生成AIの社内ルールの作り方｜利用規定9章のひな形と入力可否の判定表

生成AIの社内ルールは、禁止事項を並べるより先に「どの情報を、どのサービスで使ってよいか」を1枚の判定表で示すと、現場で使われる形になります。作り方は、現状の把握、たたき台、部署での確認、周知と見直しの4つの手順です。最初はA4で1〜2枚の短い版を配り、運用で出た質問を見ながら、9章立ての利用規定へ育てます。

この記事の答え

• 生成AIの社内ルールは、禁止事項ではなく「情報区分×利用形態」の入力可否の判定表を中心に作る
• 最初から完成した利用規定を目指さず、A4で1〜2枚の短い版と判定表を先に配る
• 次にやることは、社内での使われ方と既存の情報管理規程の区分を確かめること

禁止事項だけのガイドラインで起きること

生成AIの社内ルールとして最初に配られる文書は、利用規定という名前で制定される場合も、ガイドラインとして周知される場合も、多くは同じ構成になっています。個人情報を入力しない。機密情報を入力しない。出力をそのまま使わない。業務での利用は申請制とする。

書かれている内容そのものは間違っていません。ただ、この文書を受け取った人には、明日から何をしてよいかが分かりません。「機密情報」が自分の扱っている資料を指すのかどうかを、各自が判断することになります。判断の材料がないので、安全側に倒します。すると入力できるのは公開済みの情報だけになり、AIに聞けることは検索の言い換え程度に縮みます。

申請制も同じ形で詰まります。承認者が1人か2人に集まっていると、申請は届いた順に処理されます。1週間待つと分かった時点で、多くの人は申請しません。使うのをやめるか、自分のアカウントで済ませます。

禁止事項の列挙で起きるのは、危険な利用が止まることではなく、業務のなかで通せる経路がなくなることです。ルール文書を点検するときは、何を禁止しているかではなく、現場が迷わずに通せる経路がいくつ書かれているかを見ます。

生成AIの社内ルールの作り方：4つの手順

社内ルールは、白紙から条文を書き始めると止まります。現状の把握、たたき台、部署での確認、周知と見直しの順に進めると、各段階で決めることがはっきりします。

現状の把握とたたき台：判定表から先に作る

最初に確かめるのは、誰がどのサービスを何に使っているかと、社内に情報の区分がすでにあるかの2つです。使われ方は、匿名のアンケートや経費精算の記録、社内アカウントへの外部アプリ連携の記録から集めます。アンケートでは、報告した利用を処分の対象にしないことを先に伝えます。既存の情報管理規程や文書管理規程に機密度の区分があれば、生成AI用に新しい区分は作らず、それに紐づけます。

たたき台の中心は、条文ではなく情報区分と利用形態の判定表です。表が決まれば、短い版の文面はその表を読み下す形で書けます。目的や適用範囲から書き始めると、どこまでを対象にするかが決まらず、手が止まります。

部署での確認と周知：手元の資料で試してから配る

業務部門には、文面を読んでもらうより、手元の資料を1つ選んで判定表に当てはめてもらいます。当てはめられなかった資料が、区分表に例として書き足す項目です。あわせて、情報システム部門が各サービスの契約条件を、法務が個人情報や取引先との守秘条項の扱いを確かめます。

周知の段階で配るのは、短い版と判定表で足ります。窓口と返答期限を書いておけば、判断に迷った人の行き先ができます。運用を始めた後に窓口へ来る質問、例外の申請、事故やヒヤリハットの報告が、次の改訂で直す箇所を教えてくれます。違反時の扱いを文書に書く必要が出てきた段階で、利用規定として制定します。

全部が揃うまで公開を待つと、その間は各自の判断で使われ続けます。最初から完成した利用規定を目指さず、短い版と判定表を先に配る方が、ルールのない期間を短くできます。

関連記事：生成AIの内製化とは｜メリット・デメリットと始め方、外注に残す範囲

「社内ルール」「利用規定」「ガイドライン」の言い分け

同じ文書が、社内では違う名前で呼ばれます。呼び方が混ざったまま作り始めると、どこまで拘束力があるのか、変えるときに誰の決裁が要るのかで止まります。作る前に整理します。

