社内のAI利用ルールは何を書けばいいのか、専任がいない会社の最小の項目

公開日：2026-11-05／AnchorUp コラム

社内のAI利用ルールに最低限書くのは、使ってよいAI、入力してはいけない情報、入力の仕方、出力の確認、社外に出す時の確認、間違えた時の連絡先、担当と見直しの7項目です。 専任がいなくても、A4で1〜2枚に収まります。

社内の決まりを書き始める机の上の書類

東京都のサイバーセキュリティ解説（生成AIが原案を作り、都が校正したと明記された解説）も、中小企業には1〜2ページ程度の軽いルールと公式なツール環境の整備を勧めています。大企業の規程をまねて分厚くするより、社員が読んで迷わないことを優先します。

この記事は2026年11月5日時点の公式情報をもとにした一般的な整理です。

なぜ「AI禁止」だけのルールでは足りないのか？

禁止だけだと、社員が個人のスマートフォンなどで使い始め、会社から見えなくなるおそれがあるからです。 東京都の解説は、これを「シャドーAI」と呼び、会社が使える環境を用意することを防止策に挙げています。

AIに関するリスクは、公的機関の年次の脅威リストにも入りました。IPA（情報処理推進機構）の情報セキュリティ10大脅威 2026では、組織向けの3位に「AIの利用をめぐるサイバーリスク」が初めて選ばれました。

個人情報を扱う会社にとっては、法律の面もあります。個人情報保護委員会のガイドラインは、事業者は従業者に必要かつ適切な監督をしなければならないとし、リスクに応じて教育や研修を充実させることが望ましいとしています。AIの使い方を社員任せにしない理由の1つです。

最小のルールには何を書けばいいのか？

次の7項目です。 東京都の解説にある中小企業向けチェックリストから、ルールの文面に書く部分を選んで並べました。

A4の紙に7項目が収まる全体像。入力の前に使ってよいAI、入力禁止の情報、入力の仕方、出力の後に出力の確認と社外に出す時、ほかに間違えた時、担当と見直しを書きます。

項目 書くこと 書き方の例
1. 使ってよいAI 会社が認めるサービスとアカウント 「会社のアカウントのCopilot Chatだけ」
2. 入力禁止の情報 具体的な情報の種類 「顧客の氏名、未公開の数字」
3. 入力の仕方 どうしても必要な時の置き換え 「固有名詞はA社、B氏に変える」
4. 出力の確認 誰が何を確かめるか 「数値、法令、固有名詞は元の資料で確認」
5. 社外に出す時 公開前の確認 「他社のロゴや作品に似ていないか見る」
6. 間違えた時 連絡先と連絡の期限 「気づいたらその日のうちに担当者へ」
7. 担当と見直し 担当者の名前と時期 「総務の○○、半年に1回」

使ってよいAIはどう決めるのか？

製品名だけでなく、会社の契約やアカウントで線を引きます。 同じ製品でも、個人のアカウントと仕事用のアカウントで入力データの扱いが変わることがあるためです。公式の説明の例を挙げます。

決める時の手順は次のとおりです。

  1. いま社内で何が使われているかを聞く（無記名でも構いません）
  2. すでに会社で契約しているサービスにAIが含まれていないか確認する
  3. 使うAIを1つか2つに絞り、アカウントの発行方法を決める
  4. ルールに、サービス名とアカウントの種類を書く

各社の規約は変わるので、ルールには「いつの時点で確認したか」も書いておくと、見直しの時に楽です。

入力してはいけない情報はどこまで具体的に書くのか？

社員がその場で判断できるところまで、情報の種類を名指しで書きます。 東京都の解説は、「機密情報を入力しないこと」のような抽象的な規定では現場が判断できないとして、具体名の列挙を勧めています。

情報の3区分。個人情報などはAIの入力欄の手前で止め、社内の相談内容などは固有名詞をA社、B氏、金額をX円に変えて入力し、公開済みの情報などはそのまま入力します。

3つに分けると迷いが減ります。

区分 例 扱い
入力しない 顧客や社員の個人情報、取引先と秘密保持を約束した情報、未公開の財務数値、ソースコード 会社が認めたAIでも入力しない。例外は担当者が判断する
置き換えて使う 社内の相談内容、提案の下書き 固有名詞をA社、B氏、金額をX円に変える
そのまま使ってよい 公開済みの情報、一般的な質問 入力前の確認は不要

