生成AIの社内ルール（AI利用規程）の作り方｜条文の構成とひな形の考え方
この記事の要点
- 生成AIガイドラインのサンプル（ひな形）は、公開されているものを土台にできます。そのまま配らず、自社向けに4つの箇所を直します。
- 守る義務と違反時の扱いはAI利用規程に、業務ごとの具体例は手引き（ガイドライン）に分けて書きます。
- 禁止事項は情報の種類で書きます。サービス名と設定は条文に書かず、別の一覧で管理します。
目次
生成AIの使い方を会社の規則として定めたい総務・法務・情シスの方に向けて、ひな形の使い方と、条文の書き方をまとめました。この記事では、会社の規則として定める文書を「生成AI利用規程（AI利用規程）」と呼びます。会社によっては、生成AIの社内規定（社内規程）、社内ルールと呼ぶ文書です。
似た文書に「生成AIガイドライン」があります。当社では、AI利用規程を「守る義務と違反時の扱いまで定めた社内規則」、ガイドラインを「現場が迷ったときに開く運用の手引き」と分けて考えることをおすすめしています。規程は短く、変わりにくい形にします。業務ごとの具体例や手順はガイドラインに書きます。手引きに載せる項目は生成AIガイドラインの作り方で扱っています。
AI利用規程とガイドラインの役割の違い
表1 AI利用規程と生成AIガイドラインの違い
| AI利用規程 | 生成AIガイドライン | |
|---|---|---|
| 位置づけ | 会社の規則。従業員が守る義務を定める | 規程を現場で守るための運用の手引き |
| 書くこと | 目的・適用範囲・禁止事項・承認・違反時の扱い・改廃 | 業務別の使い方、入力してよい例・だめな例、確認の手順、よくある質問 |
| 書き方 | 条文。解釈の幅が出ない言葉で短く | 具体例と手順。現場の言葉で |
| 更新の頻度 | 低い。改廃は決められた手続きで行う | 高い。サービスの仕様や社内の使い方に合わせて随時 |
図1 規程と手引きの違い
会社の規則
運用の手引き
変わりにくい原則は規程に、変わりやすい具体例は手引きに書きます。
ツールの名前や設定手順まで規程に書き込むと、サービスの仕様が変わるたびに規程の改定が必要になります。変わりやすい中身はガイドラインへ、変わりにくい原則と義務は規程へ振り分けます。
生成AIガイドラインのサンプル（ひな形）と、自社向けに直す箇所
一から書く必要はありません。公開されているサンプルを土台にして、自社に合わない箇所を直します。
公開されているひな形
一般社団法人日本ディープラーニング協会は、「生成AIの利用ガイドライン」を資料室で公開しています。条項だけの版と、簡易な解説が付いた版があります（第1.1版、2023年10月）。同協会は、組織内での活用目的に照らして、必要な追加や修正を加えて使うよう案内しています。利用の条件は、協会のページで確認してください。
ひな形の文面と版は、協会のページで確かめてください。どのひな形を土台にする場合でも、当社がまず自社向けに直すようおすすめしているのは、次の4つの箇所です。
自社向けに直す4つの箇所
図2 ひな形を自社向けに直す4つの箇所
使ってよいサービス
入力を禁じる情報
相談と報告の窓口
違反時の扱い
当社が、まず自社向けに直すようおすすめしているのは、サービス、情報、窓口、就業規則との関係の4つです。
公開されているひな形は、特定の会社に合わせて作られたものではありません。サービス名や問い合わせ先が例として入っている場合は、自社が契約しているサービスと、実在する窓口に置き換えます。例のまま配ると、自社に無いサービスや窓口が書かれた文書になります。規程として使うときは、表2の条と見比べて、違反時の扱いや改廃など、足りない条を自社で足します。条文ごとの書き方は、このあとの節で説明します。
ひな形は、条の漏れを確かめる道具として使う
ひな形の文をそのまま使うかどうかより、自社の規程に置く条がそろっているかを確かめる使い方が向いています。条の一覧は、下の表2にまとめました。
規程がない状態で起きること
規程がないまま現場で使われ始めると、次のことが起こり得ます。
- 入力してはいけない情報が入力されている：顧客名簿、未公開の決算数字、人事評価。外部のサービスに入力されていても、会社は確かめる手段がない
- どのサービスを使っているか把握できない：各自が無料アカウントでばらばらに使っていて、会社として管理できない
- 出力をそのまま使ってしまう：生成AIは事実と異なる内容をもっともらしく出すことがあり、確認なしに資料へ転記すると、誤りがそのまま社外に出る
- 責任の所在があいまい：生成物を誰が確認し、誰が責任を持つのかが決まっていない
