「社員が個人のアカウントでChatGPTを使っているらしいが、何を入力しているのか把握できていない」「禁止にすると競合に遅れそうで、許可すると情報漏えいが怖い」。当協会に寄せられる生成AIの相談で、最も多いのがこの板挟みです。解決の出発点は、禁止でも放任でもなく、「ここまではOK、ここからはNG」を決めた社内ガイドラインを持つことです。
この記事では、中小企業が生成AIの利用ガイドラインを作るための手順を、盛り込むべき項目、テンプレート、就業規則や契約との関係、運用の注意点まで解説します。専門部署がなくても、A4で2〜3枚に収まる実用的なルールを作れるように整理しました。なお、本記事は一般的な情報提供であり、法的助言ではありません。個別の規程作成は、社会保険労務士や弁護士にご相談ください。
生成AI利用ガイドラインとは｜社員が迷わず使えるようにするための社内ルール
ガイドラインの目的は「使わせない」ではなく「安心して使わせる」こと
生成AI利用ガイドラインとは、業務で生成AI(ChatGPT・Claude・Geminiなど)を使う際の、目的・入力してよい情報・成果物の扱い・責任の所在を定めた社内文書です。リスクを抑えることと、現場が活用しやすいことを両立させるのが目的です。ルールが厳しすぎると、社員が個人のアカウントで隠れて使う「シャドーAI」を生み、かえってリスクが高まります。
参考にできる公的な指針
国内では、総務省・経済産業省が「AI事業者ガイドライン」を公表しており、AIの開発者・提供者・利用者それぞれが留意すべき事項が整理されています。また、個人情報保護委員会は、生成AIサービスの利用に関して、個人情報を含む入力への注意などを呼びかけています。自社のルールを作る際は、これらの考え方を土台にすると、取引先への説明もしやすくなります。最新の内容は各機関の公式サイトでご確認ください。
ガイドラインに盛り込む7つの項目｜最低限これだけは決める
1. 適用範囲と対象サービス
対象となる社員(役員、正社員、パート、派遣など)と、業務利用を認めるAIサービスを明記します。「会社が契約したアカウントのみ」「個人アカウントでの業務利用は禁止」といった線引きが、運用の核になります。
2. 入力してよい情報・してはいけない情報
| 区分 | 例 | 扱い |
|---|---|---|
| 入力可 | 公開済みの情報、一般的な文章の下書き依頼、匿名化した事例 | 自由に利用 |
| 要注意(上長の承認) | 社内の業務手順、未公開の企画の概要 | 契約プランの設定を確認のうえ利用 |
| 入力禁止 | 顧客の個人情報、マイナンバー、取引先の機密、パスワード、未公開の財務情報 | いかなる場合も入力しない |
3. 成果物の確認(ファクトチェック)
生成AIの出力には、誤りや存在しない情報(いわゆるハルシネーション)が含まれる可能性があります。社外に出す文書、数値、法令の記述は、人が必ず一次情報で確認するルールを明記します。
4. 著作権・商標などの権利への配慮
生成した文章や画像が、既存の著作物に似てしまう場合があります。対外的に公開するものは、類似の有無を確認します。また、他者の著作物をそのまま入力して加工させることにも注意が必要です。
5. 対外的な表示・説明のルール
お客様向けの資料やWebサイトにAI生成物を使う場合の表示方針(AIを使った旨を示すか)を決めます。業界や取引先の要請がある場合は、それに従います。
6. 責任の所在と相談窓口
AIが作った内容であっても、利用した社員と会社が責任を負います。迷ったときに相談できる担当者(窓口)を決め、連絡先を明記します。
7. 違反時の対応と見直しの頻度
違反や情報漏えいが疑われる場合の報告先と手順、ガイドラインの見直しの時期(半年に1回など)を定めます。生成AIは進歩が早いため、定期的な更新が前提です。
ガイドラインの作り方【ステップ形式】｜1か月で整える手順
Step 1：現状を把握する(1週目)
社員が、どのAIを、何の業務に使っているかを、匿名のアンケートで集めます。「怒られる」と思われると正直に答えてもらえないため、目的は把握と支援であることを伝えます。
Step 2：使うサービスと契約プランを決める(2週目)
入力データが学習に使われるかどうかは、サービスとプランによって異なります。法人向けプランや設定で、学習に使われない選択ができるかを、各社の公式サイトで確認して決めます。
Step 3：ルールの案を作る(3週目)
