生成AI利用ガイドラインの作り方：条文サンプル13条と、最初に決める6項目

生成AIの社内利用規程をつくろうとすると、たいてい議論が長引きます。3ヶ月経っても決まらない、という話は珍しくありません。

原因は法務の難しさではなく、決めるべき項目が絞れていないことです。実務で最初に必要なのは6項目だけで、そこまでならA4一枚に収まります。

この記事では、その6項目と、実際に使える条文サンプル13条、そして多くの規程で抜け落ちている3つの条項を扱います。

なぜ規程づくりは長引くのか

止まっている会社には、だいたい同じ3つの原因があります。

決めるべき項目が絞れていない

「生成AIの規程」と言われると、範囲が無限に広がります。著作権、個人情報保護法、不正競争防止法、下請法、AI事業者ガイドライン——調べるほど論点が増え、調べることが目的になっていきます。

実際には、利用者が日々の業務で迷うのは限られた場面です。「この資料を貼っていいのか」「この出力をそのまま客先に出していいのか」。まずそこに答える文書を作れば、規程としては機能します。

禁止事項から書き始めている

最初の版で禁止事項を並べると、現場は次のどちらかに振れます。

完成させてから配ろうとする

法務確認、役員承認、全社説明会——完璧な状態で出そうとすると、その間ずっとルールがない状態が続きます。

生成AIはサービス側の条件変更が頻繁で、そもそも「完成」しません。先に暫定版を出して、見直しの仕組みを持つほうが現実的です。

まず6項目だけ決める

暫定版に必要なのは、この6つです。

6項目の一覧

項目	決めること	決めないと起きること
入力してよい情報	顧客名・個人情報・未公開情報の扱い	判断が人によって変わる
使ってよいツール	会社契約のものに限るか、個人利用も許すか	把握できない場所で使われる
出力物の検証	誰がどの段階で確認するか	誤った内容が社外に出る
成果物の表示	AI利用を明記する場面があるか	取引先から聞かれて答えられない
ログの保存	何をどれだけ残すか	インシデント時に調査できない
違反時の対応	報告先と手順	問題が報告されず表面化しない

なぜこの6つなのか

3列目を見てください。この6つは、決めないと実害が出る項目です。逆に言えば、それ以外は後回しにできます。

たとえば「AIの出力に対する著作権の帰属」は論点としては重要ですが、決まっていなくても明日の業務は止まりません。一方「顧客名を入力していいか」が決まっていない状態は、今日の業務で判断を迫られます。

A4一枚に収める

規程が長くなるほど読まれなくなります。10ページの規程より、A4一枚のほうが実効性があります。

生成AI 利用ガイドライン（暫定版）

✕ 入力してはならない

• 個人情報（氏名・連絡先）
• 顧客名・取引先名
• 未公開の価格・契約条件
• 他社から受領した資料
• 機密として指定した情報

○ 入力してよい

• 公開済みの自社情報
• 一般的な業務上の相談
• 自分が書いた文章の推敲
• 公開資料の要約

使ってよいツール

会社が契約したもののみ。それ以外を使いたい場合は情報システム部門へ申請する。

出力の確認

正確性・妥当性・一貫性・説明可能性の4点を確認する。社外に出す文書は上長の確認を経る。

迷ったら入力せず相談する

相談先：【部署名】　／　この文書の施行前における利用は問いません。

特に第5条（入力してよい情報）は、1枚のカードにして配ってください。デスクに置ける形にしておくと、迷ったときに実際に見られます。規程本体をイントラの奥に置いても、誰も開きません。

条文サンプル：13条の構成

暫定版から本格的な規程に進める場合の構成です。全部を残す必要はありません。自社に不要な条は削ってください。

全体の構成

条	内容	優先度
第1〜3条	目的・適用範囲・定義	形式上必要
第4条	利用できるサービス	最優先
第5条	入力してよい情報・してはならない情報	最優先
第6条	出力物の確認	最優先
第7条	フィードバック機能の利用	抜けやすい
第8条	禁止する用途	事業による
第9条	記録	必要
第10条	教育	必要
第11条	問い合わせ窓口	抜けやすい
第12条	違反時の対応	必要
第13条	見直し	必要

