生成AIの社内ルール(AI利用規程)の作り方｜入れてはいけない情報とひな形の考え方
# 生成AIの社内ルール(AI利用規程)の作り方｜入れてはいけない情報とひな形の考え方
「現場が勝手にChatGPTを使い始めている。止めるべきか、ルールを作るべきか」。情シスや管理部門から、こういう相談が増えています。
結論から言うと、禁止より整備のほうが現実的です。便利なものは、禁止しても裏で使われます。それより「ここまではOK、これはダメ」の線を引いて、安全に使ってもらうほうが事故は減ります。
この記事は、AI利用規程をゼロから作る・見直す担当者向けに、入れてはいけない情報、規程に盛り込む項目、ひな形の自社化までを実務目線でまとめたものです。法的助言ではなく、考え方の整理として読んでください。
なぜ規程が要るのか：いま起きている「無法地帯」
規程がないと、何が問題なのか。具体的に挙げます。
- 入れてはいけない情報が入力されている：顧客名簿、未公開の決算数字、人事評価。これを外部サービスに打ち込んでいる人がいても、誰も気づけない
- どのツールを使っているか把握できない：無料アカウントで各自バラバラに使っていて、会社として管理できていない
- 出力をそのまま信じてしまう：生成AIは事実と異なる内容をもっともらしく出すことがあります。裏取りなしに資料へ転記すれば、誤りがそのまま社外に出る
- 著作権・契約上のリスクの所在が曖昧：生成物の扱いについて、社内に判断基準がない
これらは「禁止」では解決しません。禁止しても、便利だから現場は使います。見えないところで使われるのが一番危ない。だからこそ、明文化したルールで地上に上げる必要があります。
規程は、現場を縛るためでなく、現場が安心して使えるようにするためにあります。この順番を間違えると、誰も読まない規程ができあがります。
入れてはいけない情報：ここが規程の核
規程でいちばん大事なのは「何を入力してはいけないか」を、現場が迷わない言葉で書くことです。原則として、次の情報は外部の生成AIに入力しない、と決めておくのが無難です。
個人情報
- 氏名・住所・電話番号・メールアドレスなどがセットになった情報
- マイナンバー、health関連、口座情報などの機微な情報
- 履歴書・職務経歴書・人事評価といった、特定の個人に紐づくデータ
顧客・取引先の情報
- 顧客名簿、取引条件、見積もり、契約書の中身
- 「A社向けの提案で…」と社名や案件が特定できる形で書くのも避ける
- NDA(秘密保持契約)を結んでいる相手の情報は、特に厳重に
未公開の自社機密
- 未発表の決算・業績数字、事業計画、M&Aなどの未公開情報
- ソースコード、設計図、独自のノウハウ
- まだ世に出していない製品・サービスの仕様
考え方はシンプルです。「これが外部に漏れたら困るか」を一度想像する。困るなら入れない。判断に迷うものは「迷ったら入れない・上長に相談」をデフォルトにしておくと、現場が動きやすくなります。
なお、入力した情報がAIの学習に使われるかどうかは、ツール・プラン・設定によって変わります。後述しますが、「学習されない設定だから何でも入れていい」とは考えないほうが安全です。設定は変わりますし、規約も更新されます。
規程に盛り込む項目：最低限のチェックリスト
ひな形を探す前に、自社の規程に何を入れるかを押さえておきましょう。最低限、次の項目があれば形になります。
1. 目的と適用範囲
何のための規程か、誰に適用されるか(正社員・契約社員・業務委託など)を冒頭で明示します。
2. 利用してよいツールの範囲
- 会社として承認したツールだけを使う、という運用にするか
- 個人アカウントの業務利用を認めるか、法人契約のみにするか
- 新しいツールを使いたいときの申請ルート
3. 禁止事項
前章の「入れてはいけない情報」を、ここに具体的に落とし込みます。抽象的な「機密情報の入力禁止」だけでは現場は判断できないので、例を添えるのがコツです。
4. 承認・相談の窓口
