生成AIガイドラインとは、従業員が業務でAIを使うときの利用可否・入力してよい情報・出力の検証責任を定めた社内文書です。就業規則や情報セキュリティ規程のひとつ下に置き、A4で2枚に収めるのが実務的です。
「うちも作らないとまずいよね」と言われて、白紙のWordを開いたまま3日経っていませんか。
ゴールは薄い1枚です。従業員が朝いちで開いて、30秒で「この資料をAIに貼っていいか」を判断できる。それができれば合格点。
社内で生成AIが事故を起こすパターンは、だいたい決まっています。禁止していたから起きたのではなく、何も決めていなかったから起きています。
生成AIガイドラインで決まるのは3つだけ
この文書が答えるのは「どのツールを使ってよいか」「何を入力してはいけないか」「出てきた文章の責任は誰が持つか」の3つです。ここが埋まっていれば、残りは付け足しです。
似た言葉が3つあって、そこで手が止まる人が多いです。整理しておきます。
呼び方ごとの守備範囲を並べると、こうなります。
| 呼び方 | 中身 | 誰が読むか |
|---|---|---|
| AIポリシー (方針) | 会社としてAIとどう付き合うかの宣言 | 経営層・取引先・採用候補者 |
| AIガイドライン (手引き) | 現場が何をしてよいかの実務ルール | 全従業員 |
| AI利用規程 (規範) | 違反時の扱いを含む正式な規程 | 人事・法務・監査 |
つまり、いま急いで要るのは真ん中のガイドラインです。従業員100人以下なら3つを1本にまとめて構いません。分けるのは、取引先の審査で規程の提出を求められてからで間に合います。
分厚さより、読まれる薄さ。ここが最初の分かれ道です。
なぜ2026年にルールが要るのか？
ルールがない状態の生成AI利用は、情報漏えい・権利侵害・誤情報の3つを同時に抱えます。しかも漏えいは、起きた瞬間には誰も気づきません。
危ないのは禁止している会社ではなく、黙認している会社です。黙認とは、会社が把握できない利用が社内に広がっている状態のこと。無断で使われているツールを、シャドーAI (会社が知らないAI利用) と呼びます。
具体的なリスクを4つに絞ります。
- 機密情報の流出: 顧客リストや未発表の決算資料を無料版に貼ると、入力が学習に使われる設定のまま外部に残る余地がある
- 権利侵害: 生成された画像や文章をそのまま商品・広告に使い、第三者の権利とぶつかる
- 誤情報の混入: AIがそれっぽい嘘をつくこと (ハルシネーション) を検証せず、顧客向け資料に載せてしまう
- 責任の空白: 事故が起きたとき「AIが出した」で話が終わる文化が根づく
「気をつけよう」では止まりません。止まるのは、文書で線を引いたときだけ。
制度の側も動いています。2025年9月にAI推進法が全面施行され、2026年8月からはEU AI Actの段階適用が広がりました。海外に製品やサービスを出している会社なら、社内文書の版数が問われる場面が実際に来ます。
そしてこれは制約の話ではありません。線が引かれて初めて、現場は安心してアクセルを踏めます。ガイドラインはブレーキではなく、踏ませるための装置。
AI事業者ガイドライン第1.2版で変わった3点
国内で参照する土台は、総務省・経済産業省が2026年3月31日に公表した「AI事業者ガイドライン（第1.2版）」です。ここを見ずに作ると、初日から古い設計になります。
技術面の実装例は、総務省が2026年3月27日に公表した「AIのセキュリティ確保のための技術的対策に係るガイドライン」に寄せられました。情シスが読むのはこちらです。
第1.2版で社内ルールに直結する論点は3つあります。表の下に、自社文書への落とし方を書きました。
| 論点 | 中身 | 自社ガイドラインへの反映 |
|---|---|---|
| AIエージェント | 手順を自分で判断して作業まで実行するAIの扱い | 人が指示・確認する範囲を明記する |
| 人による確認 (HITL) | 重要な判断に必ず人を挟む仕組み | 検証責任を独立した項目にする |
| トレーサビリティ | 誰がいつ何を入力したかの記録 | 利用ログの保存ルールを追加する |
