生成AIの社内ルール、どう作る？—中小企業向けガイドライン策定の3ステップ

「うちもChatGPT使い始めたけど、ルールとか決めたほうがいいのかな」—中小企業の経営者からよく聞く言葉。答えはYES。ルールがないまま社員が各自の判断でAIを使い始めると、いつか必ず事故が起きる。顧客情報をAIに入力してしまった、AIの出力をそのまま社外に出して誤情報が拡散した—こうした事例は既に起きている。この記事では、中小企業が「最低限これだけは決めておくべき」社内ルールを、3ステップで作る方法を解説する。

なぜ社内ルールが必要なのか—3つのリスク

情報漏洩リスク

顧客情報、取引先情報、財務データ、人事情報をAIに入力すると、サービス提供元に送信される。無料プランでは学習データとして使われる可能性もある。一度送信した情報は取り消せない。

著作権・知的財産リスク

AIの出力が既存の著作物に酷似していた場合、著作権侵害になる可能性がある。特に画像生成AIの出力物は注意が必要。また、自社の営業秘密や特許関連情報をAIに入力することで、秘密性が失われるリスクもある。

品質管理リスク

AIは自信満々にウソをつく（ハルシネーション）。AIが生成した数字、法律の条文、会社名などを検証せずに社外に出すと、信用問題になる。「AIが言ったから」は言い訳にならない。

大企業なら法務部や情報セキュリティ部門が対応できるが、中小企業にはそうしたリソースがない。だからこそ、シンプルで実効性のあるルールを事前に決めておく必要がある。

ステップ1：最低限決めるべき5項目

社内ルール必須5項目

項目	内容
1. 利用可能なツール	会社が承認したAIツールのみ使用可。個人アカウントでの業務利用は禁止。
2. 入力禁止情報	顧客の個人情報、取引先の機密情報、財務データ、人事情報、パスワード類。
3. 出力チェック体制	AIの出力を社外に出す前に、必ず人間がファクトチェック。数字・固有名詞・法令は特に注意。
4. 著作権の注意	AI生成物をそのまま商用利用する場合は、類似コンテンツの有無を確認。画像生成物は特に慎重に。
5. 報告フロー	情報漏洩・誤情報の発信等が発生した場合の報告先と対応手順。

この5項目をA4で2〜3枚にまとめるだけでいい。100ページのガイドラインは誰も読まない。シンプルで守りやすいルールが最も効果的。

ステップ2：テンプレート例

以下は中小企業（従業員30〜100名）を想定したテンプレートの骨格。自社の状況に合わせてカスタマイズしてほしい。

生成AI利用ガイドライン（テンプレート）

第1条（目的）

本ガイドラインは、当社における生成AIの業務利用に関する基本ルールを定め、情報セキュリティの確保と業務効率化の両立を目的とする。

第2条（利用可能なツール）

業務で使用できるAIツールは、以下の会社承認済みツールに限る。個人契約のAIツールを業務目的で使用してはならない。

【承認済みツール一覧をここに記載】

第3条（入力禁止事項）

以下の情報はAIに入力してはならない。

・顧客の氏名、住所、電話番号、メールアドレス等の個人情報

・取引先との契約内容、見積金額、非公開の事業計画

・従業員の人事評価、給与情報、健康情報

・パスワード、APIキー、アクセストークン等の認証情報

第4条（出力の取り扱い）

AIが生成した文章・データ・画像を社外に提供する場合は、以下を確認すること。

・事実関係（数字、固有名詞、法令引用）の正確性を人間が検証する

・既存の著作物との類似性を確認する

・「AIで作成」である旨の開示が必要かどうかを判断する

第5条（トラブル発生時の対応）

AI利用に起因するトラブル（情報漏洩、誤情報の社外発信等）が発生した場合は、直ちに【報告先：◯◯】に報告し、指示を仰ぐこと。

上記はあくまで骨格。自社の業種や扱う情報の種類に応じて、具体例を追加してほしい。たとえば不動産会社なら「物件の所有者情報」、クリニックなら「患者の診療情報」を入力禁止に明記する。

ステップ3：運用と定期見直しの仕組み

ルールは「作って終わり」では意味がない。運用と見直しの仕組みをセットで導入する必要がある。

運用のポイント

1. 全社員への周知：ガイドラインを配布するだけでなく、30分の説明会を開く。なぜこのルールが必要なのか、どんな事故が起きうるのかを具体例で伝える。

2. 新入社員への研修：入社時のオリエンテーションにAIガイドラインの説明を組み込む。5分で済む内容でいい。

3. 相談窓口の設置：「これはAIに入力していいのか？」と迷った時に聞ける担当者を決めておく。IT担当者でも、総務でもいい。

4. ヒヤリハット報告の仕組み：事故に至らなかったが危なかった事例を共有できるチャンネル（Slack/Teams等）を用意。責めるのではなく、学びの場にする。

定期見直しのタイミング

タイミング	見直す内容
半年ごと（定期）	全体的な見直し。新しいリスクや事例の追加
新ツール導入時	承認ツール一覧の更新。新ツール固有のリスク追記
法改正時	AI関連法規制の変更への対応
インシデント発生時	再発防止策のルールへの反映

Googleカレンダーに半年ごとの「AIガイドライン見直し」を入れておく。これだけで「作ったきり放置」を防げる。

まとめ：ルールは「盾」ではなく「推進力」

社内ルールは、AIの利用を制限するためのものではない。「安心して使える環境を整備する」ためのもの。ルールがあるからこそ、社員は迷わずAIを業務に活用できる。

ステップ1：5項目を決める（ツール指定・入力禁止・出力チェック・著作権・報告フロー）

ステップ2：A4で2〜3枚のガイドラインにまとめる

ステップ3：周知＋半年ごとの見直しサイクルをセットする

完璧を目指す必要はない。まず最低限のルールを決めて、運用しながら改善する。「ルールがない状態」が最もリスクが高い。今日、まず5項目を書き出すことから始めてほしい。