前章の7項目に沿って、A4で2〜3枚程度の案を作ります。「禁止事項」を長く並べるより、「やってよいこと」の具体例を増やす方が、現場に伝わります。
Step 4：研修と周知(4週目)
30分程度の説明会を開き、実際の入力例(OK・NG)を見せながら説明します。質問を受け付け、案を修正します。
Step 5：就業規則・契約との整合を確認する
秘密保持、服務規律、情報セキュリティに関する既存の規程と矛盾がないかを確認します。就業規則の変更が必要な場合は、社会保険労務士に相談してください。取引先との契約で、AIへの情報入力に制限がある場合もあります。
Step 6：運用と見直し
半年に1回、利用状況、ヒヤリハット、新しいサービスの登場を確認し、ガイドラインを更新します。
ガイドラインの文例(抜粋)
第1条(目的)：本ガイドラインは、当社の業務における生成AIの利用について、情報の保護と業務の効率化を両立させるために定める。第2条(対象サービス)：業務で利用できる生成AIは、会社が契約し、管理者が指定したサービスに限る。第3条(入力の禁止)：顧客の個人情報、取引先の機密情報、認証情報、未公開の財務情報を入力してはならない。第4条(確認義務)：生成AIの出力は、利用者が事実と権利の観点から確認したうえで使用する。第5条(相談)：判断に迷う場合は、情報管理担当へ相談する。このように、短い条文と具体例の組み合わせにすると、現場に伝わりやすくなります。
活用事例｜ガイドライン整備で生成AIの活用が進んだ3つのケース
以下は、当協会の支援現場で見られたパターンを、個社が特定されないよう匿名化・再構成したものです。効果は目安です。
事例1：製造業(従業員40名規模)――「入力NG一覧」を1枚にして周知
全面禁止にしていた会社が、禁止事項を1枚のカードにまとめ、会社契約のAIを使えるようにしました。個人アカウントの利用が減り、見積書の下書きや報告書の要約に活用が広がりました。
事例2：士業事務所(従業員8名規模)――顧客情報の匿名化ルールを作成
顧客案件の相談文書をAIで整理したいというニーズに対し、氏名・住所・会社名を記号に置き換えてから入力するルールを定めました。業務の効率化と守秘義務の両立を図っています。
事例3：サービス業(従業員20名規模)――相談窓口を決めてヒヤリハットを集約
「これを入力してよいか」を気軽に相談できるチャットの窓口を設け、質問と回答をFAQとして社内で共有しました。ルールの運用が現実に合わせて改善されました。
デメリット・注意点｜ガイドライン運用で陥りやすい4つの落とし穴
1. ルールを作っても守られない
文書を配布するだけでは定着しません。研修、具体的なOK・NG例、相談窓口がセットで必要です。
2. サービスの仕様変更に追いつかない
AIサービスの機能や利用規約は頻繁に変わります。「半年に1回の見直し」に加え、重要な変更があった際の臨時の確認も想定してください。
3. 厳しすぎるルールが活用を阻害する
過度な制限は、シャドーAIを生み、かえって情報管理が難しくなります。リスクの大きい情報だけを厳格にし、それ以外は柔軟に運用します。
4. ガイドラインだけではセキュリティ対策にならない
アカウントの管理、アクセス権限、端末の管理などの技術的な対策と組み合わせて初めて、実効性が生まれます。
よくある失敗パターンと対策
失敗1：他社のひな形をそのまま使い、現場の実態と合わない
対策：ひな形は土台にとどめ、自社の業務・取引先・使うサービスに合わせて書き換えます。
失敗2：経営者や管理職がルールを守らない
対策：率先して守る姿勢を示し、例外を作らないことが信頼につながります。
失敗3：一度作って、更新されないまま古くなる
対策：見直しの担当者と時期を決め、カレンダーに入れておきます。
失敗4：事故が起きたときの報告ルートがない
対策：「誤って入力した」場合に、責めずにすぐ報告できる窓口と手順を決めます。早い報告が被害を小さくします。
まとめ｜「禁止」ではなく「安心して使える範囲」を示す
生成AIの利用ガイドラインは、(1)対象サービス、(2)入力してよい情報・いけない情報、(3)成果物の確認、(4)権利への配慮、(5)対外表示、(6)責任と窓口、(7)違反時の対応と見直し、の7項目を押さえれば、A4数枚で作れます。大切なのは、作ることよりも、研修と相談窓口で現場に根づかせることです。個別の規程化は、専門家にご相談ください。
中小企業のDX・AI活用に関する他の解説記事は、DX・AI情報サイトでも順次公開しています。あわせてご覧ください。
