生成AIの社内ガイドラインの作り方｜策定手順・必須項目・運用

生成AIを業務で使い始めた企業から、「社内ガイドラインを作りたいが何から手をつければいいか分からない」というご相談をいただくことが増えています。この記事では、生成AIの社内ガイドラインを実際に策定する手順、必ず入れておきたい必須項目、そして作った後の運用の考え方について、当社malnaが自社でルールを整備してきた経験と、AI導入支援でクライアントのルール策定に関わってきた実務を踏まえてまとめます。

法律・規制に関わる記述は、公開されている一次情報を確認した範囲でご紹介していますが、実際の運用にあたっては弁護士など専門家への確認を推奨します。本記事はその代わりにはなりません。

なぜ今、生成AIの社内ガイドラインが必要なのか

生成AIの社内ガイドラインとは、従業員が業務で生成AIを使う際に、何を入力してよく何を入力してはいけないか、どこまでの用途で使ってよいかを定めた社内規程のことです。就業規則やセキュリティポリシーの一部として作られる場合もあれば、単独の文書として整備される場合もあります。

当社は数十名規模の会社ですが、Claude Codeをはじめとする生成AIを全社で日常的に使っています。使い始めてすぐに感じたのは、「ルールがないまま使わせると、誰かが必ず一度は危ない使い方をする」ということでした。悪意があるわけではなく、線引きを知らないだけなのです。クライアントの資料をそのまま貼って要約させたり、採用候補者の個人情報を含んだテキストを外部サービスに投げてしまったりというケースは、ルールを整備する前の当社にも実際にありました。

生成AIの利用が広がるほど、こうした「知らずにやってしまう」リスクは増えていきます。だからこそ、業務での本格利用が始まった段階で、早めにガイドラインを整備しておくことが欠かせないと考えています。

一方で、ガイドラインは一度作れば終わりというものではありません。生成AIのサービス仕様も、AIに関する法律・ガイドラインも、まだ変化の速い領域です。「完璧なルールを最初から作る」のではなく、「今の時点で必要な線引きを決めて、変化に合わせて更新していく」という前提を持つことが、この記事全体を通じてお伝えしたい考え方です。

生成AIの社内ガイドラインに必ず入れるべき項目

まず、ガイドラインに何を書けばいいのか、必須項目から整理します。以下のチェックリストは、当社が自社ルールを作る際に実際に検討した項目と、AI導入支援先での策定支援の経験をもとにしています。

チェックリスト（全25項目）

【A】入力してよい情報・してはいけない情報の定義（6項目）

• [ ] A-1. 個人情報（氏名・連絡先・従業員情報等）を入力してよい範囲
• ポイント: 「原則禁止、匿名化・仮名化した場合のみ可」など具体的な条件で定める
• [ ] A-2. クライアント・取引先の機密情報を入力してよい範囲
• ポイント: 契約書・見積もり・NDA対象情報は原則禁止とする企業が多いです
• [ ] A-3. 財務・契約等の未公開情報の取り扱い
• ポイント: 決算前の数値、契約条件、M&A関連情報等は特に慎重な線引きが必要。上場企業の場合はインサイダー情報に該当しうる旨も踏まえて検討する
• [ ] A-4. 自社の技術情報・ソースコードの取り扱い
• ポイント: 開発部門がある場合は別途明確化が必要になることが多いです
• [ ] A-5. 公開情報・一般論を扱う場合の範囲
• ポイント: 「公開されている情報の要約」は多くの企業で許可対象になっています
• [ ] A-6. 判断に迷った場合の相談先・エスカレーション先
• ポイント: 「誰に聞けばいいか」が明確でないと、現場は自己判断で危ない側に倒れがちです

