社内の生成AIのルールは、最初に何を決めればよいのか？——使えるサービス・入力してよい情報など5項目と決める順番、ルールを配っても効かない4条件【2026年版】
この記事の要点
- 社内に生成AIを広げるときに最初に決めるルールは、使ってよいサービス、入力してよい情報、出力の確認、社外に出すときの扱い、相談窓口と見直しの5つで足ります。
- 5つのうち最初の2つは、個人情報保護委員会の注意喚起（2023年6月2日）と、総務省・経済産業省の「AI事業者ガイドライン」（第1.1版・2025年3月28日）がAIの利用者に求めている事項と重なります。
- 決める順番はサービスが先です。入力してよい情報は、サービスの契約と設定で変わるためです。
- 使っている業務を誰も把握していない、承認したサービスが1つもない、確認する人が決まっていない、といった状態では、ルールを配っても守られないまま形だけになります。
この記事が支援する判断：情報システム部門や管理部門、生成AIの社内展開を任された担当者が、社員に生成AIを使わせてよいか、使わせるなら最初に何を決めて配るかを決める場面を支援します。
現場から「生成AIを業務で使ってよいか」と聞かれ、規程を一から作ろうとして手が止まる会社は少なくありません。結論から言えば、最初の規程は5つの項目だけで始められます。本稿では、5つのルールの中身と決める順番、公開資料のどこが根拠になるかを整理します。
社内の生成AIのルールは、なぜ5つから始めるのか？
生成AIの社内ルールとは、社員が業務で生成AIを使うときに、使ってよいサービス、入力してよい情報、出力の扱いを定めた社内規程です。細かい条文を並べている間に、現場は個人のアカウントで使い始めます。最小の5つを先に配り、使われ方を見て条文を足すほうが、ルールと実態のずれが小さく済みます。
5つで足りるのは、生成AIの利用で起きる事故の多くが、社外に出せない情報を入れる入力の側と、誤った内容を確かめずに使う出力の側の2か所で起きるためです。抽象的な一文を現場の言葉に直すことの大切さは、ルールと教育の順番を扱った記事でも取り上げています。
「機密情報を入力しない」という抽象的な一文を、「図面番号と寸法値の組み合わせは入力しない」のように、自社の帳票や工程の言葉へ具体化します。
生成AIは「禁止」で守れるのか？——ルール先行の会社で起きる3つのすれ違いと、ルールと教育を両輪にする順番【2026年】
最初に決めるべき5つのルールとは？
表1は、5つのルールで決める内容と根拠になる公開資料、決めないと起きることを並べたものです。「決める内容」の列は、そのまま規程の見出しに使えます。
| ルール | 決める内容 | 根拠になる公開資料 | 決めないと起きること |
|---|---|---|---|
| ①使ってよいサービス | 業務で使うサービス名、契約の形、入力を学習に使わない設定 | 個人情報保護委員会の注意喚起（1）② | 各自が個人の無料アカウントで使い、何が入力されたか分からない |
| ②入力してよい情報 | 情報の区分と、区分ごとの入力の可否 | AI事業者ガイドライン U-4・U-5 | 顧客の図面や見積単価、個人情報がそのまま入力される |
| ③出力の確認 | 誰が、何と照らして確かめるか | AI事業者ガイドライン U-2 | 誤った数値や存在しない規格番号が、そのまま資料に載る |
| ④社外に出すときの扱い | 顧客や取引先に渡す前の確認と、AIを使ったことの伝え方 | AI事業者ガイドライン U-6・U-7 | 確認していない下書きが客先に出て、説明できない |
| ⑤相談窓口と見直し | 迷ったときの相談先、事故の報告先、見直しの時期 | AI事業者ガイドライン U-7 | 迷った人が隠れて使うか、使うのをやめる |
①と②は入力の側、③と④は出力の側、⑤はルール全体を更新し続けるための項目です。②の区分を決めても、①のサービスが決まっていなければ、現場はどのサービスに対する区分かを判断できません。
使ってよいサービスは、何を確かめて決めるのか？
最初に確かめるのは、入力した内容をサービスの提供者が機械学習に使うかどうかです。個人情報保護委員会は、2023年6月2日の「生成AIサービスの利用に関する注意喚起等」で、個人情報取扱事業者に向けて、個人データを含むプロンプトを入力する場合には「当該生成AI サービスを提供する事業者が、当該個人データを機械学習に利用しないこと等を十分に確認すること」と注意を促しています（出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」別添1（1）②）。個人情報を入力しない使い方でも、自社の機密情報を守るために同じ点を確かめておく必要があります。
