生成AIの社内利用ルールとは、社員がChatGPTなどの生成AIを業務で使うときに「使ってよいツール」「入力してよい情報」「生成物の扱い」「責任者と違反時の対応」を会社として定めた文書のことです。経営者が最低限決めておくべきことは7項目に集約され、A4用紙1〜2枚に収まります。
7項目とは、①誰がどのツールを使ってよいか、②何を入力してよいか、③生成物をどう扱うか、④誰が責任者か、⑤違反したらどうなるか、⑥事故が起きたらどう動くか、⑦いつ教育し、いつ見直すか、です。
「現場が勝手にChatGPTを使い始めているらしい」と感じながら、何から決めればよいかわからず先送りにしている経営者は少なくありません。そのままにしておくと、事故が起きたときの責任は社員ではなく会社と役員に向かいます。
この記事では、7項目それぞれの「決めること」と記載例、就業規則との関係、参考にできる公的ガイドライン、作成の4ステップまでを、法律やITの専門知識がなくても判断できるようにまとめました。
目次
生成AIの社内利用ルールとは？経営者が決めるべき理由
定義：就業規則・情報セキュリティ規程との関係
生成AIの社内利用ルールとは、社員が業務で生成AIを使う際の「許可する範囲」と「守るべき手順」を会社として明文化した文書です。「生成AI利用ガイドライン」「AI利用規程」と呼ばれることもあります。
既存の規程との関係は、次のように整理できます。
| 文書 | 役割 | 生成AIルールとの関係 |
|---|---|---|
| 就業規則 | 労働条件と服務規律を定める法的文書 | 違反時の懲戒の「根拠」を置く場所 |
| 情報セキュリティ規程 | 情報資産の分類と取り扱いを定める | 入力禁止情報の分類を流用できる |
| 生成AI利用ルール | 生成AI特有の使い方を定める | 上の2つを前提に、具体的な運用を書く |
情報セキュリティ規程がすでにある会社なら、生成AIルールは「その規程を生成AIに当てはめた具体例集」として作れます。ゼロから大がかりな規程を作る必要はありません。
「禁止」ではなく「使い方を決める」が基本方針
ルールの目的は、生成AIを使わせないことではなく、安心して使える状態を作ることです。
角川アスキー総合研究所が2026年4月に実施した調査（『AI白書2026』収録、上場企業または従業員300人以上の企業に勤務する310人が対象）では、会社が許可していない生成AIを業務で使っている割合は、課長以上の管理職で46.5%でした。ガイドラインを整備済みの企業でも46.9%と、ほぼ変わりません。禁止しても使われる、というのが現場の実態です。
禁止だけのルールは、利用を「会社の目が届かない個人アカウント」に追いやります。ログも残りません。事故が起きても、発覚は遅れます。ただ禁止するだけではなく、使ってよい条件を示すほうが、生産性とリスクの両面で合理的です。
ルールがないと責任は会社と役員に向かう
社員が生成AIに顧客情報を入力して漏洩が起きた場合、取引先や本人に対する賠償責任は、民法715条の使用者責任により原則として会社が負います。使用者責任とは、社員が業務中に他人に損害を与えたとき、会社がその賠償責任を負う仕組みのことです。会社が利用を許可していなくても、業務の一環で行われた以上は会社の責任になります。
取締役は会社に対して善管注意義務（経営者として当然払うべき注意を尽くす義務）を負い、情報管理体制の不備で会社に損害を与えれば任務懈怠責任（会社法423条）を問われる可能性があります。「ルールを作っていなかったこと」自体が問題になる構造です。責任の所在の詳しい整理は、社員のChatGPT利用で情報漏洩、責任は誰に？で扱っています。
ルール作りは、IT担当者に任せる作業というより、経営判断そのものです。7項目のうち、ツールの契約、懲戒の根拠、責任者の任命は、経営者にしか決められません。
なぜ今、ルールが必要なのか？データで見る3つの理由
理由1. 活用は3社に1社まで来たが、「ルール整備」が追いついていない
帝国データバンクが2026年3月に実施した「生成AIに関する企業の動向調査」（有効回答1万312社）では、生成AIを業務で活用している企業は34.5%でした。大企業46.5%に対し、中小企業32.4%、小規模企業28.0%です。
