生成AIの社内ルールに必要な項目｜禁止だけで終わらせない運用設計

結論

生成AIの社内ルールは、禁止事項の列挙では機能しません。必要なのは「入力してよい情報の範囲」「出力を確認する責任者」「利用の記録」「ルールの見直し時期」の4項目です。禁止だけのルールは、現場が個人アカウントで使い続けるシャドーAIを生みます。

対象となる企業

この記事は、生成AIの利用が現場で先に始まっていて、ルールが後追いになっている企業を対象としています。全社的な情報セキュリティ規程がすでに整備され、AI利用条項まで含めて運用できている企業には、内容が基礎的すぎます。

• 従業員数が数十名から数百名規模で、情報システムの専任者が1名以下である
• 一部の社員が個人アカウントで生成AIを使っており、実態を把握できていない
• 「業務利用は禁止」と通達したが、守られているか確認できていない
• 顧客情報や見積などを入力してよいかの線引きが決まっていない

判断基準

ルールに何を書くかは、次の4項目を満たすかどうかで判断します。この4つが揃っていないルールは、運用段階で必ず判断が止まります。

項目	書けている状態	不足している状態
入力範囲	入力してよい情報と、してはならない情報を具体例で示している	「機密情報は入力しない」だけで、何が機密かの判断を現場に委ねている
確認責任	出力の何を誰が確認するかが決まっている	「内容を確認する」とだけ書かれ、責任者が未定である
記録	誰がどの業務で使ったかを把握する手段がある	利用実態を把握する仕組みがない
見直し	次にルールを見直す時期と契機が決まっている	一度作って以降更新されていない

4項目のうち最も省略されやすいのは「見直し」です。生成AIのサービス仕様や規約は変わるため、作成時点の判断が半年後には前提を失います。

実施手順

1. 利用実態を聞き取る。禁止の通達より先に行う。禁止から始めると申告されなくなり、実態が見えなくなる
2. 入力してよい情報の範囲を決める。顧客名・個人情報・未公開の数値・取引条件について、それぞれ可否を明記する
3. 対象業務を列挙する。文章の下書き、要約、翻訳、議事録整理など、具体的な作業名で書く
4. 出力の確認範囲と責任者を決める。確認対象は「事実・数値・固有名詞」に絞る
5. 会社が用意した環境を提示する。個人アカウントからの移行先がないと移行は起きない
6. 1枚にまとめて全対象者に配布する。規程本体への組み込みは後でよい
7. 見直し時期を決めて記載する。サービスの規約変更、事故の発生、対象業務の追加を契機とする

手順1と手順5を省くと、ルールは形式的に存在するだけの文書になります。実態の把握と移行先の提示が、遵守されるかどうかを決めます。

注意点

確認範囲を広げすぎないでください。「出力全体を精査する」と書くと、担当者は全文を読み直すことになり、導入前より時間がかかります。確認対象を事実・数値・固有名詞に限定し、それ以外は通常の業務レビューに委ねる形が現実的です。

入力範囲の線引きは、抽象的な区分ではなく具体例で書いてください。「個人情報」という語だけでは、氏名のみの記載が該当するかの判断が現場で分かれます。取り扱う情報の性質によっては法令上の考慮が必要になるため、判断に迷う類型は個人情報保護委員会の公表資料を確認し、必要なら法務の確認を挟んでください。

導入しない条件

• 利用実態の聞き取りができない。実態が不明なままルールを作っても、対象がずれる
• 入力してよい情報の範囲を判断できない。情報管理の判断ができるまで、業務利用は開始しない
• 出力の確認責任者を決められない。確認されない出力が業務に流れる状態は避ける
• 会社が用意する環境がない。移行先のないルールは、シャドーAIを地下化させるだけになる
• 見直しの担当者を置けない。更新されないルールは、いずれ実態と乖離する

チェックリスト

• 利用実態を聞き取ったか
• 入力してよい情報と、してはならない情報を具体例で示したか
• 対象業務を具体的な作業名で列挙したか
• 出力の確認対象を事実・数値・固有名詞に限定したか
• 確認の責任者を決めたか
• 会社が用意した利用環境を提示したか
• 利用状況を把握する手段を決めたか
• 次の見直し時期と契機を記載したか
• 全対象者がルールを読んだことを確認したか

よくあるご質問

生成AIの社内ルールは何ページ必要ですか？

1枚で足ります。入力範囲、対象業務、確認責任、記録、見直し時期の5点が書かれていれば機能します。分量が増えると読まれなくなり、遵守率が下がります。既存の情報セキュリティ規程への正式な組み込みは、運用が固まってからで問題ありません。

まず禁止にしてからルールを整えるのは順序として正しいですか？

推奨しません。禁止が先に来ると利用が申告されなくなり、実態の把握ができなくなります。把握できない利用は管理もできません。先に実態を聞き取り、入力範囲だけを決めて暫定運用に入る順序が現実的です。

社員が個人アカウントで使っている場合はどう扱いますか？

責めるのではなく、まず何の業務にどう使っているかを聞き取ってください。そのうえで入力してよい情報の範囲を決め、会社が用意した環境へ移します。移行先を示さずに禁止すると、利用が見えないまま続きます。

ルールの見直しはどのくらいの頻度が適切ですか？

期間で決めるより契機で決める方が実務的です。利用するサービスの規約や仕様が変わったとき、対象業務を追加するとき、判断に迷う事例が出たときに見直します。あわせて半年程度を目安の期限として記載しておくと、放置を防げます。

記録は何を残せばよいですか？

誰がどの業務で使ったかが分かる粒度で十分です。入力内容そのものの保存は、かえって情報の管理対象を増やします。利用者・対象業務・利用開始時期をテンプレート・資料の台帳形式で管理する程度から始めてください。

一次資料

• 個人情報保護委員会
• 独立行政法人 情報処理推進機構（IPA）
• 経済産業省

ルールを作った後に、何が残るか

総務省「令和8年版 情報通信白書」は、セキュリティリスクや法的・倫理的問題、その他不適切な利用を防ぐための取組状況について、日本では「全社的な指針やガイドラインを整備している」が41.1%で最も高かったと記載しています。

一方で他の3か国（米国、ドイツ及び中国）では、「製品・サービスの企画・導入段階で、専門的な審査体制がある」や「製品・サービス導入後、定期的な評価・検証が行われている」と回答した割合が日本に比べて高い傾向が見られた、としています。

つまり日本は、ルールを作るところまでは進んでいて、見直す工程が弱い、という位置にあります。社内ルールに必要な項目には、見直す時期と、見直す人が含まれます。

項目	書く内容	書かないと起きること
見直す時期	次に見直す年月を明記する	作った時点の前提のまま運用が続く
見直す人	役職ではなく担当を1人決める	全員の仕事になり、誰もやらない
変えたときの周知	どこに掲示し、誰に伝えるか	旧版を見ている人が残る
例外の扱い	ルール外の使い方を誰が判断するか	その場の判断が積み上がり、実態がルールから離れる

あわせて白書は、総務省・経済産業省が策定する「AI事業者ガイドライン」から、各主体は、主体内のAIに関わる者が、AIの正しい理解及び社会的に正しい利用ができる知識・リテラシー・倫理観を持つために、必要な教育を行うことが期待されるという記載を引用しています。ルールを配ることと、伝えることは別の工程です。

出典

• 総務省「令和8年版 情報通信白書」第Ⅰ部 懸念されるリスク及びリスク対策のための取組状況　2026年9月2日確認
• 総務省「令和8年版 情報通信白書」第Ⅰ部 第3章第3節 日本におけるAIガバナンス　2026年9月2日確認