生成AIガイドラインのひな形――全7条をそのまま使う

「社内で生成AIを活用していこう」という号令がかかったとき、多くの企業が最初に研修やツール選定から着手します。しかし、その前に整備しておかないと後々つまずくものがあります。社内ガイドライン、つまり生成AIの利用ルールです。

本記事は、そのまま社内に持ち込める条文形式のひな形を中心に据えた実務ガイドです。ガイドラインをどういう設計思想で組み立てるか、公開後にどんな問題が起きるかという考え方の整理は生成AIガイドラインの作り方――必須項目と禁止だらけの回避にまとめていますので、そちらと併せてご覧ください。

ルール整備の次に何へ投資すべきか、自社の段階を30秒で判定する →

結論：ガイドラインは研修より先に、A4 1枚から

ガイドライン不在のまま活用を進めた企業で典型的に起きるのは、次の3つのつまずきです。

1つ目はシャドーAIです。会社として公式のルールがないため、社員が個人アカウントで無料の生成AIツールを業務利用し始め、会社の管理が及ばないところで業務情報が外部サービスに入力されている状態です。禁止していないのだから使う、というのは自然な行動であり、社員を責められません。

2つ目は情報の持ち出しです。顧客情報や未公開の社内情報を、利用規約を確認しないままAIツールに入力してしまうケースです。入力データがサービス側の学習に使われる設定になっていた場合、意図せず情報を外部に提供したことになりかねません。

3つ目は、逆方向の失敗です。事故を恐れるあまり「生成AIは原則禁止」に近い空気が生まれ、誰も使わなくなるパターンです。ルールがないことの不安は、活用の萎縮という形でも現れます。

Fitsel AIでは、企業のAI活用成熟度をリテラシー・業務接続・推進体制・データ／ルール整備の4つの軸で捉えていますが、このうちデータ・ルール整備は他の3軸の土台にあたります。ルールという土台がないまま研修でリテラシーだけ高めても、学んだことを安心して実践できる場がないため、投資が定着につながりません。

なぜ研修より先なのか

「研修とルール整備、どちらを先にやるべきか」という質問には、原則としてルール整備が先とお答えしています。理由は2つあります。

順序を逆にすると研修投資が空回りする

研修で使い方を学んだ社員は、当然すぐに業務で試したくなります。そのとき「どのツールを使ってよいか」「この情報は入力してよいか」が決まっていなければ、社員の行動は二択になります。自己判断で使ってリスクを抱えるか、不安だから使わないか。

前者は事故の種になり、後者は研修効果の消滅を意味します。せっかく高めた活用意欲の受け皿がない状態は、投資として最ももったいない形です。研修が空振りする原因の整理はAI研修は意味ない？効果が出ない研修の5つの共通点でも扱っています。

ルールの存在自体が活用を後押しする

多くの社員が生成AIを使わない理由は、スキル不足よりも「使っていいのか分からない」という不安であることが少なくありません。会社として利用可能なツールと安全な使い方を明示することは、それだけで利用の心理的ハードルを下げます。

ガイドラインは規制であると同時に、「会社は活用を推奨している」という公式メッセージでもあります。冒頭の目的条文をどう書くかで、この意味づけが決まります。

「完成まで研修禁止」という意味ではない

なお、これは「ガイドラインが完成するまで研修をしてはいけない」という意味ではありません。最低限の暫定ルールを短期間で定めて先に施行し、研修と本格的なルール整備を並行させる進め方も現実的です。重要なのは、ルール不在の期間を作らないことです。

そのまま使えるガイドラインひな形（全7条）

以下がひな形の本体です。{{会社名}} などのプレースホルダを自社の内容に置き換えてご利用ください。

{{会社名}} 生成AI利用ガイドライン

第1条（目的）
本ガイドラインは、{{会社名}}（以下「当社」）の役職員が生成AIを業務に安全かつ有効に
活用するための基準を定め、情報漏えい等のリスクを防止するとともに、生成AIの活用による
業務品質および生産性の向上を推進することを目的とする。

