生成AIガイドラインの作り方――必須項目と禁止だらけの回避

生成AIの全社利用を解禁するにあたり、ガイドラインの整備を任された——この記事は、そういう状況にある情シス・経営企画の方向けに、必須項目と設計の考え方を整理したものです。

先に最も重要な結論を言います。ガイドラインは「禁止事項のリスト」ではなく「利用条件の明文化」として設計してください。 同じ内容でも、この設計思想の違いが公開後の利用率を大きく左右します。禁止の羅列は「使うと危ない」というメッセージとして伝わり、社員の最も安全な選択は「使わない」になります。生成AIが定着しない原因の一つとして、生成AIを導入したのに社内で使われない――定着しない5つの原因でも触れた構造です。

ガイドライン整備の次に何が必要か、自社の段階を30秒で判定する →

結論：ガイドラインの必須項目一覧

このうち、実務で最も重要なのが情報の入力可否です。ここが曖昧なガイドラインは、結局すべてを社員の自己判断に委ねることになり、文書として機能しません。

次に効くのが相談窓口です。判断に迷う場面は必ず出るので、そこで止まらない導線があるかどうかで、利用率が変わります。窓口の記載は「担当部署」ではなく、可能なら個人名まで書いてください。 部署名だけだと、誰に聞けばよいか分からず結局止まります。

まずA4 1枚から始める

必須項目は7つありますが、初版から全部を書き込む必要はありません。網羅的なガイドラインを作ろうとして数か月かかり、その間に管理外の利用が広がる——これが最も避けたい展開です。

初版に必ず要るのは次の4つだけです。

残りの項目は運用しながら足します。「今はこの範囲で始め、半年後に見直す」と冒頭に書いておくと、初版を完璧にする必要がなくなります。

条文の形に落とす段階まで進んだら、生成AIガイドラインのひな形――全7条をそのまま使うに全文のテンプレートを置いています。目的から改定プロセスまでを条文化したものと、別表の切り出し方をそのまま流用できます。

書き方で利用率が変わる

同じ内容でも、書き方で伝わり方が逆転します。

禁止事項の数を減らす必要はありません。同じ内容を許可の形で書き直すだけで足ります。読み手が受け取るのは「使ってよい」というメッセージになります。

情報区分マトリクス：「何を入力してよいか」を先に決める

入力可否は、情報の区分ごとに条件を定める形が実用的です。区分を決める前提となるリスクの種類（学習利用・ログ保持・シャドーAIなど）は生成AIのセキュリティリスクと対策で整理しています。考え方の骨格は次の通りです。

区分の線引きと条件は、自社の既存の情報管理規程・契約・利用するツールの仕様（入力データの学習利用の有無など）に依存します。公開前に法務担当または弁護士等の確認を挟むことを推奨します。

既存規程との関係を整理する

多くの企業には、すでに情報管理規程や秘密保持に関する社内ルールがあります。生成AIガイドラインをゼロから独立した規程として作ると、既存規程との矛盾が生じます。

現実的なのは、既存の情報区分をそのまま流用し、「その区分の情報を生成AIに入力してよいか」だけを追記する形です。新しい区分を作らずに済むうえ、社員にとっても既知の分類なので理解が速くなります。

区分は3〜4段階まで

区分を細かくするほど、現場は「これはどれに当たるか」で止まります。実務では3〜4段階で機能します。

あわせて、「迷ったら上の区分として扱う」という原則を1行入れてください。判断に迷う情報は必ず出るので、迷ったときの既定動作を決めておくと、判断コストが下がります。

例外申請の窓口を用意する

原則不可とした区分でも、業務上どうしても必要になる場面があります。その際の申請ルートと判断者を決めておかないと、申請しない（＝黙って使う）か、諦める（＝業務が止まる）のどちらかになります。

窓口を用意しておくと、例外申請の内容そのものが、次の改定で何を緩めるべきかの材料になります。

公開後に必ず起きる3つの問題

ガイドラインは公開して終わりではありません。運用が始まると、ほぼ確実に次の3つが起きます。

「読まれない」

全社通知だけでは浸透しません。メールで一度送って終わり、という周知はほぼ機能しないと考えてください。

対処は、業務で最初にAIを使う場面に接点を埋め込むことです。ツールのログイン画面にリンクを置く、アカウント発行時に確認を求める、申請フローの中に組み込む——読ませるタイミングを、業務の導線の中に作ります。

もう一つ有効なのが、A4 1枚の要約版を別に作ることです。本体が長くなっても、日常的に参照されるのは1枚のほうです。

「解釈を聞かれ続ける」

「この資料は入力していいのか」という個別質問が情シスに集中します。これは悪いことではなく、リスクに気づく人が増えた証拠です。問い合わせがゼロの状態のほうが、気づいていないことを疑うべきです。

