生成AIの社内ガイドラインの作り方　禁止より先に「入れてよい情報」の線を引く

生成AIの社内ガイドラインは、「使うか禁止か」ではなく「どの情報を、どの条件のサービスに入れてよいか」を決める文書です。全面禁止や長い規程より、社長が線を引いた1枚目のルールから始めるのが現実的です

• 禁止の指示で止められるのは、会社のパソコンと会社のアカウントからの利用までです。社員の私物のスマートフォンや個人のアカウントで使われれば、何が入力されたかを会社は知りようがありません。決めるべきは「禁止かどうか」より、どの情報をどこに入れてよいかの線です
• 線は情報の重さで引きます。個人情報については、個人情報保護委員会の注意喚起（2023年6月2日）が、あらかじめ本人の同意を得ずに入力した個人データが応答の出力以外の目的で扱われれば違反となる可能性があるとして、機械学習に利用されないこと等の確認を求めています。ただし設定を確かめるだけで個人データを入れてよくなるわけではありません。個人情報・取引先の秘密・自社の機密は、まず入れないところから始めます
• ルールは作った後に止まりやすい文書です。経済産業省の営業秘密管理指針は、秘密管理措置が「形骸化」して従業員が会社の秘密管理意思を認識できない場合を、適切な措置とはいえないとしています。迷ったときの相談先、入れてしまったときの報告先、見直しの時期を最初の1枚に書いておくことが、守られるルールの条件です

社員がChatGPTなどを業務で使い始めたと知ったとき、社長が最初に出したくなる指示は「当面、使用禁止」です。けれども、見えない場所で使われた顧客名簿や見積の数字は、会社の目の届かないところに出ていきます。

本稿は、従業員10〜100人規模で、専任の情報システム担当や法務担当がいない会社の社長に向けた記事です。生成AIの社内ガイドラインで何を自分で決め、何をどの順で配り、どう守らせるかを、個人情報保護委員会・総務省・経済産業省・文化庁などの一次情報で整理します。ツールや料金の比較はしません。

最初に結論：社長が決めるのは「情報・道具・確認・窓口」の4つ

4つのうち、社長にしか決められないのは「情報」と「道具」です。どの情報が会社にとって外に出せないものか、どのサービスに会社のお金を払うかは、経営の判断だからです。「確認」と「窓口」は、決めたうえで担当者に任せられます。

以下、制度の位置づけ→情報の区分（判断表）→サービスの契約と設定→出力の扱い→作る順番→運用の順に説明します。

そもそも何を決める文書か　法律の義務ではなく、情報の線引き

ポイント：AIの活用を正面から定めたAI法には、罰則の規定がありません。社内ガイドラインで決めるのは、個人情報保護法・著作権法・秘密保持契約・営業秘密の保護といった既存のルールを、生成AIの場面でどう守るかの線引きです。

国の枠組みは、AI法、それに基づく人工知能基本計画、総務省・経済産業省のAI事業者ガイドラインの3層です。AI法は第7条で、事業活動でAIを活用しようとする「活用事業者」に、活用に努めることと国の施策への協力を求めていますが、法文に罰則の規定は置かれていません（出典：e-Gov法令検索「人工知能関連技術の研究開発及び活用の推進に関する法律」）。

AI事業者ガイドラインは、自らを「非拘束的なソフトロー」と位置づけています。社員がChatGPTなどを業務で使う会社は、ガイドラインのいう「AI利用者」（「事業活動において、AI システム又は AI サービスを利用する事業者」）にあたります（出典：総務省・経済産業省「AI事業者ガイドライン（第1.2版）」本編、令和8年3月31日）。その第5部は、AI利用者の重要事項として、個人情報や機密情報等を不適切に入力しないよう注意を払うこと、AI提供者が定めたサービス規約を遵守することなどを挙げています。

あわせて公表された「活用の手引き（案）」は、ガイドラインの記載事項の遵守は義務ではなく、自社の事業規模や状況に合わせて過不足なく対応することが重要だと説明しています（出典：総務省・経済産業省「AI事業者ガイドライン活用の手引き（案）」、令和8年3月）。

つまり、社内ガイドラインは「国の指針に従うための文書」ではありません。もともと守らなければならない法律と契約を、社員が生成AIを使う瞬間に守れるようにする文書です。参照する資料と、社内ルールで使う場所は次のとおりです。

