生成 AI の社内ルールの作り方 | 中小企業が最初に決める 7 項目

IPA の「情報セキュリティ10大脅威 2026」で、「AI の利用をめぐるサイバーリスク」が組織向けの 3 位に初めて選ばれました。その中心にあるのは、高度な攻撃よりも「社員が便利だからと機密情報を AI に入力してしまう」という身近なリスクです。

• 入力した情報の行き先: 無料の個人向けサービスでは、設定によって入力内容が AI の学習に使われることがある
• 個人アカウントの利用: 会社が把握できないアカウントに、顧客情報や見積もりが入っていく
• 出力をそのまま使う: もっともらしい誤り（ハルシネーション）を確認せずに、顧客への回答や資料に使ってしまう
• 著作権・権利の問題: 他社の文章や画像に似たものを、そのまま公開してしまう

どれも「AI を禁止する」ことでは防げません。社員は便利なものを使い続けるからです。必要なのは、安全な使い方をはっきり決めて、迷わず使える状態にすることです。

1. 1使ってよいサービスを決める: 会社として契約した法人向けプランや、入力内容を学習に使わない設定を確認したサービスに限る
2. 2入力してはいけない情報を決める: 顧客の個人情報、取引先の機密、未公開の数字、パスワード、契約書の原本など
3. 3アカウントは会社のものを使う: 個人のアカウントで業務の情報を扱わない。退職時に止められるようにする
4. 4出力は人が確認してから使う: 特に、顧客への回答・金額・法律や医療に関わる内容
5. 5公開する前に権利を確認する: 生成した文章や画像が、既存の作品に似すぎていないか
6. 6AI を使ったことを必要に応じて明示する: 社外向けの成果物で、取引先から求められる場合など
7. 7困ったときの相談先を決める: 「これは入力してよいか」を聞ける社内の担当者

最初から細かい規程を作る必要はありません。A4 1 枚で、この 7 項目に自社の答えを書くところから始めるのが現実的です。

いちばん大事なのは、社員が迷わない書き方にすることです。「機密情報は入力しない」だけでは、何が機密なのか人によって判断が分かれます。

表の形にして、具体例を自社の業務に合わせて書き換えるのがおすすめです。迷ったら入力しない、を原則にします。

• JDLA「生成 AI の利用ガイドライン」: 日本ディープラーニング協会が、社内ルールの雛形を無料で公開しています（第 1.1 版・2023 年 10 月）。自社の業務に合わせて追加・修正して使う前提の資料です
• AI 事業者ガイドライン（第 1.2 版）: 総務省と経済産業省が 2026 年 3 月に公表。AI を業務で使う事業者（AI 利用者）が気をつけるべきことが整理されています。法的な拘束力はありません

雛形は作られた時期の前提（使われているサービスや機能）を含んでいます。そのまま配るのではなく、今使っているサービスと業務の例に書き換えてから使いましょう。

• 使ってよい道具を会社が用意する: 安全な選択肢が無いと、個人のアカウントに流れる
• よくある使い方の例を添える: 「議事録の要約」「メールの下書き」など、OK な使い方を具体的に示す
• 年に 1〜2 回見直す: AI のサービスは数か月で機能や規約が変わる
• 違反を責めるより相談しやすくする: 入力してしまったときに、すぐ報告できる雰囲気をつくる

社内の業務に合わせて AI を組み込みたい場合は、入力してよい情報だけを扱える専用のツールを作るという方法もあります。