生成AIの社内ガイドラインの作り方：入れるべき項目と、守られるルールにするコツ

ガイドラインは何のために作るのか

生成AIの社内ガイドラインの目的は、社員が迷わずに、安全な範囲で生成AIを使えるようにすることです。

総務省の令和8年版情報通信白書によると、生成AIのリスク対策として全社的な指針・ガイドラインを整備している日本企業は41.1%でした⁸。一方、角川アスキー総合研究所の調査（2026年4月・310人）では、ガイドラインを全社で整備済みの企業でも、会社公式でないAIツールを業務で使った経験がある人が46.9%いました⁹。ルールを作るだけでは、会社が把握していない利用（シャドーAI）は減りません。禁止事項ばかりで代わりの手段が無いルールは、かえって申告されない利用を増やします⁴。

よいガイドラインは、次の3つに答えています。

何を使ってよいか（ツール）
何を入れてよいか（情報）
出てきたものをどう扱うか（出力）

土台にできる公的なひな形

ゼロから書く必要はありません。次の資料が土台になります。

資料	想定する読み手	特徴
JDLA「生成AIの利用ガイドライン」第1.1版（2023年10月）¹	民間企業	【】内を自社に合わせて書き換えて使うひな形。使ってよいAIを列挙する方式（ホワイトリスト）を推奨。入力時の注意を、他人の著作物・登録商標・著名人の顔写真や氏名・個人情報・秘密保持契約で受け取った情報・自社の機密情報に分けて説明している
デジタル庁「生成AIシステム利活用ルールひな形 2.0版」（2026年6月）³	政府機関の職員	全6頁。利用前・入力・生成物の利用の段階ごとのルールと問い合わせ先。規約への同意だけで使える不特定多数向けのクラウド型生成AIでは、原則として機密性の高い情報を扱わないとしている
IPA人材育成プログラム修了者の手引書（2026年7月）⁴	企業	ガイドラインに書くべき事項を表にまとめている。IPAの公式見解ではないと明記

JDLAのひな形は2023年の版で、ChatGPTを中心に、入力データが学習に使われることを前提に書かれています。各サービスの入力データの扱いはその後変わっているため（生成AIからの情報漏洩）、構成を参考にし、事実関係は最新の情報で補って使います。デジタル庁のひな形は政府機関向けですが、線引きの考え方は民間でも参考になります。

入れるべき項目

上の資料に共通する項目を、作る順に並べます。

1. 目的と対象

ガイドラインの目的（安全に活用するため、であることを最初に書く）
対象者（社員、契約社員、派遣社員、業務委託先、グループ会社をどう扱うか）
対象のツール（文章・画像・音声の生成AI、生成AIを組み込んだ業務ソフトや拡張機能を含むか）

2. 使ってよいツールと、使い方

会社が利用を認めた生成AIの一覧と、使うアカウント（会社が契約したもの）
個人のアカウントや、一覧にないツールを業務で使ってよいか
新しいツールを使いたいときの申請先と、審査で確認する点（運営元、入力データの学習への利用、保存場所と保存期間、管理機能）

3. 入力してよい情報・いけない情報

最も具体的に書くべき項目です。「機密情報は入力しない」だけでは、何が機密かの判断が社員ごとに分かれます。情報の種類ごとに、例を挙げて示します。

情報の種類	会社が認めたツール	それ以外のツール
公開済みの情報（Webサイト、プレスリリース）	入力してよい	入力してよい
社内向けの一般的な情報（議事録、手順書）	入力してよい	入力しない
個人情報（顧客・取引先・社員）	原則として入力しない（必要な場合の手順を別に定める）	入力しない
取引先から秘密保持契約で預かった情報	契約の条件を確認してから	入力しない
未公表の経営情報、認証情報（パスワード等）	入力しない	入力しない

※ 表は書き方の例です。どの線引きが適切かは、契約しているプランの条件（入力の学習への利用、保存期間など）と、扱う情報の契約・法令上の制約によって変わります。

個人情報については、個人情報保護委員会が、本人の同意なく個人データを入力し、それが応答の出力以外に使われる場合は法違反となる可能性があるとして、提供事業者が機械学習に使わないことなどを十分に確認するよう求めています⁶。AI事業者ガイドラインも、AI利用者に対して個人情報や機密情報を不適切に入力しないよう求めています⁵。

4. 出力の確認と使い方

生成された内容の正確さを、利用者が確認してから使うこと（もっともらしい誤りがある）
他人の著作物・商標に似たものを生成していないかの確認。文化庁の考え方では、生成物が著作権侵害になるかは、通常の著作物と同じく既存の著作物との類似性と依拠性で判断されます⁷
生成AIを使ったことを、社外向けの成果物で明示するか

5. 禁止する使い方

法令や社内規程に反する目的での利用
他人になりすました文章・画像・音声の作成（デジタル庁のひな形は、特定の人物の肖像や声を入力しないことを挙げています³）
会社が認めていないツールでの業務利用（申請の手順とセットで）

6. 困ったときの窓口と、事故のときの対応

使い方に迷ったときの相談先
入力してはいけない情報を入力してしまったときの報告先、報告の期限、最初にすること
違反したときの扱い
ガイドラインの見直しの時期と担当者

作る手順

現状を把握する: 社内で生成AIがどう使われているか、簡単なアンケートやアクセスの記録で把握する
使うツールと契約を決める: 会社として使う生成AIを決め、入力データの扱い（学習への利用、保存期間）を契約・設定で確認する
公的なひな形を土台に書く: 上のひな形の構成を借り、自社の業務と契約に合わせて具体化する
関係部署で確認する: 情報システム、法務、人事、現場の代表で確認する
周知し、研修する: 文書を配るだけでなく、具体例を使った短い研修で伝える
定期的に見直す: AIサービスの条件や社内の使い方は変わるため、半年〜1年ごとに見直す。最初から完璧を目指さず、最低限の内容で始めて更新していく⁴

長さの目安

社員全員が読む本文は、A4で2〜3枚程度に収めるのが目安です。デジタル庁のひな形も全6頁です³。詳しい手順（審査の基準、事故時の対応など）は別紙にして、本文からは要点と参照先だけを示します。長すぎるルールは読まれません。