生成AIガイドラインの作り方。社内ルールに盛り込む項目とひな形
「社内で生成AIを使い始めたが、明確なルールがないまま各自の判断に任せている」という方も多いでしょう。便利だからこそ現場での利用は広がりますが、ルールがないと機密情報の入力や著作権の問題が、いつ起きてもおかしくない状態になります。
しかし、いざガイドラインを作ろうとすると、「何を書けばよいのか」「どこまで縛れば現場が回るのか」で手が止まりがちです。厳しくしすぎれば使われず、緩すぎれば事故につながります。
そこで本記事では、企業が生成AIの社内利用ガイドラインを整備するために、
- なぜガイドラインが必要なのか
- 盛り込むべき項目と、入力してよい情報・いけない情報の線引き
- そのまま流用できるひな形の構成と、策定後の運用
についてわかりやすく解説します。情報システム部門やAI・DX推進のご担当者の方は、ぜひ最後までご覧ください。
社内で安全に生成AIを使える環境を整えたいという方は、リベルクラフトへご相談ください。
⇨リベルクラフトのローカルAI環境構築支援の詳細はこちら
なぜ社内に生成AIガイドラインが必要なのか
生成AIガイドラインとは、社内で生成AIをどう使ってよいか、何を禁止するかを定めた社内ルールを指します。まずは、なぜこのルールが要るのかを整理します。
総務省「令和7年版 情報通信白書」によると、国内企業の生成AI利用率は55.2%に達しています。すでに多くの企業で日常的に使われている一方で、活用方針を定めている企業は42.7%にとどまります。つまり、ルールが追いつかないまま利用だけが先行している企業が相当数あるということです。
参照：令和7年版 情報通信白書 企業におけるAI利用の現状｜総務省
ルールがない状態には、具体的なリスクがあります。例えば、顧客情報や未公開の技術情報を社外のAIサービスに貼り付けてしまう、AIが生成した文章をそのまま公開して他社の著作権を侵害する、誤った回答を事実と信じて業務判断に使う、といったことです。いずれも、担当者に悪意がなくても「使ってよい範囲がわからない」ことから起こります。
ガイドラインの目的は、利用を禁止することではありません。むしろ逆で、「ここまでは安全に使ってよい」という範囲を明確にし、現場が迷わず使えるようにすることにあります。禁止事項だけを並べた文書は現場で読まれず、結局は各自の判断に戻ってしまいます。守れるルールにして初めて、利用を後押しする道具になります。
なお、国も事業者向けの指針を公開しています。総務省と経済産業省による「AI事業者ガイドライン」は、AIを事業に使う企業が自主的に検討すべき考え方を整理した文書で、リビング・ドキュメントとして継続的に更新されています。自社ルールを作る際の上位の参照先として押さえておくとよいでしょう。
参照：AI事業者ガイドライン（第1.2版）｜経済産業省・総務省
生成AIガイドラインに盛り込むべき項目
必要性を押さえたところで、次はガイドラインの中身です。項目が抜けると現場で判断のつかない場面が生まれるため、まずは全体像を一覧で示します。
| 項目 | 定めること |
|---|---|
| 目的・適用範囲 | 何のためのルールか、誰（社員・委託先など）に適用するか |
| 利用可能なツール | 会社が認めるAIサービス・契約プラン・利用してよい機能 |
| 入力情報の分類 | 入力してよい情報・いけない情報を情報区分ごとに明示 |
| 出力の扱い・著作権 | 生成物の事実確認・権利の確認・公開前チェックの義務 |
| 禁止事項 | やってはいけない使い方の具体例 |
| 申請・承認フロー | 新しいツールを使う際の申請先と承認の流れ |
| インシデント対応 | 情報を誤って入力した場合などの報告先と手順 |
| 教育・周知 | 誰がいつ研修を受けるか、ルールをどう浸透させるか |
この8項目は、複数の公開テンプレートに共通して挙げられている要素とおおむね一致します。順に補足します。
「目的・適用範囲」では、対象者を社員だけでなく業務委託先やアルバイトまで含めるかを明記します。「利用可能なツール」では、どのサービスを認めるかに加えて、無料版と有料版で入力データの扱いが変わる点まで踏み込むと実用的です。多くのサービスは、有料の法人向けプランで入力データを学習に使わない設定が用意されています。
「出力の扱い」では、生成物をそのまま使わず、事実確認と権利の確認を経てから利用する義務を定めます。生成AIは事実と異なる内容をもっともらしく出力することがあり、これをハルシネーションと呼びます。この前提を全員が共有することが、誤情報の公開を防ぐ土台になります。
「申請・承認フロー」と「インシデント対応」は見落とされがちですが、現場が判断に迷ったときの拠り所になります。特にインシデント対応は、「機密情報を入力してしまった」と気づいた社員がすぐ報告できる窓口を先に決めておくことが重要です。報告をためらわせない設計にしておくと、被害の拡大を早い段階で止められます。
