生成AIの社内ガイドラインとは、社員が業務で生成AIを使うときに、使ってよいサービス・入力してはいけない情報・出力の確かめ方・困ったときの報告先を、会社として決めた社内ルール（社内規定）のことです。初版で決める条項は会社の規模によって変わり、社員10名の会社が200名の会社と同じ分量の規定を作る必要はありません。ただし、どの規模でも外せないのは、承認したツールの一覧と入力禁止情報、それに誤って入力したときの報告先の3つになります。ひな形は全17条と別紙まで条文の形で載せていますので、社名と一覧を差し替えて使ってみてください。

生成AIの社内ガイドラインとは｜社内ルール・社内規定との違い

生成AIの社内ガイドラインは、会社が生成AIの業務利用を認める範囲と、その中で守る手順を1つの文書にまとめたものです。呼び方は会社によってさまざまで、社内ルール、利用規程、利用ガイドライン、利用の手引きといった名前で運用されています。名前よりも大切なのは、その文書が就業規則や情報管理規程とどうつながっているかという点になります。

実務では、次の3層に分けて作る方法をおすすめします。

• 本則（規定）……目的・適用範囲・禁止事項・報告義務・違反時の扱いなど、めったに変えない骨格。社内規定として経営者の承認を取る部分
• 別紙（一覧）……承認したツールの一覧と、入力してよい情報・入力しない情報の区分表。ツールの追加や設定の変更に合わせて随時更新する部分
• 手引き（使い方）……指示文（プロンプト）の書き方の例や、よくある質問。現場の声に合わせて自由に書き足す部分

本則に具体的なサービス名まで書き込むと、新しいツールを1つ認めるたびに規定の改定手続きが必要になってしまいます。サービス名は別紙に出し、本則には「別紙に掲げるサービスに限る」とだけ書いておく形が扱いやすいでしょう。本則は変えにくく、別紙は変えやすく作るのが、長く使えるガイドラインの組み立て方です。

就業規則・情報管理規程との関係

生成AIのガイドラインは、それ単独で新しい罰則を作る文書にはせず、既存の規程とつなぐ形をおすすめします。違反したときの懲戒は既存の就業規則の懲戒規定に委ね、ガイドラインの側では、どの行為が規定違反に当たるかをはっきりさせる役割を担います。個人情報の扱いも同じで、既存の個人情報取扱規程があるなら、生成AIに固有の注意点だけを足す形にすると二重管理を避けられます。

分量の目安は、本則がA4で2〜4枚程度になります。長すぎると読まれず、短すぎると判断に迷う場面が増えるため、細かな具体例は別紙と手引きに回しましょう。就業規則そのものを書き換える場合の手続きは、社会保険労務士など専門家に確認してみてください。

なぜ今、生成AIの社内ガイドラインが必要なのか

ガイドラインが必要な理由は、会社が何も決めていなくても、社員はすでに自分の判断で生成AIを使い始めているからです。

IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」では、組織編の3位に「AIの利用をめぐるサイバーリスク」が入りました。2026年に初めて選ばれた項目で、同ページには、研究者や企業の実務担当者など約250名の「10大脅威選考会」が審議と投票を経て決めたと書かれています。

同じIPAの解説書（組織編）は、職場で許可なくAIを業務利用し、情報漏えいにつながる可能性を、このリスクの1つとして取り上げているのが特徴です。解説書は、例えば職場でAIサービスの利用が無い場合などに、従業員が個人的に利用しているAIサービスを業務で使うことがあると説明し、これをシャドーAIと呼んでいます。会社が使えるAIを用意していないこと自体が、見えない利用の入り口になるという指摘になります。

※出典：独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」 https://www.ipa.go.jp/security/10threats/10threats2026.html （公開日2026年1月29日）、同「情報セキュリティ10大脅威 2026 解説書［組織編］」（2026年3月）。解説書の記述は要約して紹介しています。2026年9月20日に掲載内容を確認しました。

管理の実態を示す調査もあります。Gartnerが2026年2月に実施した日本におけるエンドユーザー調査（同社2026年6月18日発表）によると、IT部門が選定した以外の生成AIツールのユーザー部門での利用を「自由に認めている」企業は8%、「審査の上、問題なければ認めている」企業は67%で、合わせて75%でした。一方で、シャドーAIを「把握できていない」企業が43%、「把握しているが、有効な対策を取れていない」企業が30%に上り、合計73%の企業が有効に管理できていないと同社は発表しています。

※母数は、ユーザー部門選定の生成AIツールの設問がn=449、シャドーAI問題への対応状況の設問がn=414です（ガートナージャパン株式会社プレスリリース、2026年6月18日）。調査会社による自社調査の結果で、「把握し、有効な対策を取れている」と回答した企業は24%でした。

警察からも注意喚起が出されました。警視庁のサイバーセキュリティ対策本部は2026年5月12日、公式Xで、組織が管理していない生成AIを業務で使うシャドーAIについて注意を呼びかけました。ITmediaの報道によると、投稿に添えた図では、情報漏えい・著作権侵害・ハルシネーション（AIがもっともらしい誤りを出力すること）の3つをリスクとして挙げています。

ガイドラインの目的は、禁止で縛ることではなく、どこまでなら安心して使ってよいかの線を社員に示すことにあります。線がないと、慎重な社員は使わずに手作業を続け、積極的な社員は自分の判断で顧客の情報まで入力してしまうかもしれません。ルールがない状態は、使われていない状態ではなく、会社から見えない使われ方をしている状態です。

公的機関のガイドラインと法律｜参照先と位置づけの整理

社内ガイドラインは一から考える必要はなく、国や業界団体が公開している資料を土台にすると、早く作れて抜けも減らせます。ただし、資料ごとに対象としている読み手が違うため、そのまま写すと自社に合わない部分が出てしまいます。次の表は、中小企業が社内ガイドラインを作るときに参照先になる資料を、対象と使いどころで整理したものです。

