生成AIの社内ルールの作り方｜中小企業向けに入力してよい情報を3段階で整理

生成AIの社内ルールは、最初の1週間で「使うサービス」「入力しない情報」「出力は人が確認」「困ったときの窓口」の4つを決めれば、A4 1枚で始められます。目的は禁止ではなく、安全に使える範囲を示すことです。

この記事では、スリーシックス株式会社が中小企業のAI活用を支援する中で大事にしている、次の3つを紹介します。

• 入力してよい情報を「禁止／条件付き／可」に分ける早見表
• 10名前後の会社でそのまま使える短い雛形
• 作ったルールを現場に根づかせる2〜4週間の進め方

この記事は2026年10月時点の情報で書いています。

結論：最初に決めるのは4つだけ（A4 1枚で足りる）

生成AIとは、文章や画像などを指示に応じて作るAIサービスであり、ChatGPTが代表例です。社内ルールとは、そのサービスを会社の仕事で使うときの約束事を、紙1枚にまとめたものです。

最初に決めるのは、次の4つです。

全面禁止にしない理由

社員がすでにChatGPTを使っているなら、全面禁止は逆効果になりやすいです。禁止しても、使いたい人は個人のスマホや無料アカウントで使い続けます。会社が把握していないところで使われる状態を、一般に「シャドーAI」と呼びます。

シャドーAIになると、何を入力されたかを会社が知る手段がなくなります。使える範囲を決めて堂々と使ってもらうほうが、情報は守りやすくなります。

この記事で作れるもの

後半で、コピーして使える雛形と、導入の日程表を載せています。自社用に書き換える箇所は【　】で示しました。読みながらそのまま手を動かせます。

なぜ今、社内ルールが必要か：中小企業の実態

中小企業では、生成AIの利用が個人任せのまま、ルール整備が追いついていない会社が多くあります。調査の数字を3つ見てみます。

• 商工中金の調査（2026年1月調査、2026年3月31日公表）では、生成AIの導入状況で最も多かったのは「会社での導入はなく、使用は個人の判断に任せている」でした。全体の6割超です。導入後の課題では「社内ルール・方針整備が追い付かない」が最多でした。（商工中金「中小企業の生成AIの利用にかかる調査」）
• ヤマネックスの調査（2026年7月、従業員300名以下の中小企業勤務者114件）では、74.6%が利用ルールが「ない」または「形骸化」と答えました。回答数が少ないので、参考値として見てください。（ヤマネックス「中小企業の生成AI利用実態調査2026」）
• 角川アスキー総合研究所の調査（2026年4月実施、上場企業または従業員300人以上の非上場企業310件）では、全社的にガイドラインを整備した企業でも45.1%が「ルールが現場の実態に追いついていない」と答えました。対象は大企業寄りなので、中小企業にそのまま当てはまるとは限りません。（＠IT「AI白書2026」調査）

3つ目の調査は、ルールを作るだけでは足りないことを示しています。この記事で運用まで書くのは、そのためです。

個人情報保護委員会の注意喚起を言い換えると

個人情報保護委員会は2023年6月2日に、生成AIサービスの利用についての注意喚起を出しました。法違反を指摘したものではなく、注意喚起です。

要点は次のとおりです。

• 個人情報を含む文章を入力するときは、会社が決めた利用目的の範囲内かを確認する
• 入力した個人データが、提供事業者の機械学習に使われないかを確認する
• 判断のために、利用規約やプライバシーポリシーを読む

出典：牛島総合法律事務所の解説、aiteller

つまり、個人情報は「入れる前に確認が要る情報」です。確認の手間を考えると、社内ルールでは原則入れない扱いにするのが現実的です。

入力してよい情報を3段階に分ける（早見表）

入力してよい情報は、「禁止」「条件付き」「可」の3段階に分けると、社員が迷わなくなります。大事なのは「条件付き」の中身を、業務ごとに具体的に書くことです。

業務別の早見表

業種によって禁止が増えます。クリニックなら患者の診療情報や症例、士業なら相談内容、不動産なら物件の所有者情報などです。

「社名を伏せれば大丈夫」「学習オフなら大丈夫」の落とし穴

よくある誤解が2つあります。

社名や氏名を消せば個人情報ではない、という誤解。 「先月クレームのあった駅前の歯科医院の院長」のように、名前がなくても相手が分かる書き方があります。伏せるときは、相手が特定できないかまで確かめます。

学習設定をオフにすれば個人情報を入れてよい、という誤解。 弁護士事務所系の解説には、学習に使わせない設定にしても、入力した情報を取り込ませること自体が個人情報の第三者提供などに当たると評価される可能性がある、という指摘があります。公式見解が待たれる段階で、断定ではなく解釈上のリスクです。（フォーラムエイト「生成AIに関する法的問題点」）

