「社員が勝手にChatGPTを使い始めた。うちもルールを作らないとまずいのでは」。最近、経営者の方からこの相談が増えました。
そこで多くの会社が、立派な規程を作ろうとして手が止まります。ネットには専門的な雛形があふれ、条文の体裁を整えようとすると、いつまでたっても完成しない。その間も、現場ではルールなしでAIが使われ続けます。
先に結論をお伝えします。生成AIの社内ルールは、分厚い規程ではなく「自社の実情から逆算した、守られる1枚」から始めるのが正解です。 決めることは、突き詰めれば3つだけ。雛形もこの記事に用意しました。何を、どういう順番で決めればいいのかを、経営の言葉で整理します。
なお、AIに社内情報を入れてよいのか、というセキュリティの技術的な中身は「社内情報をAIに入れても大丈夫か。中小企業のセキュリティ対策」で詳しく扱っています。本記事は、その考え方を踏まえて「では、ルールとしてどう文章化し、どう運用するか」に絞ります。
生成AIの社内ルールは「守られる1枚」から始める
社内ルールと聞くと、条文が並んだ規程を思い浮かべる方が多いと思います。ですが中小企業でまず必要なのは、全員が読んで守れる最小限の1枚です。
私はいつも「完璧な計画を待つより、やらないよりはやった方が絶対にいい」とお伝えしています。生成AIの分野は変化が速く、半年前の常識が変わります。最初から完全な規程を目指すと、公開される頃には古くなっている。それより、いま守るべき最低限を1枚にまとめて配り、走りながら直していくほうが、結果的にきちんと機能します。
立派な規程を「作れないから、まだAIは解禁できない」となるのが、いちばんもったいない。ルールは、AIを禁止するためではなく、安心して使い始めるための入口です。まずは1枚。中身は次章の3点に絞ります。
決めるべきは3つだけ
生成AIの社内ルールで、最初に決めるべきことは3つです。ここさえ押さえれば、あとは自社に合わせて足していけます。
- 入れない情報を決める … 顧客の個人情報や未公開の金額など、AIに入力しない情報の線引き。
- 使うツールの学習設定を確認する … 使ってよいツールを決め、入力が学習に使われない状態にしておく。
- 生成物とやり取りの保存場所を決める … AIで作ったものや履歴を、どこに、どう残すか。
このうち3つ目は見落とされがちです。AIで作った下書きや議事録が、担当者のPCや個人のチャット履歴に散らばると、あとで誰も見つけられなくなります。私たち自身、社内のチャットツールで案件ごとにスペースを分けずに使っていた時期は、必要な情報が流れて埋もれてしまいました。案件別・業務別に置き場所を決めておくだけで、AIの成果物が会社の資産として残ります。保存場所を決めるのは、地味ですが効きます。
次章から、この3点を順に掘り下げます。
「入れない情報」は一律では決まらない
3つのうち、最も自社で考える必要があるのが1つ目の「入れない情報」です。ここは、他社の雛形をそのままコピーしても守れません。何を入れてはいけないかは、自社が誰の、どんな情報を預かっているかによって変わるからです。
たとえば、製造業の下請けのようにNDA（秘密保持契約）付きで取引先の図面や仕様を預かる会社もあれば、飲食店や小売店のように、メニューや販促文など公開が前提の情報が中心の会社もあります。同じ「入れない情報」でも、業種と取引の構造でまるで中身が変わる。だから、汎用の禁止リストを丸写しするのではなく、「うちは誰から、どんな秘密を預かっているか」を書き出し、そこから逆算して入れない情報を決めます。これが、雛形の空欄を自社だけの一行で埋める作業になります。
外部クラウドが契約で制限されるケースの見分け方や、線引きの具体例は「社内情報をAIに入れても大丈夫か」に詳しく書きました。取引先から預かった機密の扱いは、ツール自体の安全性以前に契約の問題になりうるので、あわせてご覧ください。
学習に使われるかは「無料/有料」ではなく「個人向け/法人向け」
ルールを作るとき、必ず論点になるのが「入れた情報がAIの学習に使われないか」です。ここで、多くの雛形や解説が誤った説明をしています。
よくある誤解が「無料版だと学習に使われる、有料版なら安全」というものです。これは正確ではありません。入力が学習に使われるかどうかを分けるのは、無料か有料かではなく、個人向けか法人向けかです。 これはOpenAIやAnthropicなど各社の公式情報とも整合する、2026年時点の一般的な整理です。