※各機関の公式ページで2026年9月に確認した版・日付です。資料は改訂されるため、参照する際は各機関の公式サイトで最新版をご確認ください。

AI事業者ガイドライン第1.2版と、チェックリスト・ワークシート（別添7）の使い方

AI事業者ガイドラインは、経済産業省と総務省が共同で策定している国内のAI利活用の基本文書で、最新の第1.2版は2026年3月31日に公表されました。総務省の掲載ページには、本編と別添に加えて、チェックリストとワークシート（いずれも別添7）が掲載されています。前の版は2025年3月28日公表の第1.1版で、同じ2026年3月31日には「AI事業者ガイドライン活用の手引き（案）」も公表済みです。ガイドラインは事業者をAI開発者・AI提供者・AI利用者の3つの主体に分けて整理しており、外部の生成AIサービスを業務で使う会社は、多くの場合AI利用者の立場で読むことになります。

中小企業が使うなら、本編を最初から読み込むより、次の順番のほうが負担は軽く済みます。

1. 総務省の掲載ページで最新の版と公表日を確かめ、社内ガイドラインの末尾に「参照した版」を書き残す
2. チェックリスト（別添7）をダウンロードし、AI利用者に関わる項目だけを拾って、自社の条文と1つずつ突き合わせる
3. 条文に対応するものがない項目は、「今回は決めない」「別紙で扱う」「次回の見直しで検討」のどれかに振り分けて記録する
4. ワークシート（別添7）は、社内で検討した結果を残す様式として使い、見直しのときに前回の判断理由を読み返せるようにする

本編の文章をそのまま社内規定に貼り付ける必要はありません。社内ガイドラインに書くのは、自社の社員が何をするかという行動のルールであり、公的資料は抜けを確かめるための物差しとして使うのが扱いやすい方法です。版が上がると参照先の内容も変わるため、ガイドラインには「AI事業者ガイドライン第1.2版（2026年3月31日公表）を参照」のように版と日付まで書いておきましょう。

※AI事業者ガイドラインの掲載ページ（総務省）https://www.soumu.go.jp/main_sosiki/kenkyu/ai_network/02ryutsu20_04000019.html 。ここでは掲載ページで確認できる版・日付・主体の区分・別添の構成を紹介しています（2026年9月27日確認）。

JDLA「生成AIの利用ガイドライン」ひな形の使い方

日本ディープラーニング協会（JDLA）の「生成AIの利用ガイドライン」は、組織が生成AIを利用する際のひな形として公開されている資料です。初版は2023年5月1日、第1.1版は2023年10月6日に公開され、協会の資料ページから無料でダウンロードできます。条項のみの版、簡易解説付きの版、画像編の3種類が用意されており、組織が必要な追加や修正を加えて使う前提で作られています。

使うときは、まず簡易解説付きの版で各条項の意図を読み、次に条項のみの版を自社の文書のたたき台にする進め方がわかりやすいでしょう。画像生成を業務で使う会社は、画像編もあわせて確認してみてください。公開から時間がたっているため、利用しているサービスの設定や社内の体制に合わせて書き足す部分は、後半の規模別の表とひな形が参考になります。

※JDLAの公開情報（https://www.jdla.org/news/20230501001/ 、https://www.jdla.org/news/202310060002/ 、資料ページ https://www.jdla.org/document/ ）。2026年9月27日時点の掲載内容です。

AI推進法第7条（活用事業者の責務）の位置づけ

2025年に公布されたAI推進法（人工知能関連技術の研究開発及び活用の推進に関する法律・令和7年法律第53号）は、AIを事業で使う会社の責務も定めています。内閣府の案内では、令和7年6月4日に公布・一部施行、9月1日に全面施行されました。

第7条は、人工知能関連技術を事業活動において活用しようとする者を「活用事業者」と呼び、事業活動の効率化や高度化、新産業の創出に努めることと、国や地方公共団体が実施する施策に協力することを求めています。条文に罰則の規定はなく、社内ガイドラインを作ることを直接義務づける条文でもありません。社内ガイドラインの中では、この法律を守らないと罰せられるルールとして扱う必要はないと考えられます。目的の条文で、活用を進める会社の姿勢を示す背景として触れる程度で足りるでしょう。

※条文はe-Gov法令検索（令和7年法律第53号）、施行日は内閣府の公表資料（https://www.cao.go.jp/press/new_wave/20251003.html ）で確認しています。2026年9月27日時点の内容です。

個人情報保護委員会の注意喚起（2023年6月2日）

個人情報保護委員会は2023年6月2日に「生成AIサービスの利用に関する注意喚起等」を公表し、個人情報取扱事業者が生成AIを使うときの注意点を2つ示しています。1つ目は、個人情報を含むプロンプトを入力する場合に、特定された利用目的を達成するために必要な範囲内かを十分に確認することです。2つ目は、本人の同意を得ずに個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で扱われると、個人情報保護法の規定に違反することとなる可能性があるという指摘になります。そのため、入力するなら提供事業者が機械学習に利用しないことなどを十分に確認するよう求めています。この2点は、そのまま社内ガイドラインの条文に落とすことが出来ます。具体的な文例は、入力禁止情報の節に載せました。

※個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（令和5年6月2日）https://www.ppc.go.jp/files/pdf/230602_alert_generative_AI_service.pdf 。本文は要約です。

IPA・東京都・デジタル庁の資料を読むときの注意

IPAのWebサイトで公開されている「テキスト生成AIの導入・運用ガイドライン」（2024年7月31日公開）は、名前だけを見るとIPAが定めた公式の指針のように見えます。実際には、産業サイバーセキュリティセンターの中核人材育成プログラム第7期生による卒業プロジェクトの成果物で、IPAの公式見解ではなくプロジェクトメンバーの見解であると明記されています。社内の資料で引用するときは「IPAのガイドライン」と書かず、IPAの中核人材育成プログラム受講者による成果物だと出所を正しく添えてください。

一方、同じIPAでも「情報セキュリティ10大脅威」の解説書は、IPAの名前で公開されている資料です。解説書の対策の欄は、AI事業者ガイドラインに言うAI利用者の対策を想定したものと注記されており、経営者層向けに、個人アカウントでの業務利用の制限や、規程違反時の対応（ペナルティ）の明確化、入力データを学習対象から外すオプトアウト設定の徹底などを並べています。これらは法的な義務ではなく、IPAが挙げる対策の例として扱うのが正確でしょう。

