生成AI利用ガイドラインの作り方｜中小企業の社内ルール7項目とひな形

「社員が勝手にChatGPTを使っているらしい」「ルールを作れと言われたけれど、何を書けばいいのか分からない」。最近、こうした話を聞くことが増えました。

生成AIは、中小企業の現場にも当たり前に入り込みつつあります。問題は、ルールがないまま使われているか、とりあえず禁止しているかのどちらかになっている会社が多いことです。

先に結論をお伝えすると、必要なのは禁止でも放置でもなく、ルールを決めたうえで使ってよいと認めることです。社内の生成AI利用ガイドラインには、次の7項目を入れます。

1. 利用してよいツールと申請の手順
2. 入力してはいけない情報
3. 指示の出し方と記録の残し方
4. 出力の確認とファクトチェックの手順
5. 著作権・権利侵害を避ける確認
6. 最終責任者と承認の流れ
7. 見直しの時期と相談窓口

この7項目は、Claudeを開発するAnthropicが公開している「4Dフレームワーク」をもとに、当社で整理したものです。7項目をすべて入れたひな形（Word形式）も、記事の後半から無料でダウンロードできます。

生成AIの社内ルールが必要な理由

生成AIの社内ルールの話をすると、「うちは禁止しているから大丈夫」という反応と、「便利なんだから自由に使わせればいい」という反応の両方が返ってきます。ところが、このどちらにも見過ごせない危険があります。

禁止するとシャドーAIが生まれる

生成AIを全面的に禁止にしても、利用がなくなるわけではありません。多くの場合、使われていることが見えなくなるだけです。

AIの便利さを知った社員は、個人のスマートフォンや私用アカウントで業務の文章を処理し始めます。これが、いわゆる「シャドーAI」です。

ChatGPTやClaudeの法人向けプランは、入力した内容を初期設定では学習に使わないと公式に示しています。管理者が社員の利用状況を確かめられる機能も、プランによって用意されています。

一方で、社員の個人アカウントは、学習に使う設定になっているかどうかも、何を入力したかも、会社からは確かめられません。

つまり、禁止した会社のほうが、ルールを決めて許可した会社よりも危ない経路で情報が外に出やすくなります。専任の情報システム担当がいない会社が多い中小企業では、シャドーAIを見つけること自体が難しくなります。

すでに社員が自己流で生成AIを使っている場合の進め方は、次の記事で紹介しています。

放置すると情報漏えいと誤情報が起きる

反対に、ルールを決めずに自由に使わせた場合はどうなるのでしょうか？

まず怖いのが情報漏えいです。顧客名簿や見積書、契約書をそのままチャットに貼り付けて「この内容を要約して」と頼んでしまうことは、現場で起こりがちです。

無料版や個人アカウントでは、設定によって入力内容がAIの学習に使われることがあります。設定を確かめずに機密情報を入れると、取引先との秘密保持契約や、個人情報保護法の問題に発展するおそれがあります。

もう一つの問題が誤情報です。生成AIは、もっともらしい誤り（ハルシネーション）を、自信のある口調で答えることがあります。

存在しない法令や統計を顧客向けの資料に載せたり、AIが出した計算結果を確かめずに見積書へ写したりすると、取引先の信用を失いかねません。「AIが書いたものなので知りません」という言い訳は、社外には通じません。

禁止は見えない利用を生み、放置は無防備な利用を生みます。だからこそ、生成AIは「ルールを決めたうえでの許可」が必要です。

任せてよい業務と任せない業務

ルールの中身に入る前に、生成AIが何を得意とし、何を任せてはいけないのかを押さえておきましょう。ここが分かると、あとで紹介する7項目の理由が見えてきます。

生成AIが力を発揮する業務

向いている業務には、次の三つの共通点があります。

• 間違えても、人の確認で直せる
• 下書きがあるだけで、作業時間が大きく減る
• 機密性の低い情報で完結する

この三つを満たす代表的な業務を、具体例とあわせて表にまとめました。

業務	具体例
文章の下書き	メールの返信文、お客様への案内文、求人票、ブログやSNS投稿の下書き
要約・整理	長いメールのやりとりの要点、会議の文字起こしの整理、マニュアルの要約
翻訳・言い換え	外国人のお客様への対応文、専門用語をやさしい表現に直す、クレーム返信の口調の調整
アイデア出し	新サービスの名前やキャッチコピーの案を数十個出させて人が選ぶ、会議の議題の案

