生成AI利用ガイドラインの作り方｜そのまま使える雛形つき

「これ、AIに入れていいやつですか」。契約書を開いたまま、社員が席まで聞きに来る。答える側にも確信はない。その場の空気で決まり、翌週には違う答えになる。同じ質問が月に何度も戻ってくるのは、判断の基準が社内のどこにも書かれていないからです。

生成AIの利用ガイドラインづくりでつまずくのは、たいてい次の3点です。

• 何から決めるのか順番が分からず、他社の雛形を眺めたまま止まる
• 禁止事項は並べたが、現場が守っているか確かめる手段がない
• 写してきた条文が自社の業務に当てはまらず、誰も読まない文書になる

この記事は、条文の書き方ではなく決める順番を軸に組み立てています。次のことに答えます。

• 4つの決定を、どの順番で、社内の誰が決めるか
• 先に決めると後戻りする論点と、後回しでよい論点の線引き
• A4で2枚に収まる雛形11項目と、叩き台を作らせる指示文
• 無償で配られている公的な雛形・資料4件を実際に開いて確かめた結果

Saix自身、社内マニュアルを70本前後まで増やしながらAIに読ませ、社員が日々そこへ質問できる状態で運用しています。

誰にどの資料を見せるか、AIに何を渡すかは、部署単位で線を引いて仕組みに落としました。決めた順番も、決めた後に直した箇所も社内に残っています。

ルールを作る側であり、そのルールに縛られる側でもある立場から、机上論ではなく運用が続く形で書きます。無償公開されている雛形と公的資料4件も、実際に開いて中身を確かめました。

規定とガイドラインは役割が違う｜先に決めるのは文書の形でなく決定の順番

規定は、守らせるための文書です。適用範囲と違反時の扱いを明記し、就業規則や情報管理規程の体系に組み込みます。

ガイドラインは、現場が迷ったときに自分で判断するための物差しです。禁止を並べる文書ではなく、判断の基準を配る文書だと考えると位置づけを間違えません。

ただし、中小企業でこの2つを別々に作る必要はありません。決めた内容が1つなら、置き場所も1つで足ります。会社の規模が大きくなり、部署ごとの例外が増えた段階で分ければ十分です。

言葉の定義に時間を使う会社は多いのですが、読む側から見れば違いはほとんど関係ありません。読んだ社員が「では自分は何をどうすればいいのか」に答えられれば、名前はどちらでも構いません。

この記事は文書の形に踏み込みません。扱うのは何を、どの順番で、誰が決めるかです。条文の並びや言い回しを整えたい方には、規定という文書の章立てと書き方が先です。

決める順番は4つ｜使ってよい業務から入り、違反時の扱いで閉じる

決めることは4つしかありません。使ってよい業務、入れてよい情報、出力の確かめ方、違反時の扱い。この順に並べると、後ろの決定が前の決定に矛盾しません。逆から決めても、何が違反なのかは使ってよい業務が決まるまで書けません。

順番	決めること	決める人	これが出せたら完了
1	使ってよい業務	経営者＋各部門の責任者	部署ごとに1〜2件を名指しした業務の一覧
2	入れてよい情報	経営者＋情報を持つ部門	「入れてよい」側から書いた一覧と、相談窓口の指定
3	出力の確かめ方	各部門の責任者	業務ごとに「誰が・何を見て・通す条件は何か」を書いた行
4	違反時の扱い	経営者＋人事	報告先・初動・再発防止までの経路図

4行のうち、社外の知識が要る行は1つもありません。自社の中を見れば答えが出ます。

決定1：使ってよい業務を先に選び、それ以外は「使わない」で揃える

全社一律の可否から入ると詰まります。部署ごとに、AIを使ってよい業務を1〜2件だけ名指しします。

金属加工の現場を持つ製造業では、営業部の「見積書の文面づくり」と、製造部の「作業手順書の下書き」の2件から始めた例があります。検査記録や図面の扱いは、この段階では対象に入れません。

名指しされていない業務は「使わない」で揃えるのが要点です。「原則自由、危ないものは禁止」にすると、危ないかどうかを社員が毎回判断することになり、基準は人によってばらつきます。

Saixでも部署ごとに渡すものを変えています。研修の道筋は共通が3段階までで、その先はコンサル・営業・マーケで別です。

どの業務から手をつけるかで迷ったら、特定の人しか対応できない業務の洗い出し方が判断材料になります。頻繁に人に聞かれている業務ほど、AIを入れた効果が早く見えます。

決定2：入れてよい情報から書き、禁止リストを短く保つ

ここで多くの会社が禁止リストから書き始めます。取引先名、金額、個人情報、契約内容、原価。書き出すと際限がなくなり、読み終わる頃には何を入れてよいのか分からなくなります。

順番は逆です。「これは入れてよい」を先に書き、それ以外は相談という形にすると、一覧は10行以内に収まります。

入れてよい情報の例は、公開済みの製品仕様、社外に出しているカタログの文面、社内の作業手順、一般に公開されている法令や規格の条文です。他社の一覧を写さず、自社の資料名で書きます。

相談窓口を決めないまま「それ以外は相談」と書くと、現場は自分で判断します。一覧の直後に窓口の部署名を置くのが、この形が回る条件です。

決定3：出力を誰が何を見て通すかを、業務ごとに書く

「人が最終確認する」とだけ書かれたガイドラインは、確認されないまま運用されます。確認する人も、見る場所も、通す条件も決まっていないからです。

書くべきは3つです。誰が確認するか。何と突き合わせるか。どうなったら通してよいか。この3つが業務ごとに埋まっていれば、確認は判断ではなく作業になります。

たとえば見積書の文面なら、確認するのは営業課長、突き合わせるのは価格表と過去の同種案件、通す条件は「金額と納期の記載が価格表と一致していること」です。

Saixの社内AIヘルプデスクも、答えと一緒に根拠にした資料を最大3件まで示します。社員はそれを開いて突き合わせます。

生成AIは、もっともらしい誤りをそれらしい文章で書きます。ハルシネーション（事実でない内容を自信のある書きぶりで出す現象）と呼ばれますが、名前を覚えるより突き合わせる相手を決めるほうが効きます。

決定4：違反を罰でなく報告で扱い、隠されない経路にする

最後に決めるのが、想定外のことが起きたときの扱いです。ここを罰則の重さから議論すると、報告が上がってこない設計になります。

入れてはいけない情報を入れてしまった社員が、黙って画面を閉じる。これが最悪の結末です。初動で必要なのは処分ではなく、何をどこに入れたかの事実です。

報告先を1箇所に決め、報告した時点では処分しないと明記します。そのうえで、事実確認、利用停止の要否、再発防止の順で動く経路を1枚に書きます。

報告が上がる会社は、影響範囲を1日で確定できます。上がらない会社は、数ヶ月後に取引先からの問い合わせで知ることになります。

先に決めると後戻りする論点3つ｜ツール選定を最初に置くと全部やり直しになる

順番を守るとは、先に触らない論点があるということです。後戻りが起きやすいのは次の3つです。

1つ目は、ツールと契約プランの選定です。使ってよい業務が決まっていない段階では、必要な機能も、扱う情報の重さも分かりません。先に契約してから業務を探すと、使わない機能に毎月払い続けることになります。

2つ目は、罰則の重さです。何が違反かは、使ってよい業務と入れてよい情報が決まって初めて定義できます。定義の前に罰の話をすると、議論は感情論になり、そのまま数ヶ月止まります。

3つ目は、全社一律のルールから入ることです。経理と営業と製造では、扱う情報も、確認できる相手も違います。一律で書くと、公開した直後から例外の申請が積み上がります。