東京都デジタルサービス局は「AI導入・活用ガイドライン」（最終更新2026年3月30日、都庁の部門向け）と「生成AI利用の手引き」（Version 1.0・令和8年3月、職員向け）を公開しています。デジタル庁の「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン」は2025年5月27日に策定され、2026年6月12日に2.0版が出ている文書で、対象は政府機関です。どちらも行政機関の中で使う前提の文書なので、民間企業にとっては、文書の組み立て方を眺める参考資料という位置づけになります。

社内ガイドラインに盛り込む10項目（社内ルールで決めること）

社内ガイドラインで決める項目は、公的資料の論点を並べ直すと、次の10個に整理できます。

1. 目的と基本方針（禁止ではなく、安全に活用するための規定であることを最初に宣言する）
2. 適用範囲（役員・正社員・契約社員・派遣社員・業務委託先のうち誰に、どの業務に適用するか）
3. 利用できるサービス（会社が承認したサービスの一覧を別紙で持ち、それ以外の業務利用を認めない）
4. 入力してはいけない情報（認証情報・個人情報・取引先の秘密・未公開情報を具体例つきで並べる）
5. 生成物の確認（数字や出典を確かめ、社外に出す前に人が最終確認する）
6. 著作権・知的財産への配慮（他人の作品に似せる指示をしない、社外公開前に類似を確かめる）
7. 個人情報の取り扱い（利用目的の範囲内か、学習に使われないかを確かめてから入力する）
8. アカウントと設定の管理（会社のアカウントで使い、学習に使わない設定を会社が確認する）
9. 誤入力・違反時の報告（報告先と期限を決め、自主的な報告をとがめないと明記する）
10. 教育と見直し（導入時と定期の研修、年1回以上の見直しと臨時の見直し）

10項目のうち、どの規模の会社でも初版から外せないのは、3番目の利用できるサービス、4番目の入力禁止情報、9番目の報告の3つです。残りの項目は、会社の規模や業務に応じて、初版では短く書いて後から厚くしていくことが出来ます。迷ったら、ツールの一覧・入力禁止情報・報告先の3つだけでも先に決めて施行しましょう。規模ごとの目安は、後半の規模別の表にまとめました。

適用範囲と対象者｜正社員・契約社員・派遣社員・業務委託先の定義

適用範囲の条文では、誰に、どの業務に、どの端末やアカウントでの利用に適用するかを最初に決めます。

対象者は、役員・正社員・契約社員・パートタイマー・アルバイトまでは迷うことが少ない一方で、派遣社員と業務委託先の扱いで判断が分かれがちです。派遣社員は派遣元との雇用関係があり、業務委託先には自社の就業規則が直接及ばないため、ガイドラインを守ってもらう根拠は指示や契約の側に置くことになります。実務では、次のように書き分ける形が扱いやすいと考えられます。

• 役員・正社員・契約社員・パートタイマー・アルバイト……本ガイドラインを直接適用する
• 派遣社員……派遣先としての業務上の指示の中で遵守を求め、派遣元にも内容を共有する
• 業務委託先・外部の協力者……委託契約や秘密保持契約に、生成AIの利用条件（会社が認めたサービスに限る、入力禁止情報を守る等）を書き込む
• 退職者……在職中に会社のアカウントで作ったデータの扱いと、アカウントを止める時期を定める

業務委託先に会社のAI環境を使ってもらう場合は、サービスの側でも社外の人を招待できるかを確かめておく必要があります。例えばChatGPT Businessの公式ヘルプでは、別ドメインの協力会社などを招待するには、オーナーが「外部ドメインへの招待を許可」をオンにする必要があり、この設定は新しい招待にのみ適用されると案内されています。業務委託先には就業規則が直接及ばないため、生成AIの利用条件は委託契約の側に書き込みます。誰を招待してよいかの判断も、ガイドラインの適用範囲と同じ線で決めておきましょう。

※ChatGPT Businessの内容は、2026年9月19日時点でOpenAIの公式ヘルプ（help.openai.com）に掲載されている内容です。

対象にする業務と端末

業務の範囲は「会社の業務に関して生成AIを利用するすべての場合」と広く書くのが基本です。私物のスマートフォンで個人のアカウントから業務の文章を要約させる使い方も、業務に関する利用に含まれることを明記すると、社員が迷いません。私物端末の業務利用そのものを認めていない会社は、既存のBYOD（私物端末の業務利用）のルールと食い違わないよう書き方をそろえてください。

もう1つ決めておきたいのが、会社のアカウントを私的な用途に使ってよいかという点になります。会社の環境で私的な相談まで受け付けると、社員の私生活に関わる情報が会社のデータとして残ってしまいます。私的な利用は認めないか、認めるなら個人の情報を入力しない範囲に限ると書いておくと、後で扱いに困る場面が減ります。

利用可能なツールの決め方｜承認リストと会社支給ツールへの限定

利用できるツールの条文は、「会社が承認したサービスに限る」と書き、承認したサービスの名前は別紙の一覧で管理する形にします。

承認リストは、使ってよいかどうかの2択にすると、現場で判断に迷う場面が増えてしまいます。次の3段階に分けると、社員が自分で判断しやすくなります。

• 利用可……会社が契約し、学習に使わない設定や管理者の設定を確認したサービス。社内の情報を区分に従って入力してよい
• 条件付き……公開情報だけを扱う用途に限って認めるサービス。個人情報や社外秘は入力しない
• 利用不可……会社が確認していない、または確認の結果使わないと決めたサービス

「会社支給ツールに限る」と書くなら、その会社支給ツールを実際に全員へ配れるかどうかが問われることになるでしょう。一部の社員にしか配らないと、配られなかった社員は無料の個人向けサービスを使い続けることになりかねません。野良利用を禁じる条文は、代わりに使える環境とセットで初めて守られる規定です。一覧の具体的な作り方と条件の文例は生成AIのホワイトリストの作り方で扱っています。

主要AIの学習設定と共有設定を公式ヘルプで確かめる

承認リストに載せる前には、そのサービスで入力内容がAIの学習に使われるかどうかと、会社側で変えられる設定を公式ヘルプで確かめます。次の表は、公式ヘルプで確認できた内容のうち、社内ガイドラインに関わるものを抜き出したものです。