章立ては、総務省・経済産業省「AI事業者ガイドライン」の共通の指針に対応させておくと、監査や取引先への説明で「どの指針に対応する条項か」を示せます。

第4条：禁止を並べるのではなく、使ってよいものを挙げる

1. 利用者は、当社が承認したサービス（以下「承認ツール」）のみを業務に利用できる。
2. 承認ツールは【情報システム部門】が指定し、社内【ポータル】に掲示する。
3. 承認ツール以外のサービスを業務で利用しようとする場合、事前に【申請先】へ申請し、承認を得なければならない。

禁止するサービスを列挙する方式は書ききれません。新しいサービスは毎月出てきます。使ってよいものを挙げる方式（ホワイトリスト）にしてください。

3項の申請窓口は必ず用意してください。申請できる先がないと、必要に迫られた人は隠れて使います。窓口があれば、少なくとも何が使われているかを把握できます。

第5条：入力してよい情報を、具体例で示す

「機密情報を入力しないこと」とだけ書いた規程は守られません。何が機密かの判断が人によって違うためです。

可否	情報の種類	判断に迷う例
✕	個人情報（氏名・連絡先など特定の個人を識別できる情報）	社員名だけなら？ → 入れない
✕	顧客名・取引先名およびこれらを推測できる情報	伏せ字でも業界＋規模で特定できる
✕	未公開の価格・見積条件・契約条件	自社の見積フォーマットも該当
✕	他社から受領した資料、秘密保持義務の対象となる情報	受領資料は全部これに当たる
✕	自社が機密として指定した情報	指定が無いなら先に指定する
○	すでに公開されている自社の情報	Webサイト・公開済みIR資料
○	一般的な業務上の相談	「議事録の書き方」など
○	利用者自身が作成した文章の推敲	固有名詞を外してから
○	公開資料の要約	官公庁の公開PDFなど
△	上記のいずれにも当てはまらないもの	入力せず相談先へ照会する

加えて「判断に迷う場合は、入力せず相談先に照会する」を明記してください。迷ったときの逃げ道がないと、人は自己判断で入力します。

第6条：出力物の確認は、観点を分ける

「出力をそのまま使用してはならない」とだけ書くより、確認の観点を分けたほうが実際に確認されます。

観点	確認内容
正確性	事実に基づいており、誤りがないか
妥当性	目的や状況に適合しており、情報の偏りがないか
一貫性	内部で矛盾がなく、他の情報源とも整合しているか
説明可能性	根拠を示せるか、出典を確認できるか

この4観点は、実際に公開されている自治体のガイドラインで採用されている整理です。社外に提出する文書については、上長の確認を経ることを併せて定めておくと、責任の所在が明確になります。

第8条：禁止する用途は、事業特性に応じて足す

汎用的に入れておくべきものが1つあります。

利用者は、次の目的で生成AIを利用してはならない。
1. 採用選考、人事評価その他個人または集団の評価を最終的に決定すること

採用や人事評価は、結果が個人に直接影響し、かつ本人が理由の説明を求める場面です。「AIがそう判断したので」は説明として成立しません。

ここで重要なのは、AIを参考情報として使うこと自体は否定されていない点です。書類の要約や、質問案の作成に使うことまで禁じる必要はありません。禁じるべきは最終的な決定をAIに委ねることで、条文でもそこを限定して書いてください。「採用にAIを使ってはならない」と広く書くと、実際には使われている運用と食い違って形骸化します。

これ以外の禁止用途は、事業特性に応じて足してください。医療・金融・法務など、出力の誤りが直接損害につながる領域を扱っている場合は、その業務を明示的に対象外にしておくほうが安全です。

多くの規程に欠けている3つの条項

公開されているひな形や解説記事を見比べると、ほとんど触れられていない論点が3つあります。どれも実務では効きます。

1. 評価ボタンが例外をつくる

これが最も見落とされています。

1. 利用者は、承認ツールの評価機能（良い／悪いの評価ボタン等）を利用してはならない。
2. 【情報システム部門】は、可能な場合、管理者設定により当該機能を無効化する。

