社員が個人のアカウントでChatGPTを使い始めている。止めるべきか、認めるべきか、決めきれないまま時間が経っている。多くの会社がこの状態にあります。結論から言うと、生成AIの社内ルールは「使ってよいツール」「入れない情報」「出力の扱い」「判断する人」の4項目を決めれば動き出します。分厚い規程は必要ありません。むしろ、禁止事項を網羅することから書き始めた規程は、AI活用そのものを止めてしまいます。
本記事は社内ルールを設計するときの考え方をまとめたもので、法令解釈や労務上の判断を断定するものではありません。就業規則・懲戒規定との接続や個別の法的判断は、社会保険労務士・弁護士にご確認ください。
ルール整備は「導入した後」に最大の詰まりになる
商工中金が2026年3月31日に公表した「中小企業の生成AIの利用にかかる調査（2026年1月調査）」（有効回答3,892社）に、この問題の構造がはっきり出ています。
- 生成AIの導入状況で最も多いのは「会社での導入はなく、使用は個人の判断に任せている」で64.9%
- 会社主導で導入している企業と、個人利用を推奨している企業の合計（同調査が「生成AI積極活用層」と定義）は31.1%
- そして導入後の課題として最も比率が高かったのが「社内ルールや方針整備が追い付かない」（25.1%）
順序を読み違えないでください。ルールが追い付かないから会社として導入に踏み切れず、結果として「個人の判断に任せる」状態が続く。社内ルールは、AIにブレーキをかけるための文書ではなく、会社として使い始めるための前提条件です。ここが未整備のまま放置されると、使う人と使わない人の差が開き、情報管理のリスクだけが個人任せで残ります。
禁止リストから書き始めると、AI活用ごと止まる
ルールを作ろうとすると、多くの会社がまず「禁止事項」を洗い出します。これが最初のつまずきです。
禁止事項をいくら網羅しても、実際の業務で出てくるのは「これは書いていないが、使っていいのか」という判断です。禁止で埋められた文書を渡された社員は、書かれていないことに対して安全側に倒します。つまり使いません。ルールを整備したのに利用が増えない会社は、ほぼこの状態です。
社内ルールの目的は、禁止の線を引くことではなく「ここまでは、いちいち相談しなくても自由に使ってよい」という許可の線を引くことです。安全な範囲が明示されていれば、その中では現場が自分で判断して手を動かせます。経営者が確認すべきなのは文書の厚さではなく、「これを読んだ社員は、明日その場で使い始められるか」の一点です。
最初に決めるのは、この4項目だけ
A4一枚で足ります。次の4項目を自社の言葉で埋めてください。
| 決める項目 | 書く内容 | 決め方の目安 |
|---|---|---|
| ① 使ってよいツール | 業務で使用を認めるサービス名と、個人アカウントで使ってよいかどうか | まず1〜2種類に限定する。会社契約なら入力データの取り扱い設定を会社側で担保できる |
| ② 入れてはいけない情報 | 顧客の個人情報、取引先から受け取った機密情報、未公表の経営数字など | 「機密情報」と抽象的に書かず、自社で実際に扱う書類名で挙げる |
| ③ 出力の扱い | そのまま社外に出さない・事実確認をしてから使う・最終責任は担当者にある | 「誰がチェックしてから外に出るか」を業務ごとに1行で決める |
| ④ 判断する人 | 迷ったときに聞く窓口を1人（兼任で可）と、ルールを更新する頻度 | 出た質問と回答を追記していく前提にする。初版で完成させない |
4項目のうち、実務で効くのは④の「判断する人」です。ルールに書いていない状況は必ず出ます。そのときに聞ける相手が決まっているかどうかで、現場が止まるか進むかが変わります。窓口を置く余力がない会社は、外部の伴走者をその役に据える選択もあります（AI顧問とは — 月額でしてくれること）。
この4項目をそのまま書き込める記入シート（A4・1枚）を用意しました。フォーム入力は不要です。印刷して、対象の業務を1つ決めるところから使ってください。
記入シートをダウンロード（A4・1枚）「入れてはいけない情報」は、法令が線を決めている部分がある
②だけは、自社の好みで決められない部分を含みます。個人情報保護委員会が公表している「生成AIサービスの利用に関する注意喚起等」（令和5年6月2日）は、個人情報取扱事業者に対して次の2点を挙げています。
- 個人情報を含むプロンプトを入力する場合は、特定された当該個人情報の利用目的を達成するために必要な範囲内であることを十分に確認すること
