生成AIの社内ルールの作り方 総務がまとめる10項目と申請の流れ

生成AIの社内ルールを任されたら、何から手を付ければいいのでしょうか。答えは、条文を書くより先に、社内のだれが何に使っているかを聞くことです。入れる項目は10ほどありますが、項目ごとに決める部署が違うからです。

総務がまとめ役を頼まれても、ひとりで全部を決めなくていいのです。最初の1週間は今の使われ方を聞くことと、項目ごとの相談相手を決めることに使ってかまいません。

使う方針の会社は7割、ガイドラインは4割

総務省の令和8年版情報通信白書によると、生成AIを「積極的に活用する」か「活用する領域を限定して利用する」方針だと答えた日本の企業は、合わせて68.9%でした。前の年度の調査では49.7%だったので、1年で19.2ポイント増えたことになります。¹

使う方針は決まった。でも、使い方の決まりはまだ追いついていない。そんな会社が少なくないことは、次の数字からも読み取れます。

同じ調査で、不適切な使い方を防ぐための取り組みを聞くと、日本でいちばん多い答えが「全社的な指針やガイドラインを整備している」の41.1%。米国の50.4%とは、10ポイント近い差があります。¹

ただ、いちばん上の行には規模で大きな差が出ました。中小企業でガイドラインがあると答えたのは29.1%で、何もしていない、または分からないという答えも24.1%あります。決まりがまだない会社は、けっして少数派ではありません。

決める項目は10、決める人は項目ごとに違う

ルールに入れる項目は相談する相手と組にして考えると、作業を分けやすくなります。

右の列に総務が入っているのは、1と8と10の3つだけ。つまり、ほかの7つは決める材料を持っている部署に案を出してもらうほうが早く進みます。

総務省と経済産業省のAI事業者ガイドラインが、AIを使う事業者の取り組みとして挙げる中身も、表の2と3と5に重なります。提供する会社が定めた注意点や規約を守ること、個人情報や機密情報を不適切に入力しないこと、出力の精度とリスクを理解して使うこと。²チェックリストにも、AIガバナンスやプライバシーのポリシーを作っているかを問う項目がありました。³

3つ目の入力してよい情報は社員からいちばん質問が集まる項目でしょう。どこに線を引くかは生成AIに入力してはいけない会社の情報、個人情報と機密の線引きで、情報を6つの種類に分けて説明しました。ルールの本文には区分の名前と例を1行ずつ書き、細かい判断は別表に回しておくと、あとで改めるのも楽です。

4つ目は人事の仕事で気をつけたい項目です。同じガイドラインには、AIの出力を人の評価の参考にするなら、AIを使っていることを評価される本人に知らせる、という項目もあります。²採用や人事評価にAIを使うかどうかは、ルールを出す前に人事と決めておくと、あとで慌てずに済みます。

社外に出すものだけ、確認と記録を一段重くする

社内向けの下書きと、顧客や取引先に渡す資料。同じAIの出力でも、扱いを分けておくと現場はずっと動きやすくなります。

文化庁の「AIと著作権に関するチェックリスト＆ガイダンス」によると、AIで作ること自体は適法にできる場合でも、作ったものをネットで配信したり、複製して配ったりするときは、著作権を侵害しないかの確認が必要です。まず、既存の作品と似ていないかを見ます。調べ方の例は、インターネットの文章検索や画像検索。⁴

もう1つは記録です。既存の作品をもとにしていないと説明できるよう、「生成に用いたプロンプト等、生成物の生成過程を確認可能な状態にしておくよう努める」ことが望まれる、とあります。作品の題名やキャラクター名をプロンプトに入れると、もとの作品を知っていたと推し量られる材料になる、という指摘もありました。⁴

そこで、ルールの中で「社外に出す成果物」を1つの項目として独立させます。社内の下書きなら、作った人の確認だけ。社外に出すものには、似ていないかの確認と、使ったサービスとプロンプトの保存を足します。

記録の範囲を、すべての会話ではなく社外に出したものに絞る。これだけで、社員の手間も、保管するものの量も、ぐっと現実的になると思います。

使う人の側から見た著作権の確認の順番は、姉妹メディアのハック！でAIが生成AIの著作権と商用利用 作る前と公開の前に確かめる4つのことで取り上げています。

ルールができるまでの段取り

AI事業者ガイドラインの考え方も、ルールや手続きを最初に固めてしまわず、分析から評価までのサイクルを回し続けるというもの。⁵会社のルールも、1回で完成させるものではありません。作る順番は6つの段に分けると見通しが立ちます。

