生成AIの社内ルールの作り方｜中小企業が決める10項目と、入力してよい情報

生成AIの社内ルールとは？なぜ中小企業にも要るのか

生成AIの社内ルールとは、社員が業務で生成AIを使うときに守ることを、文書にして決めたものです。「利活用ガイドライン」「利用規程」などとも呼ばれます。

IPA（情報処理推進機構）のガイドラインは、利活用ガイドラインがないと、生成AIの使い方を利用者が自己判断せざるを得なくなる、としています。その結果、個人情報を入力して漏えいさせたり、効果的な使い方がわからず使うのをやめてしまったりする事態が起こりやすくなります。

同じガイドラインは、JIPDEC／ITRの調査（2024年）を引いて、ルールの策定状況を次のように紹介しています。

社員がそれぞれのアカウントで使っている企業ほど、ルールが整っていない様子がうかがえます。

社内ルールに書く10項目

ルールに書く項目は、会社の規模にかかわらず、おおむね次の10項目です。IPAのガイドライン、総務省・経済産業省の「AI事業者ガイドライン」、文化庁の資料を参考に整理しました。

10項目を、最初から細かく書く必要はありません。1ページ程度から始めて、使いながら足していきます。

入力してよい情報の分け方｜3つの区分で決める

IPAのガイドラインは、入力を制限することが推奨される情報として、著作権で保護された情報、個人情報、組織の機密情報を挙げています。現場で迷わないように、情報を3つに分けて、区分ごとの扱いを決めます。

個人情報を入力する必要がある場合は、例外として扱います。個人情報保護委員会は、個人情報取扱事業者に対して、個人情報を含む入力をする場合は、利用目的の達成に必要な範囲内であることを十分に確かめるよう呼びかけています。あわせて、サービスを提供する事業者が、入力した個人データを機械学習に利用しないことなどを十分に確かめるよう呼びかけています。

ルールには、「責任者の許可を受け、次のすべてを満たす場合に限る」と書きます。お客様や社員に伝えている利用目的の範囲内であること。入力した情報が学習などに使われないことを、利用規約と設定で確かめたサービスであること。会社が個人情報の入力を認めたサービスであること。

サービスを選ぶときに確かめる7つのこと

• 入力した内容が、AIの学習などに使われないか（利用規約に書かれているか、設定で止められるか）
• 会社として契約でき、管理する人が社員のアカウントを追加・停止できるか
• 入力した内容や履歴が、どこに、どのくらいの期間保存され、消せるか
• 利用規約で禁止されている使い方は何か（他人の著作物の入力など）
• 作ったものを商用で使ってよいか、権利の扱いはどうなっているか
• 提供している会社が示している、使い方やセキュリティの注意点は何か
• 料金、契約する人、解約の方法

AI事業者ガイドライン（第1.2版）は、AIを利用する事業者に、提供者が定めた利用上の留意点やサービス規約を守ることを挙げています。サービスやプランによって入力した内容の扱いが違う場合があるため、サービス名だけでなく、プランまで決めておきます。

AIが作ったものの確認と責任、著作権

IPAのガイドラインは、生成物には誤りが含まれる可能性があるため、常に正確性を確認する必要があるとしています。ルールには、確認の仕方と責任を書きます。

• AIが作った文章や数字は、元の資料や公式の情報と照らして、人が確かめる
• 社外に出すもの（お客様への文書、見積書、ホームページ、広告）は、作った人が確かめたうえで、上長の確認を受けてから出す
• 金額、日付、数量、法令や契約にかかわる内容は、AIの答えをそのまま使わない
• AIを使って作ったものの責任は、AIを使わずに作ったときと同じく、作った人と確認した人が負う
• AIの出力を特定の人の評価の参考にするときは、前もって責任者の許可を受け、評価される人にAIを使っていることを知らせる

AI事業者ガイドライン（第1.2版）は、AIの出力について、精度とリスクの程度を理解し、リスク要因を確認したうえで利用することを挙げています。出力を特定の個人や集団の評価の参考にする場合は、AIを利用している旨を通知し、人間による合理的な判断のもとで説明責任を果たすことも挙げています。