つまり、旧版を見ながら入力禁止リストだけ作った会社は、検証責任とログの2つが丸ごと抜けている公算が大きいです。この記事の12項目には、その2つを最初から独立させてあります。
同ガイドラインは対象者を開発者・提供者・利用者に分けています。一般企業のほとんどは利用者です。自社文書の末尾に参照した公的文書名と版数を書いておくと、取引先の審査シートを埋めるときに効きます。地味ですが、ここは重宝します。
自律的に作業まで進めるツールを社内に入れる予定があるなら、AIエージェントの分野で何ができるようになっているかを先に見ておくと、確認範囲の線引きが具体的になります。
許可リスト型と禁止リスト型のどちらで作るか？
許可リスト型＋例外申請の一択です。 禁止リスト型は必ず形骸化します。
禁止リスト型は「これはダメ、あれもダメ」を並べる方式。作るのは速いです。ただし、書かれていない新しいツールが出た瞬間に穴が開きます。現場は「書いてないからOK」と読みます。悪気はありません。文書がそう読めるだけです。
許可リスト型は「この3つは使ってよい、それ以外は申請」とする方式。新しいツールはいったん保留になり、申請を通って初めて増えます。安全側に転ぶ設計。
2つを並べると差がはっきりします。
| 観点 | 禁止リスト型 | 許可リスト型＋例外申請 |
|---|---|---|
| 作る手間 | 軽い | やや重い |
| 新ツールが出たとき | 穴が開く | 保留される |
| 1年後の形骸化 | しやすい | しにくい |
| 現場のスピード | 速いが危険 | 申請の軽さ次第 |
つまり勝負は、申請をどれだけ軽くできるかに移ります。目安は「フォーム5項目・3営業日で回答」。ここが重いと、現場は申請せずに黙って使います。
最初の許可リストは3つで十分です。全社チャット用に1つ、議事録用に1つ、開発用に1つ。AIチャットボットとAI会議・議事録から1本ずつ選べば、業務の8割は回ります。
決めるべき12項目とは何か？
12項目を上から埋めれば、それがそのままガイドラインになります。空欄のまま出すくらいなら、暫定値を入れて公開するほうが得です。
各項目の判断基準を添えました。所要時間は、社内の実情を知っている人が書く前提の目安です。
| # | 項目 | 決める内容 | 目安 |
|---|---|---|---|
| 1 | 目的 | 何のための文書か。1文で書く | 5分 |
| 2 | 適用範囲 | 正社員だけか、業務委託・派遣も含むか | 10分 |
| 3 | 用語の定義 | 生成AI・プロンプト (AIへの指示文) など5語まで | 15分 |
| 4 | 許可ツール | 使ってよいサービスと契約プラン名 | 30分 |
| 5 | 例外申請 | 申請先・決裁者・回答期限 | 20分 |
| 6 | 入力禁止情報 | 赤黄緑の3段階で線を引く | 40分 |
| 7 | 個人情報 | 顧客名・履歴書・健康情報の扱い | 30分 |
| 8 | 出力の検証責任 | 誰が確認して誰が公開を承認するか | 20分 |
| 9 | 権利侵害の回避 | 画像・文章の商用利用と類似チェック | 20分 |
| 10 | 利用ログ | 何を残し、どこに、何か月置くか | 30分 |
| 11 | 事故時の報告 | 誰に何分以内に報告するか | 15分 |
| 12 | 違反時の扱いと改定 | 就業規則との接続、見直し頻度 | 20分 |
つまり、集中すれば1日で書き切れる分量です。重いのは6・7・10の3つだけ。ここに時間を寄せてください。
項目7は法務の確認が要ります。個人情報を含む業務でAIを使う予定があるなら、AIリーガルの分野にある契約書レビュー系ツールの規約を先に読んでおくと、判断が速くなります。
入力してよい情報は赤・黄・緑でどう切るか？
線引きは3段階で足ります。5段階にすると現場が覚えられません。
信号の色で分けると、朝いちの30秒判断ができるようになります。
| 段階 | 扱い | 具体例 |
|---|---|---|
| 赤 | 入力禁止 | 顧客の氏名・連絡先、未発表の決算数値、パスワード、健康情報、秘密保持契約の対象資料 |
| 黄 | 加工すれば可 | 社内資料。固有名詞と数値を伏せ字にしてから貼る |