同じ調査で、活用の課題として「活用範囲の明確化」を挙げた企業が40.0%、「情報漏洩リスク」が33.5%、「ルール整備」が25.5%でした。使い始めた会社の多くが、「どこまで使ってよいか」を決めきれていません。
東京商工リサーチが2026年3月31日〜4月7日に実施した調査（6,327社）でも、生成AIについて「方針は決めていない」企業が37.5%ありました。前回の2025年8月調査の50.9%からは減りましたが、3社に1社以上が方針未定のままです。
総務省の令和7年版情報通信白書（2025年7月）によれば、生成AIを「積極的に活用する」または「領域を限定して活用する」方針を定めている企業は49.7%（2024年度）で、大企業約56%に対し中小企業は約34%です。規模が小さいほど、ルールがないまま使われている構図です。
理由2. 社員の5人に1人が会社非公認のAIを使っている
エルテスが2026年1月に公表した「生成AIの利用に関する調査」（会社員・公務員300人）では、業務で生成AIを使う人の約5人に1人が、会社が承認していないツールを使っていました。社内ガイドラインが「ない」と答えた人は45%です。
ガートナージャパンが2026年2月に実施し、同年6月18日に発表した国内企業調査では、こうした「シャドーAI」（会社が承認していないAIツールを社員が業務で使う状態）を把握して有効な対策を取れている企業は24%にとどまりました。把握できていない企業が43%、把握しているが対策できていない企業が30%で、あわせて73%が事実上の無防備です。
IPA（情報処理推進機構）が2026年1月に発表した「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織向け脅威の第3位に初めて選出されました。
理由3. ルールがない会社ほど、事故のコストが大きい
IBMが2025年7月に公表した「2025年 データ侵害のコストに関する調査」（世界600組織）によると、シャドーAIが多い組織は、少ない組織に比べて侵害1件あたりの平均コストが約67万ドル高くなっていました。調査対象の20%がシャドーAIに関係する侵害を経験し、63%はAIガバナンスのポリシーを持っていませんでした。
Cyberhavenが2026年2月に公開した「2026 AI Adoption & Risk Report」（222社）では、AIとのやり取りの39.7%に機密情報が含まれていました。ルールがない状態とは、「入力してはいけない情報」の線引きがないまま、毎日データが外に出ている状態です。
主要調査の一覧
| 調査 | 時期・対象 | 主な結果 |
|---|---|---|
| 帝国データバンク「生成AIに関する企業の動向調査」 | 2026年3月・1万312社 | 活用企業34.5%。課題「活用範囲の明確化」40.0%、「ルール整備」25.5% |
| 東京商工リサーチ | 2026年3〜4月・6,327社 | 「方針は決めていない」37.5%。組織的活用は大企業59.1%、中小企業32.3% |
| 総務省 令和7年版情報通信白書 | 2025年7月 | 活用方針を定めている企業49.7%（大企業約56%、中小企業約34%） |
| エルテス「生成AIの利用に関する調査」 | 2026年1月・300人 | 5人に1人が非承認ツールを利用。ガイドライン「ない」45% |
| 角川アスキー総合研究所『AI白書2026』 | 2026年4月・310人 | 管理職の46.5%がシャドーAI。整備済み企業でも46.9% |
| ガートナージャパン「シャドーAI」調査 | 2026年2月実施・6月発表・国内企業 | シャドーAIを把握し対策できている企業は24% |
| IBM「データ侵害のコストに関する調査」 | 2025年7月・600組織 | シャドーAIで平均コスト約67万ドル増。63%がAIガバナンス未整備 |
経営者が最低限決めておくべき7項目
7項目は、「誰が・何を・どう使い、問題が起きたらどうするか」を順に埋める形になっています。先に全体像を表で示します。
| # | 決めること | 経営者が答える問い | 記載例（要点） | 主な担当 |
|---|---|---|---|---|