なかでもすぐに効果が出るのは、文章の下書きです。ゼロから書く時間がそのまま減るため、使い始めた日から違いが分かります。

どの業務も、「AIの出力は必ず人が確認してから使う」という前提を守れば、失敗したときの影響が小さく済みます。

任せてはいけない業務

一方で、AIに任せてはいけない業務もはっきりしています。こちらの共通点は次の三つです。

• 間違いが取り返しのつかない結果を生む
• 法律上、資格を持つ人にしかできない
• 機密情報・個人情報そのものを扱う

ひとつでも当てはまる業務は、AIに任せません。代表的な業務を、理由とあわせて表にまとめました。

任せてはいけない業務	理由
顧客に向けた法律・税務の判断	報酬を得て他人の法律事務や税務相談を行うのは、弁護士・税理士などの資格が必要な業務。自社の契約書をAIで読む場合も、最後は人や専門家が確かめる
人事評価・採用合否の最終決定	学習データに由来する偏りが混じるおそれがあり、不採用の理由を説明できなくなる
会社の公式見解・謝罪文の発信	表現を誤ると、炎上や信用の低下に直結する
緊急対応・安全に関わる判断	遅れや誤りが、人の安全や健康に関わる

この線引きを経営者の頭の中だけにとどめず、社員全員が共有できる状態にすることが、これから作る社内ルールの役割です。業務ごとの見極め方は、AIに向く業務・向かない業務の見極め方で詳しく扱っています。

ルールの土台にする4Dフレームワーク

7項目の話に入る前に、その土台になる考え方を紹介します。Claudeの開発元であるAnthropicが、大学の研究者と共同で作った「4Dフレームワーク」です。

作ったのは、リンリング・カレッジ・オブ・アート・アンド・デザインのリック・デイカン教授と、ユニバーシティ・カレッジ・コークのジョセフ・フェラー教授、そしてAnthropicです。

AIと安全に、効果的に協働するための四つの力をまとめています。

四つの力は、Delegation（委任）、Description（説明）、Discernment（見極め）、Diligence（責任）の頭文字を取って「4D」と呼ばれます。

Anthropicの無料講座「AI Fluency: Framework & Foundations」の中心にもなっている考え方です。

研究者が作った枠組みですが、中身は実務的で、中小企業のルール作りにそのまま使えます。ひとつずつ見ていきましょう。

任せるかを決める力（Delegation）

一つめの「Delegation（委任）」は、目的を決めたうえで、AIを使うかどうか、いつ・どう使うかを決める力です。

前の章で紹介した「任せてよい業務と任せない業務」の線引きが、これに当たります。

ありがちな失敗は、頭に浮かんだことを何でもAIに渡してしまうことで、顧客データの入った台帳をそのまま貼り付けるのは、Delegationが欠けている典型です。

意図を正しく伝える力（Description）

二つめの「Description（説明）」は、やってほしいことを的確に伝えて、役に立つ出力を引き出す力です。いわゆるプロンプトの書き方がここに含まれます。

「いい感じにメールを書いて」では、いい感じの結果は返ってきません。誰に・何の目的で・どんな口調で、という背景を伝えるほど、出力の質は上がります。

出力を見極める力（Discernment）

三つめの「Discernment（見極め）」は、AIの出力をうのみにせず、正しさと使えるかどうかを見極める力です。

生成AIは、自信のある文章で間違えることがあります。存在しない法令名や誤った統計を見積書や提案書に写してしまう事故は、Discernmentが欠けたときに起きます。