改正個人情報保護法は、中身は成立済みで、政令・規則・ガイドラインと施行日がこれからです（出典：個人情報保護委員会「令和８年 改正個人情報保護法」、同事務局「個人情報保護法等の一部を改正する法律について」、令和8年7月）。

ひな形を使うときの注意は2つです。1つは、JDLAのひな形は民間団体が公開している参考例で、国の指針ではないことです。もう1つは時点です。公開中の第1.1版は2023年10月の版で、個人情報の項は、【ChatGPT】では入力データがモデルの学習に利用されることになっている、という当時の前提で書かれています（出典：日本ディープラーニング協会「資料室」、生成AIの利用ガイドライン【簡易解説付】第1.1版）。【】の中は、使うサービスの現在の規約で埋め直す必要があります。

IPAの資料にも注意があります。検索上位の解説には、第4.0版で生成AIの章が新設されたとするものがありますが、本編では独立した章ではなく、47ページのコラム「生成 AI の利用とサイバーセキュリティ ― 安全な活用のために」として扱われています（出典：IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」、2026年3月27日公開）。コラムの注意点は、利用規約やプライバシーポリシーの事前確認、機密性の高い情報や個人情報を入力しないこと、成果物を人間が確認すること、出力を補助的ツールとして使うことの4つで、1枚目のルールの骨格にそのまま使えます。

先行例として、活用の手引き（案）はガイドラインを公開している富士通グループと神戸市の取組を挙げていますが、組織の規模が違うため構成の参考にとどめるのがよいでしょう。

判断表：入力する情報の区分で「可・条件付き・禁止」を決める

ポイント：「禁止か、どこまで許すか」は、サービス名ではなく入力する情報の区分で決めます。サービスは使ってよいものを指定し（許可リスト）、情報は区分ごとに可否を決め、業務は禁止する用途だけを書く。この3層にすると、1枚の紙で現場が判断できます。

最初にぶつかるのが、許可するものを並べるか、禁止するものを並べるかという選び方です。JDLAのひな形の解説は、サービスについては、利用してよいものを特定して列挙するホワイトリスト方式を勧めています。ただ、情報まで許可リストにすると、社員は資料ごとに入れてよいかを聞きに来ることになり、窓口がすぐに詰まります。情報は、社員が自分で判断できる粗さの区分にしておきます。

区分の基準は、その情報が外に出たときに何に触れるかです。個人情報について、個人情報保護委員会の注意喚起は、個人情報取扱事業者に次の2点を求めています（出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」、令和5年6月2日）。

1. 個人情報を含むプロンプトを入力する場合は、特定された利用目的を達成するために必要な範囲内であることを十分に確認すること
2. あらかじめ本人の同意を得ることなく個人データを含むプロンプトを入力し、それが応答結果の出力以外の目的で取り扱われる場合は個人情報保護法の規定に違反することとなる可能性があるため、提供事業者が機械学習に利用しないこと等を十分に確認すること

取引先から秘密保持契約（NDA）を結んで受け取った情報について、JDLAのひな形は、外部の生成AIへの入力は生成AI提供者という第三者への開示になり、NDAに反する可能性があるとして、入力しないよう定めています。自社の機密情報についても、ひな形は法律上保護されなくなったり特許出願ができなくなったりするリスクがあるとして入力しないよう定め、IPAのコラムも機密性の高い情報は入力しないとしています。

区分3を条件付きにしたのは、編集部の判断です。JDLAのひな形とIPAのコラムは、自社の機密の入力そのものを避けるよう勧めています。そのため1枚目のルールでは区分3も禁止から始め、条件を満たすサービスを用意し、責任者が業務を指定した時点で追記する形にしました。

区分4は、法律や他社との契約に違反する可能性がある情報で、会社の判断だけでは許可できない部分を含みます。JDLAの解説も、個人データの入力が適法かどうかはサービス内でのデータの扱いや、提供者が外国の事業者かどうかによって結論が分かれ「非常に複雑」だとして、ひな形では一律に禁止する形をとっています。特許出願を予定している技術情報を区分4に置いたのは、外に出ると出願そのものに響きうるからです。

区分表は、営業秘密の管理台帳にもなる

区分3の扱いには、不正競争防止法の営業秘密の考え方が関わります。営業秘密として法的保護を受けるには、秘密として管理されていること（秘密管理性）、事業活動に有用であること、公然と知られていないことの3要件をすべて満たす必要があります（出典：経済産業省「営業秘密管理指針」、令和7年3月31日最終改訂）。