社内ルールという言い方は、この3つをまとめて指す日常語として使われます。制定するときに決めるのは、どの層に何を書くかです。違反したときに人事上の扱いが生じる部分と、社外との契約で守ると約束している部分は規定に置きます。どのサービスにどの情報を入れてよいかは月単位で変わるため、別紙に置きます。

ガイドラインだけで運用している会社は珍しくありません。規定まで作るかどうかの目安は、違反したときにどうするかを文書に書く必要があるかです。書く必要があるなら規定として制定します。無ければ手引きのまま別紙を充実させる方が早く回ります。

最初に配る短い版のひな形（A4で1〜2枚）

利用規定を制定する前でも、最初に配る短い版があれば現場は動けます。短い版は手引きの位置づけにし、判断に使う表は別紙として添えます。

短い版で外せないのは、使ってよいサービスと窓口の2つです。この2つが書かれていれば、判断に迷った人が個人アカウントで済ませる理由が減ります。

短い版から詳しい利用規定へ育てる順序

短い版は、運用で必要になった順に書き足して、詳しい利用規定へ育てます。順序は次のとおりです。

1. 判定表と区分表を別紙として独立させます。サービスの条件が変わるたびに直すため、所管部署が差し替えられるようにします。
2. 窓口に来た質問を区分表の例に足します。同じ質問が繰り返し来る項目は、書き方が足りていない箇所です。
3. 申請と例外の手続きを書き足します。社内でAIを作る人が出てきたら、届出で済む範囲と本審査が要る範囲を分けます。
4. 違反時の扱いが要る段階で、利用規定として制定します。次の節の9章立てに沿って、本体の条を書きます。

そのまま使える生成AIの利用規定（9章）の章立て

ここからは、規定として社内の規程体系に載せる場合の章立てを見ます。目的や適用範囲、所管部署、改訂手続き、違反時の扱いといった条が要ります。既存の情報管理規程や情報セキュリティ規程と用語が食い違うと、どちらが優先するかで止まるため、用語は既存側に合わせます。

章立てで先に決めておきたいのは、規定の本体に書くことと、別紙に置くことを分ける点です。情報区分と利用形態の可否表は、サービスの契約条件が変わるたびに直す必要があります。これを規定の本体に埋め込むと、1行直すのに規程の改訂手続きが要ることになり、実態と文書がずれたまま放置されます。本体には「別紙の区分表と可否表に従う」と書き、表は所管部署が差し替えられる別紙にします。

表のうち、書き方で迷いやすいところを補足します。適用範囲でつまずきやすいのは、社員以外の扱いです。業務委託や派遣の方が同じ業務を担っている場合、規定の対象外にすると、同じ資料が対象外の経路で扱われます。契約側でどう縛るかとあわせて決めます。

違反時の扱いは、処分の根拠を新しく作るのか、既存の就業に関する規程に委ねるのかで書き方が変わります。ここは法務と決める部分で、規定側では連絡経路と、報告した人を不利に扱わないことを書くまでに留める形が扱いやすくなります。事故が起きたときに最初に必要なのは、処分ではなく事実の把握だからです。

分量は、本体を数ページに収めて、判断に使う表を別紙に出す形が現実的です。本体が長いほど読まれず、結局は窓口に質問が集まります。

白紙から書き始めるときの順序

規定を書くときも、判断に使う表から先に埋め、本体の条は最後に書きます。目的と適用範囲から書き始めると、どこまでを対象にするかが、どの情報をどの経路で扱えるか決まるまで書けないためです。

2から5は同じ担当が続けて決められます。1と6は決裁や法務の確認を挟むため、着手を早めます。先に条文を書くと、表を差し込めない書き方で仕上がり、あとから別紙を足す形にできません。

情報を機密度で区分する

線引きの前に、区分が必要です。生成AI用に新しい分類体系を作る必要はありません。情報管理規程や文書管理規程がすでにあるなら、そこの区分に紐づけます。無い場合でも、4段階程度に収めます。

