生成AIの社内利用を進めるとき、多くの企業が最初に作るのが利用ルールです。ただ、禁止事項だけを並べた文書は読み飛ばされやすく、結局は個別相談と属人的判断に戻りがちです。
生成AI利用ルールには、禁止事項だけでなく「使ってよいツール」「入力してよいデータと禁止データ」「申請が必要になる線」「例外を申請する窓口」「見直しの責任者」の5つを書きます。社員が自分の使い方を当てはめて、そのまま使ってよいか、申請が必要かを判断できる文面にすることが目的です。本記事の後半に、そのまま書き換えて使える規程の記入例を載せています。
要点
- 生成AI利用ルールは禁止事項の一覧ではなく、社員が自分の使い方を当てはめて、そのまま使えるか申請が必要かを判断できる文面にします。
- 規程には、使ってよいツール、入力してよいデータと禁止データ、申請が必要になる線、例外の申請窓口、見直しの責任者の5つを書きます。
- 業務とデータの組み合わせごとの判定はマトリクスとして別紙にし、規程の本文は短く保つと、変更や周知がしやすくなります。
利用ルールの結論は「使える範囲を明確にすること」
生成AI利用ルールは、利用を止めるための文書ではありません。むしろ、どこまでなら安全に使えるのか、どのラインを超えたら申請が必要なのかを明確にするための基準です。
そのため、曖昧な禁止表現だけを置くより、対象業務、入力データ、出力用途、保存先、公開前レビューを整理した方が、現場は判断しやすくなります。
「機密情報を入力しないこと」「生成物を無断で公開しないこと」のような禁止事項だけのルールでは、「どこからが機密か」「社内資料を要約してよいか」「部署内で共有するだけなら公開にあたるか」を社員が判断できません。迷うたびに情報システム部門や法務へ問い合わせが集まり、ルールがあっても使われない状態になります。
どの業務とデータの組み合わせなら自分で判断してよいかは、AI活用範囲のマトリクスで一覧にし、規程から参照させると判断が速くなります。
良い利用ルールは、使うなと書く文書ではなく、どう使えばよいかを切り分ける文書です。
| 項目 | ルールで定義すべきこと | 曖昧だと起きやすい問題 |
|---|---|---|
| 対象業務 | 使ってよい業務と禁止業務 | 個人判断で用途が広がる |
| 対象データ | 入力可否、匿名化要否、機密区分 | 機密情報の持ち込み |
| 要申請ライン | 申請が必要なケース | 確認先が分からず止まる |
| 例外運用 | 条件付き承認の扱い | 例外が属人化する |
| 更新責任 | 誰が改定するか | 古いルールが放置される |
そのまま書き換えて使える利用ルールの記入例
次の記入例は、生成AI利用ルールに入れる5つの項目を、規程の文面の形で書いたものです。【 】の部分を自社のツール名、部署名、データ区分に置き換えて使います。
1. 使ってよいツール
| 区分 | 記入例 |
|---|---|
| 許可するツール | 会社が契約した【ツール名・プラン名】を、会社のアカウントでログインして使う。 |
| 許可しないツール | 個人で契約したアカウント、会社が許可していないブラウザ拡張機能・アプリでは、業務の情報を扱わない。 |
| 新しいツールを使いたいとき | 【情報システム部門】へ申請し、許可されたものを一覧に追加する。一覧は【社内ポータルのURL】に掲載する。 |
2. 入力してよいデータと禁止データ
| データの区分 | 扱い | 記入例 |
|---|---|---|
| 公開情報 | 入力してよい | 自社や他社が公開しているWebページ、プレスリリース、公開資料 |
| 社内資料 | 許可したツールに限り入力してよい | 社内規程、議事録、社内向けの企画書 |
| 個人情報・顧客情報 | 要申請（氏名・連絡先を除けば入力してよい場合あり） | 顧客名簿、問い合わせ履歴、商談メモ |
| 取引先から預かった秘密情報 | 要申請（契約でAIへの入力が認められているか確認する） | 秘密保持契約のもとで受け取った資料 |
| 禁止データ | 入力しない | パスワード・認証情報、【マイナンバー、健康情報など自社で定めた区分】 |
3. 申請が必要になる線
記入例：次のいずれかに当たる場合は、使う前に【申請フォームのURL】から申請する。
- 個人情報・顧客情報、または取引先から預かった秘密情報を入力する
- 生成した文章・画像をWebサイト、プレスリリース、広告など社外に公開する
- AIにメール送信、CRMの更新、ファイルの共有などを自動で実行させる
- 許可ツールの一覧にないツールや外部連携を使う