「AIの出力は新人の下書きと同じで、必ず先輩が確かめる」という感覚を、社内の共通認識にしましょう。

結果に責任を持つ力（Diligence）

最後の「Diligence（責任）」は、AIを使って何をし、どう進めたかに責任を持つ力です。

AIをどれだけ使っても、成果物の責任は、それを使った人と会社にあります。「これはAIが書いたので知りません」は、お客様にも法律にも通じません。

誰が最終承認するのか、問題が起きたら誰に報告するのかを、あらかじめ決めておきます。これが、結果に責任を持つための仕組みです。

四つの力は、どれか一つが欠けても事故につながります。逆にいえば、社内ルールは、この四つを漏れなく押さえるように作ればよいということです。

社内ガイドラインに入れる項目

ここからは、社内ガイドラインに入れる7項目を一つずつ見ていきます。当社では、それぞれの項目を4Dのどれかに対応させ、7項目そろえれば四つの力を会社として押さえられる構成をおすすめしています。

それぞれ、何を書くかと条文の例を紹介します。条文の例は、そのまま自社のガイドラインに写して使えます。

利用してよいツールと申請の手順

まず決めるのは、どのツールなら使ってよいかです。

社内で使う生成AI（ChatGPT、Claude、Geminiなど）を決め、業務での利用を会社が契約したプランに限ります。あわせて、個人アカウントを業務に使うことをはっきり禁止します。

新しいツールを使いたいときの申請の手順も決めておくと、シャドーAIが生まれる前に手を打てます。最初に使う生成AIの選び方は、次の記事で紹介しています。

条文の例
業務における生成AIの利用は、会社が契約・承認したツールに限る。個人契約のアカウントを業務に使用してはならない。新たなツールの利用を希望する場合は、所定の様式により〇〇部に申請する。

入力してはいけない情報

7項目の中で、最も大事な項目です。「機密情報を入れない」という抽象的な書き方では現場が判断できないため、自社の業務に即して具体的に挙げます。

個人情報保護委員会も、2023年6月2日の注意喚起で、個人情報をプロンプトに入れるときは利用目的の範囲内か、AIの事業者がその個人データを機械学習に使わないかを確かめるよう求めています。

入れない情報は、次のような表にして配ると、現場で迷いにくくなります。

情報の種類	例	加工すれば使えるか
顧客・取引先の個人情報	氏名、住所、電話番号、メールアドレス	名前を「A様」に置き換え、連絡先を消せば使える
秘密保持の対象の情報	取引先の図面、契約の条件、未発表の製品情報	使わない
従業員の人事・給与情報	評価、給与額、健康情報	使わない
未公開の財務・経営情報	決算前の数字、借入の条件、取引先別の利益	金額を消した文章の構成だけなら使える

条文では、最後に「個人を特定できない形に加工した場合はこの限りでない」と添えるのがポイントです。この一文があることで、生成AIを使える場面が必要以上に狭まらずに済みます。

条文の例
次の情報を生成AIに入力してはならない。（1）顧客・取引先の氏名、住所、連絡先等の個人情報（2）取引先との契約内容、および秘密保持義務の対象となる情報（3）従業員の人事・給与情報（4）未公開の財務情報・経営情報。ただし、個人を特定できない形に加工した場合はこの限りでない。

どの情報をどこまで渡してよいかの決め方は、次の記事で詳しく扱っています。

指示の出し方と記録の残し方

AIへの指示（プロンプト）の基本と、大事な業務で使ったときの記録の残し方を決めます。記録があると、あとで問題が起きたときに原因をたどれます。

指示の出し方は、悪い例と良い例を見比べるのがいちばん分かりやすい方法です。たとえばお客様へのお詫びメールを作るとき、次の二つでは出力の質がまったく変わります。

指示	内容
悪い例	お詫びメールを書いて
良い例	あなたは住宅リフォーム会社の事務担当です。工事日程が1週間遅れることになったお客様（60代・初めての取引）へのお詫びメールを書いてください。遅れの理由は資材の納品遅れです。新しい日程の候補を二つ示し、丁寧だが過剰にへりくだらない口調でお願いします。

良い例のポイントは、立場・目的・相手・条件・口調の五つを渡していることです。これだけで直しのやりとりが減り、結果として時間の短縮につながります。

記録の残し方に、大げさな仕組みは要りません。「見積書など顧客に出す文書でAIを使ったら、案件フォルダのメモに『Claude使用・構成案と下書き』と1行残す」程度で十分です。

