生成AIを業務で使い始めたものの、「何を入力してよいか分からない」「無料版を使ってもよいのか」「AIの文章を顧客に送ってよいのか」といった判断が人によって違う企業は少なくありません。全面禁止だけでは業務改善の機会を失い、無条件の解禁では情報や品質の管理が難しくなります。
結論から言うと、最初に作るべきものは分厚い規程ではありません。許可する用途・ツール、扱う情報、確認と承認、問題発生時の連絡先を、現場が迷わず判断できる形にすることです。この記事では小規模な架空企業を例に、規程の設計、記入済みの規程例、運用フロー、模擬ケース、導入後の見直しまでを説明します。自社で法令・契約・セキュリティ条件を確認し、必要な部分を調整してください。
なぜ「使ってよい・悪い」の二択では足りないのか
生成AIのリスクは、ツール名だけでなく、入力データ、利用目的、出力の使い道、連携先、契約条件で変わります。同じ文章生成でも、公開済みの商品紹介文の下書きと、顧客名簿を含む苦情対応では判断が異なります。また、AIが作った内容がもっともらしく見えても、金額、法律、出典、製品仕様を誤る場合があります。
経済産業省・総務省の「AI事業者ガイドライン（第1.2版）」は2026年3月31日に公表されています。2026年7月31日更新のIPAの生成AIセキュリティ関連資料も、全社のガバナンス、利用ガイドライン、未承認AI利用への対応、システムのライフサイクルを扱っています。これらは自社の利用条件を検討する参考資料ですが、すべての中小企業に同一の社内規程文面を義務づけるものではありません。業界規制、顧客契約、個人情報保護法などの個別要件は別に確認が必要です。
最初に決める8つの事項
1．何のために使うか・使わないか
目的は「AI活用推進」ではなく、具体的な業務で書きます。例：「公開情報だけを使う社内向け説明文の下書き」。対象外には人事評価、採用の自動判定、個人情報を含む顧客対応、外部への自動送信など、初期段階で扱わない用途を記します。例外が生じたときに誰へ相談するかも必要です。
2．利用を認めるツールとアカウント
許可ツール名、契約プラン、管理者、利用可能なアカウント、機能の範囲を台帳に記録します。個人アカウントや未承認のブラウザー拡張機能、外部連携、自律的に操作するAIエージェントは別途審査とする方法があります。「有料だから安全」「学習に使われない設定だから機密情報を入れてよい」と一律に判断しないことが重要です。データの保存・利用・削除、国外移転、ログ、再委託などは実際の契約条件を確認します。
3．入力情報を分類する
現場向けにはまず三段階が分かりやすいでしょう。A：公開情報・架空データ（許可された用途で利用可）、B：社内限定の業務情報（契約・社内基準と管理者承認を確認）、C：顧客個人情報、認証情報、未公開の機密・営業秘密、契約上持出し禁止の資料など（原則入力禁止、例外は正式な審査）です。ただし、Aでも著作権や利用条件の問題があり得ます。Bを匿名化したつもりでも、組み合わせで個人が識別できることがあります。自社の情報分類規程があればそちらを優先してください。
4．出力を何に使うかで承認段階を変える
社内の発想出し、社内説明文、顧客向け文章、広告、契約・法務・人事関連の文書は同じ確認基準ではありません。社内の下書きは担当者確認、対外公開は責任者確認、法務・人事・医療など高リスク領域は専門部門への照会や利用制限を設けます。AIの出力を承認なしに顧客へ送信しないルールから始めると、初期の運用が明確になります。
5．確認の責任者と根拠を決める
AIは起案補助であり、最終的な判断者を人間として指定します。事実は原典、数字は計算式、引用は出典と利用条件、対外表現は広告・契約・権利の観点から確認します。確認結果と承認者が後で追える記録を残します。すべてのチャット全文を無制限に保存するのではなく、個人情報や保存期間、アクセス権限も合わせて決めます。
6．事故・疑義の報告先と初動を決める
誤って機密情報を入力した、AIの誤案内を外部に送った、未承認の外部連携を設定した、といった事象では、利用を止め、情報管理責任者へ速やかに連絡します。入力内容・時刻・ツール・共有先・取った措置を、二次漏えいに注意しながら記録します。法令上の報告・通知義務が生じるかは事案ごとに確認し、自己判断で「大丈夫」と片づけないことが大切です。
7．教育と相談窓口
規程をメールで送るだけでは判断は揃いません。許可例、禁止例、判断に迷う例を各2〜3件用意し、10〜20分の説明と確認演習を実施します。担当者が迷ったら止めて相談できる窓口を明記します。社内ルール違反を隠させないため、問題報告を受け付ける仕組みも必要です。
8．見直し時期と変更管理
ツールの契約条件、モデル、外部連携、業務の使い方、ガイドラインは変わります。例として導入1か月後、以後3か月ごと、重大事故・新機能導入時に見直します。版番号、改定日、承認者、周知先を残し、旧版のまま利用されないようにします。期間は自社のリスクと運用負荷に応じて決めます。
記入済み架空例：社員25人の会社が最初に定める利用ルール