- あらかじめ本人の同意を得ることなく個人データを含むプロンプトを入力し、それが応答結果の出力以外の目的で取り扱われる場合は個人情報保護法違反となる可能性があるため、そのサービスを提供する事業者が当該個人データを機械学習に利用しないこと等を十分に確認すること
実務に翻訳すると、「個人情報は一律禁止」と書くのが唯一の正解ではなく、(1) その入力は元々の利用目的の範囲内か (2) 入力内容が学習に使われない設定・契約になっているかを確認できる状態を作る、ということです。この2つ目は個々の社員には確認しようがありません。だからこそ①の「使ってよいツールを会社が指定する」が最初に効きます。設定と契約を会社側で一度確認しておけば、社員は指定されたツールを使うだけで条件を満たせます。
取引先から受け取った情報は、個人情報保護法とは別に秘密保持契約（NDA）の範囲の問題です。AI利用を想定していない契約もあるため、重要な取引先の契約書は一度確認してください。
雛形をそのまま使うと、たいてい運用されない
ネット上には章立ての整った利用規程の雛形が多数あります。参考にするのは構いませんが、そのまま採用した会社の規程は、自社に存在しない部署や体制が登場する文書になりがちです。「AI利用推進委員会が四半期ごとに審議する」と書かれていても、その委員会は永久に開かれません。
自社化の手順はこの3ステップで足ります。
- いま実際に使われている業務を1つ挙げる。メールの下書き、議事録の要約、提案書のたたき台など、すでに起きていることから始めます。
- その業務について、上の4項目を書く。全社の網羅を狙わず、1業務分だけ書き切ります。
- 1ヶ月使い、出てきた質問を追記する。質問はそのままルールの不足箇所です。これを繰り返せば、自社の実態に合った文書に育ちます。
背景として押さえておくべき公的資料としては、総務省・経済産業省の「AI事業者ガイドライン（第1.2版・令和8年3月31日）」があります。AIの開発者・提供者・利用者それぞれの立場に向けた国内の統一的な指針で、内容は経済産業省のページから確認できます。ただし本文と付属資料を合わせるとかなりの分量があり、そのまま中小企業の社内規程に落とすものではありません。自社ルールの背景を確認する文書として位置づけるのが現実的です。
作った後、「読まれる状態」にするまでが仕事
ルールを規程集のフォルダに置いた時点で完了にすると、まず読まれません。文書の存在ではなく、業務の中に置かれているかどうかで決まります。
- 業務フローの中に1行入れる。「この作業ではこのツールを使ってよい」「この帳票の情報は入れない」を、手順書やマニュアルの当該箇所に直接書きます。ルールを探しに行かせない設計です。
- 月1回、質問と回答を追記する。更新のない文書は現場から「古い決まり」と見なされます。
- 違反時の扱いは初版に盛り込まない。懲戒や就業規則との接続を先に決めようとすると、そこで議論が止まります。まず使える範囲を示し、労務上の扱いは社労士・弁護士と別途整理してください。
ここを飛ばしてルール文書だけを作ると、生成AIが社内に定着しない4つの理由で挙げた「業務に埋め込まれていない」状態にそのまま入ります。ルールも仕組みも、業務フローの外側にある限り使われません。
4項目の自己点検を含む、20項目の業務棚卸しチェックリストを無料で配布しています
AI活用チェックリストを受け取るまとめ: ルールは「止める線」でなく「進んでよい線」
生成AIの社内ルールは、禁止事項を網羅した規程ではなく、A4一枚の許可の線から始めてください。決めるのは「使ってよいツール」「入れない情報」「出力の扱い」「判断する人」の4項目。法令が関わるのは主に2つ目で、会社がツールを指定することで社員の判断負荷を大きく下げられます。そして作った後、業務フローの中に置き、出てきた質問で毎月育てる。ここまでが社内ルールの仕事です。
これから会社として導入する会社にとっては、ルールづくりはAI導入の進め方の一部でもあります。ルール単体で完結させず、どの業務から使い始めるかとセットで決めるほうが早く進みます。
アクセルAIの場合
当社の月額伴走支援では、ルールの初版づくりから、業務フローへの反映、運用しながらの更新までを一緒に行います。規程を1本納品して終わり、という形は取りません。支援に含まれる範囲は提案パッケージのページで公開しています。
無料相談（30分・オンライン）— 自社の場合に何を決めればよいか、最初の4項目の整理からお手伝いします
無料相談を申し込む