同じサービスでも、個人向けと法人向けの契約では入力の扱いが違うことがあります。ルールには、サービスの名前だけでなく、どの契約のどの設定で使うかまで書き、設定を確かめた日付を別表に残します。
入力してよい情報は、どう区分すればよいのか？
情報の区分は、図1のように3つで始めます。公開済みの情報、社内の一般的な情報、機密情報・個人情報・顧客から預かった情報の3つです。AI事業者ガイドラインも、AIの利用者が行う事項として「AI システム・サービスに機密情報等を不適切に入力することがないよう注意を払う」ことを挙げています（出典：AI事業者ガイドライン 第1.1版 U-5）。
製造業で区分3に入りやすいのは、顧客から預かった図面や仕様書、見積の単価、従業員の情報です。顧客から預かった資料は、秘密保持契約で目的外の利用や第三者への開示が制限されていることが多く、外部のサービスへの入力がその制限に当たるかは契約の文言で確かめます。
自社の技術情報は、どの区分に入れるのか？
製造方法や設計のノウハウは、多くの会社で区分3に入れます。不正競争防止法は「営業秘密」を「秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないもの」と定めています（出典：不正競争防止法 第2条第6項、e-Gov法令検索）。入力しない情報を決めて周知することは、秘密として管理していることを示す手段の1つになります。個別の判断は法務の担当者か専門家に確認してください。
出力の確認と、社外に出すときの扱いはどう決めるのか？
出力の確認で決めるのは、誰が、何と照らして確かめるかです。AI事業者ガイドラインは、AIの利用者に「AI の出力について精度及びリスクの程度を理解し、様々なリスク要因を確認した上で利用する」ことを求めています（出典：AI事業者ガイドライン 第1.1版 U-2）。製造業では、数値・規格番号・法令の条文・部品の型式を、原典と照らす対象としてルールに書き出します。
社外に出すときの扱いでは、顧客や取引先に渡す資料を、確認した人の名前で出すことを決めます。社外に出した時点で会社の回答になるためです。AIを使ったことを伝えるかは取引先との契約で変わるため、伝える必要のある取引先の一覧を窓口が持ちます。確認する人が決まらないまま使うことの危うさは、DXと生成AIの順序を扱った記事が次のようにまとめています。
判断の持ち主が決まっていない：AIの下書きを誰が採用するか決まらず、出力が宙に浮きます。先に決める人を決めます。
DXが終わらないまま、生成AIを入れてよいのか？——製造業がいま取るべき4段の順序と、AIを先に入れても効かない4条件【2026年版】
5つのルールは、どの順番で決めればよいのか？
決める順番は図2のとおりです。最初にサービスを決めるのは、入力してよい情報の範囲が、サービスの契約と設定で変わるためです。サービスが決まらないまま情報の区分だけを決めると、「承認したサービスなら入力してよい」という区分2の書き方ができず、すべての情報を禁止する規程になりがちです。
相談窓口と見直しは最後に置いていますが、配る時点で必ず決めておきます。見直しの時期は、配ってから3か月後と、承認したサービスの規約が変わったときのように、日付と出来事の両方で決めると先送りになりにくくなります。
最小構成で足りる会社と、追加で決めることがある会社の違いは？
5つのルールは、社員が文書の下書きや要約、調べものに使う段階を想定しています。表2の行を自社に当てはめ、右の列に当てはまる行があれば、その項目を5つのルールに足してください。
| 確認項目 | 最小構成の5つで足りる | 追加で決めることがある |
|---|---|---|
| 使い方 | 文書の下書き・要約・翻訳・調べもの | 社内のデータとつないで検索させる、業務の仕組みに組み込む |
| 使う人 | 社員が自分の業務で使う | 顧客や取引先がAIの出力を直接見る |
| 扱う情報 | 区分1と区分2が中心 | 区分3を日常的に入力する必要がある |
| 出力の使い道 | 人が確かめてから使う | 人の評価や採否の判断に使う |