業務とデータの組み合わせごとの判定は、AI活用範囲のマトリクスを別紙として付けると、規程の本文を短く保てます。
4. 例外を申請する窓口
| 場面 | 記入例 |
|---|---|
| 判断に迷うとき | 【社内チャットの質問窓口】で質問する。【情報システム部門】が【2営業日】以内に回答する。 |
| ルールの例外として使いたいとき | 【例外申請フォーム】に、理由、使うデータ、期間、代わりの確認方法を書いて申請する。承認者は【部門長と情報システム部門】。 |
| 急ぎで例外を使ったとき | 翌営業日までに【例外申請フォーム】で事後報告する。 |
| 誤って禁止データを入力したとき | すぐに【情報システム部門の連絡先】へ連絡する。自分で履歴を消して終わりにしない。 |
5. 見直しの責任者と周知
記入例：このルールは【情報システム部門】が管理し、【四半期】ごとに【法務・事業部門の代表】と見直す。変更したときは、変更日、変更した内容、変更の理由を末尾の変更履歴に書き、【全社メール・社内チャット】で知らせる。
禁止事項だけで終わるルールが機能しない理由
禁止事項だけのルールは、境界の判断を現場に戻してしまいます。たとえば『機密情報を入力しない』だけでは、どこからが機密か、匿名化したらよいのか、社内限定資料はどう扱うのかが分かりません。
現場が迷うたびに情シスや法務へ相談が集中すると、ルールは存在していても運用は回りません。申請フローと承認基準まで一緒に設計する必要があります。
申請フローとの連携という観点では、ルール文書に「不明な場合は◎◎へ問い合わせる」という連絡先を明示することが最低限必要です。問い合わせ窓口がないルール文書は、困ったときに現場が動けない状態を作ります。社内チャットに質問窓口を作るだけでも、判断に迷う案件を拾いやすくなります。
AIを使う事業者の取り組み方については、総務省が公開しているAI事業者ガイドライン（1.2版、令和8年3月31日公表）も、自社ルールを見直すときの参考になります。
社内ガイドラインを運用に載せる進め方
- 対象業務と対象データを棚卸しする。
- 自動承認できる範囲と要申請ラインを分ける。
- 利用申請書と承認基準を同時に作る。申請後の判定と確認の流れは、生成AIの承認基準とAI運用の承認フローで整理しています。
- 月次レポートで差し戻し理由と例外案件を振り返る。
- 3か月ごとにガイドラインを更新する。
「3か月ごとに更新する」運用では、単にルール文書を書き換えるだけでなく、変更内容と変更理由を記録することが重要です。「○月○日更新：顧客提案書の定義を明確化（理由：差し戻し事例が3件発生）」というChangelogを残すと、現場への周知と監査時の説明の両方に使えます。ルールが変わったことを知らないまま旧ルールで申請するケースを減らすには、変更通知を社内チャットや全社メールで必ず出す運用を決めておく必要があります。
利用ルールの要申請ラインは、最初は広め（多くの業務を要申請に）に設定し、3か月の運用で実態を確認しながら「問題のなかった業務は自己判断可へ移行する」方向で絞り込んでいくアプローチが安全です。逆に最初から自己判断可を広げすぎると、問題が起きたときに「なぜこれを自己判断可にしたのか」という説明責任が問われます。広めに始めて絞る順番の方が、後から緩和する理由を説明しやすく、現場にとっても「使える範囲が増えた」という体験になります。
ガイドラインが形骸化しているかどうかを確認する最も簡単な方法は、現場の担当者に「ルールのどこを見れば自分のケースが判断できますか？」と聞くことです。答えられない場合は、ルールの構造か周知方法に問題があります。
よくある質問
生成AI利用ルールは法務だけで作れますか？
法務だけでは足りません。情シス、事業部、広報やマーケなど、実際に使う部門の視点も必要です。
禁止事項だけを先に出してもよいですか？
緊急対応としてはありえますが、そのままだと運用が詰まりやすくなります。早めに要申請ラインと申請先まで整える方が安全です。
ツールごとに利用ルールを分けるべきですか？
まずは業務とデータ区分で整理し、そのうえで特定ツール固有の注意点を追加する方が運用しやすくなります。
利用ルールはどの頻度で見直すべきですか？
少なくとも四半期ごと、または重大な例外案件が出たタイミングで見直すと実運用に追いつきやすくなります。
誤って禁止データを入力してしまった場合、ルールにはどう書いておくべきですか？
すぐに連絡する窓口を書いておきます。本人が履歴を消して終わりにすると、データがどこに保存されたかを確認できなくなるため、情報システム部門が利用中のツールの設定や保存期間を確かめられるよう、連絡を先にする手順にします。
