生成AIの社内ルールの作り方｜中小企業が決める7項目と手順

「社員が生成AIを使い始めたけれど、社内ルールをどう作ればよいか分からない」
そんな中小企業の経営者・総務担当者に向けて、生成AIの社内ルールの作り方を解説します。
結論から言うと、全面禁止にはせず、7項目を1枚にまとめて使ってよい範囲に線を引く進め方が始めやすいです。
1つの部署で試してから、研修で周知します。
社員が少ない会社なら、使ってよいAI・入力してよい情報・困ったときの連絡先の3項目（項目2・3・6）から始められます。

2026年は、生成AIが外部サービスと連携して、決まった作業を定期的に実行する場面も増えました。
そのため、入力してよい情報に加えて、AIに任せる操作と、実行前に人が承認する場面もルールに入れておきましょう。

すぐに項目を確認したい方は盛り込む7項目へ、自社の案を書き始めたい方は7項目の書き込み表へ、進め方を知りたい方は作る5つの手順へ進めます。

Hot Consultingの温井です。
東海地域を中心に、生成AIの研修と導入の伴走型コンサルティングをしています。
ということで、2026年10月23日に確認した公式資料をもとに、次の順で整理しました。

• 社内ルール（社内ガイドライン）を1枚から作る理由
• 盛り込む7項目と、記入例つきの書き込み表
• 作る5つの手順と、社内で周知する方法
• AIが作業を実行するようになった、2026年10月の動き

自社の場合はどう進めればよいか知りたい方は、無料相談をご利用ください。

生成AIの社内ルール（社内ガイドライン）は1枚から作る

社内ルールは、最初から立派な規程にせず、社員が1枚で読める形から始めましょう。
生成AIを活用する方針と答える会社が増えています。
令和8年版の情報通信白書の企業向けアンケートでは、生成AIを積極的に、または領域を限定して活用する方針と答えた割合が、日本で68.9%でした（前年度は49.7%）。
使う会社が増えるほど、社員ごとの判断の違いをそろえる文書が必要になります。
ただし専任の担当者がいない会社では、長い規程を作っても読まれにくいため、まず1枚が現実的です。

禁止でも放任でもなく、使ってよい範囲に線を引く

社内ルールの役割は、使ってよい範囲と、確認が必要な場面に線を引くことです。
生成AIを全面的に禁止すると、社員が個人のアカウントで使い、会社から見えなくなるおそれがあります。
反対に、何も決めずに任せると、入力してよい情報の判断が人によって分かれます。
社員が「これは使ってよいか」を作業の前に判断できれば、ルールとして役に立っています。

小さな会社ほど、法務や情報システムの専任者がいないことが多いでしょう。
だからこそ、社員が迷ったときに見返せる1枚を優先します。
詳しい設定の手順や契約の確認は、別の資料に分けて構いません。

社内ルール・マニュアル・チェックリストの役割を分ける

社内の文書を目的ごとに分けておくと、1枚のルールが長くなりすぎません。
手引き（案）でも、社内向けにガイドライン・規程、マニュアル、チェックリストを整備する例が挙げられています。
最初に作るのは社内ルールの1枚だけで、マニュアルとチェックリストは必要になってから足せば十分です。
次の表は、中小企業で使いやすいように役割を整理したものです。

ChatGPTの設定や契約の確認は、ChatGPTの情報漏洩対策の記事で詳しく整理しています。
この記事では、社内ルールそのものの書き方と、社内での回し方に絞って解説します。

生成AIの社内ルールに盛り込む7項目

社内ルールは、次の7項目を短く書けば、最初の1枚になります。
7項目は、公的な資料と公開されている作り方の記事を参考に、中小企業向けにまとめたものです。
国や団体が「7項目」と定めているわけではありません。
全部を一度に決めにくい場合は、項目2・3・6の3つから決め、残りは使いながら足しましょう。
すでに私用のアカウントで使っている社員がいるなら、項目2の暫定のルールだけでも今週のうちに伝えておくと安心です。
7項目の説明の後に、そのまま書き込める記入例つきの表を置いています。

1. 目的と、ルールの対象になる人
2. 使ってよいAIと、アカウントの持ち方
3. 入力してよい情報と、入力前に確認する情報
4. 出力の確認と、著作権への配慮
5. AIに任せる操作と、実行前の承認
6. 困ったときと、誤って入力したときの連絡先
7. 見直しの時期と、担当者

