セキュリティを学ぶ — 仕事・職場向け

生成AIの社内ルール、最低限の決め方 — 小さな会社のための実務版

公開： 2026年11月8日 · 更新： 2026年11月8日 · 約5分 · 初心者向け

執筆・監修：ヒロセユウジ（HIXOR 代表）

この記事のポイント

ルールは長くなくて構いません。最初に決めるのは5つだけ：使ってよいツール、入れてはいけない情報、出力の確認責任、個人情報の扱い、困ったときの連絡先です
総務省・経済産業省のAI事業者ガイドラインでも、利用者には「機密情報等を不適切に入力しない」「出力の精度とリスクを理解して使う」ことが求められています
禁止するだけのルールは、社員が個人アカウントで使う「シャドーAI」を生みます。使える道を用意してから、禁止範囲を決めてください
ルールは一度作って終わりではありません。使うツールが変わるたびに、半年に一度を目安に見直します

公式情報・出典

総務省・経済産業省「AI事業者ガイドライン」

生成AIの社内ルールというと、何十ページもの規程を想像しがちです。しかし小さな会社では、長いルールは読まれず、守られません。このガイドでは、最初に決めるべき最低限の5項目と、文書の形を説明します。

なぜ「最低限」から始めるのか

総務省・経済産業省の「AI事業者ガイドライン」では、AIを使う事業者（利用者）にも役割があります。提供者が定めた利用上の留意点を守ること、出力の精度やリスクを理解して使うこと、個人情報や機密情報を不適切に入力しないことなどです。これを会社の実務に置き換えると、次の5項目になります。

最初に決める5つのルール

1. 使ってよいツール — 会社が用意した法人向けプランなど、利用を認めるサービスを名前で挙げる。それ以外で会社の情報は扱わない2. 入れてはいけない情報 — 顧客情報・個人情報、未発表の経営情報、IDとパスワード、実名入りの契約書（詳しくはガイド「AIチャットに会社の情報を入れる前に」）3. 出力の確認責任 — AIの回答は下書き。対外的な文書や数値は、必ず人が確認してから使う。確認した人が責任を持つ4. 個人情報の扱い — 顧客の個人情報は、業務で認められたツール以外に入力しない5. 困ったときの連絡先 — 誤って機密情報を入れた、出力に他社の情報らしい内容が混ざった、といった場合は誰に知らせるか