生成AIの社内ガイドラインは、雛形を手に入れた時点ではまだ何も始まっていません。
「生成AI 社内ガイドライン」「生成AI 社内ルール」で検索すると、必須項目10選、策定6ステップ、コピーして使えるテンプレート——必要なものはひととおり出てきます。実際、それらを読めば1日で1本作れます。
問題はその先です。作ったガイドラインが、半年後に誰にも読まれていない。これが本当に起きることで、そしてほとんどの解説記事が触れていない部分です。
当社は、自社の業務の一部を生成AIに任せています。記事の調査、資料の下書き、社内システムの保守作業。そのために社内ルールを作り、実際に運用してきました。そこで分かったのは、ガイドラインは「完成させるもの」ではなく「事故が起きるたびに1行ずつ増えるもの」だということです。
この記事では、最初にA4一枚で作る方法と、その一枚を守られる形に育てていく方法を書きます。当社のルールが実際に増えた5つの瞬間も、そのまま公開します。
- 扱うこと｜民間企業（従業員10〜300人規模、専任の法務・情報システム担当がいない会社）の生成AI社内ルール
- 扱わないこと｜自治体・公的機関のガイドライン策定。国の方針文書や総務省の導入状況調査、庁内での合意形成の進め方は自治体の生成AIガイドラインの作り方にまとめています
結論｜生成AIの社内ガイドラインは「完成させる」ものではなく「1行ずつ増やす」もの
先に結論を書きます。
- 最初から完璧を目指すと、着手そのものが止まる。必須項目10個を埋めようとして、3ヶ月経っても着手できていない会社が実際にあります
- 運用しないと、自社の穴は見えない。どんな禁止事項が必要かは、業種と業務によって違います。他社の雛形には、あなたの会社で起きることは書いてありません
- だから、A4一枚で始めて、事故が起きるたびに1行足す。これが一番早く「守られるルール」に到達します
多くの解説が「まず全社的なリスクの洗い出しを」と書きますが、専任の担当者がいない会社でそれをやると、洗い出しの段階で止まります。止まっている間、社員は個人のアカウントで生成AIを使い続けます。ルールが無い期間こそが、一番危ない期間です。
「うちの業務だと、どこまでAIに任せていいのか」——そこが決まらないとルールも書けません。30分・無料・オンライン可の個別相談では、御社の業務を3つ挙げていただき、その場で「AIに置き換わる／半分楽になる／向かない」に仕分けしてお持ち帰りいただいています。売り込みはしません。
生成AIの社内ルールで、作る前に決めるのは3つだけ
最小構成で決めるのは、次の3つです。逆に言えば、この3つが決まっていないガイドラインは、何ページあっても機能しません。
誰に適用するか
正社員だけを想定して書くと、必ず抜けます。実際に生成AIを触る可能性があるのは、正社員・契約社員・パート・アルバイト・業務委託先・インターンです。
特に業務委託先が抜けやすい。委託先が自分のアカウントで御社の資料をAIに読ませても、社内ルールが「社員に適用する」と書いてあれば、それは違反にすらなりません。
一行で済みます。「当社の業務に関わるすべての者（雇用形態・委託関係を問わない）に適用する」。
入れてはいけない情報を、自社の言葉で3つに絞る
ここが一番大事で、一番手を抜かれるところです。
「機密情報を入力してはいけない」と書いても、社員は自分が今持っているファイルが機密情報かどうか判断できません。判断できないルールは、守られたかどうかも分かりません。
自社で実際に飛び交っているファイル名・書類名で書くのが正解です。
- 悪い例｜「個人情報および機密情報の入力を禁止する」
- 良い例｜「顧客名簿、見積書・請求書の原本、未公開の採用選考の記録は、生成AIに貼り付けない」
3つに絞る理由は、覚えられるからです。10個並べたリストは読まれませんが、3つなら朝礼で言えます。足りなければ、あとから4つ目を足せばいい。
迷った時にどうするか（止める条件と相談先）
現場が一番困るのは、禁止リストに載っていないグレーな場面です。ここを空白にすると、社員は「たぶん大丈夫」で進めます。
- これは入れていいのか迷ったら、入れずに止める
- 止めたら、〇〇（役職名・部署名で書く。個人名では書かない）に相談する
相談先を個人名でなく役職で書くのは、担当者が辞めた瞬間にルールが死ぬのを防ぐためです。
従業員10〜50人なら、まずA4一枚でいい｜残す4項目・後回しにする6項目
