生成AIの社内ルールの作り方｜中小企業向けテンプレートと盛り込む項目【2026】

生成AIの社内ルールとは、ChatGPTなどのAIに「入力してよい情報・ダメな情報」「生成物の確認義務」「使ってよいツール」「困ったときの相談先」を明文化した社内の取り決めです。中小企業なら、完璧な規程を目指すよりA4で2〜3枚の最低限の雛形から始め、運用しながら半年ごとに見直すのが現実的です。この記事では、なぜルールが要るのかから、盛り込むべき項目、そのままたたき台にできるテンプレート、現場に定着させるコツまでを実務目線でまとめます。

なぜ中小企業ほど生成AIの社内ルールが要るのか

「うちは小さいから、ルールなんて大げさ」と感じるかもしれません。しかし実務では、明文化された取り決めがないまま社員が思い思いにChatGPTを使い始めるほうが、はるかにリスクが高くなります。理由は大きく4つあります。

1. 情報漏洩のリスク

無料版の生成AIに入力した情報は、サービスによっては学習データとして利用される場合があります。顧客の個人情報や見積金額、未公開の企画を何気なく貼り付けると、それが社外に流出する経路になりかねません。個人情報保護委員会は2023年6月に「生成AIサービスの利用に関する注意喚起」を公表し、本人の同意なく個人データを含むプロンプトを入力し、それが応答以外の目的で扱われる場合は個人情報保護法に違反する可能性があると指摘しています（個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」）。

2. 著作権・権利侵害のリスク

生成AIの出力が、既存の著作物に似てしまうことがあります。それを確認せずにそのまま広告やブログに公開すると、著作権侵害を指摘される恐れがあります。総務省・経済産業省の「AI事業者ガイドライン」でも、生成AI特有の論点として知的財産権の侵害や偽情報・誤情報の生成が新たな社会的リスクとして挙げられています（経済産業省「AI事業者ガイドライン（第1.1版）概要」）。

3. 誤情報（ハルシネーション）のリスク

生成AIは、もっともらしい嘘を自信たっぷりに出力することがあります。法律の条文、数値、固有名詞などを確認せずに資料へ転記すると、誤情報がそのまま外部に出てしまいます。「AIが書いたから正しい」という思い込みが、現場で一番危険です。

4. 属人化・ブラックボックス化のリスク

ルールがないと、「誰が・どのツールに・何を入力しているか」を会社が把握できなくなります。使い方が一部の社員の頭の中だけにある状態では、トラブルが起きてから初めて実態を知ることになります。ルールは禁止するためではなく、安心して使える範囲を全員で共有するために作るものです。

社内ルールに盛り込むべき項目

項目を盛り込みすぎると、誰も読まない分厚い文書になります。実務で機能しているのは、次の表の項目に絞ったシンプルな構成です。中小企業なら、まずは★印の4項目だけでも明文化する価値があります。

入力してよい情報／ダメな情報を具体化する

ここが社内ルールの肝です。抽象的に「機密情報は入力禁止」と書くだけでは、現場は判断できません。実務では、次のように「具体例」で示すと迷いが減ります。

• 入力NGの例：顧客の氏名・住所・電話番号、マイナンバー、未公開の財務情報、見積・原価、契約書の全文、社員の人事評価、ID・パスワード
• 入力OKの例：すでに公開済みの情報、一般的な業界知識、固有名詞を伏せた相談文、自分で書いた文章のリライト依頼
• 原則：「判断に迷ったら入力しない」「迷ったら情報セキュリティ担当に相談」をルールの一行目に置く

東京都デジタルサービス局の「文章生成AI利活用ガイドライン」でも、職員が守るルールの筆頭に「個人情報等、機密性の高い情報は入力しない」が掲げられ、入力データが学習に使われない環境（オプトアウト機能）に限定する設計がとられています。中小企業でも、この「環境を限定し、入力情報を絞る」という考え方はそのまま応用できます。

出力の確認義務と責任の所在

生成AIはあくまで下書きを作る道具です。「最終的に使う文章・数値・画像は、必ず人が確認し、その内容の責任は利用者（および承認した上長）が負う」と一文で明記しておくと、現場の意識が変わります。特に社外へ公開・送付するものは、上長の承認を必須にすると安全です。