• 公開済み情報（すでに社外に出しているもの）
• 社内限（一般的な社内文書、手順書、社内向けの資料）
• 取扱注意（顧客情報、個人情報、未公表の財務・人事情報）
• 厳格管理（契約上の守秘義務の対象、法令で取り扱いが制限されるもの、認証情報）

段階を細かくしすぎると、区分を当てる作業そのものが止まります。区分は、現場が数秒で当てられる程度の分け方に保ちます。

このとき先に決めておきたいのは、区分を当てにくいものの置き場所です。会議の録音と文字起こし、画面のスクリーンショット、システムのログ、ソースコード、他社から預かったデータは、元の規程に想定がないことが多く、質問が集中します。どの区分に入れるかを最初に決めて、区分表に例として書いておきます。会議の記録を要約や課題の起票に使う場合は、区分に加えて、社外の人が同席する会議を対象から外すかどうかも決めます。

関連記事：議事録からタスクを抽出して自動で起票する｜AIに任せる範囲と担当・期限の決め方

なお、第三者から預かったデータは自社の機密度区分では決まりません。預かった際の契約の守秘条項が優先します。区分表とは別枠で扱い、契約条件の確認は法務が持ちます。

入力可否の判定表：情報区分と利用形態で決める

同じ情報でも、どの経路で使うかによって可否が変わります。判定表は、行に情報区分、列に利用形態を置き、各セルに「可」「条件付き可」「不可」を入れた1枚の表です。

利用形態ごとに確かめる契約条件

個人向けのプラン、法人契約のチャットサービス、API経由、クラウド事業者のサービスとして自社テナント内で使う形では、データの扱いの条件が一致しません。確かめるのは次の5点です。

• 入力したデータが学習に使われるか
• 入力と出力の保存の有無、保存期間、保存される場所
• 管理者側で利用ログを取得・監査できるか
• 再委託先（サブプロセッサ）の範囲
• 利用を止めたときや退職したときのデータの削除方法

「あのサービスは学習に使われない」といった伝聞で決めず、各サービスの利用規約とデータ処理に関する条件で確認します。条件は契約更新やプラン変更で変わるため、確認した日付と規約の版を記録に残します。

関連記事：生成AIのセキュリティ審査｜情シスが確認する12項目と申請・稟議の書き方

個人情報の行は個人情報保護委員会の注意喚起を根拠にする

個人情報を含む情報の行は、法令の考え方から決めます。個人情報保護委員会は2023年6月2日に「生成AIサービスの利用に関する注意喚起等について」を公表し、個人情報取扱事業者に向けて次の2点を示しています。

1. 個人情報を含むプロンプトを入力するときは、特定した利用目的を達成するために必要な範囲内かを十分に確認する。
2. 本人の同意なく個人データを含むプロンプトを入力し、その個人データが応答の出力以外の目的で扱われると、個人情報保護法の規定に違反する可能性がある。そのため、サービスを提供する事業者がその個人データを機械学習に利用しないこと等を十分に確認する。

判定表の「取扱注意」の行で、学習に使われる経路を「不可」にし、使われない経路でも条件付きにするのは、この注意喚起に沿った書き方です。判定表の欄外に、根拠として注意喚起の名前と日付を書いておくと、なぜ不可なのかを聞かれたときに説明できます。

判定表の書き方の例

条件付き可のセルには、伏せてから入力する、上長の承認を得る、保存を無効にする設定を確かめる、といった条件を具体的に書きます。次は書き方の例です。可否と条件は、自社の規程と各サービスの規約で確認したうえで自社で決めます。

この表があると、現場から来る質問の多くはその場で解決します。逆にこの表がないまま文章だけでルールを書くと、質問はすべて窓口に集まります。

入力してよい情報の線引きをどこまで具体的に書くか

区分と経路が決まっても、「取扱注意の情報は伏せてから入力する」という一文だけでは現場は動けません。何をどう伏せるのかが分からないためです。判断できるところまで具体的に書きます。