だから、社内ルールは「迷ったら入れない」を原則にします。個人情報を扱う業務は、弁護士などの専門家に確認してください。

社員が迷ったときの3つの質問

ルールの末尾に、次の3つを書いておきます。社員がその場で判断できます。

1. 顧客・取引先・個人が特定できますか。
2. 外に出たら会社が困りますか。
3. 契約や社内規程で、外部に出すことを禁じられていませんか。

1つでも「はい」なら、入れないか、特定できない形に直します。判断できないときは、入れずに窓口へ聞きます。

使うサービスと設定の決め方

使うサービスは、会社が許可したものに限ります。個人の無料アカウントを業務で使うのは、原則やめてもらいます。会社が入力内容の設定を管理できないからです。

サービスを選ぶときは、次の点を確認します。

• 入力内容が学習に使われるか、設定で変えられるか
• 管理者が利用者を管理できるか（アカウントの追加・削除など）
• 利用の記録（ログ）が残るか
• 無料版・有料版・法人向けプランで、上の条件がどう違うか

規約は変わります。確認した日と確認した担当者を、台帳に残してください。半年に1回は読み直します。

【コピーして使える】10名規模向けの短い雛形

10名前後の会社なら、次の約10項目をA4 1枚にまとめれば足ります。【　】の部分を自社用に書き換えてください。

10名向けの雛形

【会社名】 生成AI利用ルール（【2026年○月○日】 制定）

1. 目的

業務の効率化と情報の安全を両立するために、生成AIを安全に使う方法を定めます。使うことを禁止するルールではありません。

1. 対象

役員、社員、パート、アルバイト、業務委託の方。

1. 使ってよいサービス

【会社契約のChatGPT】のみ。個人アカウントでの業務利用はしません。新しいサービスを使いたいときは、窓口に申請します。

1. 入力しない情報

(1) ID・パスワードなどの認証情報(2) 顧客・取引先の氏名、連絡先など個人が分かる情報(3) 契約書、見積書、金額が分かる資料(4) 人事評価、給与、健康に関する情報(5) 公開前の事業計画や新商品の情報(6) 【業種に応じて追加：患者情報、相談内容など】

1. 条件付きで使うとき

社名・氏名は【A社】などに置き換え、金額は入れません。

1. 迷ったとき

「特定できるか」「外に出たら困るか」「契約で禁じられていないか」を考えます。判断できないときは、入れずに窓口へ聞きます。

1. 出力の確認

AIの答えは下書きです。数字・固有名詞・引用は元の資料で確認します。社外に出すものは、【承認者名】が確認してから出します。

1. 画像・文章の権利

他社のロゴや作品に似せる指示はしません。画像を公開する前に、権利を確認します。

1. 事故が起きたとき

間違って入力したら、すぐ窓口へ連絡します。責任追及より、早い報告を優先します。

1. 窓口

【社長／○○さん】 連絡先：【　】

1. 見直し

【半年ごと】、またはサービスの規約が変わったときに見直します。

50〜100名で追加する項目

人数が増えるほど、「誰が決めるか」を仕組みにする必要があります。規模ごとの違いは次のとおりです。

50〜100名で足す項目は次のとおりです。

• 例外申請： 禁止の一部を業務上どうしても使いたいとき、窓口に申請する流れ
• 利用台帳： 許可したサービス、利用部署、規約の確認日の一覧
• 管理職の役割： 部下の利用状況を把握し、相談を受ける
• 委託先・取引先への対応： 業務委託先に使わせてよいか。取引先から確認を求められたときの返答

公的なひな形もあります。JDLA（日本ディープラーニング協会）は、条文形式のWordひな形「生成AIの利用ガイドライン」（第1.1版、2023年10月）を公開しています。デジタル庁のガイドライン第2.0版（2026年6月12日）にも、利活用ルールのひな形が付くと紹介されています。（eques「生成AIガイドラインの作り方」）ただし、これは二次情報です。版と日付は各公式ページで確認してから使ってください。

公的なひな形は網羅的です。中小企業が全部をそのまま使うと、読まれない長い文書になりがちです。まず上の1枚を作り、足りない部分を公的なひな形から拾うほうが続きます。

出力の確認・責任・事故時の対応

AIが出した文章や画像は、人が確認して、使った本人と承認者が責任を持ちます。AIは間違った内容をもっともらしく書くことがあり、これを「ハルシネーション」と呼びます。

社外に出すものの確認ルール

見積、提案書、ホームページ原稿、広告文は、公開や送付の前に人が読みます。確認は次の順に行います。

1. 数字、日付、固有名詞を元の資料と照らす
2. 他の文章を写したような部分がないか確かめる
3. 画像は、他社のロゴや作品に似ていないか見る
4. 承認者が最終確認して、公開・送付する

