生成AIの社内ルールを整える目的と、まず決めておきたい対象範囲
「ChatGPTを使っても大丈夫ですか」と従業員から聞かれたとき、明確に答えられる経営者は、まだそれほど多くありません。社内にシステムに詳しい人がいなければ、なおさら何から始めればよいのか迷うのは自然なことです。
一方で、気づかないうちに従業員が生成AIを個人的に使い始めているケースは、中小企業でも珍しくなくなっています。顧客名を含むメール文面をそのまま入力したり、社内会議の記録を要約させたりしていることもあります。こうした利用がルールのないまま続くと、情報漏えいや著作権上の問題が後から発覚するおそれがあります。
社内ルールを整える目的は、生成AIの利用を禁止することではありません。安心して活用できる環境をつくることです。ルールが明文化されていれば、従業員は迷わず使えますし、経営者にとっても、問題が起きた際に対応できる体制があるという安心につながります。
最初に決めるべきなのは、「誰が、どの業務で、どのツールを使うことを想定するか」という対象範囲です。全従業員を一律に対象とすることも可能ですが、まずは実際に生成AIを使っている、または導入を検討している部門から始める方が現実的です。営業、総務、企画など、文書作成や調査業務の多い部門から着手すると進めやすくなります。
利用を認める範囲と認めない範囲は、「業務の効率化に使うこと」「出力内容は必ず人が確認すること」を原則にすると整理しやすくなります。その一方で、顧客の個人情報、取引先との契約内容、未公開の財務情報などは、原則として入力を禁止するのが基本です。この線引きを最初に定めておくことが、規程全体の軸になります。
社内利用規程に入れておきたい基本項目
社内ルールを文書化する際は、何をどこまで書けばよいか悩みがちです。ただ、最初から完璧を目指す必要はありません。現場で実際に使える内容を、簡潔にまとめることが大切です。以下の項目を押さえておけば、中小企業の実態に合った規程として十分に機能します。
まず必要なのは、利用目的と基本方針です。生成AIを何のために使うのかを明文化します。たとえば、「業務の効率化および品質向上を目的として利用する」「出力結果を最終判断に用いる際は、必ず担当者が内容を確認する」といった一文があるだけでも、規程全体の方向性が明確になります。
次に、対象となる生成AIサービスを定めます。会社として利用を認めるサービス名、たとえばChatGPT、Microsoft Copilot、Geminiなどを記載します。あわせて、明記されていないサービスは原則として申請と承認を必要とする形にしておくと、会社に無断で使われる状況を防ぎやすくなります。
さらに重要なのが、入力してよい情報と、入力してはいけない情報の区分です。一般的な業務文書の作成や添削、社内向け説明文や報告書のたたき台作成などは、利用可能な例として示せます。一方で、個人を特定できる顧客情報、取引先との契約書の内容、未公開の経営数値などは、禁止事項として明確に記載する必要があります。ここは規程の中でも特に重要な部分です。
生成結果の確認責任も必ず盛り込むべき項目です。AIの出力は常に正確とは限りません。誤った情報が含まれていても、それを業務に使った責任は利用者と会社が負います。そのため、「出力内容を最終確認してから利用すること」という一文は欠かせません。
加えて、個人情報、機密情報、著作権への配慮も必要です。個人情報保護法に沿った取り扱い基準や、著作権上の問題が生じる可能性のある出力物の扱い方針を簡潔に記載します。生成AIの出力をそのまま社外に公開する場合のリスクにも触れておくと、より実務的です。
また、新しいサービスを使いたい場合や、判断に迷うケースが生じた場合に備え、承認手続きと管理担当者も明確にしておきます。総務責任者や情報管理担当者など、相談先となる担当者の役割や連絡先を記載しておくと運用しやすくなります。
最後に、違反時の対応と定期見直しのルールも必要です。違反があった場合は、まず注意や指導を基本とし、悪質な場合は就業規則に準じて対応するなどの方針を示します。あわせて、規程自体を年1回など定期的に見直すことを定めておくと、変化の速い生成AIの動向にも対応しやすくなります。
そのまま使いやすい雛形の全体構成
規程文書は、WordでもGoogleドキュメントでも作成できます。大切なのは、後から編集しやすく、更新しやすい形にしておくことです。
Wordで作成する場合は、章立てと条番号を使うと、就業規則など既存の社内規程と統一感を持たせやすくなります。印刷して配布したり、押印や署名が必要になったりする場面でも扱いやすい点が利点です。Googleドキュメントで作成する場合は、URLを共有するだけで従業員がいつでも確認できるため、更新時の周知がしやすくなります。どちらを選ぶ場合でも、作成後にPDF化して配布する手順まで決めておくと、運用が安定します。