なお、JDLA（日本ディープラーニング協会）は、企業がそのまま雛形として使える『生成AIの利用ガイドライン』を無料公開しています。ゼロから作るのではなく、こうした雛形をたたき台にして自社仕様に直す進め方が現実的です。
入力してよい情報・いけない情報の線引き
盛り込むべき項目のなかでも、実務で最も重要なのが「何を入力してよいか」の線引きです。ここが曖昧だと、他の項目をどれだけ整えても事故は防げません。
線引きのコツは、情報を機微度で3段階に分けて考えることです。既存の情報セキュリティ規程で情報区分を定めている場合は、それに合わせると矛盾が生じません。
| 区分 | 内容の例 | 外部AIへの入力可否 |
|---|---|---|
| 公開・一般情報 | 公開済みの資料、一般的な調べもの、社外に出しても問題ない文章 | 入力してよい |
| 社内限定情報 | 社内向け資料、業務メール、未公開だが機密性の低い情報 | 条件付き（学習に使わない契約のツールに限る） |
| 機密・個人情報 | 顧客情報、個人情報、技術情報、契約情報、未公開の財務情報 | 外部AIには入力しない |
この3区分を、抽象的な言葉ではなく自社の具体名で書くことが肝心です。例えば「顧客の氏名・連絡先を含む名簿」「見積書や契約書の金額」「図面や設計データ」というように、現場が実物を見て判断できる粒度まで落とします。「OKの例」と「NGの例」を並べて示すと、読み手が迷いません。
判断に迷う中間の「社内限定情報」をどう扱うかが、線引きの分かれ目になります。ここは「入力データを学習に使わない契約のツールに限って可」といった条件を付けるのが現実的です。ただし条件が複雑になるほど現場は守れなくなるため、迷ったら入力しない、という原則を添えておくと安全側に倒れます。
そして忘れてはならないのが、機密・個人情報は「そもそも社外のAIサービスに入れない」という原則です。契約でどれだけ守られていても、社外に出す以上ゼロリスクにはなりません。この最も機微な情報をどう扱うかは、本記事の後半で改めて取り上げます。
ここまで解説してきた「生成AIの社内ルールを整備し、機密情報を安全に扱える体制を作りたい」という方は、リベルクラフトへご相談ください。
リベルクラフトでは、ガイドラインの整備にとどまらず、機密情報を外部に出さずに生成AIを使うための、社内サーバー内で動くローカルAI環境の構築が可能です。ただ環境を用意するだけでなく、社内文書を扱うRAG（社内データを検索して回答に使う仕組み）やインターネットに接続しない閉域構成まで設計できるため、ルールと環境の両面から情報漏洩の心配を抑えられます。
以下のリンクからまずは詳細をチェックしてみてください。
⇨リベルクラフトのローカルAI環境構築支援の詳細はこちら
そのまま使えるガイドラインのひな形・構成
項目と線引きが定まったら、実際の文書に落とし込みます。ゼロから書くのは負担が大きいため、章立てのひな形を用意して埋めていく進め方が効率的です。
以下は、社内配布用のガイドラインとして使える構成例です。
- 目的
例「本ガイドラインは、当社における生成AIの安全かつ効果的な利用を目的とする」 - 適用範囲
対象者（社員・派遣・業務委託先など）と、対象となるAIサービスの範囲 - 利用してよいツール
会社が認めるサービスと契約プラン、利用してよい機能の一覧 - 入力してよい情報・いけない情報
前章の3区分をOK例・NG例つきで記載 - 出力の取り扱い
事実確認の義務、著作権・権利の確認、公開前チェックの手順 - 禁止事項
機密情報の入力、私的アカウントでの業務利用、生成物の無確認での公開など - 申請・承認と問い合わせ窓口
新しいツールを使う際の申請先、判断に迷ったときの相談先 - 違反時・インシデント発生時の対応
報告先、報告のタイミング、初動の手順 - 改定履歴
版数と更新日、次回見直しの目安
この構成を骨格に、前述のJDLAやAI事業者ガイドラインの表現を参照しながら、自社の業種や情報区分に合わせて中身を差し替えていきます。最初から完璧を目指す必要はありません。まずはA4で数枚に収まる分量で公開し、運用しながら具体例を足していくほうが、現場に根づきやすくなります。
一点だけ注意したいのは、ガイドラインは「配って終わり」にしないことです。文書だけを整えても、現場が読まなければ判断は各自に戻ってしまいます。次章の運用とセットで初めて機能します。
ガイドライン策定後の運用（教育・更新・違反時）
ひな形を配布したら、それを生きたルールとして回す運用が始まります。運用で押さえるべきは、教育・更新・違反時対応の3点です。
教育では、ガイドラインを配るだけでなく、なぜその線引きなのかを研修で共有します。「なぜ機密情報を入れてはいけないのか」「ハルシネーションとは何か」を理解していれば、想定外の場面でも社員が自分で正しく判断できます。新入社員や中途入社者への周知を定例化しておくと、ルールが薄れずに保たれます。