1．目的と、ルールの対象になる人

最初に、何のために生成AIを使うのかを1〜2文で書きます。
例えば「文書作成や調べものの時間を減らし、内容の確認は人が担う」といった書き方です。
対象は、正社員だけでなく、パート・派遣・業務委託の人まで含めるかを決めましょう。
対象がはっきりすれば、誰に周知し、誰に研修を受けてもらうかも決まります。
目的を書いておくと、新しい機能を使うかどうか迷ったときの判断の基準にもなります。
書き方は「何のために」「誰が」の2点が分かれば十分です。

2．使ってよいAIと、アカウントの持ち方

会社として使ってよい生成AIのサービス名と、契約の種類を書きます。
個人向けのアカウントと会社向けの契約では、入力した情報の扱いや管理者の機能が違うためです。
原則として、会社の契約で社員1人に1アカウントを割り当てます。
私用の個人アカウントを仕事に使うかどうかも決めましょう。
退職や異動のときに、誰がアカウントを止めるかも書いておきます。

いま私用のアカウントで使っている社員がいる場合は、会社の契約が整うまでの暫定のルールを先に伝えます。
例えば「顧客や取引先の資料は、私用のアカウントに入力しない」と伝えるだけでも、取引先の情報を守る最低限の線になります。
会社の契約を選ぶときは、少なくとも次の3点を比べましょう。

• 管理者が、使っている社員を一覧で確かめられるか
• 入力した情報の扱い（AIの学習に使われるかどうかなど）が、契約や規約でどう定められているか
• 退職や異動のときに、管理者がアカウントを止められるか

3．入力してよい情報と、入力前に確認する情報

社員が扱う資料を並べ、「入力してよい」「確認してから」「入力しない」の3つに分けます。
「機密情報を入れない」だけでは、何が機密かの判断が社員ごとに分かれてしまいます。
よくある資料を3つに分けると、例えば次のようになります。

• 入力してよい：公開済みの商品説明や会社案内、公開されている法令や制度の情報
• 確認してから：見積書や価格表、社内の議事録、取引先から預かった資料
• 入力しない：パスワードやアカウント情報、マイナンバー、応募者の履歴書など個人が特定できる情報

どの区分にするかは、会社の契約や業種によって変わるため、出発点として使ってください。
例えば卸売業なら仕入先の価格表や掛け率、製造業なら図面や原価、仕様書が「確認してから」の候補になります。
取引先から預かった資料は、契約や預かった目的も関係するため、最初のうちは原則入力しないと決めても構いません。
迷ったときの相談先は、項目6で決める連絡先の担当者です。

士業の事務所など守秘義務がある仕事では、「依頼者の情報は入力しない、または個人や会社が特定できない形にしてから入力する」と決めておくと、依頼者の情報を守る線がはっきりします。
例えば依頼者名を「A社」に置き換えても、事案の中身で誰か分かる場合は入力しない、と書き添えます。
守秘義務の範囲は士業ごとの法律や所属団体の指針で決まるため、そちらもあわせて確認しましょう。

個人情報保護委員会の注意喚起（2023年6月2日）は、事業者が個人情報を入力する場合は、利用目的の範囲内かを十分に確かめるよう求めています。

4．出力の確認と、著作権への配慮

生成AIの回答には、事実と違う内容が混ざることがあります。
金額・日付・数量・固有名詞は、元の資料と照らして人が確認する、と決めておきます。
社外に出す文書は、誰が確認してから送るかも書きましょう。

文章や画像を社外で使うときは、著作権にも注意が必要です。
文化庁の「AIと著作権に関するチェックリスト＆ガイダンス」（2024年7月31日）は、生成AIに関わる立場ごとに、望ましい取組みを紹介しています。
既存の作品に似せるよう指示しない、といった例を書いておくと、社員が社外に出す前に自分で確かめられます。

5．AIに任せる操作と、実行前の承認

この項目は、AIに操作を任せ始めた会社で特に必要になります。
AIが実行できる操作の例として、メールの送信、予定の登録、ファイルの書き換えなどがあります。
操作を「AIに任せてよい」「人が承認してから」「任せない」の3つに分けて書きましょう。
例えば、次のような分け方です。

• AIに任せてよい：資料の検索、文章の下書き、会議の記録の要約
• 人が承認してから：社外へのメール送信、予定の登録、共有ファイルの書き換え
• 任せない：支払いや発注、契約の手続き、新しい外部サービスとの接続（管理者だけが行う）