中小企業が最初に押さえたい章立ては、次の流れで整理すると分かりやすくなります。
- 第1章：目的・適用範囲
- 第2章：利用可能なサービスと申請方法
- 第3章：入力禁止情報と取り扱い上の注意
- 第4章：出力内容の利用ルールと確認責任
- 第5章：管理体制・違反時の対応・規程の改定
この5章構成であれば、A4用紙2〜3枚程度に収まり、従業員にとっても読み切りやすい分量です。既存の雛形を参考にする場合は、入力禁止情報の定義が自社の業務実態に合っているか、管理担当者の役職や連絡先を自社用に変更できるか、この2点を最初に確認してください。雛形をそのまま使うのではなく、自社の実情に合わせて言葉を置き換えることが重要です。
そのまま参考にできるサンプル条文と書き換え例
規程を作り始めると、条文をどのように書けばよいか迷うことがあります。ここでは、基本となるサンプル条文と、実情に合わせて調整する際の考え方を紹介します。
利用目的に関する条文例
「本規程は、従業員が生成AIサービスを業務において適切に活用するための基本的なルールを定めることを目的とする。」
入力制限に関する条文例
「従業員は、生成AIサービスへの入力に際し、顧客の氏名・連絡先等の個人を特定できる情報、取引先との契約内容および非公開の価格情報、未公開の財務情報その他会社が機密と定める情報を入力してはならない。」
出力内容の確認に関する条文例
「生成AIの出力結果を業務に利用する際は、内容の正確性・適切性について利用者自身が確認する責任を負う。確認なく出力内容をそのまま社外に提供することは禁止する。」
承認・例外対応に関する条文例
「本規程に定めのない生成AIサービスを業務上利用する必要が生じた場合は、事前に管理担当者（○○部門 担当：△△）へ申請し、承認を得てから利用するものとする。」
書き換えの際に重要なのは、「会社が機密と定める情報」や「管理担当者」といった部分を、自社の実態に合わせて具体化することです。表現が抽象的なままだと、現場で判断に迷い、「これは対象なのか」が分からなくなります。その結果、ルールが形だけになってしまうおそれがあります。
自社の実態に合わせて調整する進め方
規程を実際に機能させるには、作成前に現在の利用状況を把握しておくことが大切です。どの部門が、どのツールを、どの目的で使っているのかを簡単に確認するだけでも、必要な論点が見えてきます。
また、リスクの高い業務から優先してルール化する考え方も有効です。たとえば、顧客情報を日常的に扱う営業部門や、労務情報や採用情報を扱う総務・人事部門は、情報漏えいが起きた際の影響が大きいため、優先して整備する価値があります。
条文の表現は、法律文書のように難しくする必要はありません。従業員が読んですぐに意味を理解できる言葉で書くことが、実際に守られるルールにつながります。難しい表現は、現場での自己判断を増やし、かえってリスクを高めることがあります。
最終確認の段階では、法務担当、社労士、または顧問弁護士がいれば、一度目を通してもらうと安心です。特に、違反時の対応が就業規則と矛盾していないか、個人情報保護に関する記述が現行法に沿っているかは確認しておきたいポイントです。
部門ごとに決めておきたい運用ルール
全社共通の規程に加えて、部門ごとの特性に応じた補足ルールを設けると、実際の運用がよりスムーズになります。
営業部門では、提案書や営業メールのたたき台作成に生成AIを活用できますが、顧客名や見積金額などの具体的な情報を入力しないことを徹底する必要があります。たとえば、架空の会社向けの提案として文章を作成し、社名や数値は後から担当者が手作業で置き換える方法が現実的です。
総務・人事部門では、採用文書や社内案内文の作成などで生成AIが役立つ一方、応募者の個人情報や従業員の評価データを扱う場面では利用禁止とする必要があります。機密性の高い情報とそうでない情報の区別を、部門内で共通認識として持っておくことが重要です。
経理・管理部門では、一般的な文書作成や業務フロー説明文の作成には活用できますが、財務数値や取引先の決済情報の入力は避けなければなりません。社外のクラウドサービスに財務データを送ることのリスクを、担当者全員が理解している状態をつくることが前提です。
開発・制作業務では、コード補完やドキュメント作成の補助に生成AIを使う場面が多くあります。その一方で、納品物に生成AIの出力をそのまま使う場合には、著作権上のリスクを意識する必要があります。成果物に利用する際は、必ず内容を確認し、必要に応じて修正や加工を行うというルールを明文化しておくと安心です。