| 区分 | 入力が学習に使われるか |
|---|---|
| 個人向け（ChatGPT Plus/Pro、Claude Pro/Max、Gemini個人など） | 初期状態では使われることがあるが、設定でオフ（オプトアウト）にできる |
| 法人向け（ChatGPT Business/Enterprise、Team、API、Google Workspace、Claude Team/Enterprise、Microsoft 365 Copilot のエンタープライズデータ保護など） | 入力を既定で学習に使わない |
表のとおり、有料でも個人向けプランは初期状態では入力が学習に使われることがあり、設定でオフにできます。法人向けは入力を既定で学習に使わないのが基本です。なお「保存（リテンション）」と「学習への再利用」は別の話で、一定期間サーバーに保存されることと、将来のAIの改善に再利用されることは分けて理解します（仕組みの詳細は前掲のセキュリティ記事に譲ります）。
だからルールに書くべきは「無料は禁止」ではなく、使ってよいツールを決め、個人向けなら学習オフを確認する、です。ツールごとの設定名や既定の挙動は変わりうるので、細部は各社の公式ヘルプで確認してください。どのツールを選ぶかで迷うなら「ChatGPT・Gemini・Claude比較と選び方」が、機微情報を入れない実務の入門なら「生成AIを業務で使う最初の1ヶ月」が参考になります。
コピペで使える生成AI利用ルール雛形（A4・1枚）
ここまでの3点を、そのまま1枚のルールにしたのが以下です。この通りに固めるのではなく、自社の言葉に書き換えて使うことを前提にしています。禁止のための規則ではなく、安全に活用するための最小ルール、という姿勢で作りました。
生成AI利用ルール（〇〇株式会社）
- 目的：生成AIを禁止するためではなく、安心して業務に活用するための最小限のルールです。迷ったら、このルールに立ち返ってください。
- 入れてよい情報／入れない情報：入れない情報の例＝顧客の個人情報、未公開の金額や見積もり、取引先から預かった秘密情報、図面・仕様などの機密。（※何を入れないかは、自社が誰の情報を預かっているかから各社で決めます。）
- 使ってよいツールと学習設定：使ってよいツール＝〇〇、△△。個人向けプランを使う場合は、入力を学習に使わせない設定になっているか確認します。法人向けの契約では、入力は既定で学習に使われません。
- AIの出力の扱い：AIの回答は「たたき台」です。事実・数値・固有名詞は、そのまま使わず、人が必ず確認・修正してから使います。
- 保存場所：AIで作ったものややり取りは、〇〇（案件別のフォルダ・スペースなど）に保存します。個人のPCやチャット履歴に散らばらせません。
- 困ったときの相談先：判断に迷ったら、入力する前に〇〇（担当者名）に相談してください。
- 見直し：このルールは四半期に一度、見直します。最初から完璧を目指さず、使いながら直します。
7項目、A4で1枚に収まります。条文の体裁より、全員がひと目で読めることを優先しました。
会社の規模で、ルールの重さを変える
雛形をそのまま使うとき、注意してほしいことがあります。会社の規模に合わないルールは、重すぎても軽すぎても形骸化する、という点です。
10人以下の会社に、大企業向けの分厚い規程は要りません。承認フローや細かい分類を盛り込むほど、誰も読まなくなり、結局は守られない飾りになります。小規模なら、前章の1枚で十分に機能します。項目の数は、多ければよいのではなく、自社が本当に守れる範囲に絞るのが肝心です。
私たちの経験でも、チェック項目を細かくしすぎたルールは、味気なくなって現場が読み飛ばします。まずは守れる5〜7項目に絞り、運用が回ってから必要な分だけ足す。この順番のほうが、結果として守られるルールになります。人数が増え、扱う情報が重くなってきたら、誰がいつ使ったかのログや退職者のアカウント管理といった「仕組み化」も要りますが、それは規模が大きくなったときの検討事項です（進め方は「社内情報をAIに入れても大丈夫か」を参照）。最初から重装備にする必要はありません。
配って終わりにしない
最後に、いちばん大事な話です。ルールは、作って配った時点では機能しません。配って終わりにせず、使い方の見本とセットで運用して、初めて守られます。
3つ、押さえてください。