※ChatGPT Businessは2026年9月19日、Perplexityは2026年9月25日時点で、各社の公式ヘルプ（help.openai.com／perplexity.ai/help-center）に掲載されている内容です。いずれも各社の説明で、第三者が検証したものではありません。表にないサービスは、承認の前に各社の公式ヘルプで同じ観点を確かめてください。

個人向けのプランでは、学習に使うかどうかの設定を利用者本人が切り替える形のサービスがあります。Perplexityの公式ヘルプでも、無料版・Pro・Maxではデータの保持が初期状態で有効で、オプトアウトの設定は個人単位にしか効かないと説明されています。社員一人ひとりの設定に頼る運用は、1人でも設定を忘れれば崩れてしまう仕組みといえます。

ChatGPT Businessのように、管理者でも既定ではメンバーの非公開チャットを自動では見られないサービスもあります。ガイドラインに「会社は会話内容をいつでも確認できる」と書いてしまうと、実際の仕組みと食い違ってしまいます。会社が何を見られて何を見られないかを、選んだサービスの仕様に合わせて書くようにしてください。

入力禁止情報のリスト化｜個人情報・顧客情報・NDA対象・認証情報

入力禁止情報の条文は、「機密情報を入力しない」と抽象的に書くのではなく、社員が迷わない具体例を区分ごとに並べます。区分は、次の5つに分けると整理しやすくなります。

表の右の2列は、同じ情報でも使う環境によって扱いが変わることを示しています。会社が学習設定を確認した環境か、個人向けのサービスかで、入力してよい情報の範囲が変わります。会社が確認した環境であれば、社内の文書を要約させる使い方まで認める余地が出てきます。反対に、設定を確かめられない個人向けのサービスでは、公開情報以外は入力しない線がわかりやすいでしょう。

顧客との秘密保持契約の中には、第三者への開示や目的外の利用を制限する条項を置いているものがあります。生成AIのサービスに入力することがその条項に触れるかどうかは契約の文言しだいとなるため、主要な取引先との契約は法務担当や顧問弁護士に一度確認してもらいましょう。

個人情報保護委員会の注意喚起①②を条文に落とした文例

個人情報保護委員会の注意喚起の①と②は、次のような条文にすることが出来ます。

1項が注意喚起の①に、2項と3項が②に当たります。4項は注意喚起にはない、会社としての上乗せの規定です。要配慮個人情報やマイナンバーをどう扱うかは業種によって違うため、自社の個人情報取扱規程とそろえて調整してください。5項の確認日の記録は、後で「いつ時点の設定を確かめて認めたのか」を説明するための備えになります。

※文例は、個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023年6月2日）の（1）①②をもとに作成した参考例です。法的な適合性は、自社の状況に合わせて専門家にご確認ください。

シャドーAI（野良利用）はルールだけでは把握できない

シャドーAIとは、会社が正式に承認していないAIツールを社員が業務で使うことで、野良AIとも呼ばれます。ガイドラインで禁止を書いても、個人のアカウントでの利用は会社の側から見えないため、ルールが守られているかを確かめる手段がないまま残ってしまいます。

IPAの解説書も、職場が従業員の個人アカウントによるAIの業務利用を認識できないこと自体を、リスクとして挙げています。システム管理者向けには、IT資産管理や通信ログ、CASB（クラウドサービスの利用を見える化する仕組み）などを活用し、管理されていないAIサービスの利用を把握する対策が並んでいます。ただ、社員10〜200名の会社で、通信の監視まで自前で整えるのは簡単ではありません。

会社が契約したサービスに移ってもらうときにも、注意点があります。ChatGPT Businessの公式ヘルプには、管理者は社員の個人用ワークスペースの統合や削除を要求できないと書かれており、個人のアカウントに残った過去の会話を会社が回収する手段は限られています。社内で使われているツールの洗い出し方は野良AI（シャドーAI）の見つけ方で、シャドーAIの全体像は野良AI（シャドーAI）とはが参考になります。

禁止の条文だけでは、無料の個人向けAIに何が入力されたかを会社は知ることが出来ません。ルールを作るのと同じ時期に、社員が会社の管理のもとで使える環境を用意し、利用をそちらに寄せていくことが、野良利用を減らす現実的な順番になります。

生成物のファクトチェックと人による最終確認

生成物の確認の条文では、AIの出力をそのまま社外に出さないことと、誰が最終的に確かめるかを定めます。

生成AIは、もっともらしい誤りを出力することがあり、ハルシネーションと呼ばれます。IPAの解説書も、対話型AIは時に架空の情報をあたかも事実として生成して提示することがあり、利用者に生成結果の精査が求められると説明しています。手軽さから過剰に頼り、誤った結果をうのみにしてしまう危険についても注意を促す内容です。条文に入れたい要素を3つ挙げます。

• 数字・日付・固有名詞・法令名・引用は、元の資料や公式ページで確かめてから使う
• 社外に出す文書（見積書、提案書、顧客への回答、Webに載せる文章）は、作成者以外の1名が内容を確認する
• 出典を示すときは、AIが示した出典のリンクを実際に開き、書かれている内容と一致するかを確かめる

確認の重さは、文書の行き先によって変えてかまいません。社内のメモや下書きなら作成者本人の確認で足り、顧客や取引先に渡す文書、Webで公開する文章、契約や税務・労務に関わる判断は作成者以外の確認を必須にする、という段階の付け方が現場に受け入れられやすいでしょう。AIが示した出典は、リンクを開いて中身が一致するまで出典として扱わないようにしましょう。出典の欄にURLがあっても、そのページに該当する記述がないことがあるためです。

確認の記録と責任の所在

社外に出した文書の確認を誰が行ったかは、既存の稟議や承認の仕組みに乗せて残す方法なら手間が増えません。新しい記録簿を作ると続かないことが多いため、文書の承認欄に「生成AI利用あり・確認者◯◯」と書き添える程度の簡単な形から始めてみてください。

条文には、生成物を使った判断の責任は、AIではなく使った社員と承認した上司にあることも書いておきます。AIが出した答えだったという説明は、取引先に対しては責任を軽くする理由になりません。責任の所在をはっきりさせておくことで、確認の手間を省こうとする気持ちにも歯止めがかかります。