承認する人は、その仕事の担当者か上長と決め、AIの提案をそのまま通さず、なぜ承認するのかを自分で確かめます。
宛先・日付・金額・添付ファイルなど、実行すると取り消しにくい点を、元の資料と照らして確かめると決めておきましょう。
承認した日と内容を、社内チャットや業務の記録に残しておくと、後から確かめられます。
最初は読み取りと下書きだけに絞り、問題がなかった作業から任せる範囲を広げると安全です。
いまAIに操作を任せていない会社は、「当面は任せない」と1行書いておけば足ります。

6．困ったときと、誤って入力したときの連絡先

誤って顧客の情報を入力したときや、判断に迷ったときに連絡する担当者を1人決めます。
担当者が不在のときの代わりの連絡先も書いておきましょう。
大切なのは、問題を隠さず早く伝えてもらうことです。
「報告した人を責めない」と一言添えておくと、社員が相談しやすくなります。

誤って入力したときの動きも、次のように決めておくと慌てずに済みます。

• 入力した人：使ったサービス・アカウント・時刻・入力した内容を、すぐ担当者に伝える
• 担当者：会話の削除や共有の停止など、サービス側でできる対応を確かめる
• 担当者：契約や預かった目的に照らして、顧客や取引先への連絡が要るかを判断する

判断に迷うときは、契約書や社内の情報管理の規程を見直し、必要に応じて専門家に相談します。

7．見直しの時期と、担当者

生成AIの機能は追加や変更が続いているため、ルールは作って終わりにしません。
例えば半年に1回など、見直す時期と担当者を決めておきます。
小さな会社なら、見直しの担当者は社長や所長、事務長でも構いません。
半年に1回なら、決算の月とその半年後のように、毎年決まった月に合わせると忘れません。
新しい機能は、契約しているサービスの管理画面のお知らせやリリースノートで確かめ、定期の見直しでまとめて判断します。
ただし、新しい機能を使い始めるときや、契約を変えるときは、その時点で見直します。
改定した日付と変えた点を、ルールの末尾に残しておきます。

7項目の書き込み表（記入例つき）

ここまでの7項目を、社内で話し合いながら書き込める表にまとめました。
印刷して、まず項目2・3・6の行から埋めていくと、最初の1枚の下書きになります。
記入例は架空の会社を想定したもので、自社の言葉に置き換えて使ってください。
決まっていない項目は「未定」と書き、確認した人と日付も残しましょう。

生成AIの社内ルールを作る5つの手順

社内ルールは、現状を集める→1枚の案→試す→周知→見直す、の順で作ると定着しやすくなります。
手引き（案）が示す「整備してから周知・運用する」流れを、中小企業でも回せる5つの手順にしました。
期間は会社によって違いますが、例えば聞き取りと案づくりに2週間、試す期間に2週間〜1か月を見ておくと、計画を立てやすくなります。
使っている社員を巻き込んで作ると、守られるルールになります。

1．社員がいま何に使っているかを集める

まず、社員が生成AIをどの仕事に、どのアカウントで使っているかを集めます。
責めるためではなく、ルールを実態に合わせるための調査だと伝えましょう。
次の3つを聞くと、ルールに書くべき場面が見えてきます。

• 使っているサービスとアカウント（個人のものか、会社のものか）、AIにつないでいる外部サービス
• 使っている仕事と、入力している資料の種類
• 困ったことや、判断に迷ったこと

回答を見ると、個人のアカウントで使っている社員や、AIにつないでいる外部サービスが分かります。
この回答が、7項目の中身を決める材料になります。

2．ひな形を参考に、1枚の案にまとめる

集めた内容をもとに、7項目を1枚にまとめた案を作ります。
一から書くのが難しい場合は、日本ディープラーニング協会（JDLA）の「生成AIの利用ガイドライン」のひな形が参考になります。
JDLAは、組織の活用目的に照らして、必要な追加や修正を加えて使うよう案内しています。
ひな形をそのまま使うと自社に合わない部分が残るため、7項目に当てはまる部分だけを拾いましょう。

条文はそのまま写さず、自社の仕事と資料の名前に置き換えます。
例えば「機密情報を入力しない」は、「見積書と取引先の資料は、担当者に確認してから入力する」のように書き直します。
JDLAのひな形は2023年10月公開の第1.1版で、公開から時間がたっています。
そのため、最近増えた、AIが操作を実行する場面は、公式の最新資料も見ながら自社の使い方に合わせて書き足しましょう。