• 実在する個人が特定できる記載（氏名、所属、連絡先、社員番号、顧客ID）は置き換えてから入力する。置き換え方も示す（取引先はA社、担当者はXなど）
• 相手方から受け取った未公開の資料は、原文を貼らず、自分が書いた要約と質問に置き換える
• 認証情報（パスワード、APIキー、アクセストークン）は、検証用のものでも入力しない
• 金額や件数そのものを渡さず、集計や判断の手順だけを聞く形に置き換えられないか先に検討する

同時に、入れてよいものの例も書きます。禁止例だけを並べると、読んだ人は判断に迷った全件を禁止側に寄せます。「自分が書いた文章の推敲」「公開されている情報の整理」「社内手順書の下書き」のように、確認なしで進めてよい範囲を明示しておきます。

例文は各部門から実際の依頼内容を集めて作ります。抽象的な例だけでは、自分の手元の資料に当てはめられません。運用を始めた後は、窓口に来る質問の内容が、書き方が足りているかの点検材料になります。同じ質問が繰り返し来るなら、その項目の書き方が足りていません。

迷ったときの窓口と判断の流れ

線引きの最後には、迷ったときの窓口と返答期限を書きます。翌営業日までに一次回答を返す、といった形です。入力してよいかは、次の流れで上から順に確かめると行き先が決まります。

個人アカウントでの生成AI利用をどう扱うか

規程で禁止しても、個人アカウントでの利用は残ります。禁止して失われるのは、利用そのものではなく、会社から利用が見えることです。無償で使えるプランは個人のメールアドレスだけで登録できるため、会社側の管理を通りません。

禁止や移行を決める前に、どこで使われているかを次の記録から集めます。

• 経費精算・立替申請にAIサービスの支払いが含まれていないか
• 業務用端末のブラウザ拡張機能の一覧
• 社内のアカウントに対する外部アプリの連携（OAuth）許可の記録
• 匿名を含むアンケートで、何にどう使っているかを聞く

関連記事：生成AIの社内の利用状況を把握する方法｜取れるログと部署別の見方

正規の経路を用意してから期限を切る

先に同等以上のことができる正規の経路を用意し、次に期限を切って移行を依頼し、最後に個人アカウントでの業務利用を規程に位置づけます。正規の経路がないまま通知だけを出すと、報告されない利用に変わるだけです。

正規の経路が揃うまでの期間をどう書くかも決めておきます。空白にすると、各自の判断で使い続けます。公開済み情報に限って個人アカウントでの利用を認める、といった形で、暫定の範囲と期限を明示する方が実態に近づきます。

規程には禁止・条件付き・当面の容認のどれで書くか

どれを選ぶかは、正規の経路がどこまで揃っているかで決まります。揃っていない段階で禁止と書くと、文書と実態が離れ、以後どの条も参照されなくなります。容認から始める場合は、いつまでの扱いかと、次の見直し時期を同じ条に書きます。

外部サービスへのアカウント連携は先に許可制にする

なかでも優先度が高いのは、外部のAIサービスに社内のメールやファイルへのアクセスを許可する連携です。テキストを貼り付ける利用と違い、許可した時点で継続的にデータが外へ流れます。しかも設定するのは個人です。管理者側で、アプリごとの許可制を先に入れておきます。

ルールを作る側と使う側の役割分担

ルールが更新されなくなる原因の多くは、担当が決まっていないことです。特に「この業務でこの資料を入力してよいか」は、情報システム部門も法務も判断しきれません。その資料に何が書かれているかを知っているのは、業務を持っている部門です。

あわせて、区分表と可否表の更新担当、点検の頻度、版の記録を決めます。サービスの条件は変わるため、半年で内容が古くなります。

例外を申請する経路も必要です。例外を認めない規程は、破られる形で運用されます。誰がどの範囲まで例外を出せるか、記録をどこに残すかを書いておきます。

関連記事：社内のAI推進体制をどう作るか｜専任と兼任の分かれ目、情シス・現場・経営の分担と決裁の流れ

社内でAIを作り始めた段階で増える審査観点

チャット画面に文章を貼る利用と、業務に組み込んだAIを動かす利用では、審査する項目が変わります。非エンジニアが自分で作れる環境が整うと、後者が部門ごとに増えていきます。