形だけで終わらせないための更新・周知・教育の進め方
規程は、作ること以上に、運用を続けることの方が難しいものです。作成しただけで読まれない状態を防ぐためには、周知と教育の進め方まであらかじめ考えておく必要があります。
規程を公開した後は、全従業員に対して、何が変わったのか、何に注意すべきかを簡潔に伝える機会を設けてください。長時間の説明会は必須ではありません。15〜20分程度の短い共有でも十分です。特に、入力してはいけない情報の具体例と、迷ったときの相談先の2点を最初に伝えるだけでも、現場の混乱を抑えやすくなります。
定期的な見直しは、年1回を目安にすると現実的です。担当者を1名決めておき、「毎年○月に見直す」と予定に入れておくだけでも、更新が止まるリスクを大きく減らせます。加えて、半年に一度程度、主要なガイドラインや業界動向を確認する習慣があると、より安定した運用につながります。
小規模な会社では、社内チャットやグループウェアに「生成AI利用に関するQ&A」ページを設ける方法も有効です。よくある質問と回答を蓄積していけば、管理担当者への問い合わせを減らしながら、現場での自己解決を促しやすくなります。
よくある失敗と、事前に防ぐための対策
規程づくりで起きやすい失敗をあらかじめ知っておくと、運用上のつまずきを防ぎやすくなります。
最も多いのは、禁止事項ばかりが増えて、結果として現場が生成AIを使わなくなるケースです。本来、規程は生産性向上のためのルールであるはずです。制限だけが並ぶと、従業員は萎縮してしまいます。そのため、「何ができるのか」を具体例で示すことが大切です。
次に多いのは、利用できるサービスが曖昧で、どのツールを使ってよいのか分からない状態です。「AIツールの使用は申請制」とだけ書かれていても、申請方法や承認基準が不明では現場は動けません。申請の流れを1〜2段階程度に簡素化し、申請先や承認者を明記しておくことで、運用しやすくなります。
また、例外対応の不在も大きな問題です。現場からの「この場合はどうすればよいか」という問いに誰も答えられない状態が続くと、従業員は独自判断で動き始め、ルールが機能しなくなります。例外が生じた場合の相談先と、たとえば2営業日以内に回答するといった対応の目安を明記しておくと、この問題はかなり防ぎやすくなります。
規程づくりで迷いやすい用語の意味を整理する
規程を読んだ従業員が用語の意味でつまずくと、ルールの理解にずれが生じます。よく使う言葉については、規程内または別紙で簡単に定義しておくと効果的です。
**生成AI（ジェネレーティブAI）**は、文章、画像、コードなどを自動で生成するAI技術の総称です。ChatGPT、Gemini、Copilotなどが代表例にあたります。
機密情報は、会社が外部に公開していない情報全般を指します。取引先との契約内容、未発表の製品情報、採用や人事評価に関する情報などが典型例です。
個人情報は、氏名、住所、電話番号、メールアドレスなど、特定の個人を識別できる情報を指します。顧客の名刺情報もこれに含まれます。
学習利用とは、入力した情報がAIの機能改善や学習データとして使われることを指します。多くのサービスでは設定で無効にできますが、初期設定で有効になっている場合もあるため、業務利用の前に確認が必要です。
参考にしたい公的資料と確認先
規程を作る際は、参考になる公的情報源を把握しておくと、独自判断によるリスクを抑えやすくなります。
内閣府、経済産業省、総務省では、生成AIの業務利用に関するガイドラインや提言が公表されています。また、個人情報保護委員会のウェブサイトでは、個人情報保護法に関する解説資料を無料で確認できます。情報セキュリティについては、情報処理推進機構（IPA）が中小企業向けの資料を公開しており、専門知識がなくても読み進めやすい内容です。
社内規程を見直す際は、既存の就業規則や情報管理規程との整合性も確認しておくことが重要です。顧問社労士や顧問弁護士がいる場合は、完成前に一度確認を依頼すると安心です。外部の専門家に依頼する際は、「生成AIの利用規程を初めて作る中小企業向けに、既存の就業規則と矛盾しない形でレビューしてほしい」と伝えると、確認の精度が高まりやすくなります。
生成AIの社内ルールを整えることは、AIを安全に使いこなすための環境づくりです。最初から完璧な規程を作る必要はありません。まずはA4用紙2枚程度の簡潔な文書から始め、実際の運用に合わせて少しずつ改善していく進め方が、中小企業には適しています。
規程の内容や整備の進め方について専門家に相談したい場合は、弊社の無料相談窓口をご活用ください。業種、規模、現在の利用状況に応じて、実務に沿った具体的なアドバイスをご提供しています。