| 1 | 適用範囲とツール指定 | 誰が、どのツールを使ってよいか | 会社契約の法人プランのみ。個人アカウントでの業務利用は禁止 | 経営者・情報管理責任者 |
| 2 | 入力情報の区分 | 何を入力してよいか | 「入力可」「匿名化すれば可」「入力禁止」の3区分 | 情報管理責任者・法務 |
| 3 | 生成物の扱い | 生成物をどう扱うか | 人が最終確認。対外文書は上長承認。著作権の確認 | 各部門長 |
| 4 | 責任者と相談窓口 | 誰が責任者か | 経営層直下に管理責任者を1名。相談窓口を明示 | 経営者 |
| 5 | 違反時の対応 | 違反したらどうなるか | 就業規則の懲戒事由に追加。故意・重過失のみ懲戒、軽微は指導 | 経営者・社労士 |
| 6 | 事故時の報告ルート | 事故が起きたらどう動くか | 上長→責任者→経営者。自己申告は処分を軽減 | 情報管理責任者 |
| 7 | 研修と見直し | いつ教育し、いつ見直すか | 年1回以上の研修。ルールは年1回＋ツール変更時に改定 | 情報管理責任者・人事 |
項目1. 誰が・どのツールを使ってよいか（適用範囲とツール指定）
最初に決めるのは、会社として使うツールと契約プランです。「全社員が、会社契約の法人プランのみを使う」が基本形です。
個人向けプランと法人向けプランでは、入力データの扱いが根本的に違います。OpenAIのChatGPTを例にすると、次のようになります。
| プラン | 入力データの学習利用（初期設定） | 主な利用者 |
|---|---|---|
| Free / Go / Plus / Pro（個人向け） | 学習に使われる（設定でオフにできる） | 個人アカウントで使う社員 |
| Business / Enterprise / Edu（法人向け） | 学習に使われない | 会社契約 |
| API経由 | 学習に使われない | 自社システム連携 |
OpenAIは、法人向け製品とAPIについて「デフォルトでは、ユーザーのデータを使用してモデルが学習することはありません」と公式ページに明記しています。AnthropicのClaudeやGoogleのGeminiでも、法人向けプランは入力内容がモデルの学習に使われない設計です。
なお、開発者がClaude Codeを使う場合の学習オプトアウトの手順は、Claude Codeに学習させない設定5選で扱っています。
個人アカウントは「設定で学習をオフにできる」だけで、社員全員が正しく設定している保証はありません。費用は会社負担が原則です。1人あたり月額20〜30ドル前後の法人プランを渋った結果、利用を個人アカウントに追いやるのは割に合いません。
この項目で決めるのは、次の内容です。
- 使ってよいツールとプランを名指しで指定する（例：ChatGPT Business、Microsoft 365 Copilot）
- 個人アカウントでの業務利用を禁止する
- 会社がアカウントを支給し、利用ログを残す
項目2. 何を入力してよいか（入力情報の3区分）
2つ目は、入力してよい情報と、してはいけない情報の線引きです。「機密情報は入力禁止」という一文だけでは、現場は判断できません。3区分で具体例を示します。
| 区分 | 内容 | 具体例 |
|---|---|---|
| 入力可 | 公開情報・一般的な業務文書 | 公開済みのプレスリリース、一般的なメール文案、業界の一般知識 |
| 匿名化すれば可 | 個人や取引先を特定できる部分を削れば使える情報 | 氏名・社名を伏せた議事録、数値を丸めた社内報告 |
| 入力禁止 | 漏れると損害や法令違反につながる情報 | 顧客・従業員の個人情報、取引先から預かった情報、未公開の財務・人事情報、原価・設計図・ソースコード、パスワードなどの認証情報 |
入力禁止に置くべき情報には、法律上の根拠があります。
- 個人情報。個人情報保護委員会は2023年6月2日の注意喚起で、個人情報を生成AIに入力する際は利用目的の達成に必要な範囲内かを確認するよう求めています
- 営業秘密。経済産業省が2025年3月31日に改訂した営業秘密管理指針は、生成AIへの入力により「秘密管理性」（秘密として管理されている状態）が失われるリスクを明記しました。保護を失うと、不正に使った相手を訴える権利まで失いかねません