ネット上で配布されている生成AIの社内規定サンプルや社内ガイドラインの雛形には、10項目前後が並んでいます。専任の担当者がいる会社ならそれでいい。いない会社は、まず削ってください。
最初の一枚に残す4項目
| 項目 | 書く内容 | 分量の目安 |
|---|---|---|
| 1. 適用範囲 | 雇用形態・委託関係を問わず全員 | 1行 |
| 2. 入れてはいけない情報 | 自社の書類名で3つ | 3行 |
| 3. 迷った時の動き | 止める → 誰に相談するか | 2行 |
| 4. 使ってよいツールと環境 | 会社が配布したアカウントで使う。個人アカウントで業務データを扱わない | 2行 |
これで8行。A4一枚どころか、半分も埋まりません。それでいい、というのがこの記事の主張です。
後回しにしてよい6項目（消すのではなく「後日枠」に置く）
- 著作権・知的財産の詳細な取り扱い
- 生成物の品質チェックの手順書
- 違反時の懲戒規定
- 取引先へのAI利用の開示ルール
- ログの保存期間・監査の方法
- 部署ごとの個別ルール
これらは要らない項目ではなく、「まだ判断材料が無い項目」です。運用を始めれば、どれが自社で先に必要になるか分かります。順番が逆——先に全部書くと、実態に合わない条文が並び、それが「守らなくていいルール」の見本になってしまいます。
削った6項目は、ガイドラインの末尾に「今後定める事項」として名前だけ残しておいてください。消してしまうと、忘れます。
禁止事項を増やす前に、契約と設定で潰せるものを潰す
ルールを1行増やす前に、確認してほしいことがあります。それは人に守らせなくても、設定で防げるのではないか。
生成AIの主要サービスには法人向けのプランがあり、多くの場合、入力した内容をAIの学習に使わない設定が標準になっています。会社としてそのプランを契約し、社員にアカウントを配れば、「学習に使われるかもしれない」という不安の大半は、ルールを書かずに消えます。
- 会社としてアカウントを配布する → 「個人アカウントで使うな」を見張る必要が減る
- 法人プランで学習に使わせない設定にする → 入力内容の扱いについての条文が短くなる
- 使えるツールを会社が指定する → 「どれを使っていいか」の質問が消える
人が守るべき項目が少ないルールほど、守られます。これは精神論ではなく、単純に監視できる量の問題です。禁止事項が20個あるルールは、誰も全部は覚えていません。
そもそも生成AIで情報が漏れる経路は3つあり、うち2つは社員が何かを入力しなくても成立します。どこを設定と契約で塞げるかは生成AIの情報漏洩リスクと対策｜入力してはいけないものと、漏らした後にやることで整理しています。
なお、契約プランの選定には費用が発生します。ここを渋って個人アカウントの利用を黙認すると、結局ルール側で細かく縛ることになり、運用の手間が毎月かかり続けます。一度の契約判断で消える手間は、契約で消したほうが安いというのが当社の結論です。
どのツールを、どの契約形態で、誰に配るか。ここは会社の規模と業務によって答えが変わります。30分・無料・オンライン可の個別相談で御社の状況をお聞きして、必要な範囲だけをお伝えします。
当社の生成AI社内ルールが増えた5つの瞬間【運用の一次記録】
ここからが、この記事の本題です。
当社は自社の業務の一部——調査、資料の下書き、社内システムの保守——をAIに任せています。そのための社内ルールを作り、運用してきました。最初に作ったルールは、今のものより明らかに短かった。増えた部分は全部、実際に何かが起きた後に足したものです。
5つ紹介します。数字はすべて実際のものです。
1. 「単位」が書いていなかったせいで、金額が独り歩きしかけた
当社のサービス料金は「1人あたりいくら」という単位で決まっています。ところがAIに資料を作らせた際、この「1人あたり」という単位が抜けたまま金額だけが書かれかけました。
そのまま出ていれば、同業他社の「1回あたりいくら」という金額と並べられ、当社が6倍高い会社に見えるところでした。公開前に気づいたので実害はありませんでした。
足したルール｜金額を書くときは、必ず単位（1人あたり／1回あたり／税込・税抜）をセットで書く。
学んだこと｜ルールの穴は、禁止事項の中ではなく「書いていない項目」の中にあります。禁止していないことは、AIも人も自由にやります。
2. 「本番なのか、確認用なのか」を確かめる1行が無かった
