生成AIの社内ガイドラインの作り方｜シャドーAIを防ぐルールの項目例・ひな形・作成手順を中小企業向けに解説
「社員が勝手にChatGPTを使っているようだが、ルールがない」「ガイドラインを作れと言われたが、何を書けばよいかわからない」。生成AIの業務利用が当たり前になる中で、社内ルールの整備は多くの会社にとって急ぎの課題です。かといって、厳しすぎるルールを作ると誰も守らず、会社の知らないところで使われる状態が続いてしまいます。
この記事では、中小〜中堅企業が生成AIの社内ガイドラインを作るときの手順と、盛り込むべき項目の例を整理します。業界団体が公開しているひな形や、国の資料も紹介しますので、自社の実情に合わせて作る際の参考にしてください。
- 生成AIのガイドラインの目的は、禁止することではなく、安全に使える範囲をはっきりさせて、業務で使ってもらうことです。
- 一律禁止は、会社が把握できない利用、つまりシャドーAIを増やします。会社が認めたAI環境をセットで用意することが大切です。
- ゼロから作る必要はありません。日本ディープラーニング協会（JDLA）のひな形などをもとに、自社の業務と扱う情報に合わせて直すのが近道です。
- 作って終わりにせず、説明会での周知、利用状況の確認、半年〜1年ごとの見直しまでを運用として決めておきます。
目次
生成AIの社内ガイドラインとは
生成AIの社内ガイドラインとは、社員が業務で生成AIを使うときに、使ってよいサービス、入力してよい情報、出力の扱い方などを定めた社内ルールです。「生成AI利用規程」「AI利用ポリシー」と呼ぶ会社もあります。
生成AIとは、文章や画像などを新しく作り出すAIのことで、ChatGPT、Microsoft Copilot、Geminiなどがあります。便利な一方で、入力した情報が社外のサービスに送られること、事実と違う内容をもっともらしく出力すること（ハルシネーション）、他人の著作物に似たものが出力されることがあるなど、使い方を誤ると会社に損害が出るおそれがあります。ガイドラインは、こうしたリスクを抑えながら、業務で効果を出すための土台です。
シャドーAIとは
シャドーAIとは、会社が把握・許可していない生成AIを、社員が業務に使っている状態のことです。個人で契約したChatGPTに取引先の資料を貼り付ける、個人のスマートフォンで議事録を要約する、といった使い方が典型です。会社からは見えないため、情報が漏れても気づけず、どの情報がどこに渡ったかを後から追うこともできません。
シャドーAIは、ルールがない会社だけでなく、ルールで一律に禁止した会社でも起きます。便利な道具を禁止されると、社員は隠れて使うようになるからです。ガイドラインは「禁止の文書」ではなく、「ここまでなら安心して使ってよい」と示す文書として作ることが大切です。
参考にできるひな形・公的資料
ガイドラインをゼロから作る必要はありません。業界団体や国が公開している資料を参考に、自社向けに直していくのが効率的です。
ガイドライン作成で参考にできる主な資料
| 資料 | 発行元・時期 | 使いどころ |
|---|---|---|
| 生成AIの利用ガイドライン（条項のみ／簡易解説付） | 日本ディープラーニング協会（JDLA）。2023年5月に公開、第1.1版は2023年10月 | 社内ガイドラインのひな形。データ入力時と生成物の利用時の注意事項が整理されている。無料でダウンロードできる |
| 生成AIの利用ガイドライン（画像編） | JDLA、2024年2月 | 画像生成AIを使う場合の追加の注意事項 |
| 生成AIサービスの利用に関する注意喚起等 | 個人情報保護委員会、2023年6月2日 | 個人情報を入力する場合のルールづくりの根拠 |
| AIと著作権に関するチェックリスト＆ガイダンス | 文化庁、2024年7月31日 | AIの利用者が著作権侵害を避けるために注意すべき点 |
| AI事業者ガイドライン（第1.2版） | 総務省・経済産業省、2026年3月31日 | AIを使う会社（AI利用者）を含む事業者向けの国の指針。全社的なAIガバナンスを考えるときの土台 |
JDLAのひな形は、組織が生成AIを導入する際の参考として公開されたもので、各組織の活用目的に応じて追加や修正を加えて使うことが想定されています。まずはこれを読み、自社に当てはまらない部分を削り、足りない部分を足す、という進め方がおすすめです。
法律面の考え方（著作権やAI推進法など）は、次の記事で詳しく解説しています。