3．1つの部署か数人で、期間を決めて試す

案ができたら、全社に広げる前に、1つの部署で試します。
部署が分かれていない会社なら、よく使う2〜3人で試す形でも構いません。
期間を決め、ルールどおりに判断できるかを確かめましょう。
「この資料は入力してよいのか」「この操作は承認が要るのか」と迷った場面を記録してもらいます。
記録は、日付・しようとしたこと・迷った点の3つを、共有の表に1行ずつ書く形で足ります。
迷いが多い項目は、例を足すか、書き方を変える候補です。

試す段階の最初は、公開済みの資料や練習用のデータから始め、問題が起きにくい仕事に広げると安心です。
試した社員に、分かりにくかった言葉を聞いておくと、全社向けの説明にも使えます。

4．配布・朝礼・研修で、使い方と一緒に周知する

ルールは、配っただけでは読まれにくいものです。
手引き（案）でも、社内教育を含めて周知・運用することが示されています。
まずは1枚を配り、朝礼などで短く説明し、「この資料は入力してよいか」を数問一緒に考えるだけでも、判断の基準がそろい始めます。
研修では、仕事に近い題材で「入力してよいか」「承認が要るか」を判断する練習をすると身につきます。
使い方とルールを同じ場で学ぶと、社員は「安心して使うためのルール」として受け止めやすくなります。
朝礼に出られない社員には掲示や回覧で同じ1枚を届け、新しく入った社員には入社時の説明に入れておきます。

社員向けの「生成AIビジネス活用研修」の内容と受講料は、研修ページでご覧いただけます。

5．期間を決めて見直し、改定日を残す

運用を始めたら、決めた時期にルールを見直します。
迷った場面の記録、新しく使い始めた機能、契約の変更を材料にしましょう。
見直した結果は、改定日と変えた点をルールの末尾に書き、全社に知らせます。
見直しのたびに短い研修や朝礼での説明を挟むと、ルールが古くなりにくくなります。
見直しでは、使われなかった項目や、守るのが難しかった項目も確かめましょう。
守れないルールは、例を足すか、手順を簡単にして書き直します。

最新の動き（2026年10月）：生成AIが作業を実行する段階に

社内ルールを考えるうえで、2026年秋の大きな変化は、生成AIが「答える」だけでなく「作業を進める」ようになったことです。
次のOpenAIとGoogle Cloudの発表は、どちらも管理者が許可する範囲と権限の設定を前提にしています。
3つ目は、2026年3月に公表された国の資料です。
社内ルールでは、先ほどの7項目のうち、項目5の「AIに任せる操作と、実行前の承認」に関わります。

ChatGPT Businessは、管理者が承認した接続で定期的な作業を任せられる

OpenAIは2026年9月29日、ChatGPT Businessで、チームの作業を定期的に実行できる機能を案内しました。
会社が承認した外部サービスとの接続を使い、その接続は管理者が設定します。
SlackやMicrosoft Teamsの中で、@ChatGPTに作業を頼める機能も発表されました。
こちらは組織が導入して有効にし、つないだアカウントの権限によって、できる操作が決まります。

10月15日には、管理画面でプラグイン（外部サービスとつなぐ追加機能）を最大25件まとめて管理できるようになりました。
ChatGPT Businessのリリースノートを見ると、ここで紹介した機能はいずれも、管理者の設定や権限を前提にしています。
リリースノートには、日本で使えるかの記載はありません。
どの契約で使えるかとあわせて、自社の契約と管理画面で確認しましょう。
社内ルールでは、管理者が何を許可し、社員が何を頼めるかを決めておく必要があります。

Gemini agentは、エージェントごとの最小限の権限と、利用額の上限を前提にしている

Google Cloudは2026年10月9日、仕事のための汎用エージェント「Gemini agent」を発表しました。
エージェントとは、目標に向けて自分で手順を考え、作業を進めるAIのことです。
Google Cloudの発表では、エージェントごとに専用のIDを持たせ、必要最小限の権限だけを与える考え方が示されています。
権限は組織のセキュリティ管理者が承認し、利用額にはリアルタイムの上限を設けられます。

なお、この発表には、日本でどの契約から使えるかは書かれていません。
導入を検討する会社は、自社の契約と管理画面で提供状況を確認しましょう。
製品が違っても、「誰の権限で、どこまで実行させるか」をルールで決める点は共通です。

国のAI事業者ガイドライン第1.2版が、AIエージェントと承認の考え方を示した

総務省と経済産業省は2026年3月31日、AI事業者ガイドライン（第1.2版）を公表しました。
AIエージェントを「特定の目標を達成するために、環境を感知し自律的に行動する AI システム」と定義しています。
AIの判断を人が承認する場面では、承認する理由を自分で考えることの大切さにも触れています。
AIを使う側には、個人情報や機密情報を不適切に入力しないことや、提供者の利用規約を守ることが求められます。

