社内のAI利用ルールの作り方｜中小企業向け項目例と進め方
社内で生成AIを使う社員が増えてくると、「顧客リストをそのまま貼り付けて要約させていた」「AIが書いた数字を確認せず資料に載せてしまった」「画像を生成して使ったが著作権が心配」といった不安が出てきます。だからといって全面禁止にすると、社員は個人のアカウントで隠れて使い、会社が把握できないところでリスクが膨らみます。
社内のAI利用ルールで「まず効く一手」は、次の3つです。
- 入力してよい情報・ダメな情報の線引きを決める（顧客情報・個人情報・機密は入れない）
- 生成物は必ず人が確認してから使うと決める（ファクトチェックと最終責任は人）
- 使ってよいツールを会社が指定する（無断利用・把握できないサービスを防ぐ）
この3つを一枚の紙にまとめて配るだけでも、情報漏えい・誤情報・無断利用という主要リスクの大半を抑えられます。以下では、なぜルールが必要かから、盛り込む項目、作る手順、入力禁止情報や著作権の具体的な注意点、運用、そしてそのまま使えるルール例までを、中小企業が現実的に始められる形で解説します。
なぜ社内のAI利用ルールが必要なのか
ルールがないままAIを使うと、主に4つのリスクが生じます。いずれも「悪意」ではなく「知らなかった」「つい便利だから」で起きるのが特徴です。
1. 情報漏えい
顧客情報や社外秘の資料を外部のAIサービスに入力してしまうリスクです。サービスによっては、入力した内容がAIの学習に使われる設定になっている場合があり、そこから情報が間接的に外部へ出る懸念があります。具体的な対策は生成AIの情報漏洩リスクと対策でも詳しく解説しています。
2. 誤情報の利用
生成AIは、事実と異なる内容をもっともらしく出力すること（ハルシネーション）があります。確認せずに資料や顧客向け文書へ転用すると、誤った数字や存在しない事実を発信してしまいます。
3. 著作権・権利侵害
生成物が既存の著作物に似てしまったり、他者の商標やブランドを模倣する使い方をしてしまったりすると、権利侵害につながるおそれがあります。著作権の基本的な考え方は著作権の基礎知識で整理しています。
4. 品質と使い方のばらつき
ルールがないと、人によって使うツールも使い方もバラバラになり、成果物の品質が安定しません。属人化が進み、後から会社として標準化しにくくなります。
ここで大切なのは、ルールの目的を「禁止」ではなく「安全に活用を促す」ことに置くという点です。禁止だけのルールは隠れた利用を生み、かえって会社が把握できないリスクを増やします。
ルールに盛り込む項目
ルールに盛り込みたい項目を整理すると、次のとおりです。すべてを一度に決める必要はなく、上から優先度の高い順に並べています。
| 項目 | 決めておくこと |
|---|---|
| 利用してよいツール | 会社が許可するAIサービスを指定し、無断利用を防ぐ |
| 入力してよい情報 | 個人情報・機密など、入力してはいけない情報を明確化 |
| 出力の扱い・確認 | 生成物は人がファクトチェックし、編集してから使う |
| 著作権・商用利用 | 生成物の利用範囲と、他者の権利を侵害しない使い方 |
| 成果物の責任 | 最終的な判断と責任は使った人・会社にあること |
| 禁止する用途 | なりすまし・差別的な内容など、使ってはいけない用途 |
| 申請・承認 | 新しいツールを使うときの申請先と承認の手順 |
| 教育・相談窓口 | 使い方の共有と、迷ったときの相談先 |
中小企業の場合、最初から8項目すべてを詳細に書き込む必要はありません。まずは「利用してよいツール」「入力してよい情報」「出力の確認」の3つをしっかり決め、残りは運用しながら肉付けしていくのが現実的です。各項目の具体的な書き方は、後半のルール例で示します。
ルールを作る5つの手順
ルールづくりは、次の流れで進めると無理なく形になります。
手順1：現状を把握する
まず、誰が・どの業務で・どんなAIを使っている（または使いたい）かを把握します。すでに個人のアカウントで使っている社員がいることも多いので、責めるのではなく「実態を知る」姿勢でヒアリングします。ここで見えた使い方が、ルールで守るべき点と促したい点の両方を教えてくれます。
手順2：たたき台を作る
現状を踏まえ、A4一枚程度のたたき台を作ります。最初から完璧を目指さず、「入力してよい情報」「出力の確認」「使ってよいツール」の3点を中心に、自社の言葉で書きます。社外のひな型をそのまま使うより、自社の業務と用語に合わせる方が守られやすくなります。
手順3：小さく試行する