著作権・知的財産侵害への配慮

著作権の条文では、生成物を社外に出すときに既存の著作物と似ていないかを確かめることと、他人の著作物を入力するときの注意を定めます。

文化庁は2024年3月15日に「AIと著作権に関する考え方について」を公表しており、文化審議会著作権分科会法制度小委員会がまとめた文書として、生成AIと著作権の関係を整理しています。AIの学習などの情報解析は、著作権法第30条の4で一定の範囲で認められていますが、同条は著作物に表現された思想や感情を享受する目的がある場合には当てはまらない仕組みです。考え方の文書によれば、複数の目的のうち1つでも享受の目的が含まれていれば、同条の要件を欠くことになります。

侵害になった場合について、考え方の文書は、差止請求は故意や過失の有無を問わず可能で、損害賠償には故意または過失、刑事罰には故意が必要と説明しています。差止請求は故意や過失がなくても受ける可能性があり、知らなかったでは済まない点に注意が必要です。刑事罰では、著作権法第119条1項が10年以下の拘禁刑もしくは1,000万円以下の罰金（またはその併科）を、第124条1項一号が、従業者が業務に関して違反したときの法人への3億円以下の罰金刑を定めています。なお、第119条1項の罪は、原則として告訴がなければ起訴されない親告罪です（第123条1項）。ただし、海賊版などについては例外が定められています。

※著作権法の条文は、e-Gov法令APIで確認した現行の条文（令和8年法律第48号による改正を反映、2026年6月24日施行）によります。文化庁「AIと著作権に関する考え方について」https://www.bunka.go.jp/seisaku/chosakuken/aiandcopyright.html 。2026年9月27日時点の内容です。

社員の業務上の行為が会社の責任につながる以上、生成物の社外利用のルールは会社として決めておく必要があります。条文に入れる内容は、次の4つが目安になります。

• 他人の文章・画像・図表を入力して、それに似た生成物を作らせない
• 特定の作品やキャラクター、実在の人物に似せることを目的とした指示をしない
• 社外に出す生成物は、既存の作品と似ていないかを確認し、画像はとくに慎重に扱う
• 社外に出した生成物について権利者から連絡があったときは、担当者が個別に回答せず、情報管理責任者に報告する

画像の生成は文章よりも類似の判断が難しいため、Webや広告に使う画像だけは担当部署の確認を必須にするなど、用途で線を引く方法も考えられます。社内資料に使う図と、社外に公開する画像とで確認の重さを変えると、現場の負担を抑えながら危ない使い方だけを止めることが出来ます。

違反・誤入力時の報告フローと罰則規定の考え方

報告の条文で決めるのは、誤って入力したときや入力したおそれがあるときに、誰に、いつまでに、何を伝えるかです。

報告をためらう気持ちが生まれやすい場面なので、自主的な報告を理由に不利益な扱いをしないことを条文に明記しましょう。次の表は、発見から再発防止までの流れを、担当と時間の目安で整理した例です。

※5の期限は、個人情報保護委員会「漏えい等の対応とお役立ち資料」とガイドライン（通則編）の記載に基づきます。速報の「速やか」の目安は、事業者が事態を知った時点から概ね3〜5日以内とされ、法人の場合はいずれかの部署が知った時点が基準です。確報の期限の日数には土日・祝日も含みます。2〜3・6の時間の目安は社内の運用例です（2026年9月20日時点の掲載内容で確認）。

表の4の判断で注意したいのは、生成AIに個人情報を入力したことが、それだけで委員会への報告義務に直結するわけではない点になります。個人情報保護委員会が報告を求めるのは、要配慮個人情報が含まれる場合、財産的被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある場合、本人の数が1,000人を超える場合の4つの類型に当たる漏えい等（またはそのおそれ）です。法人では、いずれかの部署が知った時点から速報の期限を数えるため、現場の報告の早さが会社の対応を左右します。当てはまるか迷ったときも、速報は把握している内容だけで足りるとされているため、判断を先延ばしにせず専門家に相談してください。

罰則規定は就業規則に委ねる

罰則の条文は、初版では細かく書き込まないほうが運用しやすいと考えられます。罰則を前面に出すと、社員が利用を控えたり、誤入力を隠したりする方向に働きやすくなるためです。IPAの解説書も、経営者層の対策の1つに規程違反時の対応（ペナルティ）の明確化を挙げており、何が違反に当たるかと、どの規程で処分するかをはっきりさせる必要はあります。ガイドラインには「故意または重大な過失による違反は就業規則の定めに従って取り扱う」と書き、処分の中身は既存の懲戒規定に委ねる形が現実的でしょう。

自主的に報告した場合と、隠していたことが後で分かった場合とで扱いを分けると、報告を促す効果が期待できます。報告件数が増えたときは、ルールが破られていると受け止めるより、見えていなかった使い方が見えるようになったと受け止めるほうが、次の見直しにつながります。

社員10名・50名・200名の規模別｜初版で決める条項と決めなくてよい条項

初版で決める条項の数は、会社の規模に合わせて変えてかまいません。社員10名の会社が200名の会社と同じ規定を作ると、読まれない文書が1つ増えるだけになってしまいます。

表は、情報システムの担当者がいるかどうかと、経営者が社員全員の仕事を見渡せる範囲かどうかを目安に分けた例です。どの規模でも共通なのは、利用できるサービスの一覧・入力禁止情報・報告先の3つを初版に入れることになります。

社員10名前後の会社

10名前後の会社では、経営者自身が最初の利用者であることが多く、ガイドラインも経営者が書くことになりがちです。条文を増やすより、経営者が「このサービス以外では顧客の名前を入れない」と朝礼や社内チャットで繰り返すほうが効く場面もあります。10名前後なら、A4で1〜2枚の本則と、使ってよいサービスの一覧があれば初版として十分に機能します。利用申請の仕組みを作るより、「新しいサービスを使いたくなったら社長に一言」と決めておくほうが、実際に回る運用になるでしょう。

報告先も、社長1人で構いません。ただ、社長が不在のときに誰へ伝えるかは決めておき、連絡先を一覧の末尾に書き添えてください。

社員50名前後の会社

50名前後になると、経営者が全員の使い方を把握するのは難しくなります。総務か情シスの担当者を1名決め、ツールの一覧と情報の区分表を別紙として管理してもらう形が合っています。派遣社員や業務委託先がいる会社も増えるため、適用範囲の条文を初版から入れておきたいところです。

