません。
• 定例の見直し時期。「年1回」「半期ごと」など。日付を決めておくと、忘れません。
• 臨時に見直す条件。「参照している公的指針が改訂されたとき」「利用ツールを追加・変更するとき」「重大な事案が発生したとき」。この3つを書いておけば、たいていの契機を拾えます。
• 版数と施行日の管理。文書の冒頭に版数・制定日・最終改訂日を置きます。どの版に基づいて判断したのかを後から追えるようにするためです。

作ったあとの運用 — A4一枚版・教育・監査

ここまでの10条をきちんと書くと、それなりの分量になります。そして分量のある文書は読まれません。この矛盾を解くのが二層構造です。

A4一枚版に載せるのは「毎日使う人が知っていればよいこと」だけです。適用範囲の細かい定義や改訂手続きは本則に置きます。この分け方をすると、一枚版は本当に一枚に収まります。

そして一枚版には必ず相談先を書いてください。現場が持つ疑問の大半は「これは入れていいのか」であり、その場で解決できる導線があるかどうかで利用率が変わります。

教育と周知 — 配って終わりにしない

文書を作っても、読まれなければ意味がありません。周知の設計を3段階で考えます。

第1段階：全社への周知。メールで配布するだけでは読まれません。研修の中で15分だけ時間を取り、A4一枚版を配って読み合わせるのが確実です。「読んだ」という記録を残すことも、後の運用で効いてきます。

第2段階：新しく入る人への周知。入社手続きの中に組み込みます。中途採用者は前職のルールを持ち込むため、ここは特に重要です。前職では許可されていたツールが自社では未許可、という状況は普通に起こります。

第3段階：改訂したときの周知。改訂内容の差分だけを短く伝えます。全文を再配布しても読まれません。「今回変わったのはこの2点です」という伝え方にしてください。

教育の内容としては、条文の暗記ではなく判断の練習が有効です。「取引先からもらった資料を要約したい。どうするか」といった具体的な場面を出して、その場で考えてもらう。研修の中で数問やるだけで、基準の意味が伝わります。

監査とログ — どこまで見るか

ルールを作ったら守られているか確認したくなりますが、ここは慎重に設計すべき領域です。

まず前提として、何をどこまで取得できるかは利用しているサービスと契約形態によって決まります。法人向けの契約では管理者向けの機能が提供される場合がありますが、個人向けの無料利用ではそもそも把握できません。「ログを取る」と条文に書く前に、技術的に何ができるかを確認してください。

そのうえで、監査の目的を明確にします。

とくに注意したいのが「個人の利用回数を評価に結びつけない」という点です。回数が評価されると、使うこと自体が目的化し、質の低い使い方が増えます。測るべきは業務がどう変わったかであって、利用回数ではありません。

また、従業員の利用状況を取得・確認する場合は、その旨を事前に周知しておく必要があります。何をどこまで見るのかを条文に書いておけば、後から不信感を生むことを避けられます。

委託先・外部パートナーへの適用

見落とされやすいのが、社外の関係者です。自社の社員だけにルールを課しても、業務委託先や常駐スタッフが別の基準で動いていれば、リスクは残ります。

整理すべきは次の3つの立場です。

とくに業務委託先は要注意です。委託した資料を先方が生成AIに入力する可能性があり、そこまで含めて考えておく必要があります。契約書に「委託業務の遂行にあたり、当社の事前の承諾なく生成AIサービスに委託資料を入力しない」といった条項を入れるかどうかは、法務と相談してください。

逆の立場も同じです。自社が委託を受ける側になったとき、顧客から受領した資料をAIに入力してよいかは、その契約の秘密保持条項によります。ガイドラインの第5条に「秘密保持義務を負って第三者から受領した情報」を含めているのは、この場面を想定したものです。

実務としては、受注時のチェック項目に「AI利用の可否」を加えるのが確実です。契約時に確認しておけば、案件が動き出してから慌てずに済みます。

小さな組織での現実的な進め方

ここまでの内容は、法務・情シス・人事がそれぞれ存在する組織を前提にしています。数十名規模で専任部門がない場合、そのままでは重すぎます。縮小版の進め方を示します。

まず、条文を10から5に絞ります。残すのは次の5つです。

• 目的と適用範囲（第1条・第2条をまとめる）
• 利用してよいツール（別表つき）
• 入力してよい情報の基準（もっとも重要。ここは省略しない）
• 出力の取り扱いと責任
• 困ったときの相談先と、問題が起きたときの報告