追加で確かめる5つの観点

貼り付けの利用とは別に、次の5つの観点で審査の基準を書きます。

参照範囲は、作った時点では気づきにくく、後から範囲を狭めるのは手間がかかります。最初の届出の段階で確かめます。

関連記事：現場が作ったAIエージェントを誰が管理するか｜野良AIを増やさない申請・棚卸し・停止の基準

審査を届出と本審査に分ける

自分の担当業務の範囲で、読み取りのみ、社外に出力しない、という条件に収まるものは届出だけにします。部門を越えるデータを参照する、社外へ何かを送る、支払いが発生する場合に本審査を通します。すべてを同じ審査に通すと承認待ちが積み上がり、作る動きそのものが止まります。窓口には返答期限を書きます。

公開した後に改訂していく手順

利用規定は公開した時点から古くなっていきます。使えるサービスも契約条件も、社内でAIを使う場面も、翌月には変わります。改訂の手順を規定に書いていないと、直す人が決まらないまま古い版が残り、現場は文書を見ずに判断するようになります。

改訂の引き金を先に決める

日付だけを決めた定例点検にすると、間の期間に起きた変化を拾えないため、改訂の引き金を先に列挙します。

決裁の重さを分けるのが要点です。別紙の表まで規程の改訂手続きに乗せると、サービス側の条件が変わってから文書に反映されるまで数か月かかります。その間、現場は古い表を見て判断します。本体の条（適用範囲、承認の仕組み、違反時の扱い）は改訂手続きを通し、表の差し替えは所管部署の決裁で回せるようにしておきます。

版の記録と変更点の周知

周知は全文の再配布ではなく、変更点だけを1枚にまとめて配ります。全文を配ると読まれず、変わったことに気づかないまま運用が続きます。可否が緩む方向の変更は特に伝わりにくいため、これまで不可だったものが通るようになった点は明示します。

改訂したら、版番号、改訂日、変更点の要約、適用開始日を残します。過去の版も参照できるようにしておくと、事故が起きたときに「その時点のルールで何が認められていたか」を後から確認できます。

次の改訂で何を直すかは、運用の記録から決めます。窓口に来た質問の内容と件数、例外申請の理由、届出と本審査それぞれの件数と待ち時間を残しておきます。待ち時間が伸びている場合は、審査の段階分けか承認者の人数を見直します。

自社の生成AIの社内ルールを点検する項目

手元のガイドラインを次の項目で見ると、活用を止める形になっていないかが分かります。

埋まっていない項目が、次に決めることです。文書を全面的に書き直す必要はありません。区分表と可否表の2枚を足すだけで、質問の大半は現場で解けるようになります。

まとめ：生成AIの社内ルールは短い版と判定表から作る

• 生成AIの社内ルールで点検するのは「何を禁止しているか」ではなく「現場が迷わず通せる経路がいくつあるか」
• 作り方は、現状の把握、たたき台、部署での確認、周知と見直しの4つの手順。たたき台の中心は条文ではなく判定表
• 最初はA4で1〜2枚の短い版を配り、使ってよいサービスと窓口を必ず書く。詳しい利用規定へは運用の記録を見て育てる
• 手引き、規程、別紙の3層に分け、違反時の扱いと契約上の約束は規程、可否の表は別紙に置く
• 利用規定の9章は、本体に目的、適用範囲、承認の仕組み、改訂手続きを書き、情報区分と可否の表は別紙に出す
• 情報区分は既存の規程に紐づけて4段階程度に収め、区分を当てにくいものの置き場所を先に決める
• 判定表は利用形態ごとの契約条件を規約で確かめて作り、個人情報の行は個人情報保護委員会の注意喚起（2023年6月2日）を根拠に書く
• 個人アカウントの利用は、正規の経路を用意してから期限を切って移行し、外部サービスへの連携は先に許可制にする
• 業務に組み込むAIには5つの審査観点を足し、届出と本審査に分ける
• 改訂の引き金を先に列挙し、別紙の差し替えと本体の改訂で決裁を分ける

Augueでは、非エンジニアの方が自部門の業務をAIに任せられるようになるまでの支援のなかで、利用ルールと審査の運用づくりも一体で進めています。ご興味がある方は是非ご相談ください。

