社員がすでに個人でChatGPTを使っているのに、会社としての決めごとはまだない。そんな会社は少なくありません。商工組合中央金庫の調査では、生成AIの使用を個人の判断に任せている中小企業が64.9%でした。
結論を先に言います。最初から分厚い規程は要りません。使うサービス、入力する情報、確認する人など、5つだけをA4一枚に決めて共有することから始めてください。
なぜ今、決めておくべきなのか
総務省「令和8年版 情報通信白書」では、生成AI活用への懸念の1位は情報漏えい（セキュリティリスク）、2位は出力結果の精度、3位は著作権等の権利侵害でした。心配の中心は、技術そのものよりも、情報の扱い方にあります。
同じ白書では、対策として最も多かったのは「全社的な指針・ガイドライン整備」で41.1%でした。
決めごとがない状態では、慎重な社員は使わず、積極的な社員は自分の判断で入力してしまいます。その差が、情報漏えいや出力の誤りに気づく遅れにつながります。ルールは利用を止めるためではなく、同じ判断で使えるようにするためのものです。
決めるのは5つだけです
| # | 決めること | 決め方の要点 |
|---|---|---|
| 1 | 使うサービスとプラン | 会社で使うサービス名とプランを書き、法人プランでは入力データが学習に使われるかどうかを確認する |
| 2 | 入力してよい・いけない情報 | 情報を3区分に分け、迷ったら入力しない |
| 3 | 個人アカウントの扱い | 業務では会社が決めたアカウントを使うかどうかを明記する |
| 4 | 出力の確認者 | 対外文書など用途ごとに、誰が確認してから使うかを決める |
| 5 | 困ったときの相談先 | 氏名や窓口を1つ書き、入力してしまった場合の連絡先も含める |
1つ目では、プランの仕様をうろ覚えで決めないことが大切です。入力データが学習に使われるかどうかは、サービスやプランで扱いが異なる場合があります。具体的な製品の仕様は断定せず、契約前に公式の説明や利用条件で確認し、確認した日付をルールに残してください。
国の指針にも触れておきます。総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（2026年3月31日公表）は、全事業者向けの考え方を示したものですが、法的義務を課すものではない、非拘束的なソフトローです。「義務」と受け取らず、自社のルールを考えるときの土台として使う位置づけが正確です。
現在の使い方をお聞きしたうえで、決めるべき項目をご案内します。
A4一枚の雛形：5項目の文例
下記は、自社の書類名やサービス名、担当者名を書き足して完成する設計の文例です。そのまま自社の正式なルールとして使わず、業務に合わせて見直してから共有してください。
［会社名］生成AI利用ルール（A4一枚・○年○月○日版）
1. 使うサービスとプラン：「業務で使う生成AIは［サービス名／プラン名］とします。他のサービスを業務で使うときは、事前に［相談先の氏名］へ相談してください。」2. 入力する情報の区分：「入力してよい情報は、公開情報と、個人や取引先を特定できない形にした資料です。判断に迷う社内情報は、確認者の許可なく入力しません。入力してはいけない情報は、個人情報、取引先の機密情報、パスワードや認証情報です。」3. 個人アカウントの扱い：「業務では個人アカウントを使いません。会社が用意したアカウントだけを使います。」4. 出力の確認：「AIの出力は下書きとして扱います。社外に出す文書は［確認者の役職・氏名］が内容を確認してから使います。数字や固有名詞は、元の資料で確かめます。」5. 困ったときの相談先：「入力してはいけない情報を入力した可能性があるとき、出力が正しいか判断できないときは、すぐに［相談先の氏名・連絡方法］へ連絡してください。」
入力情報の3区分は、次のように自社の言葉に置き換えると運用しやすくなります。
| 区分 | 例 | 扱い |
|---|---|---|
| 入力してよい | 公開済みの案内文、一般的な文章の下書きの相談 | そのまま使ってよい |
| 確認してから入力 | 社内手順書、取引先名を除いた業務資料 | 確認者の許可を得る |
| 入力しない | 個人情報、取引先の機密情報、認証情報 | どのサービスにも入力しない |
この文例は、コピーして自社の業務名や担当者名を書き足して使ってください。
なお、正直にお伝えします。雛形をそのまま使うことには危険もあります。自社の業務では何が機密に当たるか、誰が確認すべきかは会社ごとに違います。文例は出発点として使い、少なくとも情報の区分と確認者は自社の実情に合わせて書き直してください。
ルールを決めた後の運用
ルールは作って終わりではありません。新しいサービスを使いたいという希望が出たとき、入力事故に近い出来事があったとき、プランの条件が変わったときに、A4一枚を見直す機会を作ります。見直した日付を版として残すと、どのルールで運用していたかを後で追えます。
また、出力の確認者を決めることは、生成AIの誤りを前提にする姿勢でもあります。白書で懸念の2位が出力結果の精度だったように、出力は常に正しいとは限りません。確認者を決めることは、使う人を責めるためではなく、誤りに気づく仕組みを作ることです。
FAQ
Q1. ルールを作ると、社員が使いにくくなりませんか
5項目だけに絞れば、負担は小さく済みます。使ってよい範囲が分かることで、かえって相談や利用が進みやすくなります。
Q2. 個人アカウントでの利用を禁止すべきですか
業務情報を扱うのであれば、会社が決めたアカウントに寄せるほうが管理しやすくなります。自社の扱いを雛形の3項目目で明記してください。
Q3. 法人プランにすれば、情報を入力しても安心ですか
プランだけで安心とは言えません。入力データが学習に使われるかどうかを含め、利用条件を公式情報で確認し、そのうえで入力してよい情報の区分を守ってください。
Q4. 国のAI事業者ガイドラインは守らなければならない義務ですか
いいえ。同ガイドラインは非拘束的なソフトローで、法的義務ではありません。考え方の土台として参照する位置づけです。
Q5. 雛形をそのまま社内規程にできますか
そのままではおすすめしません。情報の区分、確認者、相談先は自社の業務に合わせて見直してから正式な文書にしてください。
まとめ
- 決めることは、サービスとプラン、情報の3区分、個人アカウント、確認者、相談先の5つだけです
- 個人の判断に任せている会社が多い今、A4一枚の共有が情報漏えいへの備えになります
- 雛形は出発点です。自社の業務に合わせた見直しをしてから使ってください
自社のルール作りや、どの業務から使い始めるかで迷う方は、NeXus AIの「利益改善診断」への相談をご検討ください。まずは相談から始めましょう。現在の使い方をお聞きしたうえで、決めるべき項目をご案内します。