著作権・個人情報の条文は、独立させずに「入力してよい情報」と「出力の取り扱い」の中に織り込みます。参照すべき公的な資料へのリンクを添えておけば、詳細が必要になったときに辿れます。

次に、A4一枚版だけを先に作ります。専任がいない組織では、本則を完成させる前に運用が始まってしまいます。実務で必要な情報を1枚にまとめ、それを先に配る。本則は後から整えるという順序で構いません。

所管は、代表または管理部門の責任者が兼務で問題ありません。重要なのは部門の大きさではなく、「この文書を更新する人が決まっている」ことです。

よくある失敗と、その避け方

ガイドライン作成でつまずきやすい点を挙げます。

• 失敗1：他社の雛形をそのまま使う。とくに相談先・所管部門・許可ツールの一覧は自社固有の情報であり、埋めないまま配布すると空欄のまま運用されます。雛形は構成の参考にとどめてください。
• 失敗2：完璧を目指して公開が遅れる。検討している間、現場はルールが無い状態で使い続けます。「現時点の版」と明記して早く出し、運用しながら育てるほうが安全です。
• 失敗3：禁止事項だけを厚くする。判断の基準と相談先を欠いたまま禁止を並べると、利用が止まります。
• 失敗4：既存規程との関係を整理しない。個人情報保護規程・情報セキュリティ規程・就業規則との上下関係を決めないと、矛盾したときにどちらに従うか分かりません。
• 失敗5：所管部門を決めないまま公開する。誰も更新せず、参照している公的指針が改訂されても気づきません。

最初の30日でやること

着手する担当者向けに、現実的な段取りを示します。

1週目：現状を把握する。いま社内で何が使われているかを調べます。誰も把握していないケースがほとんどです。あわせて、この文書を誰が所管するかを決めます。ここが決まらないと先に進めません。

2週目：公的指針を確認し、骨子を作る。AI事業者ガイドライン^※1、個人情報保護委員会の注意喚起^※2、文化庁の資料^※3に目を通し、10条の骨子を作ります。この段階では中身が空でも構いません。

3週目：条文を起案し、レビューを回す。法務・情シス・人事に見てもらいます。とくに既存規程との関係は、この段階で整理しておきます。

4週目：A4一枚版を作り、周知の準備をする。本則より一枚版のほうが時間がかかることもあります。載せる項目を絞り込む作業だからです。

この4週間で「第1版」を出し、3か月後に運用の実態を見て改訂するという進め方をおすすめします。最初から完成形を目指さないことが、結果的に早く機能させるコツです。

3か月後の見直しでは、次の3点を確認してください。相談が実際に来ているか（来ていなければ相談先が伝わっていないか、そもそも使われていないかのどちらかです）。別表の許可ツールが実態と合っているか（現場が一覧に無いものを使い始めていないか）。判断に迷った事例が蓄積されているか（あれば別表の具体例に追加します）。この3点だけで、改訂すべき箇所はおおむね見えてきます。

逆に、3か月経っても相談が1件も来ず、利用も広がっていない場合は、ガイドラインの問題ではなく使いどころが示されていない可能性が高いです。その場合はルールの改訂より先に、業務との接点を示す取り組みが必要になります。

なお、ルールを整えるだけでは利用は広がりません。どの業務に使うかの見極めと、使い続ける仕組みが必要です。全体像はAIリスキリングとは？企業と個人の進め方・必要スキル・支援制度で整理しています。

Author

株式会社UNPLACED

「場所にとらわれず、居場所をつくる。」を理念に、企業向けのAI基礎研修・AIコンサルティング、ジュート由来の生分解性プラスチック「ソナリ」、ワークマネジメントサービス「OginAI」を提供しています。人手不足・DX・環境対応という経営課題に向き合う企業と伴走します。

AI活用

この記事は株式会社UNPLACEDが制作しています。掲載内容は公開時点の情報にもとづくもので、制度や仕様は変更される場合があります。