この規模では、導入時の説明会を1回開くだけでも、ガイドラインの読まれ方が大きく変わります。30分程度の短い説明会でかまいませんので、使ってよいサービスと入れてはいけない情報、報告先の3点を実際の画面で見せながら伝えてみてください。

社員200名前後の会社

200名前後になると、部門ごとに扱う情報の性質が違ってきます。共通の本則とは別に、経理・人事・営業など機微な情報を扱う部門の手引きを用意すると、現場が迷う場面を減らせます。利用申請は、情シスが設定を確かめ、部門長が業務上の必要性を認める二段階にすると、判断の偏りを防ぎやすくなります。

外部サービスとの連携や、AIにメールの送信やファイルの操作を自動で実行させる機能もこの規模から検討に上がりやすく、初版の段階で承認の手続きを決めておくのが安全です。部門ごとの窓口を置き、半年に1回、困りごとや新しく使いたいサービスを集めて見直しの材料にしましょう。誰が何をどの頻度で回すかの体制はAIガバナンスは誰が何を回す？中小企業の体制と点検の頻度で扱っています。

生成AIガイドラインのサンプル（Word・Excel）

ここまでの内容を、社内規定として使える条文の形にまとめたひな形です。社員50名前後の会社を想定した分量で、10名前後の会社は第9条・第12条を省いても運用できます。会社名や部署名、別紙の中身を自社のものに差し替えて使ってみてください。

※本ひな形は一般的な参考例です。就業規則や既存の規程との整合、業種特有の法令への対応は、必要に応じて弁護士・社会保険労務士などの専門家にご確認ください。

第5条・第7条・第13条は、規模にかかわらず残すことをおすすめします。第9条の自動実行の項は、AIにメールの送信などを任せる機能を使っていない会社では、将来に備えた規定として置いておくだけでもかまいません。条文を増やすより、別紙1と別紙2の中身を自社の実態に合わせて具体的に書くことのほうが、効き目は大きくなります。

利用申請の項目と、利用実態を知るアンケートの設問例

別紙1にないサービスを使いたいという声は、禁止ではなく申請で受け止める仕組みにすると、野良利用が表に出てきやすくなります。申請書の項目は、次の8つがあれば判断に足りるでしょう。

• 申請者の氏名と部署誰がどの業務のために使うのかを特定します。
• 使いたいサービスの名前とプラン無料版・個人向けの有料プラン・法人向けプランの別まで書いてもらいます。
• 使う業務と目的議事録の要約、英文メールの下書きなど、具体的な作業の単位で書いてもらいます。
• 入力する予定の情報の区分別紙2のA・B・Cのどれに当たるかを選んでもらいます。
• 学習に使わない設定の有無と、確認した公式ページのURL申請者が調べた結果を担当者が確かめ直します。
• 社外との共有機能や、他のサービスとの連携を使うか共有リンクやファイル保管サービスとの連携の有無を確認します。
• 使う人数と期間試しに使う段階か、継続して使う段階かを区別します。
• 費用の有無と支払う予算個人の立て替えにしないよう、会社の予算で払うかを確かめます。

承認の判断は、4つ目の情報の区分と5つ目の学習設定の組み合わせで決めると迷いにくくなります。公開情報だけを扱う用途なら条件付き、社内の情報を入れたい用途なら、会社のアカウントで学習に使わない設定を確認できたサービスに限って利用可にする、という線がわかりやすいと考えられます。申請が来たときの判断表は生成AIの利用申請が来たら何を見て決めるかにまとめました。

利用実態を知るためのアンケートの設問例

ガイドラインを作る前に、社員がすでに何をどう使っているかを無記名のアンケートで聞くと、実態に合わない条文を避けることが出来ます。設問は、次の8問程度に絞ると回答の負担が小さくなります。

1. 業務で生成AIを使ったことがありますか（毎日・週に数回・月に数回・使っていない）
2. 使っているサービスの名前を教えてください（複数回答）
3. そのサービスのアカウントは、会社のものですか、個人のものですか
4. 有料プランを自分で支払って使っていますか
5. 何の業務に使っていますか（文章の下書き、要約、翻訳、調べもの、表計算、画像作成、その他）
6. 入力したことがある情報を選んでください（公開情報のみ、社内の資料、顧客や取引先の情報、個人情報、入力していない）
7. 使っていて困ったこと、不安に思ったことはありますか（自由記述）
8. 会社に用意してほしいサービスや機能はありますか（自由記述）

無記名にするのは、正直に答えてもらうためです。6問目で顧客や個人の情報を入力したという回答が出ても、その場で誰なのかを探さず、ガイドラインの入力禁止情報と研修の内容に反映させる材料として扱ってください。4問目で自分で支払っている社員が多い場合は、会社が用意する環境が足りていないというサインと受け止められます。

社内ガイドラインの作り方｜作成から施行までの7ステップ

社内ガイドラインは、利用実態の把握から施行後の説明までを7つのステップで進めると、1〜2か月ほどで初版を出す段取りが組めます。

ステップ1　利用実態を知る

前の節の設問例を使って、無記名のアンケートを取ります。あわせて、会社で契約している生成AIのサービスと、経費で精算されているAI関連の支払いを洗い出してください。実態と離れたルールは守られにくいため、最初にここへ時間をかける価値があります。

ステップ2　担当者と承認者を決める

ガイドラインの案を書く担当者と、最終的に承認する人を決めます。10名前後の会社なら経営者が両方を兼ね、50名以上なら総務か情シスの担当者が案を書き、経営者が承認する形が一般的な分け方になるでしょう。情報管理責任者を誰にするかも、この段階で決めておきます。

ステップ3　参照する公的資料と版を決める

AI事業者ガイドライン、JDLAのひな形、個人情報保護委員会の注意喚起など、参照する資料と版を決めて記録します。版と日付を残しておくことで、次の見直しのときに何が変わったかを追いやすくなります。

ステップ4　ひな形からたたき台を作る

上のひな形を使って、本則・別紙1・別紙2のたたき台を作ります。この段階では完璧を目指さず、別紙1と別紙2を自社の実態に合わせて具体的に書くことに力を割いてください。AI事業者ガイドラインのチェックリストと突き合わせ、抜けている論点を拾っておくと、後の確認が早く進みます。