第2条（適用範囲）
本ガイドラインは、当社のすべての役員、正社員、契約社員、派遣社員および当社業務に
従事する業務委託先の要員に適用される。適用場面は、当社の業務に関連して生成AIを
利用するすべての場合とする。

第3条（利用可能なツール）
1. 業務で利用できる生成AIツールは、別表1に定めるものに限る。
2. 別表1に記載のないツールを業務利用したい場合は、{{管掌部署}}に申請し、承認を得な
   ければならない。
3. 個人契約のアカウントによる業務利用は、{{管掌部署}}が別途認めた場合を除き、禁止する。

第4条（入力禁止情報）
1. 次の各号に定める情報は、いかなる生成AIツールにも入力してはならない。
  （1）個人情報（顧客、役職員その他を問わない）
  （2）取引先等から秘密保持義務を負って受領した情報
  （3）未公表の財務情報、経営情報および事業計画
  （4）ID、パスワード、APIキーその他の認証情報
  （5）その他当社が機密として指定した情報
2. 前項にかかわらず、{{管掌部署}}が承認した学習利用のない法人契約環境においては、
   別表2に定める範囲で入力を認めることがある。

第5条（出力物の取り扱い）
1. 生成AIの出力内容は誤りを含み得ることを前提とし、利用者は事実関係を確認したうえで
   業務に使用しなければならない。
2. 生成AIの出力を社外向け成果物に使用する場合は、所属部署の定める確認者による確認を
   経なければならない。
3. 出力が第三者の著作物等と類似している疑いがある場合は、使用前に{{管掌部署}}に相談
   しなければならない。

第6条（違反時の対応）
1. 本ガイドラインへの違反が判明した場合、当社は事実関係を確認のうえ、必要な措置を
   講じる。
2. 悪意のない誤入力等が発生した場合、利用者は速やかに{{管掌部署}}に報告するものとし、
   当社は自主的な報告を理由として不利益な取り扱いを行わない。

第7条（改定）
1. 本ガイドラインは、{{管掌部署}}が半年ごとに見直しを行い、必要に応じて改定する。
2. ツールの追加・削除等、別表の変更は{{管掌部署}}の決裁により行うことができる。

附則
本ガイドラインは{{施行日}}から施行する。

別表1（利用可能ツール一覧）
{{利用可能ツール}}

別表2（法人契約環境における入力可能情報の範囲）
{{入力可能情報の範囲}}

ひな形を使う際の2つのポイント

第一に、別表方式を採用している理由です。ツールの追加や入力範囲の見直しは頻繁に発生するため、規程本体と切り離しておくことで、軽い決裁で機動的に更新できます。ツール名を本文に直接書くと、ツールを1つ入れ替えるたびに規程改定の決裁が必要になります。

第二に、第6条2項の「自主報告への不利益取り扱いの禁止」です。この一文があるかないかで、インシデントの早期発見率は大きく変わります。処罰の条文だけを整えると、現場は事故を隠す方向に動きます。

各条をどう埋めるか：7項目の設計指針

ひな形をそのまま使う場合でも、自社の実情に合わせて判断すべき箇所があります。条ごとに設計の勘所を整理します。

第1条 目的――禁止文書に見せない

なぜこのガイドラインを定めるのかを冒頭で宣言します。ここで重要なのは、「リスクを防ぐため」だけでなく「安心して活用を進めるため」という前向きな目的を併記することです。

目的が禁止一色だと、文書全体が萎縮のメッセージとして読まれてしまいます。ガイドラインは活用のブレーキではなく、安全に速度を出すためのガードレールである、という位置づけを最初に示します。

第2条 対象範囲――委託先まで含めるか

誰に適用されるのか（正社員のみか、契約社員・派遣社員・業務委託先も含むのか）、どの利用場面に適用されるのか（業務利用のみか、業務端末での私的利用も含むのか）を定めます。