スリーシックスがホームページ制作やSEO/LLMO対策の支援で気をつける場面は、とくに次の3つです。

• AIで書いたホームページ原稿やブログ： 事実関係と、法令や業界ルール上言ってはいけない表現がないかを、公開前に人が確認する
• お客様の声や事例： 掲載許可を取った内容だけを使う。AIに要約させる場合も、個人が分かる情報は伏せる
• 医療機関の原稿： 患者情報や症例をAIに入れない。公開する内容は、広告のルールに沿っているか確認する

医療機関のAI活用は、クリニックの電話・問い合わせ対応をAIで減らす方法と注意点でも書いています。

うっかり入力したときの初動

うっかり入力は、完全には防げません。ルールには、起きたときの動きを書いておきます。

1. 気づいたらすぐ、窓口に伝える（一人で抱えない）
2. 入力した内容と日時を、画面のスクリーンショットで残す
3. サービス側で履歴の削除ができるか確認し、できれば削除する
4. 個人情報が含まれていた場合は、窓口が社長や専門家と対応を相談する

責任追及より早い報告を優先する、と明記します。叱られると分かっていると、報告が遅れるからです。

違反したときの扱い

罰則を重くしても、使い方は変わりにくいです。まず報告しやすい空気を作り、そのうえで、繰り返す違反や隠すことへの扱いを決めます。就業規則との関係は、社労士や弁護士に確認してください。

作成から定着までの進め方とつまずきやすい点

作成から定着までは、2〜4週間が目安です。いきなり文書を書かず、社員の実際の使い方を聞くことから始めます。

日程つきの手順

聞き取りでは「使っていないか」ではなく「便利だった使い方」を聞きます。責められると思うと、本当の使い方を話してもらえません。聞いた使い方は、条件付きの例に加えます。

研修とどちらを先にするか

順番は「1枚のルール → 実際の使い方を聞く → 必要なら研修」です。ルールがないまま研修をしても、社員は何を基準に使えばよいか分かりません。

ルールを作っても行動が変わりにくいことは、先の調査からも分かります。定着には、事例の共有が効きます。たとえば月1回、「うまくいった使い方」と「ヒヤリとした例」を5分で共有します。それでも足りないときに、研修を考えます。AI導入全体の流れは、AI導入は何から始める？中小企業の進め方5ステップも参考にしてください。

失敗しやすい点チェックリスト

作ったルールを、次の項目で点検してください。

• 禁止だけが並び、使ってよい例が書かれていない
• 「機密情報を入れない」とだけ書き、具体例がない
• 個人の無料アカウントを、そのままにしている
• 窓口が決まっていない、または連絡先が書かれていない
• 見直しの日が決まっていない
• 社長や管理職が、自分だけ例外にしている
• 事故のときの報告先と動きが書かれていない
• 周知が文書の配布だけで、説明の場がない

自社でできる範囲と、外部に相談する目安

10名前後で、個人情報をあまり扱わない会社なら、自社だけで1枚のルールは作れます。次に当てはまる場合は、外部に相談したほうが安心です。

• 顧客の個人情報を大量に扱う
• 医療・士業など、守秘義務や規制が重い業種である
• 取引先から、AIの利用状況の確認を求められている
• 契約や就業規則を変える必要がある

法的な判断は弁護士や社労士に、ツール選びや運用はIT支援会社に聞きます。スリーシックス株式会社では、AI活用・業務効率化支援として、ルール作りと研修を一緒にご相談いただけます。ルールだけ、研修だけ、というご相談でも構いません。まず自社の状況を知りたい場合は、無料のAI Web診断も使えます。

まとめ

• 最初に決めるのは「使うサービス」「入力しない情報」「出力は人が確認」「窓口」の4つです。A4 1枚で足ります。
• 入力してよい情報は、禁止・条件付き・可の3段階に分けます。条件付きは業務ごとの具体例で書き、迷ったら入れないことを原則にします。
• ルールは作って終わりにしません。聞き取り、15分の周知、1か月後の見直しまでを1セットにします。

生成AIのルール作りは、社員の使い方を知るところから始まります。進め方に迷ったときは、スリーシックス株式会社の無料相談や、無料のAI Web診断をお気軽にお使いください。

参考にした情報

• 商工中金「中小企業の生成AIの利用にかかる調査」
• 牛島総合法律事務所「生成AIサービスに関する個人情報保護委員会からの注意喚起と実務への影響」
• aiteller「個人情報保護委員会 生成AI 注意喚起｜対象3区分と求められる対応を原文で確認」
• フォーラムエイト「生成AIに関する法的問題点～個人情報保護法の観点から」
• ＠IT「ルールを作る『管理職』ほどシャドーAI 『AI白書2026』調査」
• ヤマネックス「中小企業の生成AI利用実態調査2026」
• eques「生成AