生成AIの社内規定の作り方｜利用ルールをテンプレートで整える手順

「このチャット、契約書の内容を貼っていいんでしたっけ」。後輩からの質問に、上司が答えに詰まる。ダメな気はするが、理由が説明できない。それでも翌日も後輩はAIを使い続けます。使わない方が非効率だと、誰もが分かっているからです。社内に判断基準がないまま、生成AIだけが先に広がっています。

生成AIの導入でつまずくのは、たいてい次の3点です。

• 何をどこまで許可するか、決めた人がいない
• 入力してはいけない情報の線引きが、感覚的にしか共有されていない
• 違反が起きたとき、誰がどう対応するかが決まっていない

この記事では、次のことに答えます。

• 生成AIの社内規定に入れる6項目
• 生成AIを使って規定の叩き台を作る5ステップ（そのまま使えるプロンプト付き）
• 作った規定を「配って終わり」にしない運用の仕方
• Saixが入力禁止情報を仕組み側で守っている実例

Saix自身、社内マニュアルの作成・運用にAIを使いながら、AI利用のガイドライン自体も社内規定として整備しています。作り手であり運用者でもある立場から、手を動かす前提で書きます。

社内マニュアルそのものの作り方は社内マニュアルをAIで作る方法で扱っています。ここでは業務手順ではなく、利用ルールを定める規定文書に絞ります。先に規定を固めてから進むと手戻りが減ります。

なぜ規定が要るか｜シャドーAI利用のリスクは3つ

生成AIは、会社の許可を待たずに使われ始めます。ChatGPTやGeminiは無料で、情報システム部門を通さず個人アカウントで今日から使えるからです。会社が決める前に、現場が先に使い始める。この状態を「シャドーAI」（会社が把握していない個人判断のAI利用）と呼びます。

ある会社の経理部門では、請求書のPDFを丸ごと生成AIに読み込ませ、取引先の口座番号まで入力していた、という話も聞きます。本人に悪気はなく、便利だから使ったケースがほとんどです。

放置すると起きるリスクは3つです。1つ目は情報漏えい。入力した文章は、設定次第でAI側の学習データに使われます。2つ目は誤情報の混入。生成AIは、もっともらしい嘘（ハルシネーションと呼ばれる、事実と異なる内容を自信ありげに書く現象）を混ぜることがあります。

3つ目は著作権・労務のトラブルです。生成物の権利関係や、業務時間内の私的利用が曖昧なまま広がります。3つとも「誰も線を引いていないこと」が原因です。

規定を作る目的は、生成AIを禁止することではありません。安心して使える範囲を決め、外側にガードレールを引くことです。禁止だけを並べた文書は現場に敬遠され、結局読まれません。

社内規定と業務マニュアルは別物｜作る対象を最初に決める

「AIのマニュアルを作る」と聞くと、多くの人は業務手順書を思い浮かべます。ですが、生成AIの社内規定は、手順書とは扱う対象が違います。

業務マニュアルは「AIを使ってどう作業するか」を書く文書です。一方、社内規定は「AIを社内でどう使ってよいか」を決める文書です。後者が無いまま前者だけを整えても、入力してはいけない情報がAIに渡り続けます。

たとえば「議事録の作り方」という業務マニュアルを整えても、「録音データをそのままAIに投げてよいか」が決まっていなければ、個人情報が入った音声が外部へ渡ります。マニュアルと規定は両輪で初めて機能します。

規定に書くのは、利用範囲・入力禁止情報・承認フロー・違反時の対応の4本柱です。次の章で実際に入れる6項目に分解します。ツール自体の比較はマニュアル作成AIツール比較で扱っています。

社内規定に入れる6項目｜抜けやすいのは違反時の対応

生成AIの社内規定に必要な項目は、次の6つに整理できます。ひな形サイトの多くは①〜④までは書いていますが、⑤⑥は「後で決める」として空欄のまま公開されがちです。

項目	決めること	抜けると起きること
①目的・適用範囲	誰が・どの業務で対象か	部署によって解釈が割れる
②利用可能なAI・アカウント	会社支給か個人契約か	個人アカウントでの利用が野放しになる
③入力禁止情報	顧客情報・未公開の契約条件・個人情報など	気づかないまま機密が漏れる
④生成物の取り扱い	事実確認の義務・著作権の扱い	誤情報がそのまま社外に出る
⑤承認フロー	何を誰の承認で使ってよいか	現場判断でルールが形骸化する
⑥違反時の対応	指導か懲戒か、誰が判断するか	発覚しても対応が決まらず放置される

①〜④は多くの会社が直感的に埋められます。迷うのは⑤と⑥です。⑤承認フローは「誰の許可が要るか」を決める話で、部署をまたぐと途端に曖昧になります。承認者を1人か1つの窓口に絞らないと、部署ごとに解釈が割れます。窓口が複数あると、都合のいい方に聞きに行く「規定のショッピング」が起きます。

③入力禁止情報は、業種によって中身が変わります。ここを曖昧にしたまま公開すると、規定そのものが機能しません。迷ったら、最低限ここだけは押さえてください。

• 顧客の個人情報氏名・連絡先・購買履歴などは、本人の同意なく外部AIに渡してよい情報ではありません
• 未公開の契約条件見積もり金額・契約書の下書きは、取引先との信頼関係に直結します
• 人事・評価情報給与・評価コメント・懲戒履歴は、対象者本人にも開示していない場合があります
• 未公開の経営情報決算前の数値やM&A（会社の合併・買収）の検討状況は、社外への流出が重大な結果を招きます

6項目のうち、誰が最終責任者になるかも決めておくと迷いません。①②は経営層、③④は各部署の管理職、⑤⑥は情報システムか総務が持つ、という分担にすると、部署をまたぐ調整が減ります。中小企業では兼任になりがちですが、「誰が持つか」を空欄にしないことが重要です。

担当と決裁の置き方から社内を通す流れは、AI導入の体制づくりと稟議の通し方で扱っています。

規定は一度作ったら終わりではありません。生成AIのツールや利用規約は数か月単位で変わるため、半年に1回は6項目を点検してください。全面改訂ではなく、③入力禁止情報と②利用可能なツールの2つを見直せば十分です。

実際に公式に近い資料を確認したところ、総務省・経済産業省が2025年3月に改定した「AI事業者ガイドライン」（第1.1版）でも、事業者が自主的にリスクを認識し対策を実行する枠組みが示されています。

国の指針は「こう考えて設計してください」という大枠であり、条文そのものを配ってはくれません。自社の業務に合わせて6項目を埋める作業は、結局、自社でやるしかありません。公開されているひな形をそのまま使うと、業種特有の入力禁止情報が抜け落ちます。

違反時の対応を決めないと、発覚した瞬間に対応がぶれます。「今回だけは大目に見る」が一度でも起きると、規定そのものが形骸化します。懲戒までいくのか、注意で済ませるのかを、事前に区切っておく必要があります。

たとえば、ある製造業の生産管理部門では、図面データをAIに読み込ませて改善提案を作らせたところ、取引先の設計情報が丸ごと入力されていたことが後日判明しました。最初の一件をどう扱うかが、その後のルールの信頼性を決めます。

生成AIで社内規定の叩き台を作る5ステップ｜骨格はAIに任せてよい

叩き台を作る前に、5つの手順を順番に踏みます。一度に全部を完璧にしようとしないことが、止まらないコツです。

何を対象業務とツールを決める
どうやって部署ごとに、いま実際に使われている生成AIツールを洗い出します。個人契約か会社支給かも確認します（例：営業部はChatGPT、開発部はClaude）。

何を6項目の素材を箇条書きで用意する
どうやって前章の表の右列（決めること）を、自社の言葉で1行ずつ埋めます。まだ決まっていない項目は空欄で構いません。次のステップでAIが「要検討」として埋めます。

何を生成AIにたたき台を書かせる
どうやって次章のプロンプト（AIに「こう作ってほしい」と伝える指示の文章）に、集めた素材を貼り付けます。出てくるのは骨格なので、完璧さを求めないでください。

何を事実確認して自社仕様に直す
どうやって法務・情報システム部門の目線で読み直し、業界特有の禁止情報を追加します。たとえば人材紹介業なら、応募者の職歴・年収などが業界特有の入力禁止情報にあたります。

何を周知して運用を始める
どうやって全社説明会か資料配布に加え、質問を受け付ける窓口を1つ決めます。情報システム部門でも総務でも構いません。決めること自体が重要です。窓口が無いと、疑問は個人判断に戻ります。

ゴール：6項目が埋まり、誰が読んでも「入力してよいか迷わない」規定になっていればOKです。たたき台なら半日、社内確認まで含めて数週間が目安です。

そのまま使えるプロンプト｜項目を埋めるだけで骨格ができる

下のプロンプトを使うと、6項目の骨格を一度に生成できます。自社の情報を【 】の中に書き換えて使ってください。

以下の条件で、生成AIの社内利用規定のたたき台を作ってください。

【自社の情報】
・業種：（例：金属加工業）
・従業員数：（例：40名）
・利用させたいAIツール：（例：ChatGPT Business、Claude）
・すでに入力を禁止したい情報：（例：顧客の個人情報、未公開の契約条件）

【出力してほしい構成】
1. 目的と適用範囲
2. 利用可能なAIツールとアカウントの扱い
3. 入力禁止情報の一覧
4. 生成物を使う前に確認すべきこと
5. 利用の承認フロー
6. 違反が起きたときの対応（指導と懲戒の線引き）

文体は社内向けの規定文書として、断定的な言い切りで書いてください。
まだ決まっていない項目は「要検討」と明記してください。

出てきた文章は、あくまで骨格です。「要検討」と出た箇所こそ、経営判断が必要な部分です。AIに埋めさせず、自社で決めてください。

部署によって使わせたいツールが違う場合は、【利用させたいAIツール】の欄だけ差し替えて複数回生成すると、実態に近い規定になります。

最初のたたき台は「議論のスタート地点」と割り切ってください。ChatGPT・Claude・Geminiのどれでも、同じプロンプトで骨格は作れます。

作った後の運用｜Saixが入力禁止情報を「仕組み」で守っている理由

規定は、配って終わりにすると読まれません。Saixでは社内AIヘルプデスク「サイくん」（社内マニュアルに詳しいAIチャット窓口）の設計そのものに、規定の内容を落とし込んでいます。

顧客の実名や金額は、そもそもデータとして持たせていません。案件の情報は「目的・次の作業・完了条件」だけを記録し、登場人物は役割の呼び方に置き換えています。黒塗り（マスキング）ではなく、最初から存在しないので漏れようがない、という設計です。

アクセス制御も部署単位で分け、AIの回答にも同じ制御を通しています。質問した人の部署で見える資料だけが、AIの知識として使われるため、他部署の資料が回答経由で漏れません。

「入力禁止情報」を条文だけで終わらせず、仕組み側にも落とす。この二段構えが、読まれない規定を防ぐ近道です。社内チャット窓口を置くときの合意の取り方は、社内チャットボットを社内で合意するまでの進め方にまとめています。

Saixの社内ポータルは、会社ドメインのアカウントを持つ人だけが入れる招待制です。閲覧できる資料はコンサルティング・営業・人事経理など5区分に分けています。

規定の「利用可能なAI・アカウント」を会社支給に絞る発想と同じです。権限の分け方を先に決めると、条文もそのまま流用できます。

6項目すべてを条文で満たそうとすると時間がかかります。まずは③入力禁止情報と⑥違反時の対応を仕組み側に落とすところから始めると、少ない工数で効果が出ます。

よくある失敗4つ｜取り返しがつかないのは放置したまま広がること

原因1：完璧を目指して、規定が完成しないまま半年が過ぎる

法務・情報システム部門・現場の全員が納得する条文を目指すと、議論が止まります。先に叩き台を配り、運用しながら直す方が早く安全になります。コツは決裁者を1人に絞ることです。

原因2：厳しくしすぎて、誰も守らない規定になる

「AIの利用は原則禁止、申請と承認を得た場合のみ」と決めた会社ほど、現場は個人のスマホで使うシャドーAIに戻ります。ある広告代理店では、全面禁止にした翌月に個人のスマホ経由の利用がかえって増えた、という話も聞きます。守られない禁止は機能しません。

原因3：作った後、誰にも読まれていない

ある卸売業の受発注部門では、規定をPDFで共有フォルダに置いただけで、半年後に読んだ社員がゼロだったという話を聞きます。規定は業務マニュアルと同じ場所に置き、研修とセットで読ませる必要があります。入社時の学習の流れに組み込む方法は、新人教育にAIを組み込む設計が参考になります。

原因4：違反が起きても、対応が決まっておらず放置される

最初の違反を注意で済ませたのか、報告すらしなかったのか。前例が無いまま次の違反が起きると、公平性が保てません。対応の記録を残せば、次に同じ相談が来たときに即答できます。

4つに共通するのは「決めないまま先送りにする」ことです。叩き台を早く出し、運用しながら直す方針に切り替えれば、多くは解消します。今日決められることだけでも先に決めてください。

よくある質問

Q. 生成AIに顧客情報を入力してしまうリスクは、規定を作れば防げますか

規定だけでは防ぎきれません。入力禁止情報を明文化しても、忙しい現場では読まれずに使われてしまいます。Saixでは規定に加えて、AIに渡す情報の範囲を仕組み側でも制限しています。まずは規定で線引きし、余力があれば仕組み化を検討してください。特に個人情報や契約条件は、最初に線引きしてください。

Q. 社内規定は何名の会社から必要ですか

従業員数に関わらず必要です。生成AIは個人のアカウントで無料から使い始められるため、1人でもAIを使う人がいれば、入力禁止情報だけは先に決めておくべきです。全6項目を一度に揃える必要はなく、優先度の高い項目から埋めれば足ります。規模が小さいほど決める人が少なく、短い期間で整います。

Q. 規定は自社だけで作れますか、専門家に依頼すべきですか

たたき台までは自社で作れます。生成AIに骨格を作らせ、6項目を自社の実態で埋める作業は社内で完結します。ただし、懲戒に関わる違反時の対応部分は就業規則との整合が必要なため、最終確認は社会保険労務士や弁護士に相談すると安全です。すべてを外部委託する必要はありません。

Q. 社内規定とAI利用ガイドラインは何が違いますか

呼び方の違いですが、実務では強制力で使い分けます。守らなければ処分の対象になる決めごとを規定、推奨や手引きにとどめるものをガイドラインと呼ぶのが一般的です。違反時の対応まで書くなら規定、まず考え方を社内に広めたい段階ならガイドラインから始め、運用が固まってから規定へ格上げする進め方が現実的です。

Q. 無料版のChatGPTを業務で使わせても問題ありませんか

使えますが、会社が管理できないアカウントのまま放置しないでください。入力内容がAI側の学習に使われるかどうかは、契約の種類と設定で変わります。会社が契約したアカウントに寄せると、設定をまとめて確認でき、退職時に止められます。無料版を認めるなら、入力禁止情報の線引きをより厳しくしてください。

Q. 業務委託やアルバイトにも社内規定を適用すべきですか

適用してください。対象は雇用の形ではなく、会社の情報に触れるかどうかで決まります。業務委託には社内規定を直接あてはめにくいため、業務委託契約書や秘密保持契約の中に、同じ入力禁止情報と違反時の扱いを書き込んでおくと実効性が出ます。アルバイトには就業時の説明に組み込みます。

Q. 就業規則とは別に規定を作る必要がありますか

別の文書にするほうが実務的です。生成AIのツールや利用範囲は変更が多く、そのたびに就業規則の改定手続きを踏むのは負担が大きいためです。ただし懲戒の根拠は就業規則側に置く必要があるので、服務規律に「別に定める規定に従う」という一文を入れ、中身は社内規定側で更新する形にします。

Q. 生成AIで作った文章の著作権は誰のものになりますか

使ったツールの利用規約と、人がどれだけ手を入れたかで扱いが変わります。AIが出したままの文章は、作った人の創作物として保護されない場合があります。社外に出す資料はそのまま使わず、自社で書き直す前提にしておくと安全です。規定には「生成物は必ず人が確認して手を入れる」と明記してください。

まとめ

生成AIの社内規定は、法律の条文のように完璧を目指す必要はありません。入力禁止情報・利用の許可範囲・違反時の対応の3本柱さえ埋まれば、運用しながら直せます。業界特有の入力禁止情報は自社の現場からしか出てこないので、ひな形の流用では埋まりません。

叩き台は、生成AI自身に作らせるのが最短ルートです。本記事のプロンプトに自社の情報を入れれば、6項目の骨格は数分ででき上がります。「要検討」と出た箇所こそ、経営判断が必要な部分だと捉えて、そこだけ時間をかけてください。

次の一手として、社内マニュアル全体の作り方は社内マニュアルをAIで作る方法で、AIツール自体の比較はマニュアル作成AIツール比較で扱っています。