ステップ5　現場と法務の目で確かめる

情報システムの担当者、法務担当または顧問弁護士、現場の代表の3方向から確認してもらいます。現場の「これでは仕事にならない」という声は、ルールの抜け道を探す動きにつながりやすいため、施行前に拾っておきましょう。取引先との秘密保持契約に関わる部分は、法務の目で一度見てもらうと安心です。

ステップ6　承認と施行日の決定

経営者の承認を得て、施行日を決めます。施行日は、説明会を開ける日程から逆算して決めるのが現実的な順番となります。就業規則の改定を伴う場合は、社会保険労務士など専門家に手続きを確認してください。

ステップ7　周知と研修

施行の前後に説明の場を設け、配布して終わりにしないようにします。説明の中身は、次の節で詳しく扱います。

周知と研修による定着施策

ガイドラインは配っただけでは読まれにくく、施行の前後で説明の場を設けるかどうかが定着の分かれ目になります。

IPAの解説書も、システム管理者や従業員向けの対策として、AI利用における講習等のプログラムを用意すること、社内の秘密情報等を安易に入力しないこと、ハルシネーションが存在することを理解すること、AIへの過剰な依存に留意することを挙げています。社内の研修では、これを自社の言葉と自社の画面に置き換えて伝えましょう。

導入時の説明会は、30分程度で次の順に進めると、要点が伝わりやすくなります。

1. ガイドラインを作った理由（禁止のためではなく、安心して使うための線引きであること）
2. 使ってよいサービスと、会社のアカウントの使い方
3. 入れてはいけない情報を、具体例で3つか4つ見せる
4. 出力を確かめる方法（出典のリンクを開く、数字を元の資料で確かめる）
5. 誤って入力したときの報告先と、報告してもとがめないこと
6. 質問の受付

説明会では、禁止事項よりも先に、使ってよいサービスと使い方を見せるほうが、その後の利用が会社の環境に集まります。入れてはいけない情報の説明も、実際の業務でよくある場面に置き換えると、社員が自分のこととして受け止めやすくなります。

1枚の早見表を配る

本則を全員に読み込んでもらうのは難しいため、使ってよいサービス、入れてはいけない情報の区分、報告先の3点だけを載せた1枚の早見表を作ると便利です。社内チャットの固定メッセージや、会社のAI環境のトップ画面など、使う直前に目に入る場所に置いてみてください。

入れてよい例とよくない例を、業務の言葉で並べておくのも効果的です。たとえば「自社サイトに載っている製品の説明を要約する」は入れてよい例、「顧客の氏名と住所が入った一覧を貼り付けて整理させる」は個人向けのサービスでは入れてはいけない例、といった具合に並べます。

新しく入った社員と、研修の記録

中途採用や新入社員が業務で生成AIを使い始める前に、ガイドラインを説明する手順を入社時の案内に組み込みます。前の職場で個人のアカウントを使う習慣があった社員ほど、最初の説明が大切になります。

研修を行った日と受けた人は、簡単な一覧で残してください。受講の記録があれば、見直しのときに誰へ説明が届いていないかを確かめられます。

改定・見直しの頻度｜定期の見直しと臨時改定のきっかけ

見直しは、年1回か半年に1回の定期の見直しと、きっかけがあったときの臨時の見直しを組み合わせます。

生成AIのサービスは、機能や設定、提供されるプランの変わる速度が速く、年1回の見直しだけでは別紙の中身が実態から離れてしまいます。本則は年1回、別紙1と別紙2は半年に1回に加えて臨時の見直し、という分け方が扱いやすいでしょう。臨時の見直しのきっかけは、次のようなものです。

• 使っているサービスの規約、プライバシーポリシー、学習設定が変わったとき
• 使っているサービスで機能の提供終了が予告されたとき（例：OpenAIは公式ヘルプで、カスタムGPTの提供終了を予定しており、対象のEnterpriseワークスペースは2026年12月11日の予定で、その他のプランも同じスケジュールに従う予定と案内）
• 契約プランを変えたとき（例：Perplexityの公式ヘルプは、Enterpriseから無料版などに変えると一般向けのデータポリシーに戻り、手動でのオプトアウトが必要と説明）
• AI事業者ガイドラインなど、参照している公的資料の版が上がったとき
• 誤入力やヒヤリハット、取引先からの問い合わせがあったとき
• 新しい部署や業務で生成AIを使い始めるとき

※OpenAIの内容は2026年9月19日、Perplexityの内容は2026年9月25日時点で各社の公式ヘルプに掲載されている内容です。

契約プランを変えるだけで学習設定の既定値が変わるサービスもあるため、プラン変更は必ず臨時の見直しに含めましょう。見直しの結果は、変えた点がなくても「◯年◯月◯日に確認、変更なし」と記録しておくと、確認を続けていることが後から分かります。

見直しのときに見る数字

見直しを感覚で行わないために、次のような数字を半年ごとに1枚にまとめておくと判断の材料になります。

• 利用申請の件数と、承認・条件付き・却下の内訳
• 誤入力やヒヤリハットの報告件数と、その内容の傾向
• 研修を受けた社員の割合
• 別紙1の各サービスについて、学習設定を最後に確かめた日から経過した月数
• アンケートで個人のアカウントを使っていると答えた社員の割合の変化
• 会社の環境を実際に使っている社員の割合

報告件数が0件のまま続くのは、よい知らせとは限りません。誤入力が起きていないのか、起きても報告されていないのかは、この数字だけでは区別できないためです。アンケートの結果と並べて見ると、どちらに近いかの見当がつきやすくなります。

ルールを守れる環境を会社で用意する

ガイドラインの条文の多くは、会社が用意する環境が整っていて初めて守れる内容です。

ひな形の第5条は利用できるサービスを限る規定ですが、限った先のサービスを全員に配れなければ、配られなかった社員は個人のアカウントに戻ってしまいます。第6条の学習に使わない設定も、社員一人ひとりの操作に任せる形では、1人の設定漏れで崩れます。第13条の報告も、管理者が利用状況を確かめる手段がなければ、報告された内容の範囲を確かめようがありません。