以下は架空の「みなと商事」（社員25人、卸売業）による社内規程の例です。自社の正式規程として配布する前に、契約・情報管理・法務の確認が必要です。各項目には、何を決めるかを示す「記入ガイド」と、架空の「記入例」を付けています。
第1条：目的と対象
記入ガイド：利用の目的、対象者、適用範囲、対象外を明確にする。
記入例：当社従業員が会社承認済みの生成AIを、公開情報に基づく社内説明文、商品紹介文の下書き、会議準備のために使う場合に適用する。個人アカウントでの業務利用、顧客への自動返信、採用・人事評価の自動判断は対象外とする。
第2条：許可サービス
記入ガイド：サービス名・契約プラン・管理者・許可機能を別紙台帳で管理する。サービスが未選定なら空欄のまま解禁しない。
記入例：情報管理担当が管理する会社契約の「承認済みAIサービスA」（架空）に限る。個人契約サービス、プラグイン、外部アプリ連携、エージェントによるファイル操作は事前申請とする。台帳の確認日は2026年11月2日（架空）。
第3条：入力情報
記入ガイド：情報分類と禁止・要承認条件を例示する。
記入例：公開済みの商品説明、架空の取引例は入力可能。未公開価格表・社内限定資料は情報管理担当の個別確認が必要。顧客名簿、個人の連絡先、パスワード、秘密保持契約の対象資料、社外秘の技術資料は原則入力しない。匿名化の可否は担当者が確認する。
第4条：出力の確認と公開
記入ガイド：用途ごとの確認者、原典照合、記録方法を定める。
記入例：社内向けの草案は作成者が確認する。Web掲載・顧客メール・広告は担当者が一次資料と照合し、部門責任者の承認を得る。価格、納期、法令、引用、画像の権利は別途確認する。AI出力を無確認で公開・送信しない。
第5条：申請・相談
記入ガイド：誰が、どの条件で、どこに申請するかを決める。
記入例：新たな用途・ツール・外部連携は、目的、扱う情報、送信先、確認者、想定リスク、試験期間を1枚の申請票に記載し、部門長と情報管理担当の確認を受ける。判断がつかない場合は使用せず相談する。
第6条：事故対応
記入ガイド：停止、連絡、証跡保全、外部報告判断の責任者を定める。
記入例：誤入力・誤送信・権限外連携の疑いを認識した場合は、当該利用を止め、当日中ではなく発見後速やかに情報管理担当へ連絡する。担当者は記録を保全し、必要な外部報告・顧客対応を法務等と確認する。証跡の保存は社内の事故対応規程に従う。
第7条：教育・改定
記入ガイド：周知方法、問い合わせ先、初回見直し日を定める。
記入例：利用前に15分の説明と3問の演習を受ける。初回見直しは2026年12月2日（架空）、以後四半期ごと。改定承認者は代表取締役、規程管理者は総務責任者とする。
利用申請と出力確認をどう回すか
初めて使う従業員は、①許可ツール台帳を確認し、②入力予定情報を分類し、③許可された業務か照合します。承認不要の範囲なら作業し、承認が必要なら申請します。生成後は、④原典・数値・権利・禁止表現を点検し、⑤用途に応じた承認を受け、⑥必要最小限の結果記録を残します。
架空の申請票の項目は「申請ID／申請者／利用目的／許可ツール／入力情報の分類／出力の利用先／外部連携の有無／確認者／リスクと対策／承認者／判定日／再評価日」です。記入例は「AI-001／営業担当A／公開済み商品紹介文の下書き／承認済みAIサービスA／A（公開情報）／社内レビュー後にWeb公開／なし／営業課長／誇大表現・価格誤りを原典確認／営業課長承認／2026年11月4日／同年12月2日」（すべて架空）です。
ここで重要なのは、申請票を作ること自体ではありません。「誰が止められるか」「承認前に外部へ出さないか」が実際の業務フローに組み込まれているかです。小規模企業で情報システム専任者がいなければ、経営者・総務責任者・業務責任者の三者で役割を分担し、必要な専門判断を外部へ相談する形でも運用できます。
模擬ケースで最初から最後まで動かしてみる
ケースA：公開済み商品の紹介文を作る
架空の営業担当Aが、Web公開済みの商品仕様をもとに300字の紹介文を下書きします。利用前に会社承認済みツールであることを確認し、入力情報は公開済みの仕様のみと判定。AIが「業界最高の耐久性」「翌日必ず納品」と書いた場合、公式仕様や物流条件に根拠がないため削除します。価格・納期は最新の社内確認を行い、部門長が最終文面を承認して公開します。申請票AI-001と公開版の確認記録を紐付けます。結果は「修正後、承認して公開可」です。
ケースB：顧客名入りの問い合わせメールを要約したい
担当者が顧客の氏名・メールアドレス・注文履歴を含むメールをそのまま入力しようとします。情報分類で禁止・要審査情報に該当するため、作業前に停止。必要な目的を整理し、匿名化や社内の承認済み環境で代替できるか情報管理担当へ相談します。顧客の個人情報を伏せれば常に適法・安全になるとは限りません。結果は「そのままの入力不可、相談後に再判断」です。
ケースC：誤って未公開価格表を入力した
社員が未公開の取引価格表を入力したと気づきました。最初の対応は追加質問や共有を止め、情報管理担当に利用サービス、入力日時、資料の種類、アカウント、共有・外部連携の有無を速やかに連絡することです。担当者は契約上のデータ取扱い、ログ、削除・隔離の可否、顧客契約、報告要否を確認し、対応記録と再発防止策を残します。「チャットを削除したので解決」とは判断しません。結果は「利用停止・事実調査・必要な報告判断」です。
