生成AIの社内ルールの作り方｜A4一枚で決める7項目と入力禁止の情報

最終更新日：2026年10月30日　｜　執筆：Bay3株式会社 代表取締役 三浦一晃

生成AIの社内ルールは、目的と対象者、使うツール、入れない情報、使ってよい業務、出力の点検、トラブルの報告先、見直しの時期の7つを決めれば運用を始められ、量はA4一枚に収まります。社員が10〜100名程度の規模なら、分厚い規程を作り込むより、社員がChatGPTなどの画面を開くたびに「これは入れてよいか」を自分で判断できる線を先に引くほうが、守られるルールになります。いちばん先に決めるのは入力してはいけない情報です。顧客の氏名や電話番号、取引先から預かった資料、パスワードはどのツールにも入れない、と書いておけば、大きな事故の入口を最初にふさげます。

「議事録はAIでまとめていいよ」と社長が口頭で許したとき、社員が受け取るのは「使ってよい」という許可だけです。商談のメモに顧客の名前が入っていたら貼り付けてよいのか、無料版の個人のアカウントでもよいのか、出てきた文章をそのまま取引先に送ってよいのかは、社員がその場で決めることになります。社内ルールはこの「その場の判断」を減らすためのもので、禁止の事項ばかり並べると、会社に隠れて使う社員や、まったく使わなくなる社員が出てきます。どちらも会社にとっては損なので、ルールは「ここまでは使ってよい」が先に読める形で作ります。

どの仕事でAIを使ってよいかを自社に当てはめて決めるなら、生成AI 業務の棚卸しシート（Excel・無料）が役に立ちます。業務ごとの時間と減らせる見込みを入れていくと、どの仕事から使い始めるかが順位で並びます。後半の表4は、このシートの列に沿って作った例です。

社内ルールが無いと、社員ごとに使い方が割れて情報漏洩の入口が残ります

社内ルールが無い会社では、何を入力してよいか、出てきた文章をそのまま使ってよいかを、社員一人ひとりが自分の感覚で決めています。感覚は人によって違うので、慎重な社員はまったく使わず、気にしない社員は顧客の情報まで入れてしまい、同じ会社の中で使い方が大きく割れます。生成AIを業務で使うときに起きる問題はおおむね4つに分けられ、それぞれルールで何を決めれば防げるかを並べると表1のようになります。会社が把握していない使い方が増えてから手を打つより、使い始める段階で線を引いておくほうが、社員も安心して活用できます。

表1　生成AIを業務で使うときの4つのリスクと、ルールで決めること

表1の4つのうち、中小企業で見落とされやすいのが最後の「会社が知らない利用」です。大きな企業には情報システムの担当部署があり、使えるツールを技術で制限できますが、専門の部署を持たない中小企業では、社員のスマートフォンやパソコンで何が使われているかを会社が把握しきれていないことが多いからです。たとえば営業の社員が、移動中に自分のスマートフォンのアプリへ音声で話しかけて商談の記録を作っていても、会社にはそれを知る手段がありません。禁止だけで抑えようとしても、見えないところで使われ続ける危険は残ります。会社が認めるツールを先に用意し、「それ以外は業務で使わない」と決めるほうが現実的な対策です。

社内ルールに書く項目は7つで、中小企業ならA4一枚に収まります

中小企業の社内ルールに最低限必要なのは、目的と対象者、使うツール、入れない情報、使ってよい業務、出力の確認、トラブルの報告、見直しの7項目です。ひな形の中には10項目を超えるものもありますが、項目を増やすほど文書は長くなり、社員が中身を読まずに同意だけする状態に近づきます。最初の版は1項目につき2〜3行で書いてA4一枚に収め、全員に配ると、読んだかどうかを朝礼や会議の場で聞いて回れる量になります。7つの項目と、それぞれに書く中身の具体的な例を表2にまとめました。

表2　生成AIの社内ルールに書く7つの項目と書き方の例

表2の4番目で「人事評価の判断には使わない」と書いたのは、生成AIの回答はどんな根拠でその結論になったのかを示さないことがあり、社員の処遇に関わる決定の理由を本人に説明できなくなるからです。採用の合否や評価のように人の処遇を決める場面では、AIに文章を整えさせることはあっても、判断そのものは上司と経営者が行う、と線を引いておくと社員の納得を損ないません。契約書や就業規則のように法律が関わる文書も同じで、AIが作成した下書きは専門家に見てもらう前提で使います。7項目のどれを細かく書くかは事業によって違い、顧客の個人情報を多く扱う会社なら3番目を、広告や販促物を多く作る会社なら5番目を厚くします。