一律に禁止しても、会社の見えないところで使われれば、会社は把握できません。当社は、規程の目的を会社が把握できる形で安全に使ってもらうことに置くようおすすめしています。目的が決まると、条文の書き方も決まります。
生成AIの社内規定に置く条文
ひな形と見比べる前に、自社の規程にどの条を置くかを決めておきます。当社がおすすめしている構成は、次の10の条です。
表2 AI利用規程に置く条文
| 条 | 定めること | 書き方のポイント |
|---|---|---|
| 目的 | 規程を置く理由 | 「安全に活用するため」と、禁止ではなく活用の前提であることを書く |
| 定義 | 生成AI・利用・機密情報などの言葉の意味 | 「機密情報」を社内の情報管理規程の定義とそろえる |
| 適用範囲 | 対象者（正社員・契約社員・派遣社員・業務委託先など）と対象業務 | 派遣社員や業務委託先には、契約を通じて守ってもらう。別に定める |
| 利用できるサービス | 会社が承認したサービスだけを使う原則と、承認の手続き | サービス名は条文に書かず「別に定める一覧による」とする |
| 禁止事項 | 入力してはいけない情報、してはいけない使い方 | 情報の種類で書き、具体例はガイドラインに載せる |
| 出力の取り扱い | 確認の義務、社外に出すときの手順、権利の確認 | 「生成物は利用者が内容を確認し、責任を持つ」と主体を明記する |
| 相談・報告 | 判断に迷ったときの窓口、誤って入力したときの報告 | 報告した人を不利に扱わない方針もあわせて示す |
| 教育 | 研修の受講、規程改定時の周知 | 配って終わりにしないことを条文で担保する |
| 違反時の扱い | 違反があった場合の措置 | 就業規則の懲戒規定との関係を確認してから書く（次の節） |
| 改廃 | 誰がどの手続きで改定するか | 見直しの時期（例：年1回）もあわせて定める |
禁止事項は「情報の種類」で書く
規程でいちばん大事なのは禁止事項の条です。ここは、現場が判断できる粒度の情報の種類で書きます。少なくとも次の3つは、会社が承認していない外部サービスへの入力を禁じる対象として挙げます。
- 個人情報：顧客・従業員・応募者の氏名や連絡先、人事評価、健康情報や口座情報など
- 顧客・取引先の情報：取引条件、見積書や契約書の中身、秘密保持契約を結んだ相手から受け取った情報
- 未公開の自社機密：公表前の業績数字、事業計画、ソースコード、設計情報、独自のノウハウ
条文には種類だけを書き、どの書類をどう加工すれば入力してよいかといった具体例や手順は、ガイドラインに載せます。条文に例を詰め込みすぎると、書かれていない例は許されている、という読み方をされるおそれがあるためです。迷ったときは入力せず窓口に相談する、という原則も1行入れます。
サービス名や「学習されない設定」を条文に書かない
入力した内容がAIの学習に使われるかどうかは、サービス・プラン・設定によって異なり、規約も更新されます。条文に「〇〇は学習されないので安全」と固有名で書くと、規約が変わった時点で規程と実態がずれます。条文では「会社が承認したサービスとプランを、承認された設定で使う」と書き、個別のサービスと設定は別表や一覧で管理します。
また、学習に使われない契約であっても、入力した情報が外部に送られることに変わりはありません。学習の有無によって禁止事項を緩めないことも、条文か解説で明記しておきます。情報漏洩のリスクと対策の全体像は生成AIのセキュリティリスクと対策にまとめています。
違反時の扱いと、就業規則との関係
違反時の措置を懲戒処分と結びつける場合は、就業規則の懲戒の定めとの関係を確認する必要があります。また、全従業員に適用する規則は、その内容によっては就業規則の一部として扱われる場合があります。常時10人以上の労働者を使用する事業場では、就業規則の作成・変更について労働者の過半数代表等の意見を聴き、労働基準監督署へ届け出ること、作成した就業規則を労働者に周知することが労働基準法で定められています（第89条・第90条・第106条）。AI利用規程をどこに位置づけるかは、社会保険労務士等の専門家に確認してから決めてください。
就業規則との関係は、専門家に確かめる
懲戒に結びつける条文は、就業規則の定めと食い違うと運用できません。規程を社内に出す前に、社会保険労務士や弁護士に見てもらってください。
条文より先に、アカウントの名義を決める
規程を書く前に確認しておきたいのが、社員が使うアカウントが会社の名義になっているかです。私物のアカウントで使われている状態では、会社は誰が何を入力したかを確認できず、規程が守られているかを検証できません。名義と契約の決め方はChatGPT研修の前に決めるアカウントと契約で整理しています。
