生成AIの社内ルール・ガイドラインの作り方｜盛り込む項目とひな形

「社員が生成AIを使い始めたが、ルールが無い」を解決します。社内ガイドラインに最低限盛り込むべき項目を、入力してはいけない情報から出力の扱い、承認フローまで具体的に整理しました。本サイトの独自調査では、この『AIガイドライン・社内ルール』は答える記事が特に少ない領域（供給14点前後）でした。

結論：社内ルールで最低限おさえる5項目

生成AIの社内ガイドラインは、長文の規程より「やってはいけないこと」と「必ずやること」を短く明文化するのが実用的です。最低限おさえるのは、①入力してはいけない情報、②出力の確認義務、③著作権・第三者の権利、④利用範囲と承認、⑤教育と違反時の対応の5点。まずはA4一枚にまとめ、運用しながら更新していくのが現実的です。

なぜ“答え”が少ないのか

本サイトの独自調査（検索サジェストの需給分析）では、AIガイドライン・コンプライアンス関連の悩みは答えが特に薄い領域でした。「ai ガイドライン」（文科省・経産省・総務省など）は供給スコア14点、「ai コンプライアンス」関連も14点前後（0〜100、中央値50。低いほど正面から答える記事が少ない）。“ルールを作りたいが、何を書けばいいか分からない”という実務に、横断的に答える情報が不足しています。

① 入力してはいけない情報

最重要が入力（プロンプト）の制限です。外部の生成AIに入れた情報は学習・保存される可能性があるため、原則として次は入力禁止に。個人情報、顧客・取引先の機密、未公開の経営情報、ソースコードや設計資料、契約書の実データなど。学習に使わない設定の法人向けプランと、無料の個人向けを混同しないことも明記します。

② 出力は必ず人が確認する

生成AIの出力は誤り（ハルシネーション）を含みます。「最終判断と責任は人が負う」「事実・数値・引用は一次情報で確認する」を義務として書きます。そのまま顧客向け・公開資料に使わない、というルールが事故を防ぎます。

③ 著作権・第三者の権利

生成物が既存の著作物に似ていないか、商用利用が規約上認められているか、画像に他者の作品・肖像が混ざっていないかを確認します。利用する生成AIの規約（商用可否・帰属）も参照先として明記しましょう（関連：生成AIの著作権・ガバナンス）。

④ 利用範囲・ツールの選定と承認

「どの業務で・どのツールを・誰の承認で使うか」を決めます。全面解禁か、部署・用途を限定するか。利用ツールは会社が選定・契約したものに限定し、無断利用（シャドーIT）を防ぎます。

⑤ 教育と違反時の対応

ルールは配るだけでは守られません。短い研修や事例共有で“なぜ禁止か”を理解してもらい、違反時の連絡・対応フローも決めておきます。

最小構成のひな形（そのまま使える）

まずはこの粒度で運用を始め、ヒヤリハットが出たら追記していくのが続けやすい運用です。

※本記事は一般的な実務情報であり、法的助言ではありません。自社の業種・規制に応じて専門家にご相談ください。