生成AIの社内ガイドラインの作り方

社内ガイドラインは、ChatGPTやCopilotなどの生成AIを業務で使うときに、利用者一人ひとりが守る行動を定めた文書です。会社によって「生成AI利用ガイドライン」「AI利用規程」「AIポリシー」など、呼び方はさまざまです。本稿では、利用者向けのルールをまとめた文書を「社内ガイドライン（利用ルール）」と呼びます。

社内ガイドラインに入れる項目は、次の10個です。項目ごとに、なぜ必要かを添えます。

1. 承認済みのサービスだけを使う

会社が契約の条件（入力を学習に使わないか、保存の期間と場所、契約終了時の削除など）を確かめたサービスに限ることで、入力した情報の扱いを会社が把握できます。承認済みサービスの一覧は事務局が管理します。

2. 入力してよい情報の区分を守る

どの情報をどのサービスに入れてよいかが示されていないと、利用者は使うのを控えるか、個人の判断で使うかのどちらかになります。区分を表で示すと、迷わずに使える範囲が広がります（03）。

3. 第三者の著作物・他社の秘密情報・顧客情報を無断で入力しない

他者の権利や、取引先との契約で負う守秘の義務に関わるためです。入力してよいかの個別の判断は、法務や専門家に確認します。

4. 出力の事実・根拠・最新性・偏りを確認する

生成AIの出力には、事実と異なる内容、古い情報、偏った表現が含まれることがあります。そのまま使わず、根拠をたどれるかを確かめます。

5. 社外に出す内容は担当者が最終確認する

顧客への回答や公開する文章は、会社の名前で外に出ます。AIが作った下書きでも、内容と権利を確かめて責任を持つのは担当者です。

6. 採用・評価・与信などの重要な判断をAIだけで確定しない

人の権利や処遇に影響する判断は、誤りや偏りがあったときの影響が大きく、判断の理由を説明できる必要があります。AIは判断の材料にとどめ、確定は人が行います。

7. 生成したコードはレビュー・テスト・ライセンスの確認を経て使う

生成したコードには、不具合や脆弱性、ライセンスの条件を満たさない部分が含まれることがあります。人が書いたコードと同じ手順で確かめます。

8. 目的外の監視やなりすましに使わない

従業員や顧客の監視、他人になりすました文章や音声の作成は、個人の権利と会社への信頼を損ないます。労務や個人情報に関わる個別の判断は、専門家に確認します。

9. AIエージェントには最小限の権限を与え、リスクの高い操作は人が承認する

システムを自動で操作するAIエージェントでは、誤った指示や判断が、そのまま発注・送信・データの更新につながります。AI事業者ガイドライン（総務省・経済産業省、第1.2版、2026年3月31日）も、第1.2版でAIエージェントに関する記述を加えています。

10. 異常を見つけたらすぐに報告する

入力してはいけない情報を入れた、誤った出力を社外に送った、といった事態は、早く分かるほど影響を小さくできます。報告の窓口を明記し、報告しても不利益を受けないことを定めます（06）。

入力の区分は、情報の種類とサービスの種類の2つの軸で決めます。同じ社内の情報でも、会社が契約の条件を確かめた法人向けのサービスと、個人向けの無料版とでは、入力した情報の扱いが異なるためです。

次の表は例です。情報の区分は、情報セキュリティの規程などで自社がすでに定めている区分に置き換えて使います。

個人情報は、利用目的の範囲に収まるか、本人の同意や委託先との契約が必要かを確かめてから扱います。個別の判断は、法務や専門家に確認します。

表の「可」「条件付き」は、外部のAIサービスを採用するときに、入力の学習への利用、保存の期間と場所、契約終了時の削除を審査していることが前提です。サービスの設定は変わることがあるため、確かめた条件は見直しのたびに更新します。

情報の区分だけでは判断に迷う場面があるため、代表的な利用場面ごとに可否を示します。「条件付き」の場面では、必要な確認と、残す記録を決めておきます。

完成を待つ間も、業務でAIを使いたい理由はなくなりません。使ってよい範囲が示されていないと、会社が把握していない手段で使われる余地が残ります。

調査の数値も、この構造と合っています。エルテスの調査（2026年1月19日公表、29〜69歳の会社員・公務員300名へのインターネット調査）では、業務で生成AIを使っている人は34.3%でした。社内ガイドラインが「ある」または「策定中」と答えた人の職場では会社が許可したツールの利用が多く、「ない」と答えた人の職場では許可されていないツールの利用が多い結果でした。業務で生成AIを使う人は約100人と小さな標本で、因果関係までを示すものではありませんが、使ってよい範囲を示すことが、会社が把握できる利用につながると読めます。

見直しは、年1回以上に加えて、使うサービス・用途・扱うデータが変わったときと、重大な事故が起きたときに行います。見直しでは、相談や報告で寄せられた「判断に迷った場面」を、本稿の「入力してよい情報の区分」（03）と「利用してよい例・いけない例」（04）の表に、行として足していきます。

社内ガイドラインを配っても、社内でどのAIが使われているか、ルールに沿って使われているかは、文書だけでは分かりません。社内ガイドラインを機能させるために、次の4つの運用を組み合わせます。

AIインベントリへの登録

使う前のセルフチェック5問

利用者は、使い始める前に次の5問を確かめます。答えられない問いや、当てはまる項目があれば、使う前に事務局へ相談します。

不利益を受けない相談と報告

利用の定着で見る教育

研修の実施率は、ルールを知らせたことは示しても、ルールに沿って使われているかは示しません。教育の成果は、セルフチェックの実施、AIインベントリへの登録、相談の件数など、利用の実態を示す記録で確かめます。

AnchorXは、本稿の内容を書き換えて使える「生成AIの社内ガイドライン ひな形」（Word、A4・10ページ前後）と、運用の記録に使う「AIガバナンス 運用シート」（Excel）を配布しています。Wordは社内に配る文書として、Excelは運用の記録として使い分けます。

利用ルールの前後に、方針と許容リスク（3章）、リスク区分と承認（8章）、体制（11章）を置き、方針から確かめる仕組みまでを一つの文書で示しています。Excelの運用シートは、00_使い方／01_方針・許容リスク／02_AIインベントリ／03_リスク判定／04_利用ルール／99_定義の6シートで、04_利用ルールに06のセルフチェック5問を入れています。

自社に合わせて書き換える箇所

ひな形では、書き換える箇所を【】で示しています。主なものは次のとおりです。

法務の確認が要る箇所

ひな形は、項目の抜けを防ぐためのものです。次の箇所は、自社の状況に合わせて法務や専門家が確認します。

法令・契約・労務・業界の規制に関する最終的な判断は、各社の専門部門や専門家が行う前提で作っています。