同じ2026年3月に公表された「AI事業者ガイドライン活用の手引き（案）」は、AIの管理をこれから始める組織に向けた資料です。
社内のガイドラインやマニュアルを整備し、社内教育を含めて周知・運用する流れが示されています。
先ほどの5つの手順も、この流れに沿って中小企業向けに整理したものです。
社内ルールでは、承認する人が何を確かめてから承認するかも書いておきましょう。

生成AIの社内ルールでよくある質問

生成AIを禁止にすれば、情報漏洩は防げますか？

禁止だけでは、情報漏洩を防げるとは限りません。
会社の目が届かない個人のアカウントで使われると、何が入力されたかを把握できなくなるためです。
使ってよいサービスと情報の範囲を決め、会社の契約で使える環境を用意すると、管理しやすくなります。

今は使わないと判断する場合も、その理由と、見直す時期を書いておきましょう。
社員が「いつ、どんな条件なら使えるのか」を分かっていれば、隠れて使う動機を減らせます。
判断の理由を書いておくと、見直しのときに何が変われば使えるかも話し合いやすくなります。

ひな形をそのまま使ってもよいですか？

ひな形は出発点として役立ちますが、そのまま使うと自社の仕事に合わない部分が残ります。
入力してよい資料の例や、承認する人の名前は、会社ごとに違うためです。
7項目の書き込み表に自社の言葉で書き込み、1つの部署で試してから決めることをおすすめします。

就業規則や情報管理の規程と関係する内容は、社内の担当者や専門家にも確認しましょう。
社内ルールが既存の規程と食い違わないことも大切です。
例えば、情報管理の規程で「社外に出さない」と決めている資料は、生成AIのルールでも同じ扱いにそろえます。

社員が少ない会社や事務所でも、社内ルールは必要ですか？

人数が少なくても、1枚のルールを作っておく価値はあります。
小さな会社では1人が複数の仕事を担い、顧客の情報に触れる人も多いためです。
規程という重い形にしなくても、使ってよいAI、入力してよい情報、困ったときの連絡先の3つから始められます。

人が増えたときや、AIに操作を任せる仕事が出てきたときに、残りの項目を足していきましょう。
見直しの担当者は、社長や所長が兼ねても構いません。
この3項目（項目2・3・6）なら、社長と社員が少し話し合えば書き始められる分量です。
10名前後の会社や事務所なら、案は社長や所長が書き、数人で試してから、社内の会議で伝える形に手順を縮められます。

まとめ：1枚のルールを試し、研修で使い方と一緒に広げる

最初の1枚は、7項目を短く書く

生成AIの社内ルールは、目的・使ってよいAI・入力する情報・出力の確認・任せる操作と承認・連絡先・見直しの7項目を、1枚に短く書くことから始められます。
2026年は、AIが作業を実行する場面が増えたため、任せる操作と承認の項目も入れておきましょう。
社員の使い方を集め、1つの部署で試し、迷った場面をもとに直しましょう。

契約や機能を変えたときは、AI事業者ガイドラインや各社の公式情報も確かめて、ルールを見直してください。
ChatGPTを使う会社は、設定と契約の確認も合わせて行いましょう。

ルールを決めるのは会社、判断の練習は研修で

社内ルールの中身を決めるのは、それぞれの会社です。
決めたルールを社員が使いこなすには、仕事の場面で判断する練習が役立ちます。

当社の研修のうち、生成AIビジネス活用研修（営業事務・バックオフィス業務のDX）では、第1回で「顧客情報・取引データを扱う業務の情報管理とリスク対策」を学びます。
法人契約・1人1アカウント・入力してよい情報の区分と、エージェントの実行前の承認を扱います。
営業事務やバックオフィスの仕事が中心ですが、演習は、受講される方の職種の業務を想定した、講師が用意する題材で行います。
研修ページの講座一覧には「管理職向け：組織変革とガイドライン策定」もあります。

皆さんの会社では、社員が「これはAIに入力してよいか」「この操作を任せてよいか」を、作業の前に判断できるルールがありますか？

• 自社の場合はどう進めればよいか知りたい方は、無料相談をご利用ください。
• 社員向けの「生成AIビジネス活用研修」の内容と受講料は、研修ページでご覧いただけます。
• 業務の洗い出しからツール選び、定着まで伴走する AI導入コンサルティングの内容とプラン料金は、コンサルティングページでご覧いただけます。