1. 今の使われ方を聞きます。部署ごとに、使っているサービスと場面、会社と個人のどちらのアカウントか、入れたことのある情報の種類を集めます。
2. 項目ごとの案を、関係する部署に頼みます。情報システムにはサービスと設定、法務には著作権と契約、人事には違反のときの扱いと研修をお願いします。
3. たたき台を書きます。新しい規程にするか、今ある規程に足すかを先に決めておきます。
4. 1つの部署で1か月ほど試します。申請書の書きにくい欄や、早見表で迷った例を集めて直します。
5. 全社に知らせます。研修と早見表、よくある質問を同じ日に出します。
6. 見直しの月を決めて、規程に書き込みます。

時間がいちばんかかるのは2つ目の段かもしれません。頼むときは10項目の表と「いつまでに案がほしいか」を1枚にして渡すと、返ってくる案の形がそろいます。

4つ目の試しの段は省きたくなるところですが、ここで申請書を実際に書いてもらう意味は大きいのです。データの保存場所が分からない、学習に使われるかの欄が埋まらない、といった詰まる所が、全社に出す前に見つかります。

新しい規程にするか、今ある規程に足すか

たたき台を書く前に、ルールの置き場所を決めておきます。選び方は大きく2つ。「生成AI利用規程」のような新しい規程を作るか、情報セキュリティや情報管理の規程に章を足すかです。

今ある規程に足すと、パソコンの持ち出しやメールの扱いと同じ並びで読まれます。一方、新しい規程にすれば、サービスの一覧や申請の手順を、ほかの規程に触れずに変えられます。どちらが正しい、ということはありません。

就業規則との関係には、少し注意が要ります。厚生労働省のモデル就業規則の解説には、賃金や育児・介護休業の決まりを本体と別の規程にした場合も、その規程は就業規則の一部になり、労働基準監督署への届出が要る、と書かれています。⁶常時10人以上が働く職場で、生成AIの規程を就業規則の一部として扱うなら、作るときも変えるときも、過半数代表の意見を聴いて届け出て、社員に周知する手順が加わります。⁷

違反したときに懲戒の対象にするかどうかも、人事と決めておきたいところです。労働基準法では制裁の定めをするなら、その種類と程度を就業規則に書くことになっています。⁷モデル就業規則の遵守事項にも、業務で知った会社や取引先の機密を漏らさないことが入っていました。⁶今の就業規則の一文とどうつなぐかは社会保険労務士に相談すると確実です。就業規則そのものの作り方は就業規則とは、10人以上の職場で作る決まりにまとめてあります。

条文にすると、たとえば次のようになります。ここで載せる条文と、このあとの申請書の項目や早見表は、どれも編集部が作った例です。会社の言葉に置き換えて使ってください。

新しいサービスは、申請書1枚で判断する

ルールを出したあと、総務や情報システムにいちばん多く届くのは「このサービスを使ってもいいですか」という相談でしょう。毎回メールでやりとりすると、聞くことが漏れます。だから、申請書の項目を先に決めておき、1往復で判断できるようにします。

行政向けの資料ですが、デジタル庁の生成AIのガイドラインが参考になります。規約に同意するだけで使えるクラウド型の生成AIでは、原則として機密性の高い情報（要機密情報）を扱えない、という立場です。扱わない場合でも、使える業務の範囲をあらかじめ決めたうえで、利用目的や利用者の範囲などの申請を許可する人が審査し、使えるかどうかを決めます。国外にサーバーを置くサービスでは現地の法令が適用される、という注意書きもあります。⁸

学習に使われるかどうかの欄は個人情報保護委員会の注意喚起とつながっています。委員会は個人情報を入力する会社に向けて、サービスの事業者が入力を機械学習に使わないことなどを十分に確認するよう呼びかけました。⁹

届いた申請は入れる情報の区分で3つの段階に分けると、だれが見るかが決まります。

表とあわせて決めておきたいのが、真ん中の段階に何日で返事をするか。返事が遅いと、待ちきれずに個人のアカウントで使う人が出てくるかもしれません。目安の日数を申請書に書いておけば、申請する側も予定を立てられます。

会社として契約するサービスの選び方や、学習に使わせない設定の確認は、姉妹メディアの情シスのミカタが生成AIの社内ルールは何を書く？「禁止」の前に決める5項目とひな形で、情報システム担当の目線から詳しく取り上げました。