著作権など、他の人の権利

文化庁の「AIと著作権に関するチェックリスト＆ガイダンス」（令和6年7月31日）は、AIを業務で利用する者に、次の取組が望まれるとしています。

• 生成物を利用する前に、既存の著作物と似ていないかを、インターネット検索などで確認する
• 利用するサービスの利用規約を確認し、従って使う
• 生成に使った指示（プロンプト）など、生成の過程を確認できる状態にしておく
• 従業員に対して、著作権の理解を確かめておく

同じガイダンスは、指示に既存の作品のタイトルやキャラクター名を入力した場合について説明しています。既存の著作物を認識していたことを推認させる事実となり、依拠性が認められやすくなると考えられる、としています。ルールには、作品名やキャラクター名を入力して、似たものを作らせないことを書きます。

社内ルールの作り方｜7つのステップ

1. 使っている実態を聞く：誰が、どの生成AIを、どの仕事に使っているかを、責めずに社員に聞く。個人のアカウントで使っている人がいれば、ここで分かる
2. 使う仕事を決める：文章の下書き、要約、議事録の整理など、AIに任せる仕事の候補を挙げる。選び方は、業務の棚卸しの記事にまとめています
3. 入力してよい情報を3つに分ける：前の章の表を、自社の書類（見積書、請求書、日報、受注メール、顧客名簿）に当てはめる
4. 使ってよいサービスを決める：サービスごとに7つのことを確かめ、サービスとプランを一覧にする
5. ルールを書く：10項目を、1〜3ページで書く。迷う点は、責任者と相談窓口を決めて「迷ったら入力せず、聞く」とする
6. 社員に説明する：入社のときと年に1回など、時期を決めて読み合わせる。使う前・出す前のチェックを1枚にして、机の近くに貼る
7. 見直しの時期を決める：年に1回以上と、新しいサービスを使い始めるとき、国の指針が改訂されたとき

ステップ5の書き出しには、シス学の生成AIの社内利用ルール ひな形も使えます。全10条のPDFとWord版で、【　】を書きかえれば自社のルールになります。法律上の助言ではないため、運用を始める前に、必要に応じて弁護士などの専門家に確認してください。

IPAのガイドラインは、利活用ガイドラインの内容を、eラーニングなどで定期的に普及させることが、安全な使い方への意識付けになるとしています。研修の選び方は、生成AI研修の選び方で解説しています。

困ったとき・事故のときの決め方と、見直しの時期

ルールには、事故が起きたときの連絡先と、対応の順を書きます。文化庁のガイダンスは、著作権侵害が生じた場合の対応を、あらかじめ想定しておくことを挙げています。内容は、事案に関する情報共有、サービスの停止・復旧、権利者への対応、原因の解明、再発防止です。

次のようなときは、すぐに相談窓口に知らせる、と決めておきます。

• 入力してはいけない情報を、入力してしまったとき
• 事実と違う内容や、他の人の権利を侵すおそれのあるものを、社外に出してしまったとき
• アカウントを他の人に使われた疑いがあるとき

早く知らせた人を、そのことで責めない、と書いておくと、報告が遅れにくくなります。

個人データの漏えい等は、個人情報保護委員会への報告が義務になる場合があります。委員会のページによると、要配慮個人情報が含まれる場合、財産的被害のおそれがある場合、不正の目的によるおそれがある場合、本人の数が1,000人を超える場合などです。誰が判断し、誰に相談するかを、ルールに書いておきます。

見直しの時期

国の指針は改訂されています。AI事業者ガイドラインは、2024年4月の第1.0版のあと、2024年11月の第1.01版、2025年3月の第1.1版、2026年3月の第1.2版と更新されています。サービスの利用規約も変わります。

