生成AIガイドラインは「禁止のため」ではなく「使うため」に作る
ChatGPTやClaude、Geminiを社員が使い始めると、総務や情報システムの担当者から必ず出てくるのが「ルールを作らないとまずいのでは」という声です。
実際、ルールがないまま放置すると、2つのどちらかに転びます。ひとつは、各自が個人アカウントで好き勝手に使い、顧客情報が入力されていても誰も把握できない状態。もうひとつは、怖いので全面禁止にした結果、こっそり使う人が出てきて、かえって管理できなくなる状態です。
社内の生成AIガイドライン（利用ガイドライン、社内ルール）の目的は、どこまでなら安心して使ってよいかを明確にして、利用を広げることです。この記事では、中小企業が自社向けの生成AIガイドラインを作るときの手順と構成、そのまま使えるひな形、参考になる公的資料を紹介します。内容は2026年11月時点の情報に基づいています。
なお、AIの利用を組織としてどう管理するかという広い考え方はAIガバナンスの用語解説にまとめています。
---
まず押さえたい公的なガイドライン
ゼロから考える必要はありません。国や業界団体が公開している資料を土台にするのが近道です。主なものを整理しました。
| 資料名 | 発行元 | 最新版（2026年11月時点） | 社内ルール作りでの使い道 | |---|---|---|---| | 生成AIの利用ガイドライン | 日本ディープラーニング協会（JDLA） | 第1.1版（2023年10月）、画像編（2024年2月） | 社内規程のひな形。条文の土台にそのまま使える | | AI事業者ガイドライン | 総務省・経済産業省 | 第1.2版（2026年3月31日） | 体制、教育、リスク管理の漏れを点検する | | 行政の進化と革新のための生成AIの調達・利活用に係るガイドライン（DS-920） | デジタル庁 | 2025年5月27日決定 | 責任者の置き方、利用ルール、調達時のチェック項目の参考 | | テキスト生成AI利活用におけるリスクへの対策ガイドブック（α版） | デジタル庁 | 2024年5月公開、2025年6月に一部修正 | 利用形態ごとのリスクと技術的な対策の確認 | | AIと著作権に関する考え方について | 文化庁（文化審議会著作権分科会法制度小委員会） | 2024年3月 | 生成物の著作権、他人の著作物を入力する際の考え方 |
JDLA「生成AIの利用ガイドライン」
社内ルールを作るなら、まず読むべき資料です。組織が生成AIを使う際のひな形として作られており、条文だけの版と簡易解説付きの版がJDLAのWebサイトで無料公開されています。自社の目的に合わせて追加・修正して使うことが想定されています。2024年2月には画像生成に特化した「画像編」も出ています。
AI事業者ガイドライン（総務省・経済産業省）
AIに関わる事業者を「AI開発者」「AI提供者」「AI利用者」に分け、それぞれの取組を示した国の指針です。2024年4月に第1.0版が出て、2025年3月に第1.1版、2026年3月31日に第1.2版へ改定されました。第1.2版ではAIエージェントやフィジカルAIに関する記載が追加されています。
ChatGPTなどを業務で使うだけの多くの中小企業は「AI利用者」にあたります。法的拘束力はありませんが、取引先や自治体の調達で参照されることが増えているので、目を通しておく価値はあります。
デジタル庁の資料
デジタル庁の「生成AIの調達・利活用に係るガイドライン」は政府職員向けですが、責任者（各府省のAI統括責任者、CAIO）を置き、利用者向けのルールを定め、調達時にチェックシートで確認するという構成は、企業でも参考になります。同じくデジタル庁の「テキスト生成AI利活用におけるリスクへの対策ガイドブック（α版）」は、システムとして生成AIを組み込むときのリスク整理に役立ちます。
法律の位置づけ：AI推進法
2025年に「人工知能関連技術の研究開発及び活用の推進に関する法律」（AI推進法）が成立し、2025年9月に全面施行されました。罰則のある規制法ではなく、国の基本計画や指針の根拠となる推進法です。現時点で、中小企業が生成AIを使うために新たな届出が必要になるといった義務はありません。