指針は、社内の管理単位で秘密管理されている情報を生成AIに利用していた場合（注は、AIの開発・学習段階で学習用データとして利用する場合などを例に挙げます）、その情報が生成AIから生成・出力されたことの一事をもって秘密管理性が否定されることはないと考えられるとしています。一方で注記は、その情報が当該企業以外の第三者（例として生成AI提供事業者等）に提供される場合は、秘密管理性が否定される場合もあり得るとしています。

リスクの所在は「学習されるかどうか」ではなく、「社外の事業者に提供するかどうか」にあります。学習に使われない設定や契約は、提供の条件を確かめる材料の1つにすぎません。区分3の条件をすべて満たしても、秘密管理性が否定されるリスクはゼロにはなりません。原価表や技術ノウハウを外部サービスに入れる判断は、「便利かどうか」ではなく「営業秘密として守れる状態を手放してよいか」の判断です。

この区分表には、もう1つ効用があります。指針は、従業員に向けた秘密管理措置として、媒体への表示や接触する者の限定などと並べて「営業秘密たる情報の種類・類型のリスト化」や、就業規則・秘密保持契約などで守秘義務を明らかにすること、従業員への研修・啓発を挙げています。区分3に「原価・見積単価」「顧客別の取引条件」と具体的に書いて全社員に配ることは、生成AIのルールであると同時に、何が会社の秘密かを社員に示す作業にもなります。

書き方には注意がいります。指針の注は、「職務上知り得た情報全て」のような形で秘密表示をしても、当然に一般情報だと従業員が分かる情報が著しく多く含まれると「秘密管理措置の形骸化」と評価されないよう注意が必要だとしています。区分3は「社内の情報全部」ではなく、具体的な情報の名前で書きます。また、区分表を配っただけで営業秘密の要件を満たすとは限りません。必要な措置の程度は、情報の性質や接する従業員の数などで異なると指針は説明しています。

業務の側は、禁止と条件付きの用途だけを書く

AI事業者ガイドラインは、AIの出力結果を特定の個人又は集団に対する評価の参考にする場合、AIを利用している旨を評価対象に通知すること、出力結果の正確性・公正さ・透明性等を担保するための諸手続きを遵守すること、自動化バイアスも考慮した人間による合理的な判断のもと求めに応じて説明責任を果たすことを、AI利用者の重要事項としています。応募者や社員の評価に使うなら、この手続きを踏めるかを先に決めておく必要があります。

契約書を読む順番や、秘密保持条項で何を確認するかは契約書のチェックポイントで扱っています。NDAが禁じる第三者への開示の範囲を確認するときにも同じ見方が使えます。

❌ 「情報漏えいが心配なので、生成AIは当面、全面禁止にする」 ⭕ 「公開情報と社内の一般情報は会社のアカウントで使ってよい。原価・顧客別条件・個人情報・取引先の資料は、いまは入れない。迷ったら総務の○○に聞く」と1枚に書いて配る

同じサービス名でも答えが変わる　契約と設定で確かめる3点

ポイント：「ChatGPTはよいか」という問いには、一律の答えがありません。入力が学習に使われるか、誰の名義のアカウントか、規約が何を制限しているかで、同じサービスでも区分ごとの可否が変わります。社長が確かめるのはこの3点です。

前述の注意喚起は、個人データについて、提供事業者が機械学習に利用しないこと等の確認を求めています。自社の機密（区分3）に付けた条件は、これと営業秘密管理指針の注記を参考に、編集部が置いたものです。IPAのコラムも、提供側がデータを学習に利用する場合は意図しない情報拡散につながる懸念があるとして、利用規約やプライバシーポリシーの事前確認を最初の注意点にしています。

JDLAのひな形の解説は、NDAで受け取った情報について、提供者が入力データに監視目的での限定されたアクセスしかしないか一切アクセス・保存しない場合で、定められた利用目的のために入力するならNDAに違反しないだろう、という見方を示しています。一方で、多くの大規模言語モデルは入力データが学習に利用されるためNDA違反を構成する可能性が高いとして、ひな形では一律に入力を禁止しています。確認点1で、学習の有無だけでなく保存とアクセスまで見るのはこのためです。

個人データについては、「学習に使わない設定にした」だけで区分4から外れるわけではありません。前述の注意喚起は、利用目的の範囲内かどうかの確認も別に求めています。JDLAの解説は、学習に使われない設定ができるサービスでも、提供事業者が外国の第三者である場合は、本人の同意を得ずに個人データを入力できない可能性があると指摘しています。個人データを入れる業務を認めるなら、契約条件を読んだうえで専門家に確かめる手順を踏みます。

確認点2は、従業員10〜100人の会社で実害につながりやすい点の1つです。AI事業者ガイドライン活用の手引き（案）は、AIガバナンスを始めるときの準備事項の1つ目に、どのような目的・用途で、どの部門が、どのようなAIを使い、どのようなデータを用いているかを継続的に把握する仕組みを挙げています。

社員が個人で契約したアカウントでは、この把握ができません。学習に使わない設定になっているか、会話の履歴に何が残っているか、退職した社員のアカウントに会社の資料が残っていないかを、会社は確かめようがありません。アカウントとパスワードの管理そのものは、サイバーセキュリティの基礎知識で扱った多要素認証と退職者アカウントの削除の考え方がそのまま当てはまります。

確認点3の規約は、サービスとプランごとに違い、改定もされます。文化庁のチェックリストは、AI利用者が利用前に確認しておくことが望ましい情報として、利用規約等を挙げ、規約が著作権侵害のおそれがある利用方法（他人の著作物を入力することの禁止等）を禁止・制限している場合があるとしています（出典：文化庁著作権課「AIと著作権に関するチェックリスト＆ガイダンス」、令和6年7月31日）。JDLAのひな形とその解説も、生成物を商用利用できるかは規約で結論が左右されるとして、画像生成サービスの無料会員が生成物を商用利用できない例を挙げています（2023年時点の記述）。

外部のサービスに社内の情報を入れることは、構造としては、外部の会社に名簿や資料を預けることと同じです。預けた先でデータがどう扱われ、いつ消えるのかを確かめる考え方は、委託先に預けた名簿の出口の管理で扱った論点と重なります。生成AIの場合は、その預け先を社員一人ひとりが自分で選べてしまう点が違います。だからこそ、使ってよいサービスとアカウントを会社が1つ用意する意味があります。

❌ 社員が個人で契約した無料版や有料版を、業務に使っても黙認する ⭕ 会社名義で契約し、学習利用の設定と規約を確かめたサービスを1つ用意して、業務はそこでだけ使うと決める。個人アカウントでの業務利用は、移行の期限を決めて終わらせる

出力の扱い：誰が確かめるか、社外に出すときの著作権

ポイント：出力の確認は「全部を人が見る」ではなく、出力がどこへ届くかで重さを変えます。著作権は、社内で生成するだけの段階と、社外に出して使う段階で判断が分かれるため、確認の手間は社外に出す直前に集中させます。

生成AIの出力には、事実と違う内容が自然な文章で混ざることがあります。前述の注意喚起も、応答結果に不正確な内容が含まれることがあると説明し、JDLAのひな形は、生成物の内容を盲信せず必ず根拠や裏付けを自ら確認するよう定めています。経営者として決めておきたいのは、その確認を「誰が」「どの場面で」するかです。

文化庁の整理で、経営者が押さえておきたい点は4つです。

1つ目は、生成と利用で判断が異なることです。チェックリストは、企業・団体等の内部で、権利者から許諾を得て利用することを前提に検討の過程で生成する場合（著作権法第30条の3）などは、権利制限規定の範囲内であれば許諾なく適法に生成できるとしています。一方、インターネットでの配信や複製物の譲渡といったAI生成物の利用は、権利制限規定の範囲外となる場合が多いとしています。確認の手間を社外に出す直前に集中させてよい理由はここにあります。

2つ目は、確認の方法です。著作権侵害には既存の著作物との「類似性」と「依拠性」の双方が必要で、類似性がない生成物の利用には特段の許諾は不要です。チェックリストは、利用に先立ってまず既存の著作物と類似していないかを確認することが必要だとし、方法としてインターネット検索（文章検索・画像検索）の活用などを挙げています。高価なツールを入れる前に、公開前に画像検索と文章検索をかける手順を決めるだけでも、確認は実行できます。

3つ目は、指示の出し方です。チェックリストは、既存の著作物そのものや、題号（タイトル）・キャラクター名などの特定の固有名詞を指示として入力した場合、AI利用者が既存の著作物を認識していたことを推認させる間接事実となり、依拠性が認められやすくなるとしています。