そのため、年に1回以上と、新しいサービスを使い始めるとき、国の指針が改訂されたときに、ルールと、使ってよいサービスの一覧を見直します。

社内ルールでよくある失敗と対策

失敗1：禁止だけが並び、使い方が書かれていない

禁止事項ばかりだと、社員は何に使ってよいのか分からず、使うのをやめてしまいます。対策：使ってよい用途と、AIへの頼み方の例も載せます。

失敗2：個人のアカウントで使われ続ける

会社が用意したサービスがないと、社員は自分のアカウントで使います。対策：会社が契約したサービスを用意し、個人のアカウントで業務の情報を扱わない、と決めます。

失敗3：長すぎて、読まれない

条文が長いと、社員は読みません。対策：本体は1〜3ページにします。社員向けには、使う前と出す前に見る項目を1枚にまとめます。

失敗4：作って終わりで、見直されない

サービスの規約も、国の指針も変わります。対策：見直す時期と、見直す担当者を、ルールに書きます。

失敗5：責任者と相談窓口が決まっていない

迷ったときに聞く相手がいないと、社員は自分で判断します。対策：責任者と相談窓口を、部署と名前で決めます。事故のときの連絡先も、同じ表に書きます。

シス学の進め方｜社員が迷わずAIを使える仕組みをつくります

シス学（システムAI経営学）は、社長の頭の中にある判断と勝ちパターンを、AIでマニュアルにし、AIエージェントで仕組みにして、誰がやっても回る会社をつくる経営の方法です。株式会社むさしAI研修のAI導入支援ブランドとして提供しています。旗の言葉は「世界は、システムでできている。」、掲げる言葉は「AIエージェントで売上を上げる」です。

シス学が会社に進めるやり方は、AIで会社をシステム化し、再現性を高めることです。具体的には、次の3つです。

• 手順と判断の基準を仕組みに移し、下書きや転記はAIが、確かめる仕事は社員が受け持ちます。
• うまくいったやり方（勝ちパターン）を、誰がやっても同じ品質で、何度でも再現できるようにします。ミスも減ります。
• 新たな勝ちパターンのつくり方も仕組みにして、進化し続けられるようにします。

このやり方で、次の「シス学で叶える3つのシ」を目指します。

• 1つ目のシ：収益改善：高収益体質へ。削れた作業時間と、新たな勝ちパターンで伸びた分の両方を、数字で確かめます。
• 2つ目のシ：時間創出：社長がいなくても回る会社へ。社長は判断と次の一手に、社員はお客様への対応と自分の成長に、時間を使えるようにします。
• 3つ目のシ：承継価値の向上：いつでも、高い価値で次へ引き継げる会社へ。

この記事で扱った社内ルールは、やり方の1つ目、手順と判断の基準を仕組みに移すことに当たります。何を入力してよく、誰が確かめるかが決まっていれば、社長に一つずつ確認しなくても、社員が迷わずAIを使えます。

シス学 AI研修では、社員教育や実践研修とあわせて、社内のAI利用ルール案づくりを支援しています。業務の内容を伺い、どの情報をどのサービスに入れてよいかを、一緒に決めます。今あるルールの見直しだけでも相談できます。進め方全体は、シス学 AI戦略で支援しています。

ただし、シス学は法律上の助言は行いません。個人情報の扱い、就業規則への反映、契約については、弁護士や社会保険労務士などの専門家に確認してください。

全国オンラインで対応し、初回のご相談は無料です。費用は、業務の内容を伺ってお見積もりします。日時を選んで無料相談を予約できます。

まとめ

• 社内ルールは、使わせないためではなく、社員が迷わず使えるようにするために作る
• 書く項目は10。目的、対象、使ってよいサービス、入力してよい情報、使ってはいけない用途、確認と責任、他の人の権利、作り方の記録、事故のとき、見直し
• 入力してよい情報は、A（入力してよい）、B（条件つき）、C（入力しない）の3つに分ける。個人情報は例外として、許可と確認を条件にする
• 1〜3ページから始め、年に1回以上と、新しいサービスを使い始めるときに見直す

まずは、社員が今、どの生成AIを、どの仕事に使っているかを聞いてみてください。AI導入の全体の流れは、中小企業のAI導入の進め方にまとめています。

よくある質問