• 1項目は2〜3行：細かい場面の例は、別紙の「よくある質問」に回して本文を短く保つ
• 「原則」と「例外」を分ける：例外を認めるときは、誰の承認が要るかまで書く
• 版の番号と日付を入れる：見直しで内容を修正したとき、どの版が最新かが社員に分かる

入力禁止の情報は、3つの段階に分けて例を書くと社員が判断できます

入力の判断は「入れない」「名前を伏せれば入れてよい」「入れてよい」の3段階に分け、それぞれに自社の仕事で出てくる情報の例を書いておくと、社員が画面の前で迷わずに済みます。「機密情報は入力しない」とだけ書くと、何が機密に当たるかを社員が決めることになり、人によって範囲が変わるからです。たとえば見積書の金額は、営業の社員には「いつも送っている数字」でも、経営者から見れば取引先との契約に関わる社外秘の情報です。3段階の分け方と例を表3に並べます。

表3　入力する情報の3つの段階と例

表3の「入れない」に社員の氏名まで入れたのは、評価や面談の記録に生成AIを使いたくなる場面が、人事の仕事では多いからです。面談のメモを要約させれば時間は減りますが、社員の名前と評価の中身が一緒に入力されれば、それは個人情報そのものになります。真ん中の段階を作っておくと、社員は名前を「Aさん」に置き換えてから要約させる使い方を選べるので、禁止しながらも使える道が残ります。どこまで伏せれば足りるかは業種によって違うため、最初の版では段階ごとに例を3つずつ書き、社員から迷う例が上がるたびに表へ足していきます。

個人情報を入れる場合は、学習に使われない設定と契約かを先に調べます

個人情報保護委員会は2023年6月に生成AIサービスの利用について注意を呼びかけ、個人情報を含む指示を入力するときは利用目的の範囲内かを十分に確認するよう求めました。あわせて、本人の同意なく入力した個人データが回答の出力以外の目的で扱われると、個人情報保護法に違反する可能性があるとして、提供元がそのデータを機械学習に使わないことの確認を求めています。多くのサービスでは、入力した内容を学習に使うかどうかが設定や契約の種類で変わるので、会社で使うツールを決める段階で、この点を最初に確認しておきます。

使ってよい業務は、業務の棚卸しで時間の多い仕事から選ぶと効果が出ます

使ってよい業務は、部署ごとの定期的な業務を書き出し、月にかかる時間と生成AIで減らせる見込みを掛け合わせて、順位の高い3つから決めます。「何に使ってもよい」とすると、社員は使い道を探すところで止まってしまいます。「この業務で使う」と決めておけば、使い方を部署の中で教え合えます。冒頭で紹介したシートでは、1回あたりの分数と月の回数から月の時間が出ます。そこで大・中・小・なしの見込みを選ぶと、減らせる時間と優先度まで自動で計算されます。見込みの割合は大60%・中35%・小10%が初期値で、優先度は減らせる時間を始めやすさの1〜3（1が最も始めやすい）で割って出します。この計算に表3の情報の段階を1列足し、説明のために作った架空の会社で並べたのが表4です。

表4　架空の会社で作った棚卸しの例（分数と回数は説明用の数字。割合はBay3の書式の初期値）

表4では、問い合わせメールの返信は月の時間がいちばん多い一方で、顧客の名前や注文の中身が入るので、返信の型だけを生成AIで作り、個別の返信には固有名詞を入れない使い方になります。評価面談の記録は減らせる時間が大きくても、表3で「入れない」に当たる社員の情報が中心なので、ルールの上では使わない業務に入れます。棚卸しの順位とルールの段階を1枚の表で見比べておくと、効率だけで選んだ業務が情報の扱いでつまずく、という事態を前もって避けられます。情報の段階で使わない業務を外し、残りの上位3つを1か月試して減った時間を記録してから一覧に加えれば、社員に「なぜこの業務なのか」を数字で示せます。

1. 部署ごとに業務を書き出す：「見積書を送るメールを書く」のように、誰が読んでも同じ作業が浮かぶ細かさで、定期的な業務を並べます。
2. 時間と見込みを入れる：その業務をふだん受け持っている人が、かかる分数と回数、AIでどこまで短くなりそうかを書き込みます。
3. 情報の段階を当てはめる：表3を見て、業務ごとに入力する情報が3段階のどこに入るかを書きます。
4. 使わない業務を外し、上位3つを1か月試す：減った時間と困ったことを記録し、使ってよい業務の一覧に反映します。

図1　使ってよい業務を決める4つのステップ

業務を書き出す作業は、生成AIのためだけでなく、誰がどの仕事をどれだけ抱えているかを見える状態にする意味もあります。特定の社員しか手順を知らない業務が見つかったら、AIに任せる前に手順を文書にしておくと、担当が休んだときにも仕事が止まりません。書き出し方の細かい手順は業務の棚卸しのやり方で、1人に集まった仕事のほどき方は属人化の解消方法の記事で紹介しています。