会社で使う環境を選ぶときは、ガイドラインの条文と照らして、次の点を確かめてみてください。

• 学習に使わない設定を、会社側で全員に一律で適用できるか社員ごとの設定に任せる方式では、設定漏れを防げません。
• 誰がいつどのAIを使ったかを、管理者が確認できるか報告を受けたときに、影響の範囲を確かめる手がかりになります。
• 退職や異動のときに、管理者がアカウントを止められるか個人のアカウントに残った会話は、会社の側から止めたり消したりできません。
• 使わせるAIやモデルを、管理者の側で制限できるか承認リストの区分を、画面の設定で実現できるかを見ます。
• 社員全員に配れる料金の形か一部の社員にしか配れない料金の形だと、残りの社員の野良利用が残ります。
• データの保管場所を取引先に説明できるか取引先から問われたときに、答えられる状態かどうかが基準です。

ルールと環境は、どちらか一方だけでは機能しません。会社が用意した環境のほうが個人のアカウントより便利だと社員が感じられれば、ガイドラインは守られやすくなります。法人向けのサービスの比較は法人向け生成AIサービスの料金比較に、運用の点検項目は生成AIのセキュリティ対策チェックリストにまとめています。

よくある質問

生成AIガイドラインのサンプルは、無料でダウンロードできますか？

できます。このページから、全17条の条文版と逐条解説版（Word）、サービス台帳とチェックリスト（Excel）を、登録なしでダウンロードできます。様式は利用申請書・誤入力等の報告書・確認書の3つです。社名と別紙1・別紙2を自社のものに差し替えて使ってください。

生成AIの社内ガイドラインはどのくらいの分量が適切ですか？

本則はA4で2〜4枚程度が目安です。社員10名前後の会社なら、1〜2枚の本則と利用できるサービスの一覧でも初版として機能します。入力禁止情報の具体例や利用できるサービスの名前は別紙に分けると、本則を改定しなくても更新できるようになります。

社員10名ほどの会社でも社内ガイドラインは必要ですか？

必要です。規模が小さい会社ほど情報システムの担当者がおらず、社員の自己判断で生成AIの利用が広がりやすくなります。初版は、利用できるサービスの一覧、入力禁止情報、誤って入力したときの報告先の3つだけでもかまいません。

ひな形やJDLAのガイドラインをそのまま使ってもいいですか？

たたき台としては使えます。JDLAの生成AIの利用ガイドラインも、組織が必要な追加や修正を加えて使う前提のひな形として公開されています。利用できるサービスの一覧と入力禁止情報は必ず自社の実情に合わせて具体化し、就業規則など既存の規程との整合は専門家の確認を受けることをおすすめします。

AI推進法で社内ガイドラインの作成は義務になりましたか？

なっていません。AI推進法（令和7年法律第53号）の第7条は、AIを事業で活用する活用事業者に、事業活動の効率化や高度化などに努めることと、国や地方公共団体の施策に協力することを求める規定で、罰則の規定はありません。社内ガイドラインは法律上の義務としてではなく、情報漏えいや著作権侵害を防ぐための社内の備えとして作るものです。

ガイドラインを作れば、無料の生成AIを社員に使わせても大丈夫ですか？

ルールだけでは不十分です。無料や個人向けのプランには、入力内容を学習に使う設定が初期状態で有効になっているサービスがあり、例えばPerplexityの無料版・Pro・Maxでは、AI学習用のデータ保持が初期状態で有効と公式ヘルプに書かれています。会社から利用状況を確かめる手段もないため、公開情報だけを扱う条件付きの利用にとどめ、社内の情報は会社が設定を確認した環境で扱うのが基本です。

社員が顧客の個人情報を生成AIに入力したら、必ず個人情報保護委員会への報告が必要ですか？

入力しただけで必ず報告義務が生じるわけではありません。委員会への報告が必要なのは、要配慮個人情報が含まれる場合、財産的被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある場合、本人の数が1,000人を超える場合の4つの類型に当たる漏えい等（またはそのおそれ）です。当たる場合、速報は事態を知った時点から概ね3〜5日以内が目安とされているため、社内の報告を当日中に上げる仕組みにしておくことが大切です。

ガイドラインに罰則は入れるべきですか？

初版で細かな罰則を書き込むことはおすすめしません。罰則を前面に出すと、利用の萎縮や誤入力の隠蔽を招きやすくなります。自主的な報告をとがめない規定を置いたうえで、故意または重大な過失による違反は就業規則の定めに従って取り扱う、と書く形が実務的です。

ガイドラインはどのくらいの頻度で見直せばよいですか？

本則は年1回、利用できるサービスの一覧と情報の区分表は半年に1回が目安です。これに加えて、使っているサービスの規約や設定の変更、契約プランの変更、公的ガイドラインの改訂、誤入力などの事故があったときに臨時で見直します。

まとめ

生成AIの社内ガイドラインは、使ってよいサービス、入力してはいけない情報、出力の確かめ方、誤って入力したときの報告先を会社として決めた社内ルールです。初版で決める条項は規模に合わせて絞ってよく、社員10名前後なら本則1〜2枚とサービスの一覧からでも始められます。

作るときは、AI事業者ガイドライン第1.2版のチェックリストやJDLAのひな形、個人情報保護委員会の注意喚起を物差しにし、参照した版と日付を書き残しておきましょう。AI推進法は罰則のない責務の規定なので、ガイドラインは法律に追われて作るものではなく、社員が安心して使うための線引きとして作るものになります。

そして、禁止の条文だけでは、個人のアカウントに何が入力されたかを会社は知ることが出来ません。承認したサービスを全員に配り、学習に使わない設定とログの管理を会社の側で持つことで、初めてガイドラインが守られているかを確かめられるようになります。

ガイドラインの整備を含めた導入全体の流れは中小企業が生成AIを導入する手順で、ルールを作る前の現状把握は野良AI（シャドーAI）の見つけ方で扱っています。法人のAI活用に関する他の記事はAI活用コラム一覧をご覧ください。

執筆：中里 吉利（コプラス株式会社 代表取締役）／Interactive Advertising Bureau（IAB）公認 Google デジタルマーケティング認定資格・Google アナリティクス認定資格・Google 広告測定認定資格