一部の部署や有志のメンバーで、たたき台を実際に使ってみます。「この情報は入れてよいのか迷った」「この承認手順は手間がかかりすぎる」といった現場の声を集め、運用に耐えるかどうかを確かめます。試行段階で出た疑問は、後の相談窓口のFAQにもなります。
手順4：全員へ周知・教育する
完成したルールを全員に共有します。配って終わりにせず、短い研修や説明会で「なぜこのルールがあるのか」「具体的にどう使うと便利か」をセットで伝えると浸透します。禁止事項だけでなく、推奨する使い方も併せて示すのがコツです。AIの活用全体の進め方は中小企業のAI活用ガイドも参考になります。
手順5：運用して定期的に見直す
実際の使い方や新しいツールに合わせて、定期的に更新します。生成AIは機能も料金も変化が速いため、半年に一度や新ツール導入時を目安に見直すとよいでしょう。相談窓口に寄せられた質問やヒヤリ事例を、見直しの材料として蓄積しておくと改善が回ります。
入力してはいけない情報の具体例
ルールの中で最も事故が起きやすいのが、情報の入力です。会社が許可していない外部のAIサービスには、原則として次のような情報を入力しないよう定めておきます。
- 個人情報：氏名・住所・電話番号・メールアドレス・マイナンバーなど、特定の個人を識別できる情報。個人情報の扱いの基本は個人情報保護法の基礎で確認できます
- 顧客・取引先の情報：顧客リスト、取引先から預かった資料、未公開の契約内容など、自社以外の関係者の情報
- 社外秘・機密情報：未発表の製品情報、価格戦略、財務データ、議事録など、外部に出ると不利益が生じる情報
- ソースコード・システム情報：自社開発のプログラム、社内システムの構成、サーバーの設定など
- 認証情報：ID・パスワード・APIキー・社内システムへのアクセス情報
迷ったときの判断基準は「社外の人に見られて困る情報かどうか」です。困る情報であれば、原則として外部AIには入力しない、と一文で示しておくと社員も判断しやすくなります。固有名詞を伏せ字にする、数字を仮の値に置き換えるといった工夫で、AIを使いつつリスクを下げられる場面もあります。なお、社内データを安全に扱える法人向けプランや、外部に学習されない設定が用意されたサービスを会社として選ぶことも有効です。サービスごとの違いは生成AIサービスの比較を参考にしてください。
著作権で気をつけたい3つのポイント
生成AIと著作権の関係は判断が難しい領域です。専門的な判断は弁護士など専門家への確認が前提となりますが、社内ルールでは次の3点を意識しておくと、大きなトラブルを避けやすくなります。
1. 学習に関すること
AIに何を学習させてよいかという論点があります。会社として、他社の著作物を許可なく学習用データとして大量に取り込ませるような使い方は避ける、と方針を示しておくと安心です。
2. 生成物の権利
AIが生成した文章や画像について、誰がどこまで権利を持てるかは、人がどの程度創作に関与したかなどによって判断が分かれる難しい論点です。生成物をそのまま「自社の著作物」として扱えるとは限らないため、重要な用途で使う場合は専門家に確認する前提でルールを組みます。
3. 他者の権利を侵害しないこと
特定の作家・ブランド・キャラクターの作風や商標を模倣するよう指示して生成する使い方は、権利侵害につながるおそれがあります。生成物が既存の著作物に似ていないかを人が確認する、というチェックをルールに入れておきましょう。著作権の基本的な考え方は著作権の基礎知識で整理しています。
いずれも、「最終的に世に出す前に人が確認する」というルールがあれば、多くのリスクは入口で止められます。
運用を成功させる4つの仕組み
ルールは作って終わりではなく、運用の仕組みがあって初めて機能します。中小企業でも無理なく回せる仕組みを4つ挙げます。
1. 教育を定期的に行う
入社時や新ツール導入時に、短くてよいので説明の場を設けます。「なぜ入力してはいけない情報があるのか」を理由とセットで伝えると、社員が自分で判断できるようになります。
2. 相談窓口を一本化する
「この使い方は大丈夫か」と迷ったときに聞ける窓口を決めておきます。担当者でもチャットのチャンネルでも構いません。聞ける場所があるだけで、勝手な自己判断による事故が減ります。
3. 違反時の対応を決めておく
違反が起きたとき、まず故意か不注意かを切り分け、不注意であれば再発防止の指導を優先するのが現実的です。懲戒など重い対応を想定するなら、後述のとおり就業規則に根拠を置いておく必要があります。
4. 定期的に見直す
半年に一度や新ツール導入時を目安に、ルールが実態と合っているかを点検します。相談窓口に寄せられた質問やヒヤリ事例は、見直しの貴重な材料になります。
就業規則との関係