- 預かった情報。取引先との秘密保持契約（NDA）に違反する可能性があります
日本ディープラーニング協会（JDLA）の「生成AIの利用ガイドライン」（第1.1版、2023年10月）も、入力時の注意事項として著作物・個人情報・機密情報の3つを挙げています。
情報セキュリティ規程で情報資産を「極秘・秘・社外秘・公開」のように分類している会社なら、その分類をそのまま3区分に対応させれば済みます。
項目3. 生成物をどう扱うか（人の最終確認・著作権・対外提出）
3つ目は、生成AIが出した文章や画像の扱いです。「初稿」扱いにすることと、社外に出す前の確認手順を決めます。
- AIの生成物は「初稿」として扱い、内容の正誤は人が確認する
- 対外文書（提案書・契約書案・広報文）に使う場合は、上長の承認を経る
- 画像やキャッチコピーは、既存の著作物に似ていないかを確認する
生成AIは、もっともらしい誤情報（ハルシネーション）を根拠なく出力します。帝国データバンクの2026年3月調査で、活用企業の課題の第1位が「情報の正確性」（50.4%）だったのは、この問題です。
著作権については、文化庁が2024年3月15日に「AIと著作権に関する考え方について」を、2024年7月31日に「AIと著作権に関するチェックリスト＆ガイダンス」を公表しています。生成物が既存の著作物と似ていて（類似性）、それを元に作られた（依拠性）と認められれば、著作権侵害になり得ます。対外的に使う画像やコピーは、この2点を確認する手順を置いておくと安全です。
項目4. 誰が責任者か（管理責任者と相談窓口）
4つ目は、ルールを運用する人です。経営層の直下に「AI利用の管理責任者」を1名置き、現場が迷ったときの相談窓口を明示します。
責任者が担うのは、ルールの運用と見直し、ツールとアカウントの管理、事故時の初動指揮です。IT担当者の兼任で済ませると、ツールの管理はできても、法務・労務・現場の業務理解が必要なルールの見直しが止まります。
総務省・経済産業省の「AI事業者ガイドライン」（第1.2版、2026年3月31日）は、AIを利用する事業者に対して、利用ルールの順守、異常時の迅速な情報共有、定期的な操作履歴の確認を求めています。誰がそれを担うのかを決めるのが、この項目です。
サイバーエージェントは2023年4月に社内向けの生成AI利用ガイドラインを策定すると同時に、「ChatGPTオペレーション変革室」という専任組織を新設しました。ルールと運用組織をセットで作った例です。
項目5. 違反したらどうなるか（就業規則との連動）
5つ目は、ルールに違反した社員をどう扱うかです。ここは、ガイドライン単体では機能しません。就業規則との連動が必要です。
懲戒処分が有効になる条件は3つです。
- 就業規則に、AI利用ルール違反を懲戒事由とする根拠規定がある
- 具体的なガイドラインが文書化されている
- 従業員に周知されている
この3条件を欠くと、処分が無効になるおそれがあります。処分の重さは労働契約法15条の「相当性」（違反の程度に見合った処分か）で制限され、教育不足による誤利用は指導にとどめるのが実務上の標準です。故意・重過失（個人情報の無断入力、機密の漏洩、繰り返しの違反）に限って懲戒対象とする書き方が現実的です。
就業規則を変更する場合、常時10人以上の労働者を使用する事業場では、労働基準法89条により労働基準監督署への届出が必要です。労働基準法90条により、過半数労働組合または過半数代表者からの意見聴取も必要です。従業員50名以上の会社なら、顧問社労士に「服務規律と懲戒事由に生成AIの条項を追加したい」と伝えれば、手続きは進みます。
項目6. 事故が起きたらどう動くか（報告ルート）
6つ目は、入力してはいけない情報を入力してしまったときの動き方です。事故の損害は、起きるかどうかより、起きてから何時間で止められるかで決まります。
決めておくのは、報告の順路、最初にやること、申告した社員の扱いです。
- 報告ルートは、発見者→上長→管理責任者→経営者の順で、当日中に上げる
- 初動は、該当データの削除、共有リンクの停止、アカウントの一時停止
- 自己申告した社員は処分を軽くする方針を、ルールに明記する