生成AIの出力は、社外に出す前に担当者が事実と数字と固有名詞を点検します

生成AIが作った文章や画像は、使った担当者が事実・数字・固有名詞の3点を点検してから使い、社外に出すものは上司が承認する、と決めておきます。生成AIは、実在しない制度や間違った数字を、正しい情報と同じ自然な文章で回答することがあり、この現象はハルシネーションと呼ばれています。たとえば補助金の申請期限や法律の改正日をAIに質問して、その答えをそのまま顧客向けの案内に書けば、間違っていたときに責任を負うのはAIを使った会社です。見る点を担当者と上司で分けておくと、どこまで見ればよいかが人によってぶれません。

図2　担当者の確認で使ってよい出力と、上司の承認が要る出力

著作権については、文化審議会の著作権分科会（法制度小委員会）が2024年3月に「AIと著作権に関する考え方について」をとりまとめました。AIで作ったものを利用する段階では、人が作ったものと同じく、既存の作品との類似性と依拠性で侵害かどうかを判断する考え方が示されています。社員が特定の作品やキャラクターの名前を指示に入れて画像を作れば、似たものが出てくる可能性は高くなるので、広告や販促物に使う画像は、指示の文章も含めて承認する人が見ます。ルールに「他社の商品名や作品名、実在する人の名前を指示に入れて画像や文章を作らない」と書いておくと、確認する側の手間も減ります。社外に出す前の確認は、次の4つを担当者が順にチェックする形にしておきます。

• 数字と日付を、元の資料か公的な発表と照らし合わせた
• 社名・人名・製品名が正しく、他社の商品名が混ざっていない
• 法律や制度に触れる部分を、専門家か元の条文で検証した
• 画像や文章が、既存の作品やロゴに似ていない

ルールは試用期間を置いて小さく始め、半年ごとの見直しで最新の状態に保ちます

社内ルールは、作って直す役の担当者（ここでは「ルールの持ち主」と呼びます）が1か月の試用をもとに正式な版を作り、周知と研修のあと半年ごとに見直します。生成AIのサービスは技術の進化が速く、機能や料金、データの扱いの条件が短い期間で変わるので、一度決めた内容が正しいまま何年も続くことはほとんどないからです。音声で話しかける機能や、社内のファイルを読み込ませる機能が追加されれば、表3で入れないと決めた情報が外部に出る新しい入口ができます。ルールの策定から定着までの流れを図3にまとめました。

図3　生成AIの社内ルールの導入から見直しまでの流れ

周知の場では、文書を配ったあと、表3の例を使って「この情報は入れてよいか」を社員に答えてもらう時間を取ると、読んだつもりで理解していない部分が見つかります。研修は年1回の全社研修に加え、新しく入社した社員には入社時の説明に組み込んでおくと、パートや派遣の社員まで同じ基準で使えます。トラブルが発生したときの報告は、入力禁止の情報を入れてしまった場合も、間違った回答を社外に出してしまった場合も、「気づいた日のうちに担当へ報告し、担当が経営者に伝える」という1本のフローにまとめます。報告した社員を責めない、と最初に書いておけば隠す理由がなくなり、集まった報告は、どの項目の書き方が足りないかを示す見直しの材料になります。

情報システムの担当がいない会社は、ルールの持ち主を組織図に1人書きます

人事や情報システムの専任がいない会社では、社内の決まりごとを作って直す役目が、結局は社長1人の机の上に積まれていきます。生成AIのルールも同じで、持ち主が決まっていないと質問は全部社長に集まり、見直しは誰も手をつけないまま半年が過ぎてしまいます。総務か管理部門から1人、ルールの持ち主を決めます。迷ったときの相談先、トラブルの報告先、見直しの担当をその人に集めて組織図に名前を書いておけば、社員は聞く相手で迷いません。経営者は担当者が出してきた改定の案を承認する役に回り、何をなぜ変えたかの記録を残しておくと、次の見直しや社員への説明に使えます。役割を表にまとめる方法は組織図と役割分担表の作り方を参考にしてください。

生成AIを使って事務作業を減らす具体的な使い方と、社内研修の進め方は中小企業のAI活用入門にまとめています。Bay3が業務の棚卸しからルールづくり、社内での定着までを一緒に進める支援の内容は、サービス紹介の生成AI活用の項目で読めます。

ルールを作る法律上の義務は無く、懲戒に使うなら就業規則への定めが要ります

Bay3の支援内容をもとに構成し、編集部が作成しています。

出典・参考：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」／文化庁「AIと著作権について」（文化審議会 著作権分科会 法制度小委員会「AIと著作権に関する考え方について」）／経済産業省「AI事業者ガイドライン検討会」