生成AIガイドラインの作り方｜小さな会社が1日で決める5項目とひな形

生成AIの社内ガイドラインは、小さな会社ならA4用紙1〜2枚、1日あれば作れます。分厚い規程は必要ありません。決めるのは「使ってよいツール」「入力してはいけない情報」「出力の確認」「社外に出すときのルール」「相談窓口と見直し」の5つです。

この記事では、ChatGPT などの生成AIを社員に使ってもらいたい会社の経営者・担当者の方に向けて、5つの項目の決め方、そのままコピーして使えるひな形、そして社員に実際に守ってもらうための工夫を説明します。

最終確認日：2026年10月31日（紹介している公的資料の版と日付は、この日に各公式ページで確認しました）

なお、この記事は一般的な説明です。個人情報や著作権、就業規則との関係など、法律の判断が必要なことは、弁護士・社会保険労務士などの専門家にご相談ください。

生成AIのガイドラインとは？小さな会社にも必要？

生成AIのガイドラインとは、社員が仕事で生成AIを使うときの「会社としての約束ごと」です。社員が数人の会社でも必要です。ルールがないと、社員はそれぞれの判断で、個人のアカウントに仕事の情報を入力してしまうからです。

情報処理推進機構（IPA）が2026年1月29日に公表した「情報セキュリティ10大脅威 2026」では、組織向けの3位に「AIの利用をめぐるサイバーリスク」が初めて選ばれました。解説書では、会社が認めていないAIサービスを社員が個人的に仕事で使う「シャドーAI」による情報漏えいや、AIがもっともらしい誤りを出す「ハルシネーション」を、主なリスクに挙げています。

「全面禁止」にすると、かえって危ない

「心配だから使用禁止」にしても、リスクはなくなりません。IPA の解説書は、職場でAIサービスが使えないと、社員が個人で使っているAIを仕事に使うことがあり、会社がそれに気づけないこともリスクだと指摘しています。

使ってよいツールを会社が用意し、安全な使い方を決めておくほうが、結果として情報を守りやすくなります。

何を参考にすればいい？公的な資料は5つ

ゼロから考える必要はありません。次の公的な資料をもとに、自社に合わせて短くまとめるのが近道です。

• 日本ディープラーニング協会（JDLA）「[生成AIの利用ガイドライン](https://www.jdla.org/document/)」：会社が自社用に書き換えて使うための「ひな型」です。2023年5月1日に制定、2023年10月6日に第1.1版へ改訂されています。「データを入力するときの注意」と「生成物を使うときの注意」の2つに分けて整理されていて、条文だけの版と簡単な解説付きの版があります
• 総務省・経済産業省「[AI事業者ガイドライン（第1.2版）](https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html)」：2026年3月31日公表。法的な拘束力のない「ソフトロー」と位置づけられています。仕事でAIを使う会社は「AI利用者」にあたり、個人情報や機密情報を不適切に入力しないこと、出力の正確さやリスクを理解して使うこと、サービスの規約を守ることなどが挙げられています
• 個人情報保護委員会「[生成AIサービスの利用に関する注意喚起等について](https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/)」：2023年6月2日公表。会社が個人情報を入力するときの注意点がまとめられています
• 文化庁「[AIと著作権について](https://www.bunka.go.jp/seisaku/chosakuken/aiandcopyright.html)」：文化審議会著作権分科会法制度小委員会の「AIと著作権に関する考え方について」（2024年3月15日）と、その内容をわかりやすくした「AIと著作権に関するチェックリスト＆ガイダンス」（2024年7月31日）が掲載されています
• IPA「情報セキュリティ10大脅威 2026」の解説書：経営者がすべき対策として、個人アカウントでの業務利用の制限、学習に使わせない設定の徹底、利用規約の確認、教育の徹底などが挙げられています

小さな会社のガイドラインで決めることは？5つだけ

決めるのは次の5つです。それぞれ「迷った社員が読んで、すぐ判断できるか」を基準に書きます。

1. 使ってよいツールとアカウント

まず、仕事で使ってよいサービスを名前で決めます。JDLA のひな型も、使ってよいサービスを特定して並べる方式（ホワイトリスト方式）を勧めています。「ChatGPT は会社のアカウントのみ可」のように、ツールとアカウントの両方を書くのがポイントです。

アカウントを決める理由は、プランや設定によって、入力した内容がAIの学習に使われるかどうかが変わるからです。たとえば OpenAI は、ChatGPT の法人向けプラン（Business・Enterprise など）と API のデータは、初期設定では学習に使わないと公表しています。一方、個人向けのプラン（無料版・Plus など）は、初期設定では会話がモデルの改善に使われる設定になっていて、利用者がオフにできます。Gemini や Claude など、ほかのサービスも条件はそれぞれ違うため、使う前に各社の規約とプライバシーポリシーを確認しましょう。