「人の評価や採否の判断に使う」場合、AI事業者ガイドラインは、AIを利用している旨を評価の対象者へ通知し、求めに応じて説明することを挙げています（出典：AI事業者ガイドライン 第1.1版 U-7）。
ルールを配るだけでは効かない4つの条件とは？
次の4つのいずれかに当てはまる場合は、ルールを配っても形だけになります。規程の文面より先に、条件を解消してください。
- どの部署が何に使っているかを誰も把握していない——実態と合わない区分は、例外の申請ばかりを増やします。配る前に、各部署に使いたい業務を3つずつ挙げてもらいます。
- 承認したサービスが1つもない——禁止だけのルールでは、現場は個人のアカウントで使い続けます。
- 出力を確かめる人が決まっていない——「確認すること」とだけ書いても、確認は行われません。
- 入力の区分を説明できる人がいない——「これは入力してよいか」に答えられる人がいなければ、相談窓口は機能しません。
4つ目の条件は、規程ではなく教育で解消する項目です。Excel帳票を生成AIに読ませる場面でも、帳票の側で渡してよいかを判断する基準が要ることを、Excel帳票と生成AIの記事が次のように整理しています。
機密情報を含むブック、外部リンクやマクロで値が決まるブック、どれが正本か決まっていないブックは、前処理以前に生成AIへ渡すのが適さない条件です。
Excel帳票を生成AIに読ませると何がずれるのか？——読み違いを招く7つの作りと、渡す前に直す範囲・渡してはいけないブックの条件【2026年版】
よくある質問（FAQ）
生成AIの利用は、まず全面禁止にしてから考えるべきですか？
短い期間の一時的な措置としてはありえますが、禁止のまま長く置くと、個人のアカウントでの利用が見えないところで増えます。承認したサービスと情報の区分を決め、使える範囲から開放するほうが、何が入力されているかを把握できます。
顧客から預かった図面を、生成AIに入力してもよいですか？
原則として入力しない区分に入れることをおすすめします。顧客から預かった図面は、秘密保持契約で目的外の利用や第三者への開示が制限されていることが多いためです。入力が必要な場合は、契約の文言と、使うサービスの契約・設定を確かめ、事前に承認する手順を通してください。
ルールを作ったら、どのくらいの頻度で見直せばよいですか？
最初の見直しは、配ってから3か月後を目安にします。使われ始めると、区分に迷う情報の相談が出てくるためです。その後は、サービスの規約が変わったときと、新しい使い方を始めるときに見直します。
まとめ
社内に生成AIを広げるときに最初に決めるルールは、使ってよいサービス、入力してよい情報、出力の確認、社外に出すときの扱い、相談窓口と見直しの5つです。決める順番はサービスが先で、情報の区分はその後です。使っている業務の把握、承認したサービス、確認する人、区分を説明できる人がそろわないうちは、ルールを配っても効きません。まずは各部署に使いたい業務を挙げてもらうことから始めてください。
次に読みたい関連記事
- 生成AIは「禁止」で守れるのか？——ルール先行の会社で起きる3つのすれ違いと、ルールと教育を両輪にする順番【2026年】
- DXが終わらないまま、生成AIを入れてよいのか？——製造業がいま取るべき4段の順序と、AIを先に入れても効かない4条件【2026年版】
- 製造業の生成AI、どの業務から始める？——導入順を決める5つの判断軸と部門別の向き・不向き【2026年版】
- 情シス部長が現場から殺到する「AI内製依頼」をどう捌くか——5つの失敗パターンとガバナンス設計
出典・参考
- 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」別添1（2023年6月2日）（個人情報保護委員会。2026年11月5日にPDFの原文で確認）
- 総務省・経済産業省「AI事業者ガイドライン（第1.1版）」本編（2025年3月28日）U-2・U-4・U-5・U-6・U-7（経済産業省。2026年11月5日にPDFの原文で確認）
- 不正競争防止法（平成5年法律第47号）第2条第6項（e-Gov法令検索。2026年11月5日に法令API v2の条文で確認）
入力してよい情報の区分や出力の確かめ方を、自社の業務の題材で社員が説明できるようにする研修は、生成AI研修のページで紹介しています。生成AI研修の内容を見る