「AIと著作権に関する考え方について」はさらに、AI利用者が既存の著作物を認識していなかった場合でも、その生成AIの学習データに当該著作物が含まれ、類似した生成物が生成されたときは、通常、依拠性があったと推認され、著作権侵害になりうるとしています。

例外として、学習した著作物の創作的表現が出力されないことが技術的に担保されているといった事情を、AI利用者の側が主張することで、依拠性がないと判断される場合もありうるとしています（出典：文化審議会著作権分科会法制度小委員会「AIと著作権に関する考え方について」、令和6年3月15日）。「知らなかった」は防御になりにくい。だから1枚目のルールには、作品名・作家名・他社のロゴを指示に入れて似せないことと、公開前に検索で似ていないか確かめることを入れます。

4つ目は、記録です。チェックリストは、依拠性がないことを説明できるよう、生成に用いたプロンプト等、生成物の生成過程を確認可能な状態にしておくよう努めることが望まれるとしています。広告物など社外に出すものは、生成に使った指示を残しておく、という1行を確認手順に足しておくと、後から問われたときに説明できます。

自社の権利の側の論点もあります。JDLAのひな形は、生成物に著作権が発生しない可能性があるとして、生成物をそのまま利用することは極力避け、できるだけ加筆・修正するよう定めています。広告のコピーや商品画像など、自社の資産として守りたいものを生成AIで作る場合は、人が手を入れる工程を残すかどうかを、作る前に決めておくとよいでしょう。ロゴや商品名に使う場合は、著作権とは別に、登録商標・登録意匠の調査を行うようひな形が定めています。画像を多く作る会社は、JDLAが別に公開している「生成AIの利用ガイドライン（画像編）」（第1版、2024年2月公開）も条文の下敷きになります。

文化庁のチェックリストは、従業員等に著作権制度の理解を確認しておくことが必要だとし、誤解の例として、既存の著作物の著作権侵害が生じるかという問題と、AI生成物の著作物性の有無の問題とを混同することを挙げています。社員への説明では、「他人の権利を侵していないか」と「自社の権利になるか」は別の問題だ、という一点を伝えるだけでも誤解は減ります。

❌ 「AIが作ったものだから著作権の問題はない」と考えて、生成した画像をそのまま広告に使う ⭕ 指示に作品名や作家名を入れない、公開前に画像検索で似たものがないか確かめる、生成に使った指示を残す、ロゴや商品名に使うなら登録商標も調べる、を広告物の確認手順に入れる

作り方の順番　規程より先に「1枚目のルール」を配る

ポイント：最初から条文の整った規程を作ろうとすると、完成までの間、社員は無ルールで使い続けます。現状を聞き、社長が区分と道具を決め、A4で1枚のルールを配る。規程や就業規則との整合は、その1枚が回り始めてから行います。

上位の解説記事が示す手順は、現状把握から始まって、項目の洗い出し、ひな形を使った骨子づくり、承認と周知、見直しへと進むものが中心です。手順として誤りではありませんが、法務や情報システムの担当がいる会社を想定した流れで、承認の場が社長1人の会社には段数が多すぎます。

活用の手引き（案）は、既存の体制があれば必ずしもAI活用のために体制を新規に構築する必要はないとし、準備事項の取り組み順序も事業者ごとの状況に応じて変わりうるとしています。JDLAのひな形も、組織内のガイドラインとして「最低限定めておいた方がよいと思われる事項」を示すものだと前文で位置づけています。最初の1枚は、最低限で構いません。

進め方は次の5段階です。期間は編集部の目安で、会社の規模と使い方の広がりによって前後します。

1. いま誰が何に使っているかを聞く（1週間）　部署ごとに、使っているサービス名、個人契約か会社契約か、どんな業務に使っているか、どんな情報を入れたことがあるかを聞きます。手引き（案）が挙げる把握の項目（目的・用途、部門、AIの種類、用いているデータ）と同じです。正直に答えた人を責めないと先に伝えないと、実態は出てきません
2. 社長が情報の区分と道具を決める（1週間）　判断表の区分3と4に、自社の具体的な情報の名前を書き込みます。使ってよいサービスを1つ決め、会社名義で契約し、確認点の3つ（学習利用と保存・名義・規約）を確かめます
3. 1枚目のルールを書く（1日）　次の表の8項目を、自社の言葉で埋めます。区分3は、この段階では「入れない」に置きます
4. 配って30分説明する　全社員に配り、区分3・4の具体例と、迷ったとき・入れてしまったときの連絡先を口頭で伝えます。パートや派遣社員、業務委託先で業務に使う人がいれば対象に含めるかも決めます
5. 1か月後に聞き直し、2枚目以降を育てる　出てきた質問を「よくある質問」として追記し、必要なら就業規則や情報管理規程と整合を取って規程にします。区分3を条件付きで使う業務を認めたら、その業務とサービスを名指しで追記します