全社で共通にするなら、原則を1つだけにします。「名指しされた業務以外では使わない」だけを共通にし、業務の名指しは部署に任せる形にすると、例外の申請が要りません。

Saixの社内AIヘルプデスクも、共通の制限は月3,000円の上限1つだけです。分単位や利用者ごとの制限は置いていません。

逆に、後回しでよい論点もはっきりしています。文書のフォーマット、決裁の承認フロー、社外へ公表するかどうか。この3つは、中身が固まってから整えれば足ります。

止まる会社の多くは、決められないのではなく、決める順番が混ざって議論が戻り続けています。同じ論点に3回戻ったら、順番が壊れているサインです。

渡せる材料の側を先に絞る｜「入力しないで」は繁忙期に必ず破れる

ここが、この記事でいちばん伝えたい部分です。禁止事項を書き並べる方法には、構造的な弱点があります。

禁止で守るとき、守る主体は人の注意力になります。注意力は繁忙期に必ず落ちます。月末の締めの最中に「毎回伏せてから貼る」は破れます。破れた1回で漏洩は成立します。

一方、AIが読みに行ける資料の範囲を入口で絞る設計は、注意力に依存しません。そもそも渡さなかった情報は、後から出てきません。

Saixの社内ポータルでは、部署の区分を5つに分け、資料ごとに公開する部署を指定しています。社内のAIヘルプデスクが回答に使う資料も、質問した人の部署で見える範囲にそろえました。

他部署限定の資料の中身が、AIの回答経由で出てくることはありません。見える範囲の判定を1つの処理にまとめているからです。

顧客の案件を記録する画面では、金額と取引先の実名をそもそも項目として持っていません。伏せ字にするのではなく、データとして存在させない形です。

部署ごとに見える資料を分ける考え方は、社内の問い合わせにAIが答える仕組みの作り方で具体的に書いています。

もうひとつ、材料の側で確かめるべきなのが契約プランです。入力した内容が学習に使われるかどうかは、同じサービスでも契約の種類で変わります。

実際に公式ページを開いて確認したところ、Anthropicは商用向け製品について、既定では入力した内容も出てきた回答もモデルの学習には使わない、と明記していました。

原文は「By default, we will not use your inputs or outputs from our commercial products … to train our models.」です。

ただし、これは商用向けの契約に限った表記です。同じ会社のサービスでも、個人向けのプランでは扱いが変わります。

たとえば、地域で3店舗を運営する調剤薬局。会社が法人契約を結んでいても、担当者が個人アカウントで服薬指導の文面を作れば、その契約は効きません。契約したかどうかと、現場がその契約で開いているかは別の話です。

雛形の4番目に「使ってよいサービスと契約プラン」を置いているのは、この取り違えが起きるからです。自社が使うサービスの公式ページを開き、契約の種類まで確かめてください。

そのまま使える雛形11項目｜A4で2枚に収める

4つの決定が終わったら、文書に落とします。項目は11個で足ります。A4で2枚を超えると、現場は読まずに閉じます。

各項目は3行以内で書きます。長く書くほど正確になるのではなく、長く書くほど読まれなくなります。効くのは手順の細かさより、やってはいけない動作と例外時の持っていき先です。

• 1. 目的何のためにこの文書があるのかを2行で。守らせるためでなく、迷ったときに判断できるようにするため、と書く
• 2. 対象者正社員だけか、業務委託や派遣も含むか。ここを曖昧にすると外部の人が判断できない
• 3. 使ってよい業務部署ごとに1〜2件を名指し。決定1で作った一覧をそのまま貼る
• 4. 使ってよいサービスと契約プランサービス名とプラン名まで書く。個人の無料アカウントで代替されるのを防ぐ
• 5. 入れてよい情報自社の資料名で書く。「機密でない情報」のような抽象語にしない
• 6. 入れてはいけない情報5に入らないものは相談、と1行で閉じる。列挙を伸ばさない
• 7. 出力の確認手順業務ごとに、誰が・何と突き合わせ・どうなったら通すか
• 8. 社外に出すときの扱い提出物・納品物にAIの出力を使う場合の確認者と、取引先への説明の要否
• 9. 相談窓口部署名と連絡手段。個人名でなく役割で書く
• 10. 事故が起きたときの連絡経路報告先、報告した時点では処分しない旨、初動の順番
• 11. 見直しの頻度と担当3ヶ月ごと、担当は部署名で指定。日付を入れて次回を確定させる