| 緑 | そのまま可 | 公開済みの自社サイト文言、一般的な調べもの、自分で書いた下書き |
つまり、迷ったら黄として扱い、伏せ字にしてから使うのが安全側です。この1行を文書に入れておくと、想定外の資料が来ても判断が止まりません。
契約プランによっては、入力内容を学習に使わない設定が用意されています。許可リストに載せるときは、サービス名だけでなく契約プラン名まで書いてください。無料版と有料版で扱いが違うためです。
会社負担にするか個人負担にするかも、ここで決めておくと揉めません。個人向けの手ごろなプランは1,000円台からあります。たとえばChatGPTのGoプランは月1,400円です。1人あたり数千円の投資を渋った結果、無料版に機密が貼られるほうが高くつきます。
ここまでの整理: 許可リスト型で作る。決めることは12項目。線引きは赤黄緑の3段階。ここまでで文書の骨格は完成しています。
コピペで使えるひな形
そのまま貼って、カッコ内を埋めれば動きます。条文の番号は社内の規程体系に合わせて振り直してください。
第1条（目的） 本ガイドラインは、当社の役員および従業員が業務で生成AIを利用する際の基本ルールを定め、情報漏えい・権利侵害・誤情報の混入を防ぐことを目的とします。
第2条（適用範囲） 本ガイドラインは、当社の役員・従業員・派遣社員・業務委託先（以下「利用者」）に適用します。
第3条（利用できるサービス） 利用者が業務で利用できる生成AIサービスは、別表1に掲げるものに限ります。別表1にないサービスを利用する場合は、第4条の申請を行ってください。
第4条（例外申請） 別表1以外のサービスを利用する場合、利用者は所定のフォームで（ 情報システム部門 ）に申請し、承認を得てから利用してください。回答は原則3営業日以内に行います。
第5条（入力してはならない情報） 利用者は、別表2に掲げる情報を生成AIに入力してはなりません。判断に迷う情報は、固有名詞および数値を伏せたうえで入力してください。
第6条（出力の確認義務） 生成AIの出力は下書きとして扱います。社外に出す文書・数値・引用元は、利用者本人が事実確認を行い、（ 所属長 ）の承認を得たうえで公開してください。
第7条（権利への配慮） 生成物を商用利用する場合、既存の著作物との類似がないかを確認してください。特定の作家名・作品名を指定した生成は行わないでください。
第8条（記録） 利用者は、業務で利用したサービス名・目的・日付を（ 所定の台帳 ）に記録します。記録は（ 1年間 ）保存します。
第9条（事故時の報告） 情報の誤入力や漏えいのおそれが生じた場合、利用者はただちに（ 情報システム部門 ）へ報告してください。自己判断での削除・復旧は行わないでください。
第10条（違反） 本ガイドラインに違反した場合、就業規則に基づく対応を行うことがあります。業務委託先については、業務委託契約の定めに従います。
第11条（改定） 本ガイドラインは（ 半期に1回 ）見直し、技術動向および公的ガイドラインの改訂を反映します。
附則 本ガイドラインは（ YYYY年MM月DD日 ）から施行します。
別表1に許可ツール、別表2に赤の情報リストを置けば、A4で2枚に収まります。
公開されている実例を見ると、この形が定着しているのが分かります。株式会社X-Tech5は自社の生成AIサービス利用ガイドラインをWebで公開しており、懲戒処分との接続 (第18条) と改版履歴まで載せています。2026年8月17日施行と明記され、初版は2025年7月1日。1年で複数回改定されている点が、この分野の動きの速さを表しています。
改版履歴の欄は必ず作ってください。ここが空の文書は、1年後に誰も信用しなくなります。
策定から公開までの5ステップはどう進めるか？
会議を増やさないのがコツです。関係者を集めるのは1回で足ります。
- たたき台を1人で書く（半日）。上のひな形のカッコを埋めるだけ。委員会は作らない
- 法務・情シス・現場の3人に見せる（1週間）。同時に配って、コメントは文書に直接書いてもらう
- 許可ツールを3つに決める（1日）。契約プラン名と学習利用の設定まで確認する
- 経営会議で承認（1回）。論点は「許可リスト型でよいか」だけに絞る