サービスによっては、評価ボタンを押した会話が学習に利用される場合があり、データが長期間保存されることがあります。

2. 問い合わせ窓口が社内にない

1. 生成AIの利用に関する相談および社外からの照会に対応する窓口を【部署名】に置く。
2. 取引先または顧客から当社のAI利用について照会があった場合、【部署名】が対応する。

政府のガイドラインでは、AIを利用する側にも問い合わせ窓口の設置が求められています。

3. 施行前の利用を問わない

【本規程の施行前における利用については、これを問わない。】

この一文を入れることを強く勧めます。過去の利用を責めると、実態の申告が出てきません。

形骸化させないために

作った規程が読まれないまま放置されるのは、内容ではなく運用の設計に原因があります。

見直しのトリガーを条文に書く

「年1回見直す」だけでは追随できません。生成AIはサービス側の条件変更が頻繁です。

• 利用するサービスまたはその利用条件に重要な変更があったとき
• 関連する法令またはガイドラインに改定があったとき
• 重大なインシデントが発生したとき

年次の定期見直しと併せて、この3つのトリガーを条文に書いておいてください。書いていないと、条件が変わっても誰も動きません。

記録は監視に使わないと明記する

ログを保存する条項を置く場合、「利用者の監視を目的とした閲覧は行わない」を併記してください。

監視されていると感じると、利用は止まります。目的を障害対応・不正利用の調査・利用状況の把握に限定して明記するほうが、結果的に利用が進みます。

規程だけ作っても実効性はない

入力内容が外部のAIの学習に使われない環境であれば、規程の厳しさはかなり緩められます。逆に、個人のアカウントで無料版を使っている状態のまま規程だけ作っても、守りようがありません。

規程づくりは、環境の整備とセットで考えるべきものです。「何を使ってよいか」を第4条で定めるということは、その「使ってよいもの」を会社が用意する必要がある、ということです。

策定の進め方

5ステップ

順番が結果を左右します。とくに最初の2つを飛ばすと、あとで書き直しになります。

1

実態を把握する飛ばさない

すでに誰が何を使っているかを聞く。「施行前の利用は問わない」を先に伝えないと、正直な答えは出てきません。

2

使ってよいツールを決める飛ばさない

会社として契約する。ここが決まらないと第4条が書けません。

1と2を飛ばして3から始める会社が多いのですが、順番が逆です。実態を知らずに書いた規程は現場とずれ、使ってよいツールが無い状態で書いた規程は守りようがありません。

3

6項目をA4一枚にする

暫定版として先に配る。完成を待つ間、ルールが無い状態が続きます。

4

運用しながら条文にする

現場から出た質問が、そのまま条文の材料になります。

5

見直しのトリガーを決めて回す

利用条件の変更・法令の改定・重大なインシデント。この3つを条文に書きます。年1回の定期見直しだけでは、サービス側の変更に追随できません。

誰を巻き込むか

役割	担当	理由
取りまとめ	総務・管理部門	規程の形式を整えられる
ツールの選定・設定	情報システム部門	管理者設定を触れる
現場の実態	すでに使っている社員	実際に迷う場面を知っている
最終確認	法務・顧問弁護士	自社の事業特性に応じた確認

3行目が抜けている会社が多いです。管理部門だけで書いた規程は、現場が実際に迷う場面に答えていません。

公開されているひな形の使い分け

出典	特徴	向く使い方
日本ディープラーニング協会（JDLA）	利用ガイドラインのひな形を無料公開	論点の網羅性を確認する
東京都デジタルサービス局	職員向けの利用ルールと手引きを公開	実際の書きぶりを参考にする
AI事業者ガイドライン（総務省・経産省）	共通の指針を提示	章立てを対応させ、説明に使う

いずれもそのまま使うのではなく、自社の実態に合わせて削るのが前提です。中小企業がすべての指針を厚く書く必要はありません。実務上、厚みが要るのはプライバシー保護・セキュリティ確保・アカウンタビリティ・教育の4つです。

---

この記事について：条文サンプルは一般的な内容をまとめたものです。最終的な内容は自社の法務または顧問弁護士にご確認ください。各サービスの仕様・利用条件は変更されるため、導入前に公式情報で最新の内容をご確認ください。