そのまま使える社内ルールのテンプレート

以下は、中小企業がたたき台にできる雛形です。自社の業種・体制に合わせて言葉を足し引きしてください。これをWordやGoogleドキュメントに貼り、A4で2〜3枚に収めるイメージです。

生成AI利用ルール（〇〇株式会社）

第1条（目的）
本ルールは、生成AIを安全かつ効果的に業務へ活用するための取り決めを定める。生成AIの利用を禁止するものではなく、リスクを管理しながら活用を推進することを目的とする。

第2条（適用範囲）
本ルールは、当社の役員・正社員・契約社員・パート・アルバイト、および業務委託先のうち当社業務で生成AIを利用する全ての者に適用する。

第3条（利用してよいツール）
業務で利用できる生成AIは、会社が承認したツール・プランに限る。承認外のツールを業務目的で使う場合は、事前に〇〇（情報システム担当等）の承認を得る。

第4条（入力してはならない情報）
次の情報は、いかなる生成AIにも入力してはならない。(1)顧客・取引先・社員の個人情報、(2)機密情報（未公開の財務・契約・原価・企画等）、(3)ID・パスワード等の認証情報。
判断に迷う情報は入力せず、〇〇に相談する。

第5条（出力結果の確認義務）
生成AIの出力は下書きとして扱い、業務に使用する前に、利用者が事実関係・著作権上の問題・不適切な表現の有無を必ず確認する。社外へ公開・送付する成果物は、上長の承認を得る。

第6条（責任の所在）
生成AIの出力を利用した結果について、最終的な責任は利用者および承認した上長が負う。「AIが生成したこと」は責任を免れる理由にならない。

第7条（報告・相談）
情報漏洩のおそれや権利侵害など問題が生じた、またはそのおそれがある場合は、速やかに〇〇へ報告する。報告者が不利益を受けることはない。

第8条（見直し）
本ルールは、技術や法令の変化に合わせて少なくとも半年に一度見直す。

制定日：〇年〇月〇日／管理責任者：〇〇

この雛形は、あくまで一般的な指針です。著作権法・個人情報保護法など関連法令の解釈や、自社の就業規則・既存セキュリティポリシーとの整合は、必要に応じて専門家に確認したうえで運用してください。就業規則そのものをまだAI活用に合わせて整備できていない場合は、AIで就業規則を作成する手順もあわせて参考にしてください。策定したルールを社内へ周知する通知文の書き方は、AIで社内通知・お知らせ文章を作成する方法で解説しています。

「社内ルール」ではなく「社内規程」として出すなら、雛形に足す3つ

上の雛形はA4で2〜3枚に収まる「ルール」として作っています。呼び方はルールでも規程でも構いませんが、就業規則やセキュリティポリシーと同じ棚に並べる“規程”として発行するなら、雛形のままでは3か所が足りません。この3つは、監査や取引先からの確認で必ず聞かれるところです。

②は運用の設計そのものなので、規程には経路だけを書き、具体的な項目や台帳の作りは別で持つのが現実的です。申請書に書かせる項目・承認者が実際に見るチェック項目・二層フローの作り方は生成AIの利用申請と承認フローの作り方にまとめています。③は「取れるものを全部取る」と決めると必ず揉めるところで、利用メタデータは残し、プロンプト本文は目的を決めて条件つきで残すという線が実務では落ち着きます。判断の表と保存期間の決め方は生成AIの使用ログをどこまで取るべきかで整理しました。

禁止事項の書き方：抽象的な禁止は守られない

規程づくりでいちばん効くのに、いちばん手を抜かれるのが禁止事項の書き方です。「機密情報を入力してはならない」と書いた規程は、ほぼ守られません。守る側が目の前のファイルが機密情報かどうかを判断できないからです。禁止事項は「何を」ではなく「どの状態のものを」で書くと、現場で判断できる文になります。