Saixの社内マニュアルにも、月ごとに書き換える前提の1本があります。周期を先に決めると、更新が誰かの記憶頼みになりません。

11項目のうち、実際に埋めるのに時間がかかるのは3・5・7の3つです。

この3つは社内で聞かないと埋まりません。3つを埋める打ち合わせを1回入れれば、ガイドラインづくりは半日で終わります。

使ってよい業務の中身が言葉になっていないと、3と7は埋まりません。手順が誰かの頭の中にしかない場合は、業務の手順をAIで文書に落とす手順を先に通したほうが早く終わります。

叩き台は生成AIに作らせて構いません。埋めた情報を渡して骨格を出させ、人が業務名と確認者を直す形が最短です。次の指示文をそのまま貼って、括弧の中を自社の内容に置き換えてください。

中小企業の総務・情報管理の担当者として、
次の情報をもとに生成AIの利用ガイドラインの叩き台を、A4で2枚以内にまとめてください。

【会社の前提】
・業種：（例：金属加工の製造業）
・従業員数：（例：45名）
・使うサービスと契約プラン：（例：法人向けの有料プラン）
・AIを使ってよい業務：（部署ごとに1〜2件を名指しで書く）
・AIに入れてよい情報：（例：公開済みの製品仕様、社内の作業手順書）
・AIに入れてはいけない情報：（例：取引先名、金額、個人情報）
・出力を最終確認する人：（役職で書く）
・相談窓口：（部署名で書く）

【書き方の条件】
・見出しは次の11項目にする
  目的／対象者／使ってよい業務／使ってよいサービスと契約プラン／
  入れてよい情報／入れてはいけない情報／出力の確認手順／
  社外に出すときの扱い／相談窓口／事故時の連絡経路／見直しの頻度と担当
・1項目あたり3行以内。入社1年目が読んで分かる言葉にする
・禁止事項を並べる前に「これは使ってよい」を先に書く
・現場が迷いそうな場面を3つ挙げ、それぞれ「この場合はこうする」と結論まで書く

出てきた文章は、そのまま配らないでください。業務名と確認者だけは、AIが知らない自社の実態です。ここを直せば、残りはほぼそのまま使えます。

ゴール：11項目がA4で2枚に収まり、3と5と7に自社の資料名・業務名・役職名が入っていればOKです

公開されている雛形と公的資料｜無償で配られているのは4件

ゼロから書く必要はありません。国内で無償公開されている雛形と公的資料を実際に1件ずつ開いて確かめたところ、中小企業が使えるのは次の4件でした。

資料名	発行元	公開時点	費用（公式表記）	どう使うか
生成AIの利用ガイドライン（第1.1版）	一般社団法人日本ディープラーニング協会	2023年10月公開	無料	自社文書の下敷き。条項のみ版と簡易解説付版があり、解説付から読むと判断の理由まで追える
AI事業者ガイドライン（第1.2版）	総務省・経済産業省	令和8年3月31日公表	無料	全社の方針を書くときの考え方。付録のチェックリストで抜けを潰せる
生成AIサービスの利用に関する注意喚起等について	個人情報保護委員会	令和5年6月2日公表	無料	個人情報を入れる場面の線引き。決定2の根拠として引ける
テキスト生成AI利活用におけるリスクへの対策ガイドブック（α版）	デジタル庁	2024年6月10日版	無料	政府の情報システム向けなので、そのままは使わない。リスクの洗い出し方だけ借りる

※本記事に挙げた資料の名称・版・公開時点・費用は、すべて各発行元の公式サイトの記載（2026年8月時点）にもとづきます。改訂される場合があるため、利用時は必ず公式サイトで最新版をご確認ください。

