生成AIの社内ルールの作り方｜そのまま直して使えるひな型（条項の例）つき

社員がChatGPTなどの生成AIを使い始めていて、会社として社内ルールを作るように言われたものの、何を書けばいいのか分からない。そんな担当の方は多いのではないでしょうか。インターネットで「生成AI 社内ルール サンプル」と調べると長いひな型がいくつも見つかりますが、項目が多すぎて自社には重く、そのまま配っても読まれないことが少なくありません。

一方で、ルールを決めないまま使われていると、顧客の名前が入った資料をそのまま貼る人や、AIの答えを確かめずに社外へ出す人が出てきます。困るのは、誰が何をどこまで入れたのかを、あとから会社として説明できなくなることです。

社内ルールは「禁止の一覧」ではなく、「使ってよい範囲」を決めるものです。使ってよいツール、入れてよい情報、出てきたものの確かめ方など6つのことを短く決め、1版を配ってから困った所を直していくのが、いちばん回りやすい作り方です。この記事では、その6つと、公的な資料で押さえる所、直して使えるひな型、作り方の手順を順に説明します。

生成AIの社内ルールは「使ってよい範囲」を決めるもの

社内ルールというと、やってはいけないことを並べた文書を思い浮かべるかもしれません。ただ、禁止だけを並べると、社員は「では何なら使ってよいのか」が分からず、使わないか、こっそり個人のアカウントで使うかのどちらかになりがちです。

ルールが無いと起きること

ルールが無い会社でよく起きるのは、社員がそれぞれ自分の判断で無料のサービスに業務の情報を入れている状態です。サービスによっては入力した内容が学習に使われる設定になっていることもあり、顧客の情報や社内の数字が、会社の知らないところで外に出ていくおそれがあります。

もう1つは、AIの答えをそのまま使ってしまうことです。生成AIは、もっともらしい文章で事実と違うことを書くことがあり（ハルシネーションと呼ばれます）、確かめずに見積書や顧客への回答に使うと、間違いの責任は会社が負うことになります。

厳しすぎるルールも使われない

逆に、入力をすべて上長の承認にする、使えるのは決まった用途だけ、といった厳しいルールにすると、手間がかかりすぎて誰も使わなくなります。せっかく業務を速くできる道具なのに、使われないままでは意味がありません。

大事なのは、守ってほしい線をはっきり引いたうえで、その内側では自由に使ってよいと伝えることです。線の引き方は、次の6つで考えると整理しやすくなります。

社内ルールで決める6つのこと

社内ルールで決めることは、使ってよいツール、入れてよい情報、出てきたものの確かめ方、著作権と外部への公開、外部のサービスへつなぐとき、困ったときの窓口と見直しの6つです。最初からすべてを細かく書く必要はなく、まずは各1〜3行で決めておけば、ルールとして回り始めます。

1. 使ってよいツール

会社として使ってよいサービスと、その契約の形（会社で契約した法人向けのプランか、個人の無料版か）を決めます。法人向けのプランには、入力した内容を学習に使わない設定や、管理者が利用者を管理できる機能を備えたものが多く、会社で契約した物だけを使ってよいとするのが分かりやすい線です。学習に使わせない方法の詳しい選び方は、「生成AIに機密情報を学習させない方法」でまとめています。

2. 入れてよい情報

社内ルールの中心になるのが、AIに入れてよい情報の決め方です。情報を「入れてよい」「条件つきで入れてよい」「入れない」の3つに分け、それぞれに例を2〜3個ずつ書いておくと、社員が迷わずに判断できます。

個人情報については、個人情報保護委員会が事業者に向けて、個人情報を含むプロンプトを入れるときは利用目的の範囲内かを十分に確かめること、本人の同意なく個人データを入れる場合は、サービスの提供者がそのデータを機械学習に使わないことなどを十分に確かめることを求めています。社内ルールでは、迷うものは「入れない」の側に倒しておくのが安全です。

3. 出てきたものの確かめ方

AIの答えは下書きとして扱い、社外に出す前や判断に使う前には、人が確かめることを決めます。数字や固有名詞、法令や制度の名前は、元の資料で確かめてから使う、とひと言書いておくだけでも、間違いがそのまま外に出ることをかなり防げます。

社内の資料をもとに答えるAIなら、どの資料のどこを見て答えたかを一緒に示させると、確かめる手間が大きく減ります。社内資料で答えるAIの作り方は、「社内AIの構築方法」で説明しています。