---
社内ガイドラインの作り方（6ステップ）
ステップ1：現状を把握する
誰が、どのツールを、何に使っているかを簡単なアンケートで聞きます。「使っていない」と思っていた部署で、すでに個人アカウントが使われていることはよくあります。
ステップ2：利用を認めるツールを決める
ガイドラインの実効性は、ここでほぼ決まります。個人向けの無料プランを業務で使わせるのか、法人プランを契約するのかで、入力してよい情報の範囲が変わるからです。
ChatGPTの場合、個人向けプランは設定を変えないと会話が学習に使われる可能性があり、法人プランやAPIは初期状態で学習に使われません。詳しくはChatGPTに学習させない設定で解説しています。
ステップ3：入力してよい情報の線引きを決める
ガイドラインの中心になる部分です。「機密情報は入力禁止」と書くだけでは、現場は判断できません。具体例つきの区分表にするのがおすすめです。
| 区分 | 具体例 | 承認済みの法人向けツール | 個人向け・未承認ツール | |---|---|---|---| | 公開情報 | 自社サイトの掲載内容、公開済みのプレスリリース | 可 | 可 | | 社内一般情報 | 社内マニュアル、議事録（個人名なし）、企画のたたき台 | 可 | 不可 | | 個人情報 | 顧客の氏名・連絡先、社員の人事情報 | 原則不可（業務上必要な場合は責任者の承認） | 不可 | | 機密情報 | 未公開の決算情報、取引先から受け取った秘密情報、ソースコード、パスワード | 不可 | 不可 |
取引先とのNDA（秘密保持契約）で、第三者のサービスへの入力が禁止されている情報もあります。法人プランであっても、契約上入力できない情報があることを明記しておきましょう。個人情報については、個人情報保護委員会も2023年6月に生成AIサービスの利用に関する注意喚起を出しています。
ステップ4：生成物の扱いを決める
AIの回答は間違うことがあります（ハルシネーション）。社外に出す文書、数値、法律や医療に関わる内容は、必ず人が確認するルールにします。画像生成を使う場合は、既存の作品やキャラクター、ロゴに似ていないかの確認も必要です。
ステップ5：体制と相談窓口を決める
中小企業なら、専任の委員会までは不要です。責任者（役員や総務責任者）を1人決め、「判断に迷ったらここに聞く」窓口を明記すれば十分機能します。
ステップ6：周知・研修・見直し
作って配るだけでは読まれません。30分程度の説明会で、OK例とNG例を見せるのが効果的です。生成AIのサービスは仕様が頻繁に変わるので、半年に1回程度は見直す前提にして、改定日を記録しておきます。
---
生成AI利用ガイドラインのひな形（目次と条文例）
以下は、中小企業向けの社内ガイドラインの構成例です。コピーして、自社の実情に合わせて書き換えて使ってください。条文の言い回しはJDLAのひな形も参考にすると整えやすくなります。
# 生成AI利用ガイドライン
制定日：2026年○月○日 / 改定日：-
管理責任者：○○部 ○○
## 第1条 目的
本ガイドラインは、当社の業務における生成AIの安全かつ効果的な利用を促進するため、
利用にあたって守るべき事項を定める。
## 第2条 適用範囲
1. 対象者：役員、正社員、契約社員、派遣社員、アルバイトを含む全従業員
2. 対象ツール：文章・画像・音声・動画・プログラムを生成するAIサービス全般
## 第3条 利用を認めるツール
1. 業務で利用できるのは、別表1に掲げる会社承認ツールに限る。
2. 別表1にないツールを業務で使う場合は、事前に管理責任者の承認を得る。
3. 個人アカウントで業務情報を扱ってはならない。
## 第4条 入力してはならない情報
1. 別表2の区分に従い、入力の可否を判断する。
2. 次の情報は、いかなるツールにも入力してはならない。
- パスワード、APIキーなどの認証情報
- 未公開の財務情報、M&Aなどの重要事実
- 秘密保持契約により第三者への開示が禁止された情報
3. 個人情報を入力する場合は、業務上の必要性を管理責任者が認めた場合に限る。