- 公開と説明（30分の全社説明1回）。赤黄緑の1枚だけをスライドにする
3週間あれば回ります。長引く原因は、たいてい2で全員の合意を取ろうとすること。決めるのは1人、意見はもらう、で進めてください。
公開後の浸透は、文書を配るだけでは進みません。AI生産性・ノートの分野にあるツールで社内Wikiに常設し、申請フォームのリンクを同じページに置く。この2手で申請件数が動きます。
形骸化させない3つの仕掛け
ガイドラインは作った日が品質のピークです。放っておくと半年で誰も見なくなります。
効いたのは次の3つです。どれも運用コストが小さいものだけを選びました。
- 四半期ごとの許可リスト棚卸し: 増やす議論より、使われていないツールを消す議論をする
- 申請の実績を月1で公開: 「今月の申請3件、承認3件」と出すだけで、申請が心理的に軽くなる
- 事故ゼロを成果にしない: 報告が上がってこないだけの可能性がある。ヒヤリハットの共有を1件でも歓迎する
3つ目が肝です。報告した人が責められる空気になると、事故は水面下に潜ります。
ログの管理を厳密にやりたい会社は、AIセキュリティの分野にある監視系ツールを見ておくと、どこまで自動で取れるかの相場感がつかめます。手作業の台帳は3か月で止まります。
人事評価や採用でAIを使う場合は、扱いを別立てにしてください。応募者の情報は赤に該当します。AI人事・採用の分野は各サービスの規約差が大きく、まとめて許可すると後で困ります。
編集部の評価
この分野で出回っている「ひな形集」は、正直イマイチなものが多いです。条文が30を超えていて、現場が読み切れません。守られない文書は、無いのと同じ。
一方で、公的文書の参照は明確に価値があります。AI事業者ガイドライン第1.2版は経済産業省のサイトで本文・活用の手引き・チェックリスト形式のExcelまで公開されており、無料で使えます。ここを土台にできるのは破格です。
2026年時点で本当に見直しが要るのは、HITLと利用ログの2点。旧版ベースの社内文書はここが抜けています。逆に言えば、この2項目を足すだけで版数を上げる価値があります。
微妙なのは、AIエージェントの扱いです。自律的に作業まで進めるツールは、事前に全パターンを書き切れません。「人が確認する工程を必ず1つ置く」という原則だけを書き、個別のツールは申請で見るのが現実的です。
社内ルールを1本だけ選ぶなら、許可リスト型の1枚。この一択です。
よくある質問（FAQ）
Q. 従業員10人の会社でも作る必要がありますか？
必要です。むしろ小さい会社ほど、1人の誤入力が事業に直結します。10人なら、ひな形のカッコを埋めて半日で終わります。決裁者を社長1人にすれば、申請フローも軽くなります。
Q. 無料版の生成AIを業務で使うのは禁止すべきですか？
一律禁止にする必要はありません。緑の情報だけを扱う前提なら、無料版でも問題は起きにくいです。ただし赤と黄は有料の業務用プランに限定してください。線を引くのはツールではなく、情報の側です。
Q. AIが書いた文章を社外に出すとき、その事実を明記すべきですか？
法律上の一律の義務があるわけではありません。実務では、事実確認をして自社の責任で出すのであれば、逐一の明記までは求められていないのが一般的な運用です。判断が分かれる領域なので、自社の方針をガイドラインに1行書いておくと現場が迷いません。
Q. ガイドラインの見直しはどれくらいの頻度で必要ですか？
半期に1回が目安です。公的ガイドラインの改訂が入った月は、臨時で見直してください。第1.2版のように、実務に直結する論点が追加されることがあります。改版履歴に日付と変更点を1行残す運用をおすすめします。
Q. 業務委託先にも同じルールを適用できますか？
適用範囲に明記すれば可能です。ただし懲戒処分は社内の話なので、委託先には業務委託契約の側で担保します。ひな形の第2条と第10条をセットで使ってください。契約書の差し替えが要る点だけ、法務と握っておくと安全です。
次に読むならこれ
許可リストに載せる1本目を選ぶ段階なら、AIチャットボットのカテゴリから見てください。契約プランごとの学習利用の扱いが比較できるので、別表1をそのまま埋められます。