4. 著作権と外部への公開

AIで作った文章や画像を社外に出すときの決まりです。文化庁の「AIと著作権に関する考え方について」では、生成AIで作ったものでも、既存の著作物との類似性と依拠性が認められれば著作権の侵害になり得るとしています。一方で、作風や画風といったアイデアが似ているだけで表現が似ていないものは、侵害にはならないと整理されています。

社内ルールでは、特定の作品や他社の文章をそのまま入れて似たものを作らせないこと、公開する前に既存の物と似ていないかを確かめることを決めておきます。

5. 外部のサービスへつなぐとき

最近は、AIがメールを送ったり、表計算のシートやほかのサービスに書き込んだりできるようになりました。便利な反面、間違った内容がそのまま社外に出たり、データが消えたりするおそれがあるので、AIが外のサービスに書き込むときは、人が内容を見て承認してから実行する、と決めておきます。

6. 困ったときの窓口と見直し

迷ったときに聞く相手と、間違って情報を入れてしまったときに知らせる先を、名前ではなく役割（情報システムの担当、総務など）で決めておきます。あわせて、ツールや公的な資料は変わっていくので、半年に1回など、ルールを見直す時期も書いておきます。

公的なガイドラインで押さえる所

社内ルールを作るときの土台になる公的な資料は、主に次の3つです。どれも罰則のある法律ではありませんが、何に気をつければよいかが整理されているので、自社のルールの抜けを確かめるのに向いています。

AI事業者ガイドラインは、細かい決まりを押しつけるのではなく、目的を示して各社が自分で取り組む形で作られています。ガイドラインの中で、AIを業務で使う会社は「AI利用者」と呼ばれ、第5部に気をつけることがまとめられているので、社内ルールを作る担当の方は、まずこの部分を読むのがおすすめです。

そのまま直して使える社内ルールのひな型（条項の例）

ここまでの6つを、条項の形にしたひな型です。【】の所を自社に合わせて書き換え、合わない条項は消して使ってください。社内規程として正式に定めるときは、就業規則や情報セキュリティの規程との関係を、社内の担当や専門家に確かめてください。

生成AIの利用に関するルール（第1版）

第1条（目的）
このルールは、社員が業務で生成AIを安全に使い、仕事を速く、よくするために、使ってよい範囲と守ることを定める。

第2条（対象）
このルールは、【正社員・契約社員・派遣社員・業務委託先】が、会社の業務で生成AIを使うときに適用する。

第3条（使ってよいツール）
1. 業務で使ってよいのは、会社が契約した次のツールに限る。【ツール名とプラン】
2. 個人のアカウントや無料版を業務に使わない。新しいツールを使いたいときは【窓口】に相談する。

第4条（入れてよい情報）
1. 公開済みの情報と、一般的な調べものは、自由に入れてよい。
2. 社内の手順書や会議のメモなど、社外に出していない情報は、第3条のツールのうち、入力を学習に使わない設定のものに限って入れてよい。
3. 次の情報は入れない。顧客・取引先・社員の個人情報、パスワード・APIキーなどの認証情報、契約で秘密にすると決めた情報、【その他、自社で定める情報】。
4. 入れてよいか迷うときは、入れずに【窓口】に相談する。

第5条（出てきたものの扱い）
1. 生成AIの出力は下書きとして扱い、社外に出す前と、判断に使う前に、利用した人が内容を確かめる。
2. 数字、固有名詞、法令・制度の内容は、元の資料で確かめてから使う。
3. 確かめていない内容を、確かめたかのように書かない。

第6条（著作権と外部への公開）
1. 他人の作品や他社の文章をそのまま入れて、似たものを作らせない。
2. 生成した文章・画像を社外に公開するときは、既存の物と似ていないかを確かめる。

第7条（外部のサービスへの書き込み）
生成AIにメールの送信や、外部のサービスへの書き込み・削除をさせるときは、実行する前に、利用した人が内容と件数を確かめて承認する。

第8条（困ったとき）
誤って第4条3項の情報を入れたときや、出力で問題が起きたときは、すぐに【窓口】に知らせる。

第9条（見直し）
このルールは【半年】ごとに見直す。ツールや公的なガイドラインが変わったときは、その時点でも見直す。

制定：【年月日】　担当：【部署】

条項を増やしたくなったら、実際に困ったことが起きたときに1条ずつ足すくらいがちょうどよい量です。最初から細かく書きすぎると読まれなくなるので、1枚に収まる長さを目安にしてください。