関連記事生成AIと著作権・法律｜AI推進法・AI事業者ガイドラインで企業が押さえること【2026年10月版】
ガイドラインに盛り込む項目の例
中小〜中堅企業のガイドラインで、最低限決めておきたい項目を表にまとめました。すべてを細かく書く必要はなく、まずは1〜3ページ程度にまとめ、運用しながら足していくほうが定着しやすくなります。
生成AIの社内ガイドラインの項目例
| 項目 | 決めること | 記載例 |
|---|---|---|
| 目的 | 何のためのルールか | 生成AIを安全に活用し、業務の効率化と品質の向上につなげるため |
| 対象者・対象範囲 | 誰に、どの業務に適用するか | 役員・正社員・契約社員・派遣社員を含む全従業員。業務で使うすべての生成AIを対象とする |
| 使ってよいサービス | 会社が認めるサービスとプラン | 会社が契約した法人向けプランのみ使用可。それ以外を使う場合は情シスに申請する |
| 入力してよい情報 | 情報の区分ごとの可否 | 公開情報は可。社内情報は会社契約の環境に限り可。個人情報・取引先の秘密情報・認証情報は入力禁止 |
| 出力の確認 | 誰が何を確認するか | 出力は下書きとして扱う。数字・固有名詞・日付・法令は原典で確認する。社外に出す文書は上長が確認する |
| 権利への配慮 | 著作権・商標・肖像など | 他人の作品名や作家名を指定した生成は行わない。社外に出す画像・文章は既存の作品に似ていないか確認する |
| AI利用の表示 | 社外にどう伝えるか | 顧客向けのチャットボットなど、AIが応答していることを利用者に明示する |
| 禁止する使い方 | 明確に禁止すること | 人事評価・採用の合否などをAIの出力だけで決めない。差別的・違法な内容の生成をしない |
| 事故時の報告 | 問題が起きたときの連絡先 | 誤って機密情報を入力した場合は、速やかに情シスへ報告する（報告者を責めない） |
| 管理体制・見直し | 責任者と見直しの時期 | 管理責任者は総務部長。半年ごとに利用状況を確認し、ガイドラインを見直す |
関連記事ChatGPTに社外秘を入れて大丈夫？情報漏えいのリスクと法人での対策｜漏えいの経路と入力ルールを解説
ガイドラインを作る手順
- 現状を把握する社員アンケートなどで、誰が、どのAIサービスを、どの業務に使っているかを調べる。責めずに正直に答えてもらうことが大切
- 使いたい業務と扱う情報を整理する文書の下書き、議事録の要約、問い合わせ対応など、AIを使いたい業務と、そこで扱う情報の機密度を洗い出す
- 使ってよい環境を決めて用意する入力データを学習に使わない法人向けプランなど、会社として認めるサービスを決めて契約する。ルールより先に、安全な環境を用意する
- ひな形をもとに条文を作るJDLAのひな形などを参考に、上の表の項目を自社向けに書く。法務・総務・情シス・現場の代表で確認する
- 説明会で周知する文書を配るだけでなく、具体例を使った短い説明会を開く。「やってよいこと」の例を多めに示す
- 運用しながら見直す利用状況や質問、ヒヤリハットを集め、半年〜1年ごとに見直す。新しいサービスや法令・国の指針の改定にも合わせる
ガイドラインを作っても、研修や周知だけでは使い方が定着しないことがあります。業務の流れの中にAIを組み込む考え方は、次の記事で解説しています。
関連記事生成AI研修だけでは定着しない理由｜研修の価値と6つの壁、業務の仕組みに組み込んで使われ続けるための方法
想定ケースで考える：ルールがない状態からの整備
状況：生成AIについての社内ルールはなく、アンケートを取ると、事務職と営業職の約3割が個人契約や無料版の生成AIを業務に使っていました。図面の説明文や取引先へのメールを貼り付けている例もありました。
やったこと：法人向けプランを事務・営業部門に導入し、JDLAのひな形をもとに2ページのガイドラインを作りました。「図面・単価・取引先名は入力しない」「社外に出す文書は上長が確認する」など、具体例を中心に書き、30分の説明会を2回開きました。個人契約のサービスでの業務利用は、法人向けプランの導入と同時に禁止しました。
試算：対象の25名が、メールや報告書の下書きにAIを使い、1人あたり週1.5時間短縮できると仮定すると、25名×1.5時間×4週＝月150時間程度の試算です。一方、ガイドラインの作成に総務・情シスで延べ30時間程度、半年ごとの見直しに10時間程度かかる見込みです。
