生成AIの社内利用ガイドラインの作り方｜禁止事項・確認手順・運用の基本

生成AIを社内で使い始めるとき、最初に必要なのは長い禁止事項の一覧ではありません。誰が、どのツールで、どの情報を扱い、出力を誰が確認するのかを、社員が迷わず判断できる形にすることです。

ガイドラインは、生成AIを使わせないための文書でも、すべての判断をAIに任せるための文書でもありません。業務で使える範囲と、人が確認する境界を決めるための共通ルールです。会社の規模や扱う情報によって内容は変わりますが、作成の順序には共通する部分があります。

この記事では、生成AIの社内利用ガイドラインを作るときに整理したい項目を、対象範囲、情報の区分、出力確認、運用担当、見直しの順に解説します。自社の業務でどこから始めるかを決めたい場合は、AIを導入したい小さな会社が最初にやる3つのことも参考にしてください。

生成AIの社内利用ガイドラインとは

生成AIの社内利用ガイドラインとは、ChatGPTなどの生成AIを業務で使うときの目的、対象者、情報の扱い、確認方法をまとめた社内文書です。特定のサービスの使い方だけを書くのではなく、サービスを変更しても使える判断基準を先に定めます。

経済産業省の「AI事業者ガイドライン」や、IPAのAI利用者向け資料は、AIを利用するときのリスクや確認事項を整理する参考になります。企業がそのまま転載するものではないため、自社の業務、契約、情報管理のルールに合わせて具体化してください。

禁止だけでなく、使える範囲も書く

「生成AIの利用は禁止」とだけ定めると、社員が個人アカウントで使う、利用状況を相談できない、問題が起きても報告しにくい、といった状態になる可能性があります。一方で「自由に使ってよい」とするだけでは、入力情報や出力確認の判断が利用者任せになります。

最初の文書では、利用を認める業務と、確認が必要な業務を分けます。たとえば公開済みの文章の要約やアイデア整理は試しやすい一方、個人情報、顧客との契約情報、未公開の企画、法務・人事の判断材料は、別の確認が必要です。利用可否は、ツールの契約条件や社内規程を確認したうえで決めます。

ガイドラインを作る前に、対象範囲を決める

最初から全社のすべてのAI利用を規定しようとすると、文章が抽象的になり、現場が読まなくなります。まずは、誰が、どのツールを、どの業務で使うのかを限定します。

• ✅ 対象者：正社員、業務委託、派遣社員など、誰に適用するか
• ✅ 対象ツール：会社が契約・承認したサービスと、個人契約の扱い
• ✅ 対象業務：文章作成、要約、検索、議事録、データ整理など
• ✅ 対象環境：会社アカウント、共有端末、API連携など

サービス名を列挙するだけでは、後からツールが増えたときに更新が必要になります。「会社が承認したアカウントで利用する」「管理者が設定を確認したツールに限る」など、承認の条件も書いておくと運用しやすくなります。

最初に対象業務を一つ選ぶ

ガイドラインの試行対象は、一つの業務に絞ると判断しやすくなります。たとえば社内会議の要約、公開情報の整理、社内文書の下書きなど、出力を人が確認しやすく、元の手順に戻せる業務から始めます。

対象業務を決めるときは、次の4点を一枚に書き出します。

• 📌 入力する情報は何か
• 📌 生成AIに任せる作業はどこか
• 📌 人が確認・修正する箇所はどこか
• 📌 完成した出力を誰が使うか

業務の棚卸しから始めたい場合は、AI導入を成功させるための情報整理も関連します。ルール作成と業務設計を別々に考えず、同じ作業の流れで確認するのがポイントです。

入力情報を3つに分けて書く

現場が最も迷いやすいのは、「この情報を入力してよいか」という場面です。禁止事項を抽象的に書くのではなく、情報を区分し、具体例を添えます。区分の数は会社の運用に合わせて構いませんが、最初は次の3つに分けると説明しやすくなります。

「社外秘はすべて入力禁止」のような短い表現だけでは、現場が判断できないことがあります。顧客名を伏せればよいのか、金額や契約条件はどうするのか、匿名化したデータを使えるのかなど、迷いやすい例を実際の業務に合わせて追記します。

また、入力情報だけでなく、生成された文章を社外へ出すときの確認も必要です。生成AIの出力には、誤った内容、古い情報、根拠のない表現が含まれることがあります。入力が公開情報でも、出力をそのまま公開してよいとは限りません。

出力を確認する手順を決める

ガイドラインを実際の仕事で機能させるには、「人が確認する」と書くだけで終わらせないことが重要です。誰が、何を確認し、問題があったらどう戻すかを、作業の順序として示します。

