生成AIの社内ルールは何を書く?「禁止」の前に決める5項目とひな形

「生成AIは当面禁止」と通知を出したのに、社員は自分のスマホで使っている。ルールで最初に決めるべきは禁止の範囲ではなく、何を使ってよく、何を入れてはいけないかです。国の資料を手がかりに、最低限書くべき5項目と、そのまま使えるひな形をまとめました。

禁止だけでは止まらない シャドーAIという問題

IPAの「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織編の3位に初めて入りました。解説書が挙げるリスクの1つが、シャドーAIです。

IPAの解説書は、シャドーAIを次のように説明しています。従業員が個人的に使っているAIサービスを業務に使うことがあり、持ち出し禁止の業務データを入力すれば「情報漏えいにつながる」。会社が個人アカウントでの利用を把握できないこと自体もリスクだとしています。

注目したいのは対策の順番です。IPAは経営者層の対策の最初に「シャドーAI回避のため、AIサービス利用の検討」を挙げ、その中で未許可のサービスの利用禁止を求めています。つまり、使える道を用意したうえで、それ以外を禁じる順番です。

ルールを決めている会社はまだ半分ほど

国の資料は、使う会社に何を求めているか

生成AIを使う会社に関係する主な資料は次のとおりです。どれも、社内ルールを作るときの手がかりになります。

デジタル庁のガイドラインは府省庁向けですが、考え方は民間でも参考になります。たとえば、規約への同意だけで使える一般向けの生成AIでは、要機密情報は「原則として」扱えないとしています。

社内ルールで決める5項目

ここからが本題です。最低限、次の5つを決めれば、社員が迷わず使えるルールになります。

1. 使ってよいサービスと契約

まず、会社として使ってよいサービスを決め、一覧にします。IPAは対策として、個人アカウントでの業務利用の制限を挙げています。入力データを学習に使わせない設定(オプトアウト)の徹底と、契約時の約款の確認も求めています。

法人向けのプランでは、入力した内容をAIの学習に使わないと各社が説明しています。たとえばOpenAIは、ChatGPTの法人向けワークスペースのデータは初期設定で学習に使わないと書いています。MicrosoftとGoogleも、法人向けのCopilotやGeminiについて同じ趣旨の説明をしています。

ただし規約や設定は変わります。契約したときと、ルールを見直すときに、学習への利用の有無を確かめてください。一覧には次の列を用意します。

2. 入れてはいけない情報

次に、入力してよい情報を3段階に分けて示します。AI事業者ガイドラインの別添は、入力した機密情報が提供者の学習に使われる予定なら、機密情報を含む指示文を入力しないよう求めています。

取引先の秘密は、特に注意が要ります。日本ディープラーニング協会(JDLA)のひな形は、秘密保持契約(NDA)で受け取った情報の入力に注意を促しています。AIの提供者という第三者への開示になり、NDAに反する可能性があるためです。

3. 出てきたものの確かめ方

生成AIは、ありもしない情報を事実のように答えることがあります。これをハルシネーションといいます。IPAの解説書は、2025年1月に米国テキサス州の弁護士が、生成AIで作った書面で実在しない判例を引用していた例を紹介しています。

JDLAのひな形も、生成物を盲信せず「必ず根拠や裏付けを自ら確認する」よう求めています。ルールには、次のように具体的に書きます。

• 数字、日付、人名、社名、法令、出典は、元の資料で確かめる
• 社外に出す文書は、AIを使ったかどうかに関係なく、作った人が中身に責任を持つ
• AIが書いたプログラムは、人が読んで動作を確かめてから使う
• 重要な判断(採用、評価、契約、お客さまへの回答)をAIの出力だけで決めない

4. 著作権と公表

文化庁の資料によると、生成物が既存の著作物と似ていて(類似性)、それをもとに作られた(依拠性)と認められれば、著作権侵害になりえます。文化庁のガイダンスは、生成物を使う前に既存の著作物に似ていないか確かめることが必要だとしています。

特に気をつけたいのが、作品名やキャラクター名などの固有名詞を指示文に入れることです。ガイダンスは、これが既存の作品を知っていたと推認させる事情になり、依拠性が認められやすくなるとしています。あわせて、生成に使った指示文などを確かめられる状態にしておくよう勧めています。

5. 相談先と見直し

最後に、困ったときの窓口を決めます。IPAは、トラブルに備えた専門家や相談窓口の確保と、被害を受けたときの報告・連絡・相談を対策に挙げています。デジタル庁のガイドラインも、問題が起きたときにAI統括責任者へ報告することをルールに入れるとしています。

見直しの時期も決めます。AIのサービスは機能も規約も早く変わるので、半年に1回など日付を決めて一覧と区分を見直してください。AI事業者ガイドラインのチェックリストとワークシートは、見直しの点検表として使えます。

そのまま使えるひな形

以下は、5項目をA4数枚にまとめたひな形です。会社の事情に合わせて書き換えてください。より詳しい条文が必要なら、JDLAの「生成AIの利用ガイドライン」ひな形や、デジタル庁のガイドラインの別紙2も参考になります。

生成AI利用ルール(ひな形)

1. 目的:このルールは、生成AIを安全に業務で活用し、情報漏えいや権利侵害を防ぐために定める。
2. 対象:全役員・従業員・派遣社員が、業務で生成AIを使うときに適用する。
3. 使ってよいサービス:会社が別表で認めたサービスとプランだけを使う。個人のアカウントで業務に使ってはならない。新しいサービスを使いたいときは、情報システム担当に申請する。
4. 入力してよい情報:情報を緑・黄・赤に分け、別表の区分に従う。赤の情報(個人情報、取引先から秘密として受け取った情報、パスワード、未公表の決算や人事など)は、どのサービスにも入力してはならない。
5. 出力の確認:生成AIの出力には誤りが含まれることを前提とする。数字・日付・固有名詞・法令・出典は元の資料で確かめる。社外に出す成果物は、作成者が内容に責任を持つ。
6. 著作権と公表:他人の作品名やキャラクター名を指示文に入れない。社外に出す前に、既存の作品に似ていないか確かめる。社外に出したものは、使ったサービスと指示文を記録する。
7. 禁止する使い方:法令や公序良俗に反する目的、他人へのなりすまし、人事評価や採用の合否をAIの出力だけで決めることには使わない。
8. 相談と報告:迷ったときや、赤の情報を入力してしまったときは、すぐに情報システム担当(窓口:○○)に報告する。報告したことを理由に不利な扱いはしない。
9. 見直し:このルールと別表は、毎年○月と○月に見直す。

別表には、1番目の項目で作ったサービスの一覧と、2番目の項目の3段階の区分表を付けます。

ルールを社内に広める4週間

ルールは作って配るだけでは読まれません。次の順番で進めると、現場に根づきやすくなります。

今日からできること

最後に、今週から始められることをまとめます。

• 社内で使われている生成AIのサービスを、聞き取りで洗い出した
• 会社として認めるサービスとプランを決め、学習への利用の設定を確かめた
• 入力してよい情報の緑・黄・赤の区分を、自社の書類の例で作った
• ひな形を自社向けに直し、窓口の名前を入れた
• 秘密保持契約を結んでいる取引先の情報が、赤に入っているか確かめた
• 見直しの日をカレンダーに入れた

生成AIのルールは、社員を縛るためではなく、安心して使ってもらうためのものです。禁止の一文より、使ってよい道を1本示すほうが、結果として情報を守れます。