1枚目のルールの文例は次のとおりです。文例は編集部が作成したもので、ひな形として使う場合は自社の業務と契約に合わせて直してください。

1週目の聞き取りでは、生成AIをどの業務に使うと効果が大きいかも一緒に見えてきます。業務ごとにどれだけ時間がかかっているかを測ってから道具を決める考え方は、バックオフィスDXの7つのステップで扱った業務の棚卸しと同じです。ルール作りを守りだけで終わらせず、どの業務で使うかを決める場にすると、社員にとっても受け入れやすくなります。業種によっては、入れてはいけない情報の中身も、着手してよい業務の順番も変わります。建設業のように発注者から受領した図面を扱い、技術者の配置が法令で定められている業種については、建設業でのAIの使いどころと着手順で業務と制度に即して整理しています。

❌ ネットで見つけたひな形の条文を、自社の情報や業務の名前に直さないまま全社に配る ⭕ 区分3・4に自社の情報の具体名（「○○の原価表」「顧客管理システムの名簿」など）を書き込み、使ってよいサービス名と相談先の名前まで入れてから配る

形骸化させない運用　例外申請・事故報告・見直しの周期

ポイント：ルールが止まるのは、迷ったとき、入れてしまったとき、サービスや法令が変わったときの3つの場面です。それぞれの行き先を1枚目に書き、見直しは「年1回」と「変化があったとき」の2本立てにします。

活用の手引き（案）は、準備事項として、リスク評価について相談できる窓口を置くことを挙げています。そのうえで、運用の負担を考え、すべてのユースケースを窓口に寄せるのではなく、基準を設けて相談が必要な場合とセルフチェックで良い場合を分けること（リスクベースアプローチ）を示しています。

インシデントについても、速やかに報告できる窓口を設け、評価・分析や応急措置だけでなく社内外への説明・報告の流れも事前に検討しておくことを挙げています。従業員数十人の会社なら、相談窓口と報告窓口は同じ1人で構いません。

事故の報告を急ぐ理由は、法令上の期限です。個人データの漏えい等が起きた場合、内容によっては個人情報保護委員会への報告や本人への通知が求められ、報告には期限があります。何が報告の対象になり、いつまでに何をするかはサイバーセキュリティの基礎知識の「事故の後にかかる法的義務と、その時間制限」で整理しました。

生成AIへの入力がこの「漏えい等」に当たるかどうかは、サービスでのデータの扱いなど個別の事情で判断が分かれる、というのが編集部の見方です。あわせて、本人の同意なく個人データを入力する行為は、前述の注意喚起やJDLAの解説が示すとおり、第三者提供（個人情報保護法第27条）や外国にある第三者への提供（同第28条）の規律にも関わりうる問題です。だからこそ、早く事実を集めて専門家と判断することが先決です。顧客名簿を入れてしまった、という報告が1週間後に上がってくるのと当日に上がってくるのとでは、取れる手が違います。

著作権の側でも、文化庁のチェックリストは、侵害が生じた場合に講じるべき対応として、事案に関する情報共有、AIシステム・サービスの停止・復旧、権利者への対応、原因解明、再発防止措置等を、あらかじめ想定し検討しておくことが望まれるとしています。

見直しを「変化があったとき」にも行うのは、外側の文書がそれぞれの周期で動くからです。AI事業者ガイドラインは自らを「Living Document」と位置づけ、内容を適宜更新するとしています。人工知能基本計画は当面毎年変更され、改正個人情報保護法は施行に向けた政令・規則・ガイドラインの整備がこれからです。

そして何より、利用しているサービスの規約やプランは、会社の都合と関係なく変わります。定期の見直し日には、使っているサービスの規約の改定履歴を確認する作業を必ず含めてください。年に1度、決まった月に見直す習慣は、BCPを年1回見直す考え方とも組み合わせられます。