1. 用途を確認する：社内検討用か、顧客へ送る文章か、公開物かを区別します。
2. 事実を確認する：数値、固有名詞、日付、引用元、契約条件を元資料と照合します。
3. 表現を確認する：誤解を招く表現、過度な断定、個人情報の混入がないか見ます。
4. 承認を残す：公開・送信・登録など、責任者の確認が必要な工程を明確にします。

確認方法は業務ごとに変わります。議事録なら参加者と決定事項、営業資料なら数値と社外公開範囲、採用関連の文書なら個人情報と判断の公平性を確認します。AIに任せる作業と、人が責任を持つ判断を分けて書くと、過信と過剰な禁止の両方を避けやすくなります。

担当者・相談先・事故時の連絡を決める

ガイドラインの所管部署や相談先がないと、社員は疑問を抱えたまま使うか、利用をやめます。専任のAI担当者を置けない会社でも、最低限の役割は決めておきます。

• 🎯 運用担当：承認済みツール、ガイドライン、社内FAQを更新する人
• 🎯 業務責任者：対象業務の出力基準と最終確認者を決める人
• 🎯 相談先：入力可否、契約、セキュリティ、個人情報について相談する窓口
• 🎯 報告先：誤入力や不適切な出力があった場合に、最初に連絡する人

誤って情報を入力した、出力に誤りがあった、社外へ送る前に問題に気づいた、といったケースごとに「利用を止める」「画面や履歴を保存する」「担当者へ報告する」などの初動を決めます。処分や責任追及を先に書くのではなく、事実を確認し再発を防ぐための連絡手順を先に置くと、報告しやすいルールになります。

ガイドラインを社内に定着させる

完成した文書を共有フォルダへ置くだけでは、運用は定着しません。対象業務の担当者が、実際の入力例と出力例を見ながら、どこで確認するかを理解できる場を設けます。

研修では、機能の説明を長く行うより、次のような短い演習が有効です。

• ✅ 公開情報を使った要約を作り、事実確認の箇所を探す
• ✅ 個人情報や契約情報を含む例を見て、入力前の相談先を確認する
• ✅ 出力を社外へ送る前に、誰がどの項目を承認するかを確認する

社内でAIを使う習慣をつくる方法は、AI教育を単発研修で終わらせないための考え方にも整理しています。ガイドラインを一度配布して終わりにせず、質問と事例を社内FAQへ反映します。

見直し日を決めて、ルールを更新する

生成AIのサービス、社内の業務、契約条件は変わります。ガイドラインを作った日だけでなく、次に見直す日を文書へ記載します。少なくとも、次のタイミングでは内容を確認します。

• 📌 新しいAIツールや連携機能を使い始めるとき
• 📌 個人情報、顧客情報、社外公開物を扱う業務へ広げるとき
• 📌 誤入力、誤送信、出力ミス、現場からの質問があったとき
• 📌 社内の規程や契約、担当者が変わったとき

改定履歴には、改定日、変更した項目、変更理由、確認した担当者を残します。ルールを厳しくするだけでなく、問題なく使えた業務や、不要になった手順も見直します。現場が使える範囲を少しずつ広げられるかを確認することが、社内展開の判断材料になります。

そのまま使える作成チェックリスト

この項目をすべて一度に完成させる必要はありません。まずは一つの業務で試し、社員が迷った箇所、確認に時間がかかった箇所、ルールが細かすぎた箇所を記録して改定します。業務の流れと社内の判断者を整理したうえで、AI導入をどこまで進めるか検討することが、継続できるルールにつながります。

よくある質問

無料の生成AIサービスを社内で使ってもよいですか？

サービスの料金だけで判断せず、会社の情報管理方針、契約条件、管理者設定、入力データの扱いを確認してください。利用を認める場合も、対象業務と入力情報を限定し、社内で承認したアカウントを使う条件を決めます。

ガイドラインは何ページにすればよいですか？

ページ数より、社員が判断できる具体性が重要です。最初は対象範囲、情報区分、出力確認、相談先、改定日を短くまとめ、詳細な手順や業務別の例は別紙のFAQ・マニュアルに分けても構いません。

法務やセキュリティの専門家に確認すべきですか？

個人情報、契約、知的財産、業法、社内規程が関わる場合は、社内の担当部署や必要な専門家へ確認してください。この記事は一般的な整理方法であり、自社の契約や法的判断を代替するものではありません。

まとめ

生成AIの社内利用ガイドラインは、禁止事項を並べるだけでは機能しません。対象者とツールを決め、入力情報を区分し、出力確認と責任の境界を定め、相談先と見直し日までつなげることが大切です。

まずは一つの業務で小さく試し、現場の質問や事例をルールへ反映してください。自社の業務に合わせたAI活用の範囲や、社内で無理なく続けられる進め方を整理したい場合は、Aillyの初回相談・導入プランで確認できます。