## 第5条 生成物の利用
1. 生成物の内容（事実、数値、引用元）は利用者が確認し、責任を負う。
2. 社外に公開・提出する文書は、公開前に上長の確認を受ける。
3. 他者の著作物、商標、人物に類似した生成物は利用しない。
4. 必要に応じて、AIを利用して作成した旨を表示する。
## 第6条 禁止事項
1. 法令、公序良俗、取引先との契約に反する利用
2. 差別的・誹謗中傷的な内容の生成
3. 他者になりすました文書・画像・音声の生成
4. AIの回答のみに基づく、人事評価や与信などの重要な判断
## 第7条 インシデント発生時の対応
誤って禁止情報を入力した場合、または生成物による問題が発生した場合は、
速やかに管理責任者へ報告する。報告したことを理由に不利益な扱いはしない。
## 第8条 教育
管理責任者は、従業員に対して年1回以上、本ガイドラインに関する研修を行う。
## 第9条 見直し
本ガイドラインは、少なくとも半年に1回見直す。
## 別表1 会社承認ツール一覧
| ツール名 | 契約プラン | 学習への利用 | 利用できる部署 |
|---|---|---|---|
| （例）ChatGPT | Business | 学習に使われない | 全部署 |
## 別表2 入力情報の区分
| 区分 | 例 | 承認ツール | 未承認ツール |
|---|---|---|---|
| 公開情報 | 自社サイト掲載内容 | 可 | 可 |
| 社内一般情報 | マニュアル、議事録 | 可 | 不可 |
| 個人情報 | 顧客名簿、人事情報 | 承認時のみ | 不可 |
| 機密情報 | 未公開情報、認証情報 | 不可 | 不可 |
ひな形を使うときのポイント
- 第7条の「報告しても不利益にしない」は残してください。これがないと、誤入力が起きても隠されてしまい、対応が遅れます
- 別表は本文と分けて管理すると、ツールの追加やプラン変更のたびに本文を改定せずに済みます
- 部署ごとに事情が違う場合（営業は顧客情報を扱う、開発はソースコードを扱うなど）は、本文は共通にして、部署別の運用ルールを別紙で定めると運用しやすくなります
---
ガイドラインでよくある失敗
抽象的すぎて現場が判断できない
「適切に利用すること」「機密情報に注意すること」だけでは、何をしてよいのかわかりません。区分表と具体例を必ず付けます。
厳しすぎて誰も使わない
入力禁止の範囲を広げすぎると、結局「使えないツール」になります。法人プランを契約して、社内一般情報までは安心して入力できる環境を整えるほうが、リスク管理としても現実的です。
ツールの変化に追いつかない
生成AIのサービスは、データの扱いや機能が頻繁に変わります。AIエージェントのように、AIが外部サービスを操作する使い方も広がっています。AIエージェントを業務で使う場合は、どの操作まで任せるか、実行前に人が確認するかといったルールを追加で検討してください。AIに悪意ある指示を紛れ込ませるプロンプトインジェクションへの注意も、今後は必要になります。
---
国際的な議論との関係
日本のAI事業者ガイドラインは、G7で日本が主導した「広島AIプロセス」の国際指針・行動規範とも整合するように作られています。国際的なAIルールの流れは広島AIプロセスの解説で紹介しています。海外の取引先がある会社は、EUのAI法なども含めて確認が必要になる場合があります。
---
生成AIガイドラインの策定はSwaaabにご相談ください
ガイドラインは、どのツールをどう導入するかとセットで考えないと、実態に合わないルールになってしまいます。Swaaabでは、利用ツールの選定、法人プランの設定、社内ガイドラインの策定、社員向けの研修までを一貫して支援しています。
- 生成AIの導入計画やガイドライン策定はAIコンサルティング
- 社内への導入の進め方は生成AIのビジネス導入ガイドも参考にしてください
「ひな形を自社向けに直したいが、どこまで書けばいいかわからない」といったご相談も歓迎です。お問い合わせからお気軽にどうぞ。
Written by
Swaaab編集部
広島を拠点に、AI開発・DX支援・Web制作を手がける株式会社Swaaabの編集チーム。現場で得た知見をもとに、実践的な情報を発信しています。