当社は本番のウェブサイトとは別に、確認用の環境を持っています。ある時、設定ファイルの向き先が確認用のまま残っていて、本番だと思って作業しようとした対象が、実は別の環境だったことがありました。
逆のパターン——確認用のつもりで本番を触る——だったら、事故になっていました。
足したルール｜書き込みを始める前に、接続先が本番かどうかを目視で確認する。違っていたら止めて報告する。
学んだこと｜「気をつける」ではルールになりません。「何を見て、何と一致していたら進んでよいか」まで書いて、はじめて守れる形になります。
3. 使いすぎを止めるのは、注意ではなく自動停止だった
当社は有料の調査サービスを使っています。従量課金なので、使えば使うだけお金がかかります。
最初は「使いすぎない」という申し合わせだけでした。これは効きませんでした。作業中は目の前の仕事に集中しているので、残高は見ません。
そこで残高が決めた下限を割りそうになったら、次の処理に進む前に自動で止まる仕組みに変えました。実際に、8件連続で調査を回した際、7件目でこの自動停止が作動し、予算超過を防いでいます。
足したルール｜お金が動く処理には、上限額と自動停止を設定する。人の注意力に頼らない。
学んだこと｜お金・削除・外部送信の3つは、注意喚起で守らせてはいけません。仕組みで止めます。
4. 「消す」のではなく「ゴミ箱に入れる」に統一した
不要になった記事を1本削除する場面がありました。この時、完全削除ではなくゴミ箱への移動を選び、さらに削除前の中身をファイルに保存しました。
結果的に復元は不要でしたが、判断が変わる可能性は最後まで残っていました。完全に消していたら、その選択肢自体が消えていました。
足したルール｜削除は原則ゴミ箱まで。完全削除は別途承認を取る。消す前に中身を控える。
学んだこと｜取り返しがつく側に倒しておくと、判断を後回しにできます。急いで正しく決めるより、間違えても戻れるほうが安全です。
5. 「確認しました」を額面通りに受け取らない、と書き足した
これが一番効きました。
当社では、記事を書く前に「競合が何を書いていないか」を調べる工程があります。AIに調べさせた8件について、すべて「調査済み」という報告が返ってきました。
念のため「実際に何件、中身を読んだのか」と確認したところ、8件のうち4件は、検索結果の要約だけを見て判断していたことが分かりました。うち1件は、「他社が書いていない」としていた3つの論点が、実際には全部書かれていました。公開前だったので、事故にはなっていません。
原因は単純です。検索結果の要約には、その記事が「何を書いていないか」は写りません。
足したルール｜「調べた」ではなく「何件を、どうやって確認したか」を報告に書く。特に「〜が無い」という主張は、根拠の件数を明示する。
学んだこと｜AIの報告は、断定的な口調と実際の作業量が一致しません。これは人間の部下でも同じです。報告のフォーマット側で、手を抜けない形にするのが解決策でした。
AIが間違えた時に、そもそも直すべきかどうかという判断については、AIが判断を間違えた時どうするか｜直す前に「直さない」を検討するで詳しく書いています。
ルールが守られていないことに、どうやって気づくか
ここまで読んで、「監視ツールを入れないと分からないのでは」と思われたかもしれません。当社は入れていません。代わりにやっていることが2つあります。
違反を探しにいかない。「困った話」が出てくる場所を1つ作る
違反を探す運用は、続きません。探す側の手間が大きく、探される側は隠すようになります。
代わりに、「AIを使っていて危なかった話」を気軽に書ける場所を1つ作ります。チャットのチャンネルでも、週次の打ち合わせの最後の5分でもかまいません。
条件は一つだけ。そこに出た話で、誰も責めないこと。責めた瞬間に、二度と出てこなくなります。
上の5つの事例も、全部この形で出てきたものです。「危なかった」の報告が上がってくる状態を作れれば、ルールが現実と合っているかは自然に分かります。
ルールが現場と合わなくなったサイン
- 例外の申請が増える｜禁止事項が実務と合っていない
- 同じ質問が繰り返される｜ルールの文章が読んで分からない
- 誰も相談してこない｜最悪のサイン。守られているのではなく、見えないところで使われている可能性があります
3番目が一番危険です。相談ゼロは健全さの証明ではありません。
改定を止めないための決め方｜持ち主と、見直しのきっかけ
ガイドラインが古くなる原因は、たいてい「誰のものか決まっていない」ことです。