運用を止めないことは、営業秘密の保護にもつながります。営業秘密管理指針は、秘密管理措置がその実効性を失い「形骸化」したといえる状況で、従業員が会社の秘密管理意思を認識できない場合は、適切な秘密管理措置とはいえないとしています。ただし、一時的又は偶発的な管理不徹底にすぎず、従業員の認識可能性に重大な影響を与えない場合まで形骸化と評価するのは適切ではない、とも注記しています。

配ったきり誰も見ないルールは、生成AIの事故を防げないだけでなく、「これは会社の秘密だ」と社員に示す仕組みとしても弱くなっていきます。完璧に守らせることより、迷ったら聞く、入れたら報告する、が回り続けていることのほうが大切です。

❌ 「違反した者は処分する」とだけ書き、入れてしまったときの報告先を書かない ⭕ 報告先を1人に決め、すぐに報告した人は責めないと明記する。事故やヒヤリは名前を伏せて共有し、その内容で判断表と1枚目のルールを直す

5問で確認する　生成AIの社内ルールの準備度

いまの会社の状態にいちばん近いものを選んでください。合計点で、次に手を付ける場所がわかります。

SELF CHECK / 無料・登録不要

5問で確認｜生成AIの社内ルールの準備度

社員の生成AIの使い方と、会社の決めごとを思い浮かべて、いちばん近いものを選んでください。回答はこの端末の中だけで処理され、送信・保存されません。

回答の進捗0 / 5

1. Q1社員が業務で使っている生成AIのサービス名と、個人契約か会社契約かを把握している

   部署ごとに把握している一部の社員の分だけ把握していない
2. Q2生成AIに入れてはいけない情報を、自社の具体的な情報の名前（原価表・顧客名簿など）で示している

   具体名で文書にしている口頭で伝えている示していない
3. Q3業務で使ってよいサービスを会社名義で用意し、入力が学習に使われるかと保存の条件を確認している

   会社名義で用意し確認済み用意したが確認していない用意していない
4. Q4社外に出す文書や広告物について、生成AIの出力を誰が確認するかを決めている

   場面ごとに決めている本人任せにしている決めていない
5. Q5迷ったときの相談先と、入れてしまったときの報告先が1人に決まっていて、社員に伝わっている

   決めて伝えている決めたが伝わっていない決めていない

結果を確認する›回答をリセット

※一般的な検討項目を整理するための編集部独自の目安です。成果や適法性を判定・保証するものではありません。

まとめ

生成AIの社内ガイドラインは、国の指針に従うための文書でも、罰則を避けるための文書でもありません。個人情報保護法、著作権法、取引先との秘密保持契約、営業秘密の保護といった、もともと守るべきルールを、社員が生成AIを使う瞬間に守れるようにする線引きです。

• 禁止の指示より、情報の区分を配る。公開情報と社内の一般情報は会社のアカウントで使ってよい、自社の機密は1枚目では入れず条件が整った業務だけ後から認める、個人情報と他社から預かった秘密は入れない、の4区分を、自社の情報の具体名で書きます
• サービス名ではなく、契約と設定で決める。入力が学習に使われるか（保存とアクセスを含む）、会社名義のアカウントか、規約が何を制限しているかの3点を、社長が確かめます。営業秘密のリスクは学習ではなく、社外の事業者への提供そのものにあります
• 出力の確認は、社外に出す直前に集中させる。著作権の判断は生成と利用で分かれます。作品名や作家名を指示に入れない、公開前に検索で似ていないか確かめる、生成に使った指示を残す、を手順に入れます
• 規程より先に1枚目を配る。現状を聞く、区分と道具を決める、A4で1枚にする、30分説明する、1か月後に聞き直す、の5段階で進め、規程化は後からで足ります
• 止まる場面の行き先を書く。迷ったときの相談先、入れてしまったときの報告先、見直しの時期を書き、すぐに報告した人を責めないと明記します

よくある質問

出典・調査の対象範囲

※情報の区分表・区分3の条件・業務の扱い・確認者の例・1枚目のルールの文例・進め方の期間は、本誌が公的資料をもとに整理した判断支援情報です。個別のサービスの規約の解釈、個人データの取扱い、就業規則への規定は、弁護士・社会保険労務士などの専門家にご確認ください。