この3件を規程案に照らすと、Aは確認・承認を経て利用、Bは入力前に保留、Cは事故初動へ分岐します。模擬検証では各ケースの判断経路と担当者を追えました。ただし、実際の従業員が説明なしで同じ判断をできるかは未検証であり、社内配布前の演習が必要です。
規程の有効性を測る指標と見直し方
「社員がAIを何回使ったか」だけでは安全性も価値も分かりません。初月は、①許可ツール利用率、②対外出力の承認漏れ件数、③情報分類に関する相談件数、④重大な疑義の報告・処理状況、⑤確認・修正を含む総処理時間を観察します。相談件数の増加は、単純な悪化ではなく、相談しやすくなった結果の可能性もあります。
架空の月次レビュー例：利用記録20件のうち承認済みツールの利用17件なら、利用率は17÷20×100＝85％。公開用の出力20件のうち原典確認を完了したものが18件なら確認完了率は18÷20×100＝90％です。これらの数字は架空例であり、85％や90％を合格基準とする根拠はありません。未承認ツール3件は用途と原因を確認し、対外公開前の確認漏れ2件は承認フローの改善対象とします。違反件数を隠させる目標管理は避けてください。
作業時間を比較する場合は、AIが文章を生成する時間だけでなく、入力準備、原典確認、修正、承認を含めます。例として従来12分、AI生成2分＋確認5分＋修正2分＝9分なら、短縮率は（12−9）÷12×100＝25％です。ただし教育・契約・管理コストや品質の悪化があれば、総合的な導入価値は別に判断します。
よくある失敗と改善策
「禁止情報を入力しない」とだけ書くと、顧客名入りメール、未公開価格表、社内議事録などの扱いで迷います。資料の具体例を示し、判断に迷う場合の相談先を付けてください。「会社契約だから安全」と一括許可すると、外部連携や機能変更で前提が変わる場合があります。許可ツール台帳は機能単位でも更新します。
「AIの回答は自己責任で確認」とだけ書くと、確認すべき根拠も責任者も不明です。社内用・公開用・高リスク用で確認項目を分けます。「事故は総務に報告」とだけ書くと、担当者不在時に止まります。代理担当、緊急連絡経路、記録方法まで決めてください。「規程を配布して終了」は避け、少なくとも1回はケース演習を行います。
最初の30日で導入する進め方
1〜3日目：経営者と担当者が、許可する2〜3業務、対象外業務、責任者、情報分類を決めます。個人情報・契約・業界固有規制の確認担当を定めます。
4〜7日目：サービスの契約条件と管理設定を確認し、許可ツール台帳と7条程度の規程案を作成します。入力・出力の例を各3件用意します。
2週目：社員数名に規程だけを渡し、ケースA〜Cに相当する架空例を判断してもらいます。誤答や迷いを記録し、分かりにくい文面を修正します。必要なら法務・情報管理の専門家に確認します。
3週目：低リスクの業務から限定運用し、確認・修正時間、承認漏れ、問い合わせを記録します。重大な疑義があれば停止して調査します。
4週目：担当者と責任者が記録を見て、許可範囲の維持・縮小・拡大を判断し、規程の版を更新します。全社展開は結果とリスクに応じて決めます。
今日からできること・まとめ
まず、自社で実際に発生するAI利用を3件書き出してください。「入力する資料」「作る成果物」「外部に出すか」「誰が確認するか」の4点を埋めると、許可すべき範囲と判断に迷う点が見えてきます。次に、会社で利用を認めるツールと相談窓口を1つずつ確定します。最後に架空の禁止例を1つ使い、担当者が停止・相談できるかを試してください。
生成AI利用ルールは、社員を縛るためだけの文章ではなく、安全に業務改善を進めるための共通の判断基準です。小さく始め、実際のケースで検証し、規程を更新していくことが現実的です。
公式資料・確認先（2026年10月28日確認）
経済産業省・総務省「AI事業者ガイドライン（第1.2版、2026年3月31日）」：https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html
IPA「セキュリティ担当者のための生成AIセキュリティ」（2026年7月31日更新）：https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2026/ai-security.html
個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（2023年6月2日）：https://www.ppc.go.jp/news/press/2023/230602kouhou/
IPA「テキスト生成AIの導入・運用ガイドライン」（2024年7月31日更新、卒業プロジェクト成果物）：https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2024/generative-ai-guideline.html
コメント