ここが曖昧だと、委託先経由の情報入力など、想定外の経路で穴が生まれます。委託先を含める場合は、業務委託契約側にも同等の義務を課しているかを確認してください。

第3条 利用可能ツール――ホワイトリスト方式で始める

どの生成AIツールを業務利用してよいかを定めます。方式は大きく2つあり、許可したツールだけ使えるホワイトリスト方式と、禁止ツールだけを列挙するブラックリスト方式があります。

統制のしやすさではホワイトリスト方式が優れており、最初はこちらを推奨します。ただし、新しいツールの追加申請フローをセットで用意しないと、「使いたいのに申請先がない」という形骸化が起きます。

第4条 入力禁止情報――ここが心臓部

ガイドラインの中核です。何を入力してはいけないかを、社員が迷わず判断できる粒度で定めます。一般的には、個人情報（顧客・社員を問わず）、取引先から秘密保持義務を負って受領した情報、未公表の財務・経営情報、認証情報（パスワード・APIキー等）、その他社内で機密指定された情報が禁止対象の中核になります。

注意したいのは、契約形態によって扱いが変わる点です。入力データが学習に使われない設定の法人契約ツールと、個人向け無料ツールでは、同じ情報でもリスクの度合いが異なります。

入力可否マトリクスの作り方

「どのツールなら、どのレベルの情報まで入力してよいか」をマトリクスで示せると、現場の判断迷いが大きく減ります。構成のイメージは次のとおりです。

区分の呼び方や段階の数は、自社の既存の情報区分に合わせて調整してください。大切なのは、社員が入力の瞬間に「この情報はどの行か、このツールはどの列か」を数秒で判断できる形になっていることです。文章で長々と条件を書くより、この一覧表が周知資料の中心になります。

見落とされがちな「間接的な入力経路」

線引きの検討で漏れやすいのが、キーボードから直接打ち込む以外の入力経路です。

たとえば会議の録音データを文字起こしツールにかける場合、発言内容に顧客名や個人情報が含まれていれば、それは個人情報の入力にあたります。ファイル添付、画像内の文字、議事録の一括要約など、間接的な経路も対象になることを、ガイドラインか周知資料のどちらかで明示しておくと事故を減らせます。関連するリスクの全体像は生成AIのセキュリティリスクと対策で整理しています。

第5条 出力物の取り扱い

生成AIの出力をそのまま使うことのリスクを定めます。少なくとも、事実確認を人間が行う義務（生成AIは誤った情報をもっともらしく出力することがあるため）、社外に出す成果物における最終確認者の明確化、他者の著作物と類似した出力への注意、の3点は明文化すべきです。

著作権をはじめとする法的な論点は解釈が発展途上の領域も残るため、ガイドラインでは確定的な法解釈を書き込むのではなく、「疑わしい場合は管掌部署に相談する」という逃がし先を用意しておくのが実務的です。

第6条 違反時の対応――自主報告を殺さない

違反があった場合にどう扱うかを定めます。ここで処罰を強調しすぎると、ヒヤリハットの報告が上がらなくなるという副作用があります。

推奨したいのは、故意・重過失と、悪意のないミスを分けて扱う設計です。特に運用初期は、報告を歓迎する姿勢を明示したほうが、結果的にリスクの早期発見につながります。

第7条 改定プロセス

生成AIを取り巻く環境は数ヶ月単位で変わります。ガイドラインを固定文書にせず、見直しのサイクル（例：半年ごと）と改定の決裁ルートをあらかじめ定めておきます。

「いつ・誰が・どう変えるか」が決まっていない規程は、実態と乖離したまま放置され、守られない文書になっていきます。

失敗パターン：厳しすぎても緩すぎても機能しない

ガイドライン策定でよくある失敗は、対極の2パターンです。

厳しくしすぎて利用が死ぬ

リスクを網羅的に潰そうとするあまり、「入力前に上長承認が必要」「利用のたびに記録を提出」といった重い手続きを課してしまうケースです。手続きコストが利用メリットを上回ると、社員は公式ルートを使わなくなります。