2. 入力してはいけない情報

次に、AIに入力してはいけない情報を決めます。小さな会社なら、次の3つを「入力しない」と決めておけば、大きな事故はかなり防げます。

• お客様や社員の個人情報（氏名、住所、電話番号、メールアドレス、健康のことなど）
• 取引先から預かった秘密の情報（秘密保持契約を結んで受け取った資料、図面、見積もりなど）
• 自社の秘密の情報（まだ公表していない計画、原価、ノウハウ、パスワードなど）

個人情報保護委員会の注意喚起では、本人の同意なく個人データを入力し、それが応答の出力以外の目的（たとえばAIの学習）に使われる場合、個人情報保護法の規定に違反する可能性があるとしています。JDLA のひな型も、取引先の秘密を入力すると秘密保持契約に反する可能性があるとしています。判断が難しいので、小さな会社では「入力しない」と一律に決めるのが現実的です。

3. 出力の確認と著作権

生成AIの答えには、もっともらしい誤りが混ざることがあります。そのため「AIが作ったものは、必ず人が内容を確かめてから使う」と決めます。数字、日付、法律や制度の説明、固有名詞は特に注意が必要です。

著作権については、文化庁の「AIと著作権に関する考え方について」で、AIを使って作ったものでも、人が作る場合と同じように、既存の作品と似ていること（類似性）と、既存の作品をもとにしたこと（依拠性）の両方が認められると著作権侵害になりうる、と整理されています。社内ルールとしては、次の2点を決めておくと安心です。

• 特定の作家・作品・他社のロゴなどを名前で指定して「似せて」作らせない
• 画像・キャッチコピー・ロゴなどを社外で使う前に、既存の作品や登録商標と似ていないか確認する

4. 社外に出すときのルール

お客様へのメール、提案書、ホームページ、SNS、広告など、社外に出すものは誰が最終確認するかを決めます。社内で使うメモや下書きは各自の確認でよく、社外に出すものは上司や担当者がもう一度見る、という分け方が簡単です。

また、JDLA のひな型は、AIが作ったものには著作権が発生しない可能性があるため、そのまま使わず、できるだけ人が手を加えるよう勧めています。ロゴや商品名など、自社の権利として守りたいものをAIだけで作る場合は、事前に専門家へ相談しましょう。

5. 相談窓口と見直し

最後に、「迷ったときに誰に聞くか」と「ルールをいつ見直すか」を決めます。小さな会社なら、窓口は社長か担当者1人で十分です。

あわせて、うっかり入力してはいけない情報を入れてしまったときは、すぐに窓口へ報告すると決めておきます。早く報告してもらえれば、履歴の削除やパスワードの変更など、打てる手があります。生成AIのサービスや公的な資料は更新が続いているので（AI事業者ガイドラインも、内容を適宜更新する「Living Document」とされています）、見直しは半年に1回と、新しいツールを使い始めるときを目安にします。

1日で作るには？午前と午後の進め方

1日で作るなら、次の順番で進めます。

1. 午前：今の使い方を聞く。誰が、どのツールを、何に使っているか、個人アカウントか会社のアカウントかを社員に聞きます。責めずに聞くことが大切です
2. 午前：ツールとアカウントを決める。使ってよいサービスを1〜2個に絞り、会社のアカウントや学習に使わせない設定を用意します
3. 午後：ひな形を書き換える。下のひな形の［　］を自社の言葉に置き換え、自社の仕事で迷いそうな例を書き足します
4. 午後：社長の名前で配り、説明する。紙やチャットで配るだけでなく、10〜30分ほど時間を取って、実際の画面を見せながら説明します

コピーして使える生成AI利用ルールのひな形

JDLA のひな型や公的な資料を参考に、小さな会社向けに短くまとめたひな形です。［　］の中を自社に合わせて書き換えてお使いください。

［会社名］ 生成AI利用ルール（［制定日］制定）

1. 目的
   • このルールは、社員が仕事で生成AIを安全に、便利に使うための約束ごとです
   • 生成AIは、文章の下書き、要約、アイデア出しなどに積極的に使ってください
2. 使ってよいツール
   • 仕事で使ってよいのは、［例：会社が契約したChatGPTのアカウント］だけです
   • 個人のアカウントや、ここにないツールを仕事で使いたいときは、先に［相談窓口］に相談してください
   • ［例：入力した内容を学習に使わない設定］にしてから使ってください
3. 入力してはいけない情報
   • お客様・取引先・社員の個人情報（氏名、住所、電話番号、メールアドレスなど）
   • 取引先から預かった資料や、秘密にする約束をした情報
   • 公表していない社内の情報（売上、原価、計画、パスワードなど）
   • 迷ったら入力せず、［相談窓口］に聞いてください
4. AIが作ったものを使うとき
   • AIの答えには誤りが混ざることがあります。数字・日付・固有名詞・法律や制度の説明は、必ず自分で確かめてから使ってください
   • 特定の作家・作品・他社のロゴなどを指定して、似たものを作らせないでください
   • AIの答えをそのまま自分の意見や事実として扱わず、最後は人が判断してください
5. 社外に出すとき
   • お客様への文書、ホームページ、SNS、広告などに使うときは、［例：上司］が確認してから出してください
   • 画像・キャッチコピー・ロゴは、既存の作品や他社の商標に似ていないか確認してください
6. 困ったとき・間違えたとき
   • 相談窓口は［担当者名・連絡先］です
   • 入力してはいけない情報をうっかり入れてしまったときは、すぐに［相談窓口］へ報告してください。早く報告した人を責めることはありません
7. 見直し
   • このルールは［例：半年に1回］と、新しいツールを使い始めるときに見直します