3つ目を落としている会社が目立ちます。「報告したら処分される」と社員が思えば、事故は隠されます。隠された事故は、取引先からの指摘や検索結果への露出で発覚し、そのときには手遅れです。
漏洩した情報に個人データが含まれる場合、個人情報保護法26条により、要配慮個人情報を含む、財産的被害のおそれがある、不正目的による漏洩、1,000人を超える、のいずれかに該当すれば個人情報保護委員会への報告義務があります。速報はおおむね3〜5日以内、確報は30日以内が目安です。この判定を誰が行うかも、責任者の役割に含めておきます。
項目7. いつ教育し、いつ見直すか（研修と改定）
7つ目は、ルールを配って終わりにしないための仕組みです。
研修は、年1回以上の全社員向けに加え、新入社員の入社時と、使うツールを変えたときに実施します。内容は、入力禁止情報の具体例、共有リンクの危険性、誤情報の見抜き方に絞れば、1時間で足ります。
ルールの見直しは、年1回の定期改定と、ツールの仕様変更時の臨時改定の2本立てです。生成AIのサービスは半年で機能が変わります。2025年7〜8月には、ChatGPTの共有リンクで作成した会話が検索エンジンに表示される事象が起き、OpenAIが該当機能を停止しました。こうした変化に合わせて改定できるよう、版数と改定日をルールに記載しておきます。
『AI白書2026』の調査では、ガイドライン整備済みの企業でも46.9%がシャドーAIを使っていました。配っただけでは、守られません。研修と見直しは、7項目の中で最も省略されやすく、最も効く項目です。
A4用紙1枚のたたき台：7項目の記載例
7項目を1枚にまとめると、次のような形になります。自社の実情に合わせて名称や具体例を差し替えれば、そのまま初版として使えます。
生成AI利用ルール（第1版・2026年○月○日）
1. 対象と利用できるツール
本ルールは全役職員に適用する。業務で利用できる生成AIは、会社が契約した○○（法人プラン）に限る。個人で登録したアカウントでの業務利用を禁止する。2. 入力してよい情報
情報を「入力可」「匿名化すれば可」「入力禁止」の3区分で扱う。顧客・従業員の個人情報、取引先から預かった情報、未公開の財務・人事情報、原価・設計図・ソースコード、パスワード等の認証情報は入力禁止とする。判断に迷う場合は入力せず、管理責任者に相談する。3. 生成物の扱い
生成物は初稿として扱い、内容の正誤を利用者が確認する。社外に提出する文書・画像は上長の承認を得る。画像・キャッチコピーは既存の著作物との類似がないことを確認する。4. 管理責任者と相談窓口
生成AI利用の管理責任者を○○（役職）とし、相談窓口を○○（部署・連絡先）に置く。5. 違反時の対応
本ルールへの違反は就業規則第○条の服務規律違反として扱う。故意または重大な過失による違反は懲戒の対象とし、軽微な違反は指導とする。6. 事故時の報告
入力禁止情報を入力した、または漏洩の疑いがある場合は、発見者は当日中に上長と管理責任者へ報告する。自ら申告した場合は、処分を軽減する。7. 研修と見直し
全役職員は年1回以上の研修を受講する。本ルールは年1回および利用ツールの変更時に見直す。
正直、このレベルの1枚で十分です。分厚い規程を半年かけて作るより、この1枚を2週間で出して、運用しながら直すほうが、現場にはかなり定着します。
ルールを作る4ステップと目安の期間
Step1. 現状把握（1週目）
誰が、どのツールを、どの業務で使っているかを棚卸しします。部門長へのヒアリングと、匿名アンケートの2本立てが有効です。「使っている」と答えやすい聞き方にしないと、実態は出てきません。
Step2. 7項目の決定（2週目）
経営者と管理責任者候補、総務・法務担当の3〜4人で、7項目を順に埋めます。上の記載例をたたき台にすれば、会議2回で決まります。ツールの契約プランは、この段階で決めて発注します。
Step3. 就業規則への反映と周知（3〜4週目）
顧問社労士に就業規則の改定を依頼し、意見聴取と届出を進めます。並行して、全社員向けの説明会（研修の初回）を実施します。ルール文書の配布だけでなく、「入力禁止情報の具体例」を口頭で説明する場を持つことが、定着の分かれ目です。
Step4. 運用と見直し（継続）