ひな形を自社の規程にする手順
ひな形をそのまま配ると、自社の情報の種類や承認の流れが入っていない規程になります。自社向けに直す作業は、次の順で進めます。
- ひな形で条の漏れを確認する：表2の条がそろっているかを見る
- 定義を自社の規程にそろえる：「機密情報」「個人情報」の定義を、既存の情報管理規程や個人情報取扱規程と一致させる
- 承認済みサービスの一覧と窓口を決める：条文から参照する別表と、相談先の部署・担当者を決める
- 就業規則との関係を確認する：違反時の扱いと規程の位置づけを、社会保険労務士等に確認する
- ガイドラインとセットで公開する：条文だけを配らず、具体例をまとめた手引きを同時に出す
公開したあとは、全員が一度は内容を学ぶ場をつくり、年に1回程度は見直します。退職者や異動者のアカウントが残っていると、規程で入力を禁じても過去の会話履歴には手が届いたままになります。停止の担当と棚卸しの回し方は研修が終わったあと、アカウントは誰が止めるかにまとめました。
ノセカエの研修でお渡しするもの
Never Redの法人向け生成AI研修「ノセカエ」は、座学3割・実習7割の構成です。何を入力してはいけないかを扱うセキュリティの講義とあわせて、AI利用規程のひな形をお渡しします。料金と内容はノセカエのトップページでご確認ください。
この記事のまとめ
- 公開されているひな形を土台にし、サービス、情報の区分、窓口、違反時の扱いの4つを自社向けに直す。
- 義務と違反時の扱いは規程に、具体例と手順は手引きに分ける。
- 禁止事項は情報の種類で書く。サービス名と設定は別の一覧で管理する。
- 懲戒に結びつける条文は、就業規則との関係を専門家に確かめる。
よくある質問
- 生成AIガイドラインのサンプルは、どこで手に入りますか
日本ディープラーニング協会が、「生成AIの利用ガイドライン」を資料室で公開しています。条項だけの版と、簡易な解説付きの版があります。自社で使うときは、承認するサービス、入力を禁じる情報、相談の窓口、違反時の扱いを、自社向けに直してください。
- AI利用規程とガイドラインは、両方必要ですか
当社は、分けて作ることをおすすめしています。規程には守る義務と違反時の扱いを書き、ガイドラインには業務ごとの具体例を書きます。1つの文書にすると、サービスの仕様が変わるたびに、規程の改定の手続きが要ります。
- AI利用規程は、就業規則の一部になりますか
内容によります。全従業員に適用する規則は、内容によっては就業規則の一部として扱われる場合があります。常時10人以上の労働者を使用する事業場では、就業規則の作成と変更に、意見の聴取、届出、周知が定められています。位置づけは、社会保険労務士等の専門家に確認してから決めてください。
- 条文に、ChatGPTなどのサービス名を書いてよいですか
条文には書かず、別の一覧で管理する形をおすすめしています。サービスの名前、プラン、設定は変わります。条文は「会社が承認したサービスとプランを、承認された設定で使う」と書き、一覧だけを更新します。
参考資料・注意事項
- 一般社団法人日本ディープラーニング協会「資料室」（生成AIの利用ガイドライン）
https://www.jdla.org/document/ - 労働基準法（厚生労働省 法令等データベース）：第89条（作成及び届出の義務）、第90条（作成の手続）、第106条（法令等の周知義務）
https://www.mhlw.go.jp/web/t_doc?dataId=73022000&dataType=0&pageNo=1 - 厚生労働省「モデル就業規則について」
https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/koyou_roudou/roudoukijun/zigyonushi/model/index.html
最終確認：2026年10月2日。本記事は規程づくりの考え方を整理したもので、法的助言ではありません。規程の位置づけや懲戒との関係など個別の判断は、社会保険労務士・弁護士等の専門家にご確認ください。各生成AIサービスのデータ利用方針や規約は変更されることがあるため、承認済みサービスの一覧は最新の公式情報で定期的に確認してください。
使ってよい範囲を決めてから、安全な使い方を研修で身につけていただきます。
30分のヒアリングで、いまの社内ルールの状況と、題材にする業務を伺います。半日研修では、AI利用規程のひな形をお渡しします。
AI利用ルールを含めた研修を相談する →お電話でのご相談：03-6820-2744（平日10:00〜18:00）