社内でAIを使いこなせる人を育てませんか？

研修だけで終わらせず、現場の業務で使い続けられる体制づくりまで伴走します。研修の内容と進め方は、サービス資料で紹介しています。

資料をダウンロードする無料相談に申し込む

よくある質問

他社や業界団体のひな形をそのまま使ってよいですか？

章立ての参考にはなりますが、可否の中身までは流用できません。ひな形が想定している契約形態と、自社が契約しているプランやテナントの条件が一致しないためです。目的や適用範囲、改訂手続きといった枠はひな形に寄せ、どの情報をどの経路で扱ってよいかは自社の規程と各サービスの規約を見て埋めます。

社内ルールを作るのに、どれくらいの期間がかかりますか？

一律の期間は出せません。長さを決めるのは、既存の情報管理規程に情報の区分があるか、使ってよいサービスが何種類あるか、法務や決裁の確認に何回かかるかの3点です。区分がすでにあり、使うサービスが1〜2種類なら短い版と判定表は早く揃います。全部を揃えてから配るより、短い版を先に配り、規定の本体は後から改訂で足す方が、空白の期間を短くできます。

研修とルールの周知はどう組み合わせればよいですか？

文書を配るだけでは読まれないため、研修の中で判定表を実際に使う時間を取ります。受講者が自分の手元の資料を1つ選び、情報区分を当て、どの経路で使えるかを判定表で確かめる演習にすると、ルールの中身が業務と結びつきます。演習で出た質問は、区分表の例や短い版の書き方を直す材料になります。

生成AIの出力を社外向けの資料にそのまま使ってよいですか？

そのまま使う前に、誰が中身を確かめるかを決めておきます。事実や数字が正しいか、他者の文章や画像に似すぎていないか、社外に出してよい情報だけでできているかを、資料を出す人が確認する形が一般的です。AIを使って作ったことを社外に示すかどうかも、社内で方針をそろえておくと、担当者ごとに判断が分かれません。

取引先から生成AIの使い方について聞かれたら、どう答えますか？

短い版と判定表をもとに、預かった情報をどの経路で扱い、どの経路では扱わないかを説明できるようにしておきます。取引先から預かったデータの扱いは、自社の区分ではなく契約の守秘条項に従う旨も添えます。契約で生成AIの利用に条件が付いている場合は、法務がその条件を判定表の例外として書き足します。

関連する記事

生成AIの内製化とは｜メリット・デメリットと始め方、外注に残す範囲生成AIの内製化とは、対象の選定から業務が変わったときの修正までを社内の判断で回せる状態です。メリット・デメリットと何から始めるかを先に答え、層ごとに外注へ残す範囲と、併走を終える判断を表で整理しました。AIネイティブ化とは｜業務効率化との違いと進め方。人とAIの担当範囲を引き直す読み終えると、どの業務を人からAIへ移すかと、それを誰が決めるかが定まります。AIネイティブ化とは何かを定義から整理し、業務効率化との違いを対比で示したうえで、棚卸しから削減計画までの進め方を扱います。AI導入の効果測定｜KPIの例と導入前後の比べ方、継続・中止の判断AI導入の効果測定は、導入前後で期間・案件の構成・数える工程をそろえて比べます。業務の種類ごとのKPIの例、全社で生成AIを配ったときの利用率から削減時間への測り方、削減額の出し方と継続・中止の判断まで扱います。AIエージェント開発の進め方｜対象業務の選び方と4工程の全体像、次へ進む前に決めることAIエージェント開発を検証で終わらせないための進め方です。対象業務の選び方、4つの工程で次へ進む前に決めること、本番に乗せる判断、運用開始後に続く作業までを、順にたどれる形で整理しました。Manus AIの危険性｜会社で使う前に確かめるデータの扱いと権限Manus AIの危険性を、データの保存先、運営会社、連携の権限、メールに仕込まれた指示、誤った出力の5つに分けて解説します。会社で使ってよい業務と避ける業務の線引きと、連携を承認するときの確認項目も整理しました。