ひな形は短くしてあります。業種によっては「医療・お金・法律に関する内容をお客様に回答するときは使わない」など、使ってはいけない用途を書き足してください。JDLA のひな型にも、利用を禁止する用途を書く欄があります。

社員に守ってもらうには？配って終わりにしない

ガイドラインは、配っただけでは読まれません。守ってもらうには、次の4つが効果的です。

• 「だめな例」より「よい例」を多く見せる：「お客様への返信の下書きを、名前を伏せて作る」のように、使ってよい場面を具体的に示すと、社員は安心して使えます
• 一度、全員で手を動かす：説明だけで終わらせず、その場で実際にAIを使い、「これは入力してよい？」をみんなで考えます
• 迷った例を集めて書き足す：社員から出た質問は、ルールを良くする材料です。答えをルールに追加して、全員に共有します
• 報告した人を責めない：うっかりミスを責めると、次から隠されます。早く報告してくれたことに感謝する姿勢が、いちばんの事故防止になります

IPA の解説書も、対策の一つに「AI 利用における教育の徹底」を挙げています。ルールを決めたら、使い方とあわせて学ぶ機会をつくりましょう。ZenJun のAI研修では、御社の仕事を題材に、生成AIの使い方と、安全に使うための社内ルールづくりをあわせてお手伝いしています。

熊本で受けられるセミナーや研修、研修費に使える助成金は「熊本で生成AIを学ぶには？」にまとめています。

違反したときの扱いは？

IPA の解説書は、経営者がすべき対策として「規程違反時の対応（ペナルティ）の明確化」も挙げています。ただし、懲戒などを決める場合は就業規則との関係が出てくるため、社会保険労務士などの専門家に相談したうえで決めてください。まずは「守ってもらえる仕組み」を先に整えるのがおすすめです。

よくある質問

無料版の ChatGPT を仕事で使ってもいいですか？

会社として認めるなら、少なくとも「入力した内容を学習に使わない設定にする」「入力してはいけない情報を決める」の2つを守るのが前提です。ただ、個人のアカウントだと、会社が使い方を把握できません。社員が継続して使うなら、会社のアカウントで使える法人向けプランを検討しましょう。

どのツールを選べばいいかわかりません

普段の仕事で使っているソフトに合わせるのが基本です。たとえば Google Workspace を使っている会社なら Gemini、Microsoft 365 を使っている会社なら Microsoft Copilot、というように、今の環境と組み合わせやすいものから検討します。ZenJun のAI・ITコンサルティングでは、御社の仕事の進め方を伺い、特定のツールを売り込まずに、合うものを一緒に選びます。

一度作れば、ずっと使えますか？

使えません。生成AIのサービスや規約、公的な資料は更新が続いています。この記事で紹介した AI事業者ガイドラインも、2024年4月の第1.0版から、2026年3月の第1.2版まで改訂されています。半年に1回は見直しましょう。

まとめ

• 生成AIの社内ガイドラインは、小さな会社ならA4用紙1〜2枚、1日で作れます
• 決めるのは「使ってよいツールとアカウント」「入力してはいけない情報」「出力の確認と著作権」「社外に出すときのルール」「相談窓口と見直し」の5つです
• 「全面禁止」は、社員が個人のアカウントで使う「シャドーAI」を招きやすいため、使ってよいツールを会社が用意するほうが安全です
• 参考にするのは、JDLA のひな型、AI事業者ガイドライン（第1.2版）、個人情報保護委員会の注意喚起、文化庁の「AIと著作権」の資料、IPA の10大脅威の解説書です
• ルールは配って終わりにせず、全員で手を動かす説明会、迷った例の追記、報告した人を責めない姿勢で定着させます

ルールができたら、次はどの仕事にAIを使うかを決めます。進め方は「AIで業務効率化するには？小さく始める5つの手順」で紹介しています。

ルールづくりと社員への研修を一緒に進めたい場合や、どのツールを選べばいいか迷っている場合は、お気軽にご相談ください。