社内のAI利用ルールを実効性のあるものにするには、就業規則との関係を整理しておくことが大切です。AI利用ルールはガイドラインとして配布するだけでも一定の効果がありますが、違反時に懲戒など人事上の対応を伴わせたい場合は、就業規則や服務規程に根拠を置いておく必要があります。
実務的には、就業規則に「会社の定めるAI利用ルールを遵守する」といった一文を加え、詳細はガイドライン本体に委ねる形が扱いやすい方法です。こうしておくと、AIの進化に合わせてガイドラインだけを機動的に更新でき、そのたびに就業規則を変更する手間を避けられます。就業規則そのものの整え方は就業規則の作り方で解説しています。なお、懲戒規定の設計など踏み込んだ部分は、社会保険労務士など専門家への確認をおすすめします。
そのまま使える軽量ルール例（A4一枚）
最後に、中小企業がそのまま下敷きにできる軽量ルールの例を示します。自社の業務と用語に合わせて書き換えてご利用ください。
【当社のAI利用ルール（暫定版）】
- 目的：生成AIを安全に活用し、業務の効率と品質を高める。
- 使ってよいツール：会社が指定した〇〇のみ。それ以外を業務で使うときは事前に△△へ申請する。
- 入力してはいけない情報：個人情報、顧客・取引先の情報、社外秘・機密情報、ソースコード、ID・パスワードなどの認証情報。迷ったら「社外の人に見られて困るか」で判断する。
- 生成物の扱い：AIの出力はそのまま使わず、必ず人が内容を確認・修正してから使う。数字や事実は出典で裏取りする。
- 著作権：特定の作品・ブランド・作家を模倣する指示はしない。重要な用途で使う生成物は、他者の権利を侵害していないか確認する。
- 責任：最終的な判断と責任は、使った本人と会社にある。
- 禁止する用途：他人へのなりすまし、差別的・違法な内容の作成、社外秘情報の外部送信。
- 相談窓口：判断に迷ったら△△に相談する。
- 見直し：このルールは半年ごと、または新ツール導入時に見直す。
この程度の分量から始め、運用しながら自社に合った形へ育てていくのが現実的です。プロンプトの工夫など使い方の質を上げたい場合はプロンプトの作り方も役立ちます。
まとめ
社内のAI利用ルールは、「禁止」のためではなく「安全に活用を促す」ために作るものです。まずは「使ってよいツール」「入力してよい情報」「生成物は人が確認」の3点から始め、著作権・責任・申請承認・教育へと広げていきましょう。就業規則に一文の根拠を置きつつ、詳細はガイドラインで機動的に更新する形が、変化の速い生成AIには合っています。A4一枚からでも、明文化して全員で共有することに大きな意味があります。
自社に合ったAI利用ルールづくりや、社内へのAI定着の支援が必要な場合は、方針づくりから一緒に伴走できます。お気軽にご相談ください。
よくある質問
社内のAI利用ルールについて、中小企業からよく寄せられる質問をまとめました。
関連記事
よくある質問
AIの利用は全面禁止にすべきですか?
全面禁止はおすすめしません。禁止しても社員が個人のスマホやアカウントで隠れて使い、会社が把握できないところで情報漏えいが起きやすくなるためです。大切なのは『入力してはいけない情報』と『生成物は人が確認する』を決めたうえで、使ってよい範囲を示して安全に活用を促すことです。
中小企業はまず何から決めればよいですか?
『入力してよい情報・ダメな情報』『生成物は必ず人が確認する』『使ってよいツール』の3点からで十分です。この3つだけでも、情報漏えい・誤情報・無断利用という主要リスクの多くをカバーできます。慣れてきたら著作権・責任の所在・申請承認へと広げていきましょう。
小さな会社でもルールは必要ですか?
必要です。むしろ少人数ほど一人の不用意な入力が会社全体のリスクになります。A4一枚程度の簡潔なルールで構いません。『何を入れてはいけないか』『生成物をどう扱うか』『困ったら誰に聞くか』を書いて全員で共有することが第一歩です。
ルールに違反した社員にはどう対応すればよいですか?
まずは故意か不注意かを切り分け、不注意であれば再発防止の指導と教育を優先するのが現実的です。懲戒など重い対応を想定するなら、就業規則や服務規程に根拠を置いておく必要があります。事前にルールを周知していたかどうかが対応の妥当性を左右するため、配布記録や研修記録を残しておきましょう。
ルールはどのくらいの頻度で見直せばよいですか?
最低でも半年に一度、加えて新しいAIツールを導入したときや業務での使い方が大きく変わったときに見直すのが目安です。生成AIは機能も料金も変化が速く、作って放置すると実態と合わなくなります。相談窓口に寄せられた質問やヒヤリ事例を、見直しの材料として蓄積しておくと改善が回ります。