「ソースコード」を入れるかどうかは、会社によって判断が分かれます。開発を外注している会社は、契約で扱いが決まっていることがあるので、契約書を確かめてから決めてください。

AIの出力は誰が確認するのか？

使った本人が確認し、社外に出すものは別の人も確認します。 東京都の解説は、特に数値、法令、固有名詞について、人が一次情報までさかのぼって確認することを挙げています。「AIが書いたから」は、取引先への説明になりません。

社外に公開する文章や画像は、既存の作品との類似も見ます。AIと著作権の考え方は、文化庁のページに資料がまとまっています。ルールには「公開前に担当者が確認する」と書き、判断に迷うものは公開を止めて確認します。

間違えて入力した時の連絡先はなぜ必要なのか？

報告の期限が、社長が知った時からではなく、社内のどこかが知った時から始まることがあるからです。 個人情報保護委員会のガイドラインは、漏えい等の報告対象の事態について、法人ではいずれかの部署が知った時点を基準とし、速報の目安を概ね3〜5日以内としています。

なお、東京都の解説のテンプレートには個人情報の速報を「72時間以内」とする記述がありますが、委員会のガイドラインの目安は概ね3〜5日以内です。

東京都の解説も、社員がペナルティを恐れず速やかに相談、報告できるルートを挙げています。ルールには、怒らないという姿勢と連絡先の両方を書いてください。

実際に起きた時の確認項目は、社員が無料のChatGPTに顧客名を入れていた時に、会社がまず確認することにまとめています。

そのまま使えるひな形はあるか？

次の文面を、自社の名前に置き換えて使えます。 法律の助言ではないので、違反時の処分まで定める場合は、就業規則との関係を社会保険労務士や弁護士に確認してください。

社内AI利用ルール（第1版 ○年○月○日）

1. 使ってよいAI
   ・○○（会社が発行したアカウントのみ）
   ・個人のアカウントを業務に使わない

2. 入力しない情報
   ・顧客と社員の個人情報（氏名、連絡先、健康に関する情報など）
   ・取引先と秘密保持を約束した情報
   ・未公開の財務数値、事業計画
   ・ソースコード、パスワード、APIキー

3. 入力の仕方
   ・必要な時は、固有名詞をA社、B氏、金額をX円に置き換える

4. 出力の確認
   ・数値、法令、固有名詞は元の資料で確認する
   ・内容は使った本人が確認し、社外に出すものは担当者も確認する

5. 社外に出す時
   ・公開する文章と画像は、公開前に担当者が確認する

6. 間違えた時
   ・気づいたら、その日のうちに担当者へ連絡する
   ・早く連絡したことを理由に責めない

7. 担当と見直し
   ・担当者：○○（連絡先：○○）
   ・半年に1回、内容を見直す

専任がいなくても回すにはどうするのか？

担当者を1人決め、見直しの日をカレンダーに入れます。 東京都のチェックリストは、ツールの管理、ルールの周知、一次相談の窓口を担う担当者を1名以上指名すること、少なくとも半年に1回見直すことを挙げています。

担当者の仕事は、次の3つに絞れます。

  1. 配る： 入社時と改定時に読んでもらい、いつでも見られる場所に置く
  2. 受ける： 「これは入れていいか」の質問と、間違えた時の連絡を受ける
  3. 見直す： 半年ごとに、利用状況と各社の規約の変更を確かめる

もっと詳しく作りたくなったら、IPAのサイトで公開されている、中核人材育成プログラム卒業プロジェクトのテキスト生成AIの導入・運用ガイドラインの案内ページを見てください。IPAの意見を代表するものではないと注記されています。組織で運用する上でのルールの策定と文書化について、章を分けて扱っています。

まとめ

  1. ルールは7項目、A4で1〜2枚から始める
  2. 使ってよいAIは、製品名とアカウントの種類の両方で書く
  3. 入力禁止の情報は、社員が判断できるよう具体的に書く
  4. 間違えた時の連絡先と、責めない姿勢を明記する
  5. 担当者を1人決め、半年ごとに見直す

AnchorUpでは、こうした判断のご相談を受けています。相談内容を送る

参考（一次情報）

コラムの一覧へ／相談する