【B】利用可否の線引き（6項目）

• [ ] B-1. 業務利用が許可されているツール・サービスの一覧
• ポイント: 「会社が契約しているサービス」と「個人が無料で使えるサービス」を明確に区別する
• [ ] B-2. 生成AIの出力をそのまま社外に出してよいか
• ポイント: 誤情報（ハルシネーション）を含む可能性があるため、人による確認を必須とする企業が多いです
• [ ] B-3. 意思決定・承認業務にAIをどこまで使ってよいか
• ポイント: 最終判断は人が行う、という原則を明文化する
• [ ] B-4. 生成物の著作権・権利関係の取り扱い
• ポイント: 詳細は後述します
• [ ] B-5. 有料プラン・API利用時のデータ取り扱いの確認方法
• ポイント: 詳細は後述します
• [ ] B-6. 生成AIの利用について、事前承認が必要な場面と承認者
• ポイント: 「社外に出す文書に使う」「重要な意思決定の材料にする」「機密情報を扱う」といったリスクの高い場面ほど、誰が事前に承認するかを決めておくことが、現場が安心して使える状態づくりの土台になります

【C】運用・体制（6項目）

• [ ] C-1. ガイドラインの適用対象（全社員か、一部部門か）
• [ ] C-2. 違反時の対応（懲戒か、注意・再教育か。懲戒を伴う場合は就業規則の服務規律・懲戒規定との整合を確認する）
• [ ] C-3. ガイドラインの周知方法（研修・説明会・社内文書）
• [ ] C-4. 改訂のタイミング・頻度（定期見直しか、都度対応か）
• [ ] C-5. 問い合わせ・相談窓口の設置
• [ ] C-6. 新規サービス導入時の事前確認プロセス

【D】法務・リスク管理（7項目）

• [ ] D-1. 個人情報保護法との関係（詳細は後述）
• [ ] D-2. 著作権法との関係（詳細は後述）
• [ ] D-3. 学習利用・データ取り扱いポリシーの確認方法（詳細は後述）
• [ ] D-4. 業界固有の規制（金融・医療・法務等）がある場合の追加ルール
• [ ] D-5. 顧客・取引先への説明が必要になった場合の対応方針
• [ ] D-6. 情報漏洩が発生した場合の初動対応
• [ ] D-7. 専門家（弁護士等）への確認が必要な論点の切り出し

このチェックリストをすべて完璧に満たそうとすると、最初の一歩が重くなりすぎてしまうというケースを何度も見てきました。D-4〜D-7については後段で補足しますので、まずは次の章で策定の手順をご紹介します。

策定の手順（4ステップ）

生成AIの社内ガイドラインは、以下の4ステップで作るとスムーズです。

1. 入力禁止情報を定義する：まず「これは入力してはいけない」というネガティブリストを作ります。個人情報・機密情報・未公開の財務情報など、上記チェックリストのA項目がベースになります。ここが一番重要で、かつ一番後回しにされがちなステップです。
2. 利用可否の線引きを決める：次に「どのツールを、どの業務で、どこまで使ってよいか」を決めます。B項目に対応します。すべての業務を洗い出す必要はなく、まずは頻度の高い業務・リスクの高い業務から線引きを作ることをお勧めします。あわせて、社外公開・重要な意思決定・機密情報の取り扱いといったリスクの高い場面では、誰が事前に承認するか（B-6）も同時に決めておくと、現場が判断に迷わず動けます。
3. 周知する：作ったルールは、社内Wikiに置くだけでは読まれません。当社では、全社会議での説明とあわせて、実際に生成AIを使う場面を想定した具体例（「この場合はOK、この場合はNG」）を添えて共有するようにしています。ルールの文章だけでは、現場が自分の業務に当てはめて判断するのが難しいと感じることが多いためです。
4. 運用しながら改訂する：ガイドラインは一度作って終わりではありません。新しいサービスが出てきたとき、想定していなかった使い方が出てきたとき、法律やガイドラインが更新されたときに、その都度見直します。

ステップの実務ポイント：A4 1〜2枚から始めて育てる

初めてガイドラインを作る企業ほど、「完璧な規程集」を目指してしまい、いつまでも公開できないということが起こりがちです。当社がお勧めしているのは、まずA4 1〜2枚に収まる分量で、上記チェックリストのうち最低限必要な項目（A-1〜A-3、B-1〜B-2、C-1〜C-3）だけを決めて公開してしまうことです。

禁止事項だけを羅列した分厚いルールブックは、現場が読まなくなるだけでなく、「AIを使うのが面倒だ」という空気を作ってしまいます。私たちの経験では、最初は薄いルールで運用を始め、実際に判断が必要になった場面が出てきたタイミングでルールを追記していく方が、現場に定着しやすいと感じています。ルールで縛りきることよりも、「困ったときに相談できる状態」を先に作っておく方が大切なのです。

利用可否の線引き表（サンプル）

線引きの考え方を、表の形で示します。実際の運用では、自社の業務内容に合わせて項目を追加・調整してください。

個人情報・著作権など法律面で気をつけたいポイント

生成AIの利用にあたって、実務上よく論点になるのが個人情報保護法と著作権法です。ここで断っておきたいのは、当社は法律の専門家ではなく、以下はあくまで一般的な情報の整理であるという点です。個別の判断は必ず弁護士など専門家に確認してください。

個人情報保護法との関係

個人情報保護法には、個人情報の取得や第三者提供に関する規定があります。e-Gov法令検索で確認した範囲では、第20条は「適正な取得」を、第27条は「第三者提供の制限」を定めています（e-Gov法令検索・個人情報の保護に関する法律）。生成AIサービスに個人データを入力する行為が、この「第三者提供」に該当するかどうかは、利用するサービスの契約形態・データ取り扱い条件によって判断が変わる論点です。断定的な判断はできないため、社内ルールとしては「個人情報は原則入力しない」という保守的な線を引く企業が多いのが実情ではないでしょうか。

著作権法との関係

著作権法第30条の4は「著作物に表現された思想又は感情の享受を目的としない利用」を定めており、情報解析（AIの学習等)を目的とした著作物の利用について規定しています（e-Gov法令検索・著作権法）。この条文はAIの学習データに関する議論でよく引用されますが、条文の適用範囲や例外規定（著作権者の利益を不当に害する場合は対象外、等）の解釈は専門的な判断が必要な部分です。生成AIが出力した文章・画像を業務や社外発信で使う場合、既存の著作物と類似していないかを確認する体制を持つことをガイドラインに含めておくと安心です。

このほか、業界によっては薬機法・景品表示法など固有の規制が生成AIの出力内容にも関わってきます。自社の業界に特有の規制がある場合は、その観点も必ずガイドラインに反映し、専門家の確認を経てから運用を始めることをお勧めします。

学習利用・データ取り扱いに関する注意

生成AIサービスに入力したデータが、AIの学習に使われるかどうか（学習利用の可否・オプトアウトの設定）は、サービスごと、契約プランごとに仕様が異なります。無料プランと法人向け有料プランでデータの取り扱いが異なる場合や、法人向けプランでもゼロデータリテンション（データを保持しないオプション）の有無がサービスによって異なる場合があります。

ここで重要なのは、こうしたサービス仕様は変化が速く、本記事で「〇〇というサービスは学習利用しない」と断定してしまうと、公開後に仕様が変わって誤情報になってしまうリスクがあるということです。そのため、ガイドラインには具体的なサービス名・設定名を書き込むのではなく、「契約しているサービスの最新の公式ポリシー・データ処理条項を確認する」という手順そのものをルール化することをお勧めします。

具体的には、以下のようなプロセスをガイドラインに組み込む企業が多いのではないでしょうか。

1. 新しい生成AIサービスを業務で使う前に、利用規約・データ処理条項を確認する
2. 法人向けプラン・API利用時の学習利用オプトアウト設定の有無を確認する
3. 確認結果を情シス・推進担当がとりまとめ、B-1のツール一覧に反映する
4. 定期的に(半年〜1年に一度など)主要サービスのポリシー変更がないか再確認する

また、経理・総務・人事などバックオフィス部門が扱う財務・契約等の未公開情報についても、同じ発想での対応が欠かせません。「従業員のモラルに任せる」だけでなく、契約プランの選択やAPI設定といった技術的な対策と、ガイドラインという運用面の対策を両方組み合わせることが、実効性のあるルール整備につながります。

参考にすべき公的ガイドライン

自社でガイドラインを作る際、ゼロから考えるのではなく、公的機関・業界団体が公開しているガイドラインを土台にすることをお勧めします。以下は本記事執筆時点で一次情報を確認できたものです。