4件のうち、雛形として条文がそのまま載っているのは1件目だけです。残りの3件は考え方と点検表であって、埋めれば完成する文書ではありません。

よくある失敗4つ｜取り返しがつかないのは、決めた後に誰も見に来ないこと

失敗1：決めた人と使う人が違い、現場が知らないまま運用が始まる

経営会議で決まり、共有フォルダに置かれ、朝礼で1度読み上げられて終わる。この流れだと、3ヶ月後に「そんな文書ありましたか」と返ってきます。

止め方は、部署ごとに15分の読み合わせを1回だけ入れることです。全社一斉の説明会より、部署ごとの15分のほうが定着します。自分の業務名が出てくるからです。

Saixでは人が読み合わせるのは最初の1回だけで、以降の確認は理解度クイズの80%合格に置き換えています。

失敗2：禁止リストだけが伸び、判断に迷う場面が1つも減らない

禁止を足すのは簡単なので、改訂のたびに行が増えます。ところが現場が迷うのは、リストに載っていない場面です。

止め方は、迷った場面を窓口に集め、判断の例として文書に足していくことです。禁止の行を増やすのではなく、判断例の行を増やします。

禁止の行が20を超えたら、増やす方向を間違えているサインです。読む側が探しているのは禁止の行ではなく、自分の場面に近い判断例です。

Saixの社内AIヘルプデスクは、届いた質問を8つのカテゴリに自動で仕分けています。質問が集まった領域が、次に足す判断例です。

失敗3：更新の担当が決まっておらず、半年で内容が実態とずれる

契約プランが変わる。使ってよい業務が増える。サービスの仕様が変わる。半年あれば、前提のどれかは必ず動きます。

止め方は、雛形の11番目に見直しの頻度と担当を書き、次回の日付まで入れることです。担当を個人名でなく部署名で書くと、異動で止まりません。

失敗4：質問できる先が無く、迷った社員が黙って自分で判断する

たとえば注文住宅の工務店で、設計担当が施主とのやり取りをAIに要約させる場面。聞ける先が無ければ、住所の記載を消すかどうかも本人の判断になります。

止め方は、窓口を1つに決めて文書の先頭近くに書くことです。窓口が10番目にあると、迷った人は探す前に自分で決めます。

決めた内容を現場に届ける段は、社内でAIの使い方を教える場の作り方と同じ設計で考えると回ります。文書を配る作業ではなく、判断を配る作業だと捉えると、届け方が変わります。

よくある質問

Q. 生成AIに社外秘の資料を入れてしまうのは、ガイドラインで防げますか

文書だけでは防ぎきれません。禁止で守ると、守る主体が人の注意力になり、繁忙期に破れます。

ガイドラインは残したうえで、AIに渡せる資料の範囲を入口で絞る設定を先に入れてください。設定は一度入れれば以後は誰の注意力にも依存せず、文書との二重の備えになります。使っているサービスの契約プランも、同じ機会に見ておきます。

Q. 何名くらいの会社からガイドラインが必要ですか

人数ではなく、社員が個人の判断でAIを使い始めた時点で必要です。10名の会社でも、経営者以外がAIを触っているなら要ります。最初はA4で2枚、4つの決定だけを書いた版で構いません。完璧な版を待つより、書き直す前提で早く出すほうが事故は減ります。部署別の例外は、人数が増えてから足せば間に合います。

Q. 無償で配られている雛形だけで作りきれますか

骨格までは作れます。条文がそのまま載っているのは日本ディープラーニング協会の雛形で、章立てと言い回しはそこから借りられます。

ただし使ってよい業務と確認者は自社にしかない情報です。ここを埋めずに配ると、読んだ社員が自分の業務との関係を判断できません。この2箇所を埋める打ち合わせが、実質的な作業のすべてです。

まとめ

生成AIの利用ガイドラインは、文章力で差がつく文書ではありません。使ってよい業務、入れてよい情報、出力の確かめ方、違反時の扱い。この4つを、この順番で決めれば形になります。決める人も、順番に沿って自然に決まります。

順番を守る意味は、後戻りを消すことにあります。ツール選定や罰則の議論から入った会社が数ヶ月止まるのは、決められないからではなく、決める前提がまだ無いからです。禁止を増やす前に、AIへ渡せる材料の側を絞るほうが早く効きます。この順番は、会社の規模が変わっても同じです。

次の一手は、部署ごとに使ってよい業務を1〜2件だけ名指しすることです。ここが埋まれば、残りの3つは連鎖して決まります。学習に使われるかどうかの見方はAIに社内資料を読ませるときの学習の扱いに、決めた内容を現場が動ける手順書まで落とす段階はAIマニュアル構築支援に整理しています。