社内の生成AI利用ルールの作り方。ガイドラインに入れる10項目

社内の生成AI利用ルールは、「使ってよいツール」「入力してはいけない情報」「出力の確認」の3つを先に決め、残りの項目を足していくと作りやすくなります。土台には、総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」と、個人情報保護委員会の注意喚起が使えます。

この記事は、総務省・経済産業省、個人情報保護委員会、IPA（情報処理推進機構）、文化庁の公式資料をもとに、2026年10月27日時点の内容で書いています。ガイドラインは改定されることがあります。最新版は総務省の「「AI事業者ガイドライン」掲載ページ」で確認してください。

なぜ今、社内の生成AIルールが必要なのか？

ルールづくりが追いついていない会社は、まだ多いようです。IPAが2024年7月4日に公表した調査では、次の結果が出ています。

• 調査は2024年3月18日〜21日のウェブアンケート。本調査はAIを業務で利用または利用予定がある1,000人
• 生成AI利用時のセキュリティに関する規則の策定・明文化・組織的な検討が「されている」は20%未満
• 詳細な規則を策定中のものを合わせても40%前後
• 一方で、課題だと認識している人は60%を超えていた

また、IPAの「情報セキュリティ10大脅威 2026」（2026年1月29日公開）では、組織向けの3位に「AIの利用をめぐるサイバーリスク」が入りました。この脅威が選ばれたのは2026年が初めてです。

ルールが無いと、社員は「使ってよいか分からないので使わない」か「各自の判断で使う」かに分かれやすいと考えられます。前者は活用が進まず、後者は情報の扱いがばらつきます。ルールは禁止のためだけでなく、安心して使うための線引きとして作るのがおすすめです。

国の指針では、AIを使う会社に何が求められている？

国の基本的な指針は、総務省と経済産業省の「AI事業者ガイドライン」です。第1.0版が令和6年4月19日、第1.1版が令和7年3月28日、第1.2版が令和8年3月31日に公表されています。

ガイドラインの要点は次のとおりです。

• AIに関わる事業者を「AI開発者」「AI提供者」「AI利用者」の3つに分けています
• 主体が取り組む事項を、10の「共通の指針」として整理しています（人間中心、安全性、公平性、プライバシー保護、セキュリティ確保、透明性、アカウンタビリティ、教育・リテラシー、公正競争確保、イノベーション）
• 本編は基本理念と指針（なぜ・何を）を、別添は具体的な進め方（どう取り組むか）を示しています
• 本編の第5部がAI利用者向けの事項で、別添5がAI利用者向けの解説です

市販の生成AIサービスを業務で使う一般の会社は、主に「AI利用者」にあたると考えられます。本編のAI利用者向けの事項のうち、社内ルールに直結するものを表にまとめます。

別添では、個人情報や自社のノウハウ、知的財産がプロンプトとして入力され、出力を通じて流出するリスクが指摘されています。そのうえで、特に機密情報を扱う場合は、業務利用向けに用意されたサービスを使うことが推奨されています。

掲載ページには「チェックリスト（別添7）」（PDF）と「ワークシート（別添7）」（Excel）も載っています。社内ルールの案ができたら、抜け漏れを見る材料として使うことが考えられます。

個人情報を生成AIに入れるときは、何に気をつける？

個人情報保護委員会は、令和5年6月2日に「生成AIサービスの利用に関する注意喚起等」を公表しました。個人情報取扱事業者（個人情報を事業に使う会社）向けの注意点は、要約すると次の2つです。

• 個人情報を含むプロンプトを入力するときは、特定した利用目的の達成に必要な範囲かを十分に確認する
• 本人の同意なく個人データを含むプロンプトを入力し、そのデータが応答の出力以外の目的で扱われると、個人情報保護法に違反するおそれがある。そのため、サービス提供事業者が機械学習に使わないことなどを十分に確認する

同じ日に、委員会はChatGPTを提供するOpenAIに対しても注意喚起を行っています。

社内ルールでは、「個人情報を入力してよいのは、会社が学習への利用の有無などを確認したツールだけ」と決めておくのがおすすめです。ツールごとの設定は、各サービスの公式の利用規約や管理画面で確かめる必要があります。

ガイドラインに入れる10項目は？

ここまでの国の資料をふまえ、TERRAISEが社内ルールに入れておきたいと考える10項目を整理しました。「根拠にする資料」の欄は、その項目を考えるときに参照できる公的資料です。

