AI社内ルールは、情報の可否基準を決めて、周知して、定期的に見直す——この3ステップで骨格を作れます。専任のIT担当者がいなくても、総務や管理部門の担当者が半日あれば初版を仕上げられます。
ただし、完璧なルールを最初から目指す必要はありません。「後から直せる運用ルール」として始めることが、実際に動く文書になるかどうかの分かれ目です。
作り始める前に決めること
社内ルールを作ろうとして止まってしまう理由の多くは、「何をどこまで書けばいいかわからない」という点です。まずスコープを絞ります。
対象とするAIツールを1〜2本に限定する
「生成AIすべて」を対象にすると書けなくなります。従業員がすでに使っている、または会社として試験的に導入しているツール——ChatGPT、Microsoft CopilotやGeminiなど——を名指しして書きます。新しいツールが増えたときに追記するという前提で構いません。
想定する利用場面を書き出す
「どんな作業で使うか」を先に洗い出すと、その後の判断が早くなります。たとえば次のような場面です。
- 議事録・報告書の文章草案を作る
- 顧客へのメール文面を作る
- 社内マニュアルの改訂案を作る
- データの集計や分析に使う
利用場面が出揃うと、「そこに何の情報を貼り付けているか」が見えてきます。それが次のステップで判断する素材になります。
ステップ1：入力禁止情報の線引きを決める
AI社内ルールの核心は、ここです。「何を入力してはいけないか」を明文化しないルールは、あってないようなものです。
判断の基準は「外に出たら困るか」です。以下を禁止情報の候補として確認してください。
- 顧客の氏名・連絡先・取引内容
- 従業員の個人情報（給与・評価・健康情報など）
- 契約書・見積書の具体的な金額や条件
- 社内の未公表情報（新製品の計画、M&A検討など）
- 取引先から「社外秘」として受け取った資料の内容
逆に「入力してよい情報」も書いておくと、現場の担当者が迷わずに動けます。一般的に問題が少ないのは、すでに公開されている自社情報、公開済みの商品・サービスの説明文、社内の一般的な業務手順などです。
この線引きは、使っているAIサービスの「データの扱い」とセットで確認します。たとえばChatGPTの有料プラン（ChatGPT Team、Enterprise）では、デフォルトでユーザーの入力内容がモデルの学習に使われない設定になっていますが、無料プランや個人プランでは設定の確認が必要です。使っているサービスの設定画面またはプライバシーポリシーで「学習への利用可否」を確認したうえで、ルールに明記します。
ステップ2：ChatGPTでひな形の骨格を生成する
ルールの文書そのものをゼロから書く必要はありません。生成AIを使ってひな形を作り、それを自社向けに編集するほうが早いです。
操作手順
以下のプロンプトをChatGPTに貼り付けます（無料版でも動きます）。個人情報や社外秘の情報は含めないので、この操作自体に問題はありません。
以下の条件で、中小企業向けの生成AI利用ガイドライン（社内ルール）のひな形を作ってください。
・従業員数：約30人
・対象ツール：ChatGPT（個人アカウントで試験利用中）
・目的：情報漏洩を防ぎつつ、業務効率化を進める
・盛り込む項目：目的と適用範囲、禁止する入力情報の具体例、利用前の確認事項、違反した場合の対応、見直し時期
・文体：従業員向けに平易な日本語で
出力されたひな形を土台に、次の箇所を自社の実態に合わせて書き直します。
- 禁止情報のリスト（ステップ1で決めた内容を反映）
- 対象ツール名と利用中のプラン
- 問い合わせ先の部署・担当者名
- 施行日と版番号
具体的なシナリオで確認する
従業員25人の製造業を例にすると、経理担当者が月末に取引先への請求書の文面作成にChatGPTを使っていたとします。このとき「取引先名と金額をそのまま貼り付けていた」というケースが実際に起きます。ひな形の禁止情報リストに「取引先の社名・金額・口座情報」と明記しておけば、担当者が自分で判断できます。ルールが一文あるかないかで、現場の行動は変わります。
ステップ3：周知する
文書を作って共有フォルダに置いただけでは、読まれません。周知の方法も手順として決めておきます。
最低限やること
- 全従業員にメールまたはチャットで送付し、「読みました」の返信またはスタンプを求める
- 既存の朝礼・週次ミーティングで5分間口頭説明する
- 就業規則や業務マニュアルの「付属文書」として位置づけ、新入社員の入社時説明に組み込む
「読んだことにする」ためではなく、「困ったときに参照できる場所を知っている状態」を作ることが目的です。共有フォルダのURLをチャットツールの固定メッセージに貼っておくだけでも、参照率は変わります。
社内でのAIリテラシー教育を組み合わせたい場合は、研修の費用感や助成金の情報を生成AI研修の費用と助成金：中小企業が今年度使える制度と相場を整理でまとめています。
ステップ4：見直し時期を決めて終わりにする
AIサービスの仕様は頻繁に変わります。今年問題なかった設定が、来年は変わっていることがあります。完璧なルールを維持しようとすると必ず止まるので、「定期的に見直す」という仕組みを最初から文書に書き込んでおきます。
目安は6ヶ月に1回です。見直し時に確認する項目はシンプルで構いません。
- 使っているAIサービスのプランや利用規約に変更はないか
- 禁止情報のリストに追加・削除が必要な情報はないか
- 現場から「このケースはどうするか」という質問が出ていないか
質問が出ているということは、ルールに抜けがあるサインです。その都度、文書を更新して版番号と日付を書き直す運用にします。
なお、業務でのAI活用が広がってきた段階では、禁止情報の判断を一人で抱えるよりも、社内に「AI利用の相談窓口」を設ける会社が増えています。専任でなくていいので、「この人に聞く」という役割を決めておくと、現場の動きが変わります。
自社だけで判断が難しい場合
個人情報保護法や業種別の規制（医療・建設・金融など）との兼ね合いで「自社のルールがこれでいいか確認したい」という場合は、AI導入支援を手がけるコンサルタントや社会保険労務士、中小企業診断士に相談する選択肢があります。自社のルール素案を持参したうえで相談すると、「全部お任せ」より費用を抑えられます。
当メディアでもAI導入・社内研修に関する相談を受け付けています。ルール策定の進め方に迷いがある場合は、問い合わせフォームからご連絡ください。