- 持ち主を1人決める（役職で決める。個人名では決めない）
- 見直すきっかけを、日付以外にも用意する
「半年ごとに見直す」だけだと、忙しい半年は飛ばされます。次のような出来事をきっかけとして書いておくと、飛ばされません。
- 新しいAIツールを導入した時
- 上の「危なかった話」が1件出た時
- 取引先から、AI利用について確認された時
- 法令やサービス側の規約が変わった時
改定のたびに全文を作り直す必要はありません。1行足す、1行直す。それだけで改定です。
生成AI社内ガイドラインの、よくある失敗3つ
禁止事項しか書いていない
「入力するな」「使うな」だけが並ぶルールは、AIを使わない理由の一覧になります。何に使ってよいかを先に書いてください。何が許されているか分からないと、慎重な人ほど手が止まり、無頓着な人だけが使い続けます——一番望ましくない状態です。
何に使えるかのイメージが湧かない場合は、他社の使いどころを先に見たほうが早いです。生成AIで業務効率化した企業事例に、業務別に何分減ったかをまとめています。
作って配って終わり
配布した日が運用開始日ではありません。最初に「危なかった話」が上がってきた日が運用開始日です。それまでは、誰も読んでいないと思っていてください。
社外に出す場面のルールが無い
社内で使う分のルールだけ作り、AIの出力がそのままお客様に届く場面を想定していないケースが多くあります。問い合わせ対応にAIを使う場合は、社内利用とは別の設計が必要です。問い合わせ対応をAIに任せる｜嘘をつかせないための設計にまとめています。
まとめ｜今日から始めるなら、この順番
- 今日｜A4一枚に4項目だけ書く（適用範囲／入れてはいけない情報3つ／迷った時の動き／使ってよい環境）
- 今週｜契約と設定で潰せるものを潰す。人が守る項目を減らす
- 今月｜「危なかった話」を出せる場所を1つ作る。誰も責めない運用にする
- 以降｜1件出るたびに1行足す。持ち主と見直しのきっかけを決めておく
生成AIの社内ルールは、書き上げた瞬間が完成ではありません。使われて、ぶつかって、直された回数が、そのままルールの質になります。
そして最後に、身も蓋もない話をひとつ。ルールを作っても、社員が生成AIを使えなければ何も起きません。当社が支援に入る現場で一番多いのは、ルールの不備ではなく「そもそも何に使えるか分からない」状態です。ルール整備と並行して、現場が使える状態を作るほうが先になることもあります。
法人向けのAI研修について、内容や進め方は法人向けAI研修とは｜内容・費用・進め方にまとめています。
【付録】そのままコピーできる、A4一枚の生成AI社内ルール
ダウンロード不要です。この枠内をコピーして、〇〇の部分を自社の言葉に置き換えてください。就業規則に紐づく社内規定として整備する場合も、第1版の中身はこれで足ります。
生成AI利用ルール（第1版・〇〇年〇月〇日制定）
1. 適用範囲
当社の業務に関わるすべての者に適用する（雇用形態・委託関係を問わない）。
2. 入れてはいけない情報
次の情報は、生成AIに入力・貼り付けしない。
・〇〇〇（例: 顧客名簿）
・〇〇〇（例: 見積書・請求書の原本）
・〇〇〇（例: 未公開の採用選考の記録）
3. 迷った時
入れてよいか迷ったら、入れずに止める。
止めた場合は〇〇（役職名）に相談する。相談したことで不利益な扱いはしない。
4. 使ってよい環境
会社が配布したアカウントで利用する。
個人アカウントで業務上のデータを扱わない。
5. このルールについて
持ち主: 〇〇（役職名）
見直すきっかけ: 新しいAIツールを導入した時／ヒヤリとした事例が出た時／
取引先から確認を受けた時／法令・規約が変わった時
今後定める事項: 著作権の取り扱い／生成物の品質チェック手順／違反時の取り扱い／
取引先への開示／ログの保存／部署ごとの個別ルール第1版はこれで十分です。足りない部分は、足りないと分かった時に足してください。
「うちの場合、2番に何を書けばいいのか」——ここは業種ごとに答えが違います。30分・無料・オンライン可の個別相談で御社の業務を3つ挙げていただければ、その場で仕分けしてお持ち帰りいただけます。
まずは30分、無料の個別相談で整理しませんか
30分・無料・オンライン可・売り込みなし。気になっている業務を3つ挙げていただき、その場で「AIに置き換わる／半分楽になる／向かない」に仕分けしてお持ち帰りいただきます。
テレビ・新聞で取り上げられました