いくつかの項目を補足します。

• 2と3は対で決める: 「何を入れてはいけないか」は、使うツールの設定によって変わります。ツールの一覧と入力禁止の情報は、同じページに並べると読み手が迷いません
• 6の著作権: 文化庁は「AIと著作権に関する考え方について」（令和6年3月15日）と「AIと著作権に関するチェックリスト＆ガイダンス」（令和6年7月31日）を公開しています。社外に出す文章や画像の確認手順を決めるときの参考になります
• 8のAIエージェント: 第1.2版の更新では、AIエージェントについて、人の意図しない動作のリスクや、外部システムと連携するときに内部データが外部へ送信されるリスクなどが追記されました。メール送信やファイル操作をAIに任せるなら、権限の範囲を先に決めておくのがおすすめです
• 10の見直し: ガイドライン自体が第1.0版から第1.2版まで改定されています。社内ルールにも、見直す時期や担当者を書いておくと古くなりにくくなります

生成AIの社内ルールは、どんな手順で作る？

いきなり完成版を目指すより、小さく作って直していく進め方が考えられます。

1. 今の使い方を聞く: どの部署が、どのツールを、何の業務に使っているかを集めます
2. 業務を分ける: 次の節の「入力 → 処理 → 出力」で、業務ごとに何をAIに渡すかを整理します
3. 案を作る: 上の10項目で案を作り、AI事業者ガイドラインのチェックリスト（別添7）で抜け漏れを見ます
4. 一部の部署で試す: 現場で「分かりにくい」「守れない」所を直します
5. 周知して研修する: 文書を配るだけでなく、具体例を使って説明します
6. 定期的に見直す: ツールの追加や、ガイドラインの改定のたびに見直します

ルールの文書は、全社員が読む短い「利用ルール」と、管理部門向けの詳しい「運用手順」に分けると読まれやすいと考えられます。

ルールを作る前に、業務を「入力 → 処理 → 出力」に分ける

TERRAISEでは、どの業務も「入力（INPUT）→ 処理（PROCESS）→ 出力（OUTPUT）」に分けて考えます。分けると、AIに渡せる工程と人が担う工程が見えます。社内ルールの10項目も、この3つに当てはめると整理しやすくなります。

• 入力: AIに何を渡すか。入力してはいけない情報と、個人情報の扱いを決める所です
• 処理: どのツールで、どこまで任せるか。使ってよいツールと、AIエージェントの権限を決める所です
• 出力: 誰が確認し、どこに出すか。出力の確認、著作権、社外での扱いを決める所です

AIの使い方の到達点は、3段階あります。「完全自動化」「下書きを自動生成し、人が監修」「思考を加速する道具」です。どの段階かによって、出力の確認に必要な手間が変わります。出力の形が決まっていれば、完全に自動化できます。逆に、社外に出る文書を下書きさせるなら、人の監修をルールに書いておく必要があります。

次にやることとしては、社内でよくある業務を3つ選び、それぞれの入力・処理・出力を1枚の表に書き出すことから始めるのがおすすめです。その表が、そのまま社内ルールの具体例になります。

まとめ

• IPAの2024年の調査（企業・組織に勤める個人への調査）では、生成AI利用時のセキュリティに関する規則の策定・明文化・組織的な検討が「されている」という回答は20%未満でした
• 国の土台は、総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」（令和8年3月31日）です。AI利用者には、個人情報や機密情報を不適切に入力しないことなどが求められています
• 個人情報を入力するなら、利用目的の範囲と、学習に使われないかを確認します（個人情報保護委員会の注意喚起）
• 社内ルールは10項目を目安に、まず「ツール」「入力禁止の情報」「出力の確認」から決めると進めやすくなります
• 業務を「入力 → 処理 → 出力」に分けると、ルールが現場の言葉になります

経営者が自分でAIを使うときの注意は「社長がAIに相談するとき、入れてはいけない情報と安全な使い方【2026年版】」で、ルールを誰が持つかは「CAIO（最高AI責任者）とは」で解説しています。社内ルールづくりや、ルールに沿った活用の進め方を相談したい方は、60分の無料相談をご利用ください。サービスの全体像は会社紹介資料で、経営の立場からAI活用を伴走するサービスはAI顧問のページで紹介しています。

出典（2026年10月27日確認）

• 総務省「「AI事業者ガイドライン」掲載ページ」
• 総務省・経済産業省「AI事業者ガイドライン（第1.2版）本編」（PDF）
• 総務省・経済産業省「AI事業者ガイドライン（第1.2版）別添（付属資料）」（PDF）
• 総務省・経済産業省「AI事業者ガイドラインの令和7年度更新内容（令和8年3月12日）」（PDF）
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（PDF）
• 独立行政法人情報処理推進機構（IPA）「AI利用時の脅威、リスク調査報告書を公開」
• 独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」
• 文化庁「AIと著作権について」