社内ルールの作り方 5つの手順

ひな型があっても、自社に合わせる作業は必要です。次の5つの手順で進めると、作って終わりにならずに済みます。

1つ目は、今どのツールが、どの部署で、何に使われているかを聞いて回ることです。禁止する前に実態を知ると、使ってよい範囲を現実に合わせて決められます。2つ目に、使ってよいツールを決め、会社で契約するものを選びます。

3つ目に、ひな型をもとに入れてよい情報の3つの区分を自社の例で埋め、1版を作ります。4つ目に、1版を社員に配って短い説明の場を持ち、迷う例を集めます。5つ目に、集まった迷う例をもとに、見直しの時期に条項を直します。

どの部署のどの業務にAIを使うと効果が出るかを先に決めておくと、ルールの「使ってよい範囲」も決めやすくなります。業務の棚卸しから一緒に考えたい場合は、AIコンサルティングのご相談もお受けしています。

当社がAIに作業させるときの決まり

デイワンでは、社内の多くの業務を毎日AIに任せていて、AIに作業させるときの決まりを文書にして持っています。人が使うときの社内ルールとは向きが違いますが、中身はかなり近く、ひな型の条項の多くはこの決まりから来ています。

たとえば、パスワードやAPIキーの値はAIとのやり取りに貼らないこと、メールの送信や外部のサービスへの書き込みは内容と件数を示して承認を得てから行うこと、確かめていない事実を確かめたかのように書かないこと、元の資料に無い条件や数字を足さないこと、を決めています。どれも、AIが便利なほど起きやすい間違いを、仕組みで止めるための決まりです。

当社の業務用AI「相棒AI」でも、回答の生成には Claude、資料を探す補助には OpenAI の埋め込みモデルを使っていて、どのサービスにどの情報が渡るかを決めたうえで使っています。社内ルールを作るときも、どのツールに何が渡るのかを先に書き出すと、入れてよい情報の線が引きやすくなります。

まとめ｜社内ルールは短く作って、回しながら直す

生成AIの社内ルールは、使ってよいツール、入れてよい情報、出てきたものの確かめ方、著作権と外部への公開、外部のサービスへつなぐとき、困ったときの窓口と見直しの6つを、短く決めることから始まります。公的なガイドラインで抜けを確かめ、1版を配ってから迷う例をもとに直していけば、使われるルールになります。

• 社内ルールは「禁止の一覧」ではなく「使ってよい範囲」を決めるもの
• 決めるのは6つ。入れてよい情報は「入れてよい・条件つき・入れない」の3つに分ける
• AI事業者ガイドライン第5部、個人情報保護委員会の注意喚起、文化庁の考え方で抜けを確かめる
• 1枚に収まる1版を配り、迷う例を集めて見直す

デイワンでは、AIをどの業務に使うかの棚卸しから、AIに任せる所と人が判断する所を分ける業務の流れの設計、社内の研修までをご支援しています。社内ルールを作る前の整理からでも、お気軽にご相談ください。

生成AIの使い方と社内ルールのご相談はこちら

---

FAQ 案（microCMS の FAQ の欄に入れる）

1. Q: 生成AIの社内ルールには何を書けばいいですか？

A: 使ってよいツール、入れてよい情報、出てきたものの確かめ方、著作権と外部への公開、外部のサービスへつなぐとき、困ったときの窓口と見直しの6つを、まずは各1〜3行で決めます。

2. Q: 無料版のChatGPTを業務に使ってもよいですか？

A: 会社として決めておく必要があります。入力した内容が学習に使われる設定のことがあり、会社が管理できないため、業務には会社で契約したプランだけを使うと決める会社が多くなっています。

3. Q: 生成AIに個人情報を入れてもよいですか？

A: 個人情報保護委員会は、利用目的の範囲内かを確かめること、サービスの提供者が機械学習に使わないことなどを確かめることを求めています。社内ルールでは、迷うものは入れないと決めておくのが安全です。

4. Q: 生成AIで作った文章や画像は、そのまま公開してもよいですか？

A: 文化庁の考え方では、既存の著作物との類似性と依拠性が認められれば著作権の侵害になり得ます。公開する前に既存の物と似ていないかを確かめ、他人の作品をそのまま入れて似たものを作らせないことを決めておきます。

5. Q: 社内ルールはどのくらいの頻度で見直せばよいですか？

A: 半年に1回などの時期を決めておき、ツールや公的なガイドラインが変わったときにも見直します。見直しでは、配ったあとに集まった迷う例をもとに条項を直します。