相談窓口に寄せられた質問を月1回まとめ、判断に迷ったケースをルールの具体例に追加します。年1回の定期改定と、ツール変更時の臨時改定を行います。
参考にできる公的ガイドライン一覧
自社ルールを作る際に参照できる、国や公的団体の文書です。いずれも無料で公開されています。
| 発行元 | 文書名 | 公表時期 | 使いどころ |
|---|---|---|---|
| 日本ディープラーニング協会（JDLA） | 生成AIの利用ガイドライン | 第1.1版 2023年10月（画像編 2024年2月） | 社内ルールのひな形。条項をそのまま流用できる |
| 総務省・経済産業省 | AI事業者ガイドライン | 第1.2版 2026年3月31日 | AI利用者に求められる取組の全体像 |
| デジタル庁 | テキスト生成AI利活用におけるリスクへの対策ガイドブック（α版） | 2024年5月 | リスクの分類と対策の一覧 |
| IPA（情報処理推進機構） | テキスト生成AIの導入・運用ガイドライン | 2024年7月 | 導入から運用までのセキュリティ観点 |
| 個人情報保護委員会 | 生成AIサービスの利用に関する注意喚起等 | 2023年6月2日 | 個人情報を入力する際の考え方 |
| 経済産業省 | 営業秘密管理指針（改訂版） | 2025年3月31日 | 営業秘密を入力禁止にする根拠 |
| 文化庁 | AIと著作権に関するチェックリスト＆ガイダンス | 2024年7月31日 | 生成物の著作権確認の手順 |
| 東京都 | 文章生成AI利活用ガイドライン／AI導入・活用ガイドライン | 2023年8月／2026年3月 | わかりやすい書き方と具体例の参考 |
中小企業がまず読むなら、JDLAのひな形と東京都のガイドラインの2つで足ります。JDLAは条項の形で、東京都は具体例の形で書かれているため、両方を見ると「何を書くか」と「どう書くか」が揃います。
企業・自治体の公開事例3選
サイバーエージェント：ルールと専任組織をセットで整備
サイバーエージェントは2023年4月17日に社内向けの生成AI利用ガイドライン（Ver.1.0）を策定し、同じ4月に「ChatGPTオペレーション変革室」を新設しました。2024年2月には画像生成AIのガイドラインも社内向けに公開しています。ルールを作る人と運用する組織を同時に用意した点が、項目4の参考になります。
DeNA：ルールと「活用事例100本」の2層構成
DeNAは2023年3月に「DeNAグループAIポリシー」を公開すると同時に、社内向けの「生成系AIサービス社内利用観点マニュアル」を整備しました。2025年12月には、社員によるAI活用事例100本をまとめた「AI活用100本ノック」を無料公開しています。「やってはいけないこと」だけでなく「こう使うと成果が出る」を別冊で示す構成は、禁止一辺倒にならないための工夫です。
東京都：職員向けに「わかりやすさ」を優先
東京都は2023年8月に職員向けの「文章生成AI利活用ガイドライン」を公開し、2026年3月には「AI導入・活用ガイドライン」と「生成AI利用の手引き」に発展させています。AI初心者でも読める言葉づかいと、具体例つきの注意点は、自社ルールの書き方の見本になります。
よくある失敗3選
失敗1. 「全面禁止」で済ませる
禁止しても使われます。『AI白書2026』の調査では、ガイドライン整備済みの企業でも46.9%がシャドーAIを使っていました。禁止は利用を個人アカウントに追いやり、ログも残らず、事故の発覚も遅れます。「使ってよい条件」を示すほうが、結果として安全です。
失敗2. 作って配って終わりにする
研修と見直しがないルールは、半年で現場の実態とずれます。ツールの仕様は変わり、新入社員は読んでいません。年1回の研修と改定を、ルールの中に書き込んでおくことが対策です。
失敗3. IT担当者に丸投げする
ツールの管理はIT担当者ができます。ただ、懲戒の根拠を就業規則に入れる判断、法人プランの契約、責任者の任命は、経営者にしかできません。7項目のうち少なくとも3つは経営判断そのものです。
まとめ