• 『生成AIの利用ガイドライン』第1.1版（一般社団法人日本ディープラーニング協会（JDLA）、2023年10月6日公開）：企業・組織が生成AIを利用する際のガイドラインのひな形として公開されています。JDLAの会員でなくても参照・活用が可能です。（JDLA公式サイト）
• 「AI事業者ガイドライン」第1.2版（総務省・経済産業省、2026年3月31日公表）：AI開発者・AI提供者・AI利用者という3つの立場に整理した上で、事業者が自主的に検討すべき望ましい行動の考え方を示した文書です。「Living Document」として今後も更新される位置づけとされています。（経済産業省・AI事業者ガイドライン概要）第1.2版では「AIエージェント」（特定の目標を達成するために、環境を感知し自律的に行動するAIシステム）と「フィジカルAI」が新たに定義に加わり、権限設定・人間の判断を介在させる仕組み・操作履歴の確認といった留意点が示されました。Claude Codeのような自律的に動作するAIを業務で使う企業は、ツールの利用可否だけでなく、こうした自律型AIならではの論点もガイドラインの検討対象に含めておくとよいでしょう。AIエージェント導入の実務面はAIエージェントを企業に導入する方法で詳しく扱っています。

また、国内の法制度としては、「人工知能関連技術の研究開発及び活用の推進に関する法律」（令和7年法律第53号、2025年6月公布・同年9月全面施行）があります。基本理念や政府の推進体制（人工知能戦略本部の設置等）を定めた枠組み法であり、生成AIの具体的な利用ルールを直接定めるものではありませんが、AI活用を国として推進する政策的な後押しとして押さえておくとよいでしょう（e-Gov法令検索・人工知能関連技術の研究開発及び活用の推進に関する法律）。

なお、国際的な規制動向としてはEUの「AI Act」（Regulation (EU) 2024/1689）が代表的なものとして挙げられます。日本国内の中小企業が直接の規制対象になる場面は限定的だと考えられますが、EU域内でサービスを提供する場合や、取引先がEU規制の適用を受ける場合は影響が及ぶことがあります。詳細は一次情報（EUR-Lex・Regulation (EU) 2024/1689）を確認し、該当する可能性がある場合は専門家に相談することをお勧めします。本記事では国際規制の網羅的な解説は行いません。

これらのガイドラインは今後も改訂が続くと見込まれるため、自社のガイドラインを作る際は「策定した日時点の版」であることを明記し、改訂があった際に自社ルールも見直す運用を組み込んでおくことが大切です。

チェックリストD-4〜D-7の補足

上記チェックリストで挙げた法務・リスク管理項目のうち、ここまで触れていなかった4項目について補足します。

• D-4（業界固有の規制）：金融・医療・士業など、業界ごとに固有の法規制・業界ガイドラインがある場合は、本記事の一般的な内容に加えて業界団体・監督官庁のガイドラインを個別に確認してください。
• D-5（顧客・取引先への説明）：生成AIを使って作成した提案書・報告書等について、取引先から「AIを使ったのか」と問われる場面が今後増えていくのではないでしょうか。事前に「どこまでAIを使い、どこを人が確認したか」を説明できる状態にしておくことをお勧めします。
• D-6（情報漏洩発生時の初動対応）：万が一、生成AIへの入力を通じて機密情報・個人情報が外部に漏れてしまった場合の連絡経路（誰に、どの順番で報告するか）は、事故が起きてから決めるのでは遅すぎます。既存の情報セキュリティ規程がある場合は、生成AI起因のインシデントもその対象に含めて明記しておくとスムーズです。
• D-7（専門家への確認が必要な論点の切り出し）：ガイドライン全体を毎回弁護士に確認してもらうのは現実的でない場合もあります。前段で触れた個人情報・著作権・データ取り扱いの論点など、専門家確認が必須な部分だけを切り出してリスト化しておくと、相談のコストを抑えられます。