書くときのコツは3つです。①「迷ったらこうする」を必ず1行添える——判断に迷う情報は入力せず誰に相談するか、を禁止事項とセットで書く。②禁止の数を絞る——10個並べると全部読まれません。入力・出力・判断の3系統で各2〜3個に収めるのが上限です。③罰則から書き始めない——違反への処分を先に書いた規程は、利用そのものを止める方向に働きます。目的は活用を止めることではなく、止まらずに使えるようにすることなので、推奨される使い方と並べて書いてください。

運用を定着させるコツ

ルールは作って配布した瞬間に形骸化しがちです。実務で「使われるルール」にするためのポイントは次の通りです。

• 研修とセットにする：ルールを配るだけでなく、30分でも説明会を開く。なぜ入力NGなのかを実例で示すと納得感が違う。具体的な進め方は生成AIの社内研修を何から始めるかと定着ステップを解説した記事が参考になります。
• 少しずつ広げる：最初から全社・全業務に適用しようとせず、まず一部の部署や業務で試し、現場の声を反映してから広げる。
• 現場の声を吸い上げる：「このケースは入力していいのか」という質問を集め、FAQとしてルールに追記していく。ルールは育てるもの。
• 推進姿勢を見せる：禁止のトーンが強すぎると誰も使わなくなる。「会社として活用を後押しする」という方針を経営層が示す。

政府のガイドラインも継続的に改定されています。最新動向は政府の生成AIガイドライン改定2026の要点を解説した記事もあわせて確認しておくと、社内ルールの見直し時に役立ちます。

学校・教育現場など、業種別に個別のガイドラインが定められている領域もあります。教育機関向けの要点は学校・教育現場の生成AIガイドライン｜文科省Ver.2.0の要点にまとめています。

よくある失敗パターン

最後に、社内ルール作りでつまずきやすい典型例を挙げておきます。

• 完璧主義で終わらない：あらゆるケースを網羅しようとして、いつまでも公開できない。まず最低限で出して、運用しながら直す。
• 研修なしで配布：文書だけ配って「読んでおいて」で終わると、誰も読まず、結局自己流で使われる。
• 現場と乖離した禁止だらけのルール：禁止事項ばかりだと、隠れて私物端末で使う「シャドーAI」を生み、かえって把握できなくなる。
• 作りっぱなしで放置：ツールも法令も変わるのに更新されず、半年で実態と合わなくなる。見直しの期限を必ず決める。

ルールを整えても使われなければ意味がありません。定着を妨げる要因は生成AIが社内で定着しない理由で詳しく解説しています。

まとめ

生成AIの社内ルールは、難しく考える必要はありません。「入力してよい／ダメな情報」「出力の確認義務」「使ってよいツール」「責任の所在」の4点を、A4数枚の雛形に落とし込むところから始めれば十分です。大切なのは、完璧さより早く始めて、現場の声で育てていくこと。研修とセットで運用すれば、リスクを抑えながら生成AIの効果を引き出せます。

Mihataでは、生成AIの社内ルール整備から研修・定着支援まで、中小企業の現場に合わせたAI導入支援を行っています。「何から手をつければいいか分からない」段階からご相談いただけます。

ルールを整備する前提として、そもそも生成AIを個人契約のまま業務で使ってよいのか、法人契約が必要なのかを整理したい方は、生成AIの個人契約と法人契約の違い｜業務で見るべき4点をご覧ください。

ルールを作っても、社員が会社の許可なく別のAIツールを使ってしまう「シャドーAI」が起きることがあります。見つけ方と整え方はシャドーAI対策｜社員が勝手に使う生成AIの見つけ方と整え方で解説しています。

社外へ出すAI生成物にどこまで表示を付けるかはAI生成物の表示義務｜EU AI法50条と日本企業がやることを、AIに業務の実行を任せる際の責任分担はAI社員だけの部署は成立するか｜NECのAI自律型組織4階層を参考にしてください。

ルールを作ったあと、誰がどこまで判断するかを決めるところは社内AIの運用担当がいない会社の進め方にまとめています。

ルールに落とすとき、使っているAIの提供元が何を禁じているかも併せて確認してください。Anthropic は2026年11月12日施行のClaudeの利用ポリシー改定で、雇用・金融・法律など12分野を「高リスク用途」として名指しし、資格のある人の確認とAI利用の開示を利用者側の義務にしました。社内の下書き・要約で止まる使い方は対象外です。