目的は、「この数字は誰が、どう作ったのか」を後からたどれるようにすることなので、ツール名と使った範囲が分かれば足ります。

条文の例
生成AIを顧客向け成果物の作成に利用した場合は、利用したツール名と主な指示内容を当該業務の記録に残す。

出力の確認とファクトチェックの手順

AIの出力をそのまま使ってはいけない、という大原則をルールとして書いておきます。特に数値・固有名詞・法令は、根拠の確認を義務にします。

「確認すること」とだけ書いても、現場は何をすればよいか分かりません。当社では、確認を次の三つの段階に分けてルールにすることをおすすめしています。

段階	対象	確かめること
全文を自分の目で読む	すべての出力	自分が書いたものとして通して読む。日本語の不自然さ、文脈のずれ、相手の名前や社名の間違いがないか
数値・固有名詞・日付を突き合わせる	社外に出すもの	金額・数量・日付を、見積りの根拠資料・契約書・カレンダーと一つずつ照らし合わせる。AIに集計させた請求額は、Excelの元データで検算してから請求書に写す
法令・統計・出典を原典で確かめる	専門的な内容	「労働基準法第〇条では」「経済産業省の調査によると」と答えたら、e-Gov法令検索や省庁の公式サイトで原典に当たる

文章として自然なものほど、通して読むだけでは誤りに気づきにくくなります。原典が見つからない情報は、それらしく見えても使わないと決めておきましょう。

条文の例
生成AIの出力を業務に使用する際は、利用者本人が内容の正確性を確認しなければならない。数値、法令、統計、固有名詞を含む場合は、原典または公式情報により裏付けを確認する。

著作権・権利侵害を避ける確認

生成物が既存の著作物に似ていないかを、社外に公開する前に確かめる手順を決めます。画像の生成や広告の文章づくりで、特に大事な項目です。

文化審議会の小委員会がまとめた「AIと著作権に関する考え方について」（2024年3月）は、AIの生成物も、人が作ったものと同じ考え方で判断するとしています。

既存の作品と似ているか、それをもとにしたかが、侵害に当たるかの分かれ目です。

条文の例
生成AIの出力を社外に公開する場合は、既存の著作物・商標等との類似がないかを事前に確認する。疑義がある場合は〇〇部に相談のうえ判断する。

最終責任者と承認の流れ

「AIが作ったものでも、責任は人にある」を、会社の仕組みに落とし込む項目です。成果物の種類ごとに、誰が最終承認するのかを決めます。

決めた内容は、次のような表にしておくと分かりやすくなります。

成果物	AIの使い方	最終承認
社内の議事録・メモ	要約と整理	作った本人
お客様へのメール	文面の下書き	作った本人（クレーム対応は上長）
見積書・請求書	文面の下書きのみ。金額は元データで検算	上長
ホームページ・広告の文章や画像	下書き・案出し	社長

承認の流れは、AIを使わない場合と同じにするのが基本です。AIを使ったときだけ別の手順にすると、かえって守られにくくなります。

条文の例
生成AIを利用して作成した成果物の責任は、当該成果物を業務に使用した従業員およびその承認者が負う。社外に提出する文書は、従来の承認フローと同様に上長の承認を得る。

見直しの時期と相談窓口

生成AIは変化が速く、半年前のルールがもう古い、ということが普通に起きます。見直しの時期と、現場が迷ったときの相談先を、ルールそのものに書き込んでおきます。社員教育について触れるのも、この項目です。

あわせて、入れてはいけない情報を入れてしまった、誤りを社外に出してしまった、といった問題が起きたときの報告先も決めます。

報告した人を責めないと書いておくと、小さな失敗が早く上がってきます。隠されるほうが、会社にとっての危険は大きくなります。

条文の例
本ガイドラインは原則として半年ごとに見直す。生成AIの利用に関して判断に迷う場合、または問題が生じた場合は、〇〇（担当者名・窓口）に相談・報告する。

生成AIガイドラインのひな形とサンプル

ここまでの7項目をすべて入れたガイドラインのひな形（Word形式）を用意しました。会社名・担当部署名・対象ツール名を自社のものに置き換えるだけで、最低限のガイドラインとして使える内容です。