対処は、相談窓口の設置に加えて、よくある質問を随時ガイドラインに反映する改定ループを最初から設計しておくこと。同じ質問が3回来たら、それは記載が不明瞭な箇所だと考えて、次の改定で書き足してください。

「ルールは知られたのに利用が増えない」

ここがガイドライン単体の限界です。使ってよい条件が分かることと、業務で使えることは別の能力です。ルール整備の次には、部門ごとのユースケース特定と教育が必要になります。ガイドライン公開とセットで研修を実施する企業が多いのは、この順序が理由です。

出力の取り扱いをどう書くか

入力の話に比べて、出力側の記載が薄いガイドラインが多くあります。しかし実務で事故が起きやすいのは、むしろこちらです。

確認が必要な4つの項目

生成物をそのまま使ってよいかは、内容によって変わります。一律に「必ず確認する」と書いても、何を確認すべきか分からないと実行されません。

この4つを列挙しておくだけで、「確認する」という指示が実行可能になります。

責任の所在を1行で書く

「生成物の内容に対する責任は、使用した本人と承認した上長が負う」——この1行があるかないかで、運用の緊張感が変わります。AIが出したから、という言い訳が成立しない構造を明示してください。

社外に出すものの扱い

顧客向けの文書、公開する記事、契約に関わる文面については、通常の承認フローを通すことを明記します。AIを使ったかどうかで承認フローを変えない、という書き方が実務的です。AI利用に固有の追加承認を設けると、申告しない動機を作ってしまいます。

動画で見る：個人利用を法人契約へ（無料AI講座） →

作成の進め方と関係者

ガイドラインは情シス単独で作ると、現場で使えない文書になります。誰を巻き込むかを最初に決めてください。

巻き込む3者と役割

3つ目が抜けると、現場が実際にやりたいことが禁止された文書ができあがります。事業部門から「この業務でこの情報を使いたい」という具体を先に集めてください。

作成の期間の目安

初版はA4 1枚で構わないので、2〜4週間で出すのが目安です。関係者へのヒアリング1週間、草案作成1週間、法務確認と修正1〜2週間という配分です。

数か月かけて完璧を目指すより、短期間で出して運用しながら直すほうが、実質的なリスクは小さくなります。

経営承認をどう取るか

ガイドラインは規程類として承認が要る組織が多いはずです。承認を取りやすくするには、「禁止のための文書ではなく、安全に使うための文書である」という位置づけを冒頭に明記してください。

あわせて、見直し時期を明記しておくと「一度決めたら変えられない」という警戒が薄れ、承認が通りやすくなります。

公開後の改定をどう回すか

初版を出したら、改定の仕組みが本体になります。

改定のトリガー

• 例外申請が同じ内容で複数回来た——原則側を緩める検討のサイン
• 相談が同じ論点に集中している——記載が不明瞭な箇所です
• 利用ツールの仕様変更——契約形態やデータの扱いが変わったとき
• 社外の制度変更——法令・ガイドラインの改定
• 定期見直し——半年〜1年で必ず一度

改定の記録を残す

いつ、何を、なぜ変えたかを1行ずつ残してください。監査や取引先からの照会で「運用している証拠」として機能しますし、担当者が代わったときの引き継ぎ資料にもなります。

改定を止めない体制

改定のオーナーを1名決めてください。 誰の仕事でもない状態にすると、半年で実態と乖離します。オーナーは情シスでも推進担当でも構いませんが、役職ではなく個人名で決めるのが要点です。ツールの仕様も社内の使い方も変わり続けるため、更新されないガイドラインは「守れないルール」になり、結果として全体が形骸化します。

ガイドラインと研修をセットで設計する理由

ガイドラインが「してよいこと」を定義し、研修が「できること」を作る——この2つは役割が異なり、どちらかだけでは利用は定着しません。

特に、ガイドラインで条件付き可とした操作（機密区分の判断、出力の確認手順）は、読んで理解するより演習で身につける類のものです。「顧客名を伏せれば使える」というルールは、実際に自分の業務文書で伏せる作業を一度やってみないと、現場では実行されません。

そしてルールが守れるのは、読んで理解し、迷ったときに参照する人までです。そもそもリスクに気づかない人はガイドラインの存在にたどり着かないため、そこから先は教育の受け持ちになります。ルール整備の完了は、リスク対策の完了ではありません。

研修に自社ガイドラインを差し込めるか

外部研修を選ぶ際の確認項目として、自社のガイドラインを教材に組み込めるかがあります。一般的なリスク解説だけでは、「自社ではどこまでよいのか」という現場の問いに答えられません。

具体的には、研修の演習題材として「この情報は入力してよいか」を自社の区分で判断させる時間を取れるかどうかです。ここができる研修会社は、事前に自社のルールを読み込む工程を持っているということでもあります。

ルールの次は教育。自社に必要な打ち手を30秒で確認する →

自社が今、ルール整備の段階なのか、教育の段階なのか、それとも先にツール環境の問題なのか。現在地によって次の一手は変わります。