その結果起きるのは利用の停止ではなく、シャドーAIへの回帰です。つまり、厳しすぎるルールは統制を強めるどころか、管理の外側に利用を押し出してしまいます。

緩すぎて事故が起きる

逆に、「常識の範囲で使ってください」程度の抽象的なルールしか定めないケースです。何が常識かは人によって異なるため、判断は各自に委ねられ、結果として最もリスク感度の低い社員の行動が組織のリスクになります。線引きは具体的でなければ機能しません。

解決策：段階的に緩める設計

この2つの失敗を避ける実務的な方法が、「最初はやや厳しめに定め、運用実績に応じて段階的に緩める」設計です。

逆方向、つまり緩く始めて事故後に締める運用は、締めるたびに現場の不信を生み、活用の機運そのものを冷やします。最初に「このルールは半年後に見直し、問題がなければ緩和する」と宣言しておけば、厳しめのスタートでも現場の納得を得やすくなります。緩和の実績はそのまま、会社が活用に前向きであるというメッセージにもなります。

策定の進め方：5つのステップ

7項目の中身が分かっても、社内でどう進めるかが見えないと着手できません。標準的な策定手順を5つのステップで示します。

ステップ1：体制を決める

まず、誰が起案し、誰が決裁するかを決めます。実務上は、DX推進部門や情報システム部門が起案し、法務・人事が確認、経営会議で決裁という流れが多くなります。

重要なのは、現場部門の代表者を早い段階で巻き込むことです。管理部門だけで作ったルールは、現場の業務実態と噛み合わず、施行後に守られない規程になりがちです。

ステップ2：利用実態を把握する

ルールを作る前に、いま社内で何がどう使われているかを簡単な匿名アンケートで把握します。すでにシャドーAIが広がっている場合、それを無視して禁止から入ると、実態との乖離が最初から発生します。

「正直に答えても不利益はない」ことを明示して実態を集めると、線引きの解像度が上がります。

ステップ3：ドラフトを作る

本記事のひな形をベースに、自社の情報区分や既存の情報セキュリティ規程と整合させながらドラフトを作ります。ゼロから書き起こす必要はありません。

既存規程との関係では、生成AIガイドラインを独立文書にするか、情報セキュリティ規程の下位文書として位置づけるかを決めておくと、後の改定管理が楽になります。

ステップ4：一部部署で試行する

いきなり全社施行せず、活用意欲の高い1〜2部署で試行運用することをおすすめします。試行期間中に「この業務ではこの線引きだと困る」という具体的な声を集め、ルールを調整します。この工程を挟むかどうかで、全社展開後の摩擦が大きく変わります。

ステップ5：全社展開と周知

施行時の周知は、文書の回覧だけでは読まれません。最低限、要点を1枚にまとめた早見表（入力してよい情報・だめな情報のマトリクスなど）を用意し、説明の機会をセットにすることを推奨します。

ガイドラインの本文を全員が読む状態は現実には作れないため、「迷ったときにどこを見るか・誰に聞くか」だけは全員に浸透させる、という優先順位で設計するのが実務的です。全社展開の段取り全体は生成AIの社内展開の進め方にまとめています。

ガイドラインの次に何をすべきか、自社の4軸スコアを30秒で確認する →

ガイドラインができたら、次は「使える状態」を作る

ガイドラインの制定はゴールではなく、スタートラインです。ルールという土台ができたら、次はその上で社員が実際にAIを使いこなせる状態を作る段階に入ります。

ここで打ち手の選択肢が分かれます。全社のリテラシーを底上げする研修が必要な会社もあれば、まず業務に合ったツールの導入が先の会社もあります。少数の推進人材を育てる内製化が適する会社もあれば、外部の伴走支援を入れたほうが早い会社もあります。どれが正解かは、自社の現在地によって異なります。

Fitsel AIでは、リテラシー・業務接続・推進体制・データ／ルール整備の4軸で自社のAI活用成熟度を無料で判定できます。ガイドライン整備の次に何へ投資すべきかを考える材料として、ぜひご活用ください。