ひな形をダウンロードする

ひな形で書き換えるのは、主に次の箇所です。

• 会社名と、ガイドラインを施行する日
• 申請先・相談窓口の部署名や担当者名
• 使ってよいツールとプランの名前
• 入力してはいけない情報の具体例（自社の業務に合わせて足す）

ダウンロードはこちらから。

ひな形は、あくまで出発点です。業種によって、厚く書くべき項目は変わります。たとえば介護・医療なら、利用者の情報の扱いを書き足してください。

公開されているひな形も参考にする

社内ルールのサンプルは、公的な団体や官公庁からも公開されています。当社のひな形と見比べて、自社に足りない項目を拾う使い方がおすすめです。

資料	公開元	内容
生成AIの利用ガイドライン（第1.1版）	日本ディープラーニング協会（JDLA）	組織で使う利用ガイドラインのひな形。Word形式で無料。条項のみの版と簡易解説付きの版があり、画像編もある
AI事業者ガイドライン（第1.2版）	総務省・経済産業省	事業でAIを使う会社も「AI利用者」として対象に含む。付属資料にチェックリスト・ワークシートがある
生成AIサービスの利用に関する注意喚起等	個人情報保護委員会	個人情報をプロンプトに入れるときに確かめること
AIと著作権に関する考え方について	文化審議会著作権分科会法制度小委員会	AIの生成物と著作権の考え方

JDLAのひな形は資料室のページから、AI事業者ガイドラインは経済産業省のページから入手できます。

AI事業者ガイドラインは、AIを作る会社や提供する会社も対象にした長い資料です。中小企業のルール作りでは、AI利用者に当たる部分とチェックリストを拾い読みすれば十分です。

社内ルールを作る手順

ひな形があっても、書き換えて配るだけでは、現場の使い方に合わないルールになりがちです。次の順番で進めると、少人数の会社でも無理なく形にできます。

1. 目的と対象を決める：何のためのルールか、正社員だけかパート・派遣も含めるかを決める
2. 今の使われ方を聞く：誰が、どのツールを、どんな業務に使っているかを聞き取る。責めずに聞くのがポイント
3. ひな形を自社向けに直す：7項目のうち、入力してはいけない情報と承認の流れを自社の業務に合わせて書く
4. 現場に読んでもらう：よく使う社員に読んでもらい、守れない決まりや分かりにくい言葉を直す
5. 説明の場を設けて伝える：ファイルを配るだけでなく、短い説明会で理由と一緒に伝える
6. 見直す日を決める：施行日と、次に見直す日を決めて書き込む

手順の途中で完璧を目指すと、いつまでも施行できません。まず施行して、見直す日に直すほうが、ルールは定着しやすくなります。

ルールを定着させるポイント

ガイドライン作りで最も多い失敗は、作って終わりになることです。立派なルールが共有フォルダに眠ったまま、現場は今日も自己流でAIを使っている、という状態では、作らなかったのと変わりません。

次の三つを押さえておくと、ルールが定着しやすくなります。

1. 顔を合わせて伝える：ファイルで配るだけでなく、ミーティングなどで直接伝える。15分から30分で十分なので、「なぜこのルールが必要か」を危険の例と一緒に説明する
2. 禁止と推奨をセットで示す：禁止することを決めるときは、推奨する使い方も同時に示す。「AIを使うな」という意味に受け取られると、せっかく作った正規の使い方が広まらない
3. 小さく始めて見直す：最初から完璧な運用を前提にせず、定期的に見直しながら直していく前提で始める

社員教育の教材には、先ほど紹介したAnthropicの講座「AI Fluency: Framework & Foundations」が使えます。無料で受講でき、最後の確認テストを終えると修了証を受け取れます。

講座の内容は、AnthropicのAI Fluencyのページで確かめられます。AIに頼りすぎて社員の力が落ちないかが気になる場合は、生成AIの使い方と能力への影響を調べた記事も参考になります。

まとめ

生成AIの社内ルールというと守りの話に聞こえますが、本当の狙いは逆です。安全に使える環境を整えることで、社員がためらわずにAIを使えるようになり、日々の業務が速くなります。

まずは本記事のひな形をもとに、自社の言葉で7項目を埋めてみてください。使ってよいツールと、入れてはいけない情報の二つを決めるだけでも、今日から社内の使い方は変わります。