一つ目は、AIの出力を「たたき台」と位置づけることです。主要な生成AIサービスは、規約で出力の正確性を保証していないのが一般的です。もっともらしい間違いも混じります。だからルールでも実務でも、AIが作ったものは仮説・下書きとして扱い、事実・数値・固有名詞は人が最終確認してから使う、と明示します。これは雛形の「AIの出力の扱い」にも入れました。責任を取るのは、いつも人の側です。
二つ目は、良い例・悪い例とマニュアルをセットにすることです。ルールに「機密は入れない」と書くだけでは、現場は迷います。「顧客名は『A社』に置き換える」「この業務ではこう頼む」といった具体例や簡単な手順書を添えると、途端に守られるようになります。ルールが先、使い方の見本が後、ではなく、両輪で配るのが実務的です。
三つ目は、四半期に一度の見直しです。AIの機能も設定も変わります。完璧を最初に求めず、走りながら直す前提でいれば、ルールが現実に追いつき続けます。
参照できる公的な土台（中立に）
自社ルールを整えるとき、国や公的機関が出している資料を土台にできます。いずれも「使うな」ではなく「こう決めて、こう使う」を後押しする、中立の土台として参照してください。
- AI事業者ガイドライン（総務省・経済産業省が共同策定）… AIの開発・提供・利用に関わる事業者全体のガバナンスの基本を示したもので、AIを使う企業も対象に含まれます。2026年時点の最新は第1.2版（2026年3月公表）で、従来の複数のガイドラインを統合したものです。
- 中小企業の情報セキュリティ対策ガイドライン（IPA・情報処理推進機構）… 2026年最新版は第4.0版。中小企業がセキュリティを整える土台になります。
- 生成AIの利用ガイドライン ひな形（日本ディープラーニング協会・JDLA）… Word・無料・改変可で公開されており、自社ルールのたたき台にそのまま使えます。
- 中小企業のための生成AI活用入門ガイド（東京商工会議所）… 中小企業向けの活用の入り口として参照できます。
公的ガイドラインの位置づけや、セキュリティの技術的な中身をもっと知りたい方は「社内情報をAIに入れても大丈夫か」もあわせてどうぞ。
よくある質問
Q. 生成AIを使うのに、法人契約は必須ですか。 必須ではありません。少人数のうちは、個人向けプランで学習オフを設定し、入れない情報を決めて使う運用でも十分に安全です。法人契約は、データの扱いを契約で担保したい場合や、人数が増えて管理を仕組み化したい場合の選択肢、という位置づけです。
Q. 入力した情報が学習に使われるのは、オフにできますか。 できます。個人向けプランは初期状態では学習に使われることがありますが、設定でオフ（オプトアウト）にできます。法人向けは入力を既定で学習に使いません。詳しくは本文「学習に使われるかは…」の表をご覧ください。
Q. 「保存される」と「学習に使われる」は同じことですか。 別の概念です。保存期間があっても、学習に使うとは限りません。詳しくは本文「学習に使われるかは…」の項をご覧ください。
Q. 何から書き始めればいいですか。 まず「自社が誰の、どんな秘密の情報を預かっているか」を書き出してください。そこから「入れない情報」が決まります。あとは、使ってよいツールと学習オフの確認、生成物の保存場所を足せば、1枚のルールになります。この記事の雛形を、自社の言葉に置き換えるところから始めるのが最短です。
まとめ：ルールは入口、使いこなしは伴走で
生成AIの社内ルールは、立派な規程を待つものではありません。自社が誰の情報を預かるかから逆算した「守られる1枚」を、まず配る。決めることは、入れない情報・学習オフの確認・保存場所の3つだけ。あとは会社の規模に合わせて絞り、使い方の見本とセットで運用し、四半期ごとに直していく。これだけで、AIは「なんとなく怖い」から「安心して使える道具」に変わります。
ルールはあくまで入口です。実際に会社の業務でどう使いこなし、今の人数のままできる仕事をどう増やすかは、ここから先の話になります。AI Advanceでは、社内ルールづくりの相談から、業務への実装、社内への定着支援までを一貫してお手伝いしています。初回相談は無料です。地元・山梨での進め方や公的支援の使い方もあわせて知りたい方は「山梨の中小企業がAIを始めるには」を、支援会社への頼み方は「AI導入コンサルの選び方」をご覧ください。「うちの場合、ルールに何を書けばいいか」という段階のご相談こそ歓迎です。まずは何から始めるかを一緒に整理するところから、お気軽にお問い合わせください。