うまくいく条件：禁止と同時に「使ってよい環境」を用意したこと。経営者が説明会に出て、AIを使うことを前向きに推奨したこと。
つまずきやすい点：現場では「図面の説明文くらいは大丈夫だろう」という判断が起きがちです。入力禁止の情報を、システム側で入力できないようにする仕組み（社内システムへの組み込み）を、次の段階として検討する必要があります。
ルールだけで守れない部分は仕組みで補う
ガイドラインは大切ですが、守るかどうかは最終的に一人ひとりの注意力に頼ります。扱う情報の機密性が高い場合や、社員が多く周知が行き届きにくい場合は、システムで補う方法も検討しましょう。
- 社内専用のAI画面：API（システム同士をつなぐ窓口）を使って社内システムから生成AIを使えるようにし、利用者や入力内容の記録を残す
- 入力前のチェック：個人名や電話番号、特定のキーワードを含む入力を検知して、警告したり伏せ字にしたりする
- 用途ごとの専用ツール：「議事録の要約」「問い合わせの下書き」のように用途を絞ったツールにして、決まった情報だけを扱う
- 社内文書の権限管理：社内文書を検索して答えるAIでは、閲覧権限のない文書の内容が回答されないようにする
AIを悪用した攻撃（プロンプトインジェクションなど）への備えは、次の記事で解説しています。
関連記事AIのセキュリティリスク｜プロンプトインジェクションの仕組みと社内AIの守り方を中小企業向けにわかりやすく解説
AIを含むシステムの導入を検討する際の要件定義書やRFP（提案依頼書）、保守契約チェックリストのひな形を無料テンプレート集で公開しています。社内でAIの使い道を整理するときの下書きにもご活用ください。
よくある質問
- JDLAのひな形はそのまま使ってもよいですか？
- JDLAは、各組織の活用目的に応じて追加や修正を加えて使うよう案内しています。使ってよいサービスや入力禁止の情報の具体例は会社ごとに違うため、自社の業務に合わせて書き直してください。
- ガイドラインはどのくらいの分量が適切ですか？
- 中小〜中堅企業なら、最初は1〜3ページ程度で十分です。長すぎると読まれません。細かい手順や具体例は別紙やFAQにまとめ、本体は短く保つと運用しやすくなります。
- 生成AIの利用を全面禁止にするのはだめですか？
- 会社の判断として禁止することはできますが、社員が個人のスマートフォンなどで隠れて使うシャドーAIが増えるおそれがあります。禁止する場合も、その理由と、代わりに使える手段を示すことが大切です。
- パート・アルバイトや派遣社員も対象にすべきですか？
- 業務でパソコンやスマートフォンを使い、社内の情報に触れる人は対象に含めるのが一般的です。派遣社員については、派遣元との契約の内容も確認してください。
- ガイドラインはどのくらいの頻度で見直せばよいですか？
- 半年〜1年ごとの見直しを目安にしてください。生成AIのサービスは機能や規約の変更が多く、国の指針も改訂されています。新しいサービスを導入するときや、問題が起きたときにも見直します。
まとめ
生成AIの社内ガイドラインは、禁止のための文書ではなく、安全に使える範囲を示して業務で活用してもらうための文書です。まず現状の利用状況を把握し、会社が認めるAI環境を用意したうえで、JDLAのひな形などをもとに、使ってよいサービス、入力してよい情報、出力の確認方法などを決めましょう。作った後は説明会で周知し、半年〜1年ごとに見直します。ルールだけで守り切れない部分は、社内システムへの組み込みで補うのが確実です。
参考：日本ディープラーニング協会「生成AIの利用ガイドライン」（2023年5月1日公開、第1.1版 2023年10月）、同「生成AIの利用ガイドライン（画像編）」（2024年2月）、個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023年6月2日）、文化庁「AIと著作権に関するチェックリスト＆ガイダンス」（2024年7月31日）、総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（2026年3月31日）。
この記事に関連するサービス
AI業務改善・AIシステム開発
生成AIなどのAIを、業務の流れや社内のシステムに組み込んで成果が出る形にします。業務の整理、試験導入（PoC）、AIを組み込んだシステムの開発、導入後の運用・改善まで一貫して対応… サービスの詳細を見る