迷ったとき誰に聞けばいいか。窓口がないと、現場は自己判断で突っ走るか、萎縮して使わなくなるかのどちらかになります。
5. 出力の取り扱い
- 生成物は必ず人がチェックする(裏取り・事実確認)
- そのまま社外に出さない、コピペ納品しない
- 生成物の権利・責任の所在についての社内ルール
6. 教育とログ
- 規程を配って終わりにせず、全員が一度は学ぶ機会を設ける
- 可能な範囲で利用状況を把握する(法人プランの管理機能など)
- インシデントが起きたときの報告フロー
この6つが揃っていれば、規程としては十分に機能します。最初から完璧を目指さず、運用しながら直す前提で作るのが現実的です。
無料プラン・学習設定の注意点
ここは誤解が多いところなので、丁寧に書きます。
生成AIツールの多くは、入力した内容をモデルの改善(学習)に使う場合があるとされています。一方で、設定でオプトアウトできたり、法人向けプランでは学習に使わないとされていたりと、扱いはツールやプランによって異なります。
重要なのは次の点です。
- 無料プランと法人プランで、データの扱いが違うことがある
- 学習設定はユーザー側でオン・オフできる場合があるが、デフォルトがどちらかは要確認
- 規約・仕様は更新されるので、「前に確認したから大丈夫」は通用しない
つまり、規程に「○○というツールは学習されないので安全」と固有名で断定して書き込むと、規約が変わった瞬間に規程が嘘になります。おすすめは、個別ツール名で安全と断定せず、「会社が承認したツール・プランを、最新の各社規約を確認したうえで使う」という運用に寄せる書き方です。
そして、たとえ「学習されない設定」であっても、入れてはいけない情報のルールは緩めないこと。学習の有無と、情報が外部サーバーに送られるという事実は別の話です。ここを混同しないよう、規程の中で一言触れておくと安全です。
各ツールのデータ利用方針は変わります。導入・更新のタイミングで、必ず最新の公式情報を確認してください。
ひな形をどう自社化し、運用するか
ネット上にはAI利用規程のひな形が出回っていますし、それを出発点にするのは良い方法です。ただ、ひな形をそのまま配るだけでは、まず機能しません。理由はシンプルで、自社の事情が反映されていないからです。
自社化のステップは、おおむね次のようになります。
- ひな形を土台にする：ゼロから書かず、項目の漏れを防ぐためにひな形を使う
- 自社の業務に合わせて具体化する：扱う情報(顧客データの種類、機密の範囲)を自社の言葉で書き直す
- 承認したツールと窓口を埋める：抽象論ではなく「うちで使っていいのはこれ」「迷ったらここ」を明記
- 法務・必要なら専門家に確認する：特に責任・権利・個人情報の条項は、自社の状況に応じて確認を
そして、規程は配って終わりではありません。むしろ配ってからが本番です。
- 全員が一度は内容を理解する場をつくる(読むだけだと頭に残りません)
- 「なぜこのルールなのか」をセットで伝える。理由がわかると、現場は応用が利く
- 半年〜1年に一度は見直す。ツールも規約も変わるので、規程も古くなる
規程づくりでつまずきやすいのは、「文書は作ったが、現場が使いこなせない・守れない」というギャップです。ルールの紙だけ整っても、現場がAIの仕組みやリスクを腹落ちしていなければ、結局は形骸化します。
---
Never Redの法人向け生成AI研修「ノセカエ」は、座学3割・実習7割の構成で、現場が実際に手を動かしながらAIを業務に使えるようにする研修です。研修にはセキュリティ講義と、AI利用規程のひな形提供を含んでいます。「規程は作りたいが、現場がついてこられるか不安」「ひな形はあるが自社化で止まっている」という会社の、最初の一歩に使っていただけます。
研修の内容やひな形の考え方をまとめた資料をご用意しています。検討の材料に、資料ダウンロードからご覧ください。
各生成AIツールのデータ利用方針・規約は変更されることがあります。最新の公式情報と自社の方針をご確認ください。本記事は一般的な解説であり法的助言ではありません。