禁止で縛るだけのルールが定着を殺す

ここまで必須項目・法律面の注意点を中心にお伝えしてきましたが、当社が最も伝えたいのはこの章の内容です。

ガイドラインを作る目的を「事故を防ぐこと」だけに置いてしまうと、できあがるのは禁止事項の羅列になりがちです。しかし、禁止だけのルールは、現場の生成AI活用そのものを止めてしまうというのが、当社が自社でルールを整備する過程で強く感じたことでした。

当社では、社内の推進担当がClaude Codeなどの生成AIを使って業務の自動化を組み立て、その仕組みを日々の業務担当者が成果物として使う、という形で活用が広がっています。たとえば、以前は人が集計・作成していたクライアント向けの広告パフォーマンスレポートは、今は自動生成される仕組みに切り替わっています。広告費の立替額とクライアント請求額の突合も、以前は担当者が手作業で確認していましたが、今は自動照合の仕組みで行っています。こうした活用が広がった背景には、「何をしてはいけないか」だけでなく「何をしてよいか、どう使えば安全か」を合わせて示すガイドラインがありました。

推進する立場から見ると、ガイドラインは「取り締まりの道具」ではなく「安心して踏み出すための地図」だと位置づけた方が、社内での定着が進みます。禁止事項を並べるだけでなく、「この業務ならこう使える」という許可された使い方の具体例を、ガイドラインまたは補足資料に必ず添えることをお勧めします。

中小企業・小規模チームでもガイドラインは必要か

情シス部門や法務部門を専任で持たない中小企業から、「うちの規模でも本当にガイドラインが必要なのか」というご相談を受けることがあります。

当社自身が数十名規模の会社であり、専任の法務・情シス部門を持っていません。それでも、生成AIを業務で使う以上、個人情報や機密情報を誤って入力してしまうリスクは、企業の規模にかかわらず存在します。むしろ、専任のチェック担当がいない中小企業ほど、最初にシンプルなルールを決めておくことの効果が大きいと当社は考えています。

当社が実際にガイドラインを作った際は、法務の専門部署を持たない中で、まず代表と数名の推進メンバーで「これは入力してはいけない」というリストを箇条書きで作り、全社会議で共有するところから始めました。専任の担当者がいないからこそ、判断の起点を1つにまとめておく（誰かが必ず最初の相談を受ける状態にする）ことを重視しました。規程集の体裁を整えることよりも、まず動くルールを持つことを優先した形です。

中小企業の場合、上述の「A4 1〜2枚から始める」アプローチが特に有効です。全項目を網羅した規程集を作る前に、まずは「入力してはいけない情報」と「相談先」の2点だけを決めて共有する。それだけでも、何も決めていない状態とは大きな差が生まれるのではないでしょうか。専任の担当者を置けない場合は、次段で紹介する役割分担の考え方を、1〜2名の兼任という形で当てはめてみてください。中小企業がAX全体をどう進めるかは、中小企業のAXはどう進めるかでも扱っています。

「AIガバナンス」との関係はどう考えればいいか

社内ガイドラインを調べていると、「AIガバナンス」という言葉に行き当たることも多いはずです。AIガバナンスは、AIの開発・利用に関する組織全体の管理体制・意思決定プロセスを指す、より広い概念です。社内ガイドラインは、AIガバナンスを実行に落とし込むための具体的な規程の一つという位置づけになります。

大企業では、AIガバナンスの体制構築そのものを専門部署やコンサルティング会社に依頼するケースも見られますが、当社が支援してきたAI導入支援先の多くは、そこまでの体制を最初から作るのではなく、まず「入力してはいけない情報」と「使ってよい範囲」を定めた実務的なガイドラインから始めています。ガバナンス体制の整備は、ガイドラインを運用しながら、必要に応じて後から厚くしていくという順番でも遅くないでしょう。総論的なAIガバナンスの体系や国際規制の詳細な解説は本記事の範囲を超えるため、ここでは触れません。

部門ごとの役割分担を決めておく

ガイドラインを「誰が作り、誰が運用するか」を決めておかないと、せっかく作ったルールが放置されてしまいます。当社がクライアントのガイドライン策定を支援する際は、おおむね以下のような役割分担を提案することが多いです。