生成AIの社内利用ルールで経営者が最低限決めておくべきことは、①誰がどのツールを使ってよいか、②何を入力してよいか、③生成物をどう扱うか、④誰が責任者か、⑤違反したらどうなるか、⑥事故が起きたらどう動くか、⑦いつ教育し、いつ見直すか、の7項目です。
A4用紙1枚で足ります。法人プランを会社で契約し、入力禁止情報を3区分で示し、就業規則に根拠を置き、責任者と報告ルートを決め、年1回の研修と見直しを回す。これだけで、事故の確率と事故後の損害の両方が大きく下がります。
完璧な規程を目指す必要はありません。今週たたき台を出して、来月から運用を始めるほうが先です。ただ禁止するだけではなく、安心して使える状態を作るほうが、社員の生産性と会社の守りの両方が整うのかもしれません。
利用実態の棚卸し、ルールの設計、社員研修、その後の運用までを社内のリソースだけで進めるのが難しい場合は、外部の専門家と一緒に進める選択肢もあります。ZIDAIのAI推進室では、利用ルールの策定から社員研修、定着後の運用までを伴走型で支援しています。
よくある質問（FAQ）
Q1. 中小企業が生成AIの社内利用ルールを作るとき、最低限何を決めればいいですか？
7項目です。①誰がどのツールを使ってよいか、②何を入力してよいか、③生成物をどう扱うか、④誰が責任者か、⑤違反したらどうなるか、⑥事故が起きたらどう動くか、⑦いつ教育し、いつ見直すか。A4用紙1〜2枚に収まる分量で、2〜4週間あれば初版を作れます。
Q2. 生成AIのガイドラインに入れるべき項目を教えてください
大きく分けると、適用範囲（誰が・どのツール）、入力情報（何を入れてよいか）、生成物の扱い（人の確認・著作権）、体制（責任者・違反時の対応・事故時の報告・研修）の4領域です。この記事では、それを経営者が判断しやすいように7項目に分けています。日本ディープラーニング協会（JDLA）のひな形も、禁止用途・データ入力・生成物利用の3本柱で構成されています。
Q3. 社員がChatGPTに入力してはいけない情報は何ですか？
顧客や従業員の個人情報、取引先から預かった情報、未公開の財務・人事情報、原価・設計図・ソースコードなどの営業秘密、パスワードなどの認証情報です。個人情報は個人情報保護委員会の注意喚起（2023年6月）、営業秘密は経済産業省の営業秘密管理指針（2025年3月改訂）が根拠になります。「入力可」「匿名化すれば可」「入力禁止」の3区分で具体例を示すと、現場が判断しやすくなります。
Q4. 生成AIの社内ルールは就業規則に入れる必要がありますか？
違反した社員を懲戒処分にする可能性があるなら、必要です。懲戒が有効になるには、就業規則に根拠規定があること、ガイドラインが文書化されていること、従業員に周知されていることの3条件が求められます。常時10人以上の事業場では、就業規則の変更に労働基準監督署への届出（労働基準法89条）と過半数代表者からの意見聴取（同90条）が必要です。
Q5. 生成AIの利用ルールを作るとき、参考にできる公的なガイドラインはありますか？
日本ディープラーニング協会（JDLA）の「生成AIの利用ガイドライン」（第1.1版）が、条項の形で書かれたひな形として使えます。国の指針としては総務省・経済産業省の「AI事業者ガイドライン」（第1.2版、2026年3月）があります。書き方の見本としては、東京都の職員向けガイドラインがわかりやすく、いずれも無料で公開されています。
Q6. 無料版のChatGPTを社員に使わせても問題ありませんか？
おすすめしません。無料版や個人向けプランは、初期設定のままだと入力内容がAIの学習に使われます。設定でオフにできますが、社員全員が正しく設定している保証はなく、会社側で利用ログも把握できません。法人向けプラン（ChatGPT Business・Enterpriseなど）は入力内容が学習に使われず、管理機能もあるため、会社契約に切り替えるのが現実的です。
Q7. ルールを作るのにどれくらいの期間と費用がかかりますか？
期間は、現状把握1週間、7項目の決定1週間、就業規則への反映と周知2週間の、あわせて4週間が目安です。費用は、法人プランの利用料（1人あたり月額20〜30ドル前後）と、就業規則改定を社労士に依頼する費用が中心です。ルール文書そのものは、この記事の記載例と公的ガイドラインのひな形を使えば、外注しなくても作れます。