周知は、研修と早見表とよくある質問で

規程を社内のポータルに載せただけで、全員に読んでもらえる会社は多くないでしょう。30分ほどの研修と1枚の早見表、よくある質問。この3つを同じ日に出すと、伝わり方が変わります。

研修は全社で同じ中身にしなくてかまいません。AI事業者ガイドラインの別添にも、役職や担当に合った研修と教材を使うことや、生成AIの出力の信頼性についての研修が出てきます。¹⁰社員の著作権の理解を確認しておくことも、文化庁の資料で必要とされた点です。⁴たとえば、経理なら請求書の文面、人事なら求人の原稿と、部署の仕事で例を変えると、自分のことだと思って聞いてもらえます。

早見表では仕事を「使ってよい」「相談する」「使わない」の3つに分け、自社の例を2つずつ書きます。

• 「使ってよい」には、社内向けの文書の下書きや、公開されている資料の要約
• 「相談する」には、社内の資料の要約や、顧客に出す文書の下書き
• 「使わない」には、個人情報やマイナンバーの入力や、採用の合否をAIの出力だけで決めること

使い方のうまい例を集めて配るのも、周知の一部です。IPAの中核人材育成プログラムの修了生がまとめたガイドラインでは、効果的なプロンプトの共有や、有志のチームづくりが有効な手段として挙がっていました。¹¹禁止の一覧だけだと、ルールは「守らされるもの」にしか見えないでしょう。

最初の版は、見直す前提で出していい

生成AIのサービスは機能も規約もよく変わります。だから、最初の版で完ぺきを目指すより、見直しの月を決めて出すほうが、結局は早く形になります。

AI事業者ガイドラインの別添には、四半期や半期、年ごとの定期の見直しとは別に、見直すきっかけの候補が4つあります。¹²

• 社内での重大なヒヤリ・ハット
• 他社で起きた重大なAIの事故
• 特定のAI技術や事故への、社会の注目の高まり
• 法令などの規制の変化

ヒヤリ・ハットを集めるには、言い出しやすい窓口が欠かせません。ガイドラインは匿名で報告できる仕組みなども例に挙げていました。¹²

部署をまたいでルールを作り、申請を回した経験は、数字で話せる実績になります。申請が何件届き、何日で返したか。研修に何人が出たか。半年後の見直しでその数字を出せれば、総務の仕事が会社のAIの使い方を前に進めたことを、だれが聞いても分かる形で示せます。

まずは、聞き取りのアンケートを1枚作るところから始めてみませんか。

ここで引いた白書やガイドライン、法律の中身は、総務省、デジタル庁、文化庁、厚生労働省、個人情報保護委員会、情報処理推進機構、e-Gov法令検索のサイトで2026年10月30日に確認したものです。就業規則との関係や著作権の判断で迷う場面は、社会保険労務士や弁護士に相談してください。

注

1. 総務省「令和8年版 情報通信白書」（2026年7月）第Ⅰ部第2章第1節、図表Ⅰ-2-1-1と図表Ⅰ-2-1-9。もとの調査は、総務省が2025年度に日本と米国、ドイツ、中国の企業に行ったアンケート（「国内外における最新の情報通信技術の研究開発及びデジタル活用の動向に関する調査研究」） ↩ ↩²

2. 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」本編（2026年3月31日）第5部のU-2、U-4、U-5、U-7 ↩ ↩²

3. 同ガイドライン 別添7「チェックリスト」の全主体向け ↩

4. 文化庁著作権課「AIと著作権に関するチェックリスト＆ガイダンス」（2024年7月31日）3-1-1、3-1-4、3-1-5、3-1-7 ↩ ↩² ↩³

5. AI事業者ガイドライン（第1.2版）本編 第2部E「AIガバナンスの構築」 ↩

6. 厚生労働省「モデル就業規則（令和7年12月版）」第11条、第28条の解説、第6章の解説 ↩ ↩²

7. 労働基準法第89条第9号、第90条、第106条 ↩ ↩²

8. デジタル庁「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン」（DS-920、2026年6月12日）6.1.1の③④ ↩

9. 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023年6月2日）の（1）② ↩

10. AI事業者ガイドライン（第1.2版）別添 行動目標3-2 ↩

11. IPAの中核人材育成プログラム卒業プロジェクト「テキスト生成AIの導入・運用ガイドライン」（2024年7月31日）4.2.2。IPAと産業サイバーセキュリティセンターの意見を代表するものではなく、プロジェクトメンバーの見解 ↩

12. AI事業者ガイドライン（第1.2版）別添 行動目標6-1 ↩ ↩²