• 情シス・総務：ツールの契約管理、利用規約・データ処理条項の確認、B-1(利用可能ツール一覧)の維持管理
• 法務(または法務を委託している場合は顧問弁護士)：個人情報保護法・著作権法など法律面のチェック、専門家確認が必要な論点の判断
• 各部門の推進担当・現場リーダー：自部門での実際の使い方の把握、現場からの「この使い方は大丈夫か」という相談の一次受け
• 経営層：最終的な承認、違反時の対応方針の決定

専任の担当者を置けない中小企業では、この4つの役割を1〜2名が兼任することも珍しくありません。それでも、「誰が最終判断を持つか」だけは決めておいてください。判断者が曖昧なまま運用を始めると、現場が誤った使い方をしても誰も気づかない、という状態になりがちです。

組織としての推進体制の作り方はAI推進室とは？役割・組織体制・立ち上げ方、AXを担う人材の育て方はAX人材とは？求められるスキル・役割と育成の考え方で、それぞれさらに詳しく扱っています。バックオフィス部門でのAI活用はバックオフィスのAI活用、AIエージェントの導入実務はAIエージェントを企業に導入する方法で扱っています。ガイドラインという「ルール」の話は本記事で、体制・人材・業務別の話は関連記事で、それぞれ深掘りしていく構成にしています。

よくある質問

Q1. 生成AIの社内ガイドラインに決まったひな形はありますか？ JDLA（日本ディープラーニング協会）の『生成AIの利用ガイドライン』が、企業・組織向けのひな形として広く参照されています。ただし、業種・企業規模によって必要な項目は異なるため、そのまま使うのではなく自社の業務内容に合わせて調整することをお勧めします。

Q2. ガイドラインを作る担当は誰が適任ですか？ 情シス・総務・法務のいずれかが主管することが多いですが、実際に生成AIを一番使っている部門(推進担当)を巻き込んで作ることをお勧めします。使われない場面を想定できていないルールは、現場で機能しにくいためです。

Q3. すでに生成AIを使い始めてしまっている場合、後からルールを作っても意味はありますか？ 意味はあります。使い始めてから「危ない使い方」が実際に見えてくることも多く、後からでもルールを整備することで、それ以降のリスクを減らすことができます。「今から作るのは遅すぎるのでは」と先延ばしにするより、今の時点でわかっている範囲から着手することをお勧めします。

Q4. ガイドラインはどのくらいの頻度で見直すべきですか？ 生成AIのサービス仕様や関連する公的ガイドラインは変化が速い領域です。半年に一度程度の定期見直しに加えて、利用するサービスを追加・変更するタイミング、社内で想定外の使い方が見つかったタイミングでの都度見直しを組み合わせることをお勧めします。

Q5. 小規模な会社でも専門家に確認してもらう必要がありますか？ 個人情報・著作権など法律に関わる部分は、規模の大小にかかわらず専門家（弁護士等）に一度確認してもらうことをお勧めします。本記事の内容は一般的な情報の整理であり、法的な判断の代わりにはなりません。

さいごに

生成AIの社内ガイドラインは、完璧な規程集を最初から作ることを目指す必要はありません。「入力してはいけない情報を決める」「利用可否の線引きを決める」「周知する」「運用しながら改訂する」という4つのステップを、まずは薄い分量から始めてみることが、結果的に定着につながる進め方です。

当社malnaは、AIとマーケティングで事業者の可能性を引き出すことをミッションに、生成AIの導入支援・活用支援を行っています。自社での社内ルール整備の経験も踏まえて、貴社の状況に合わせたガイドライン策定のご相談も承っております。ガイドライン策定や生成AIの全社活用について相談したい方は、お問い合わせフォームからぜひお気軽にご相談ください。

自社のAI導入・AI活用について相談したい場合は、企業からのご相談もご検討ください。

なお、本文中の法令・ガイドラインに関する記述は、公開されている一次情報を確認した範囲で記載しています。個別の法的判断については、公開前に弁護士など専門家の確認を受けることを推奨します。また、学習利用・データ取り扱いに関するサービス仕様は変更される可能性があるため、実際の利用にあたっては各サービスの最新の公式ポリシーを確認してください。