更新は、半年から1年に一度を目安に見直します。生成AIは新しいサービスや機能の登場が速く、前提が変わりやすい領域です。国のAI事業者ガイドライン自体がリビング・ドキュメントとして更新され続けていることからも、社内ルールを固定してよいものと考えないほうが安全です。見直しのたびに版数と日付を残しておくと、どの時点の判断かを後から追えます。
違反時の対応では、罰することよりも再発を防ぐことに軸を置きます。多くの違反は、悪意ではなく「知らなかった」ことから起きます。報告をためらわせない窓口を用意し、起きた事例をガイドラインの具体例へ反映していくと、同じ間違いが減っていきます。ルールを一度作って終わりにせず、現場の実態に合わせて育てていく姿勢が、実効性を左右します。
策定したルールを配って終わらせず、シャドーAI（許可を得ない生成AI利用）を防いで実際に守られる形にする設計は、生成AIの利用ルールの作り方。守れる社内ポリシーを設計する7つの要素で詳しく解説しています。
機密情報は外部AIに入れない選択肢（ローカル・閉域）
運用まで整えても、外部のAIサービスを使う限り「機密情報は入力しない」という制約は残り続けます。この制約を根本からなくす選択肢が、ローカルAIです。
ローカルAIとは、社外のクラウドサービスに頼らず、自社のサーバーや端末の中でAIを動かす構成を指します。データが社外に出ないため、そもそも「入力してよいか」を都度判断する必要がなくなります。ガイドラインで機密情報の入力を禁じる代わりに、機密情報も扱える場所を社内に用意する、という発想です。
例えば、顧客情報を含む問い合わせ対応、未公開の設計データや図面の参照、契約書や財務情報の要約といった、外部AIでは扱いにくい業務ほど効果が出ます。インターネットに接続しない閉域構成にすれば、外部への漏洩経路そのものを断てます。実際に、宇宙・防衛・医療のように機密性の高い現場でも、こうした構成でのAI活用が進んでいます。
導入は段階的に進められます。まずは端末1台のスモールスタートで使い勝手を確かめ、次に社内文書を検索して回答に使うオンプレAI基盤（RAG）へ、さらに自社の業務に特化させたい場合はファインチューニング（自社データでのモデル調整）へ、と拡張していく流れが現実的です。オンプレGPUサーバーの構成にもよりますが、初期費用の目安は1顧客あたり100万円から200万円規模になります（あくまで目安で、要件により変動します）。
すべての業務をローカルに移す必要はありません。一般的な調べものや公開情報の処理は外部の生成AIで、機密情報を扱う業務はローカルAIで、と使い分けるのが実務的です。ガイドラインの中に「機密情報を扱う場合は社内のローカルAI環境を使う」という選択肢を組み込んでおくと、現場は安心して生成AIを活用できます。
まとめ
本記事では、企業が生成AIの社内利用ガイドラインをどう整備するかを解説しました。要点は以下のとおりです。
- 生成AIの利用は先行しがちで、ルールがないと情報漏洩や著作権侵害のリスクが高まる。ガイドラインは利用を止めるためでなく、安全に使える範囲を示すためのもの
- 盛り込むべき項目は、目的・適用範囲、利用可能ツール、入力情報の分類、出力の扱い、禁止事項、申請フロー、インシデント対応、教育の8つ
- 最も重要なのは入力情報の線引き。公開情報・社内限定情報・機密個人情報の3区分に分け、自社の具体名でOK例とNG例を示す
- ゼロから書かず、JDLAなどの雛形を骨格に自社仕様へ直す。配布後は教育・更新・違反時対応の運用とセットで回す
- 機密情報はそもそも外部AIに入れないのが原則。社内で動くローカルAI・閉域構成なら、機密情報も扱える場所を社内に確保できる
ガイドラインの整備と、機密情報を安全に扱える環境づくりは、両輪で進めると効果が高まります。
生成AI活用・ガイドライン整備の相談は「リベルクラフト」
生成AIのガイドライン策定は、項目を並べるだけでは実効性が伴わず、自社の業務や情報区分に合わせた設計と、それを支える環境が揃って初めて機能します。
リベルクラフトでは、ルールの整備にとどまらず、機密情報を外部に出さずに使えるローカルAI環境を、構築から運用・改善まで一貫して支援します。社内データの整理から、AIへのつなぎ込み、閉域でのセキュリティ整備まで、業務に合わせて段階的に進められます。
- 機密情報を扱えるよう、社外にデータを出さないローカル・閉域のAI環境を構築したい
- 社内文書やナレッジを検索して回答に使えるRAGの仕組みを作りたい
- ガイドライン整備とAI環境づくりを、あわせて相談できる相手を探している
⇨リベルクラフトへの無料相談はこちら
この記事を書いた人
慶應義塾大学で金融工学を専攻。 卒業後はスタートアップのデータサイエンティストとして、AI・データ活用コンサルティング事業などに従事。 その後、株式会社セブン&アイ・ホールディングスにて、小売・物流事業におけるAI・データ活用の推進に貢献。 株式会社リベルクラフトを設立し、AIやデータサイエンスなどデータ活用領域に関する受託開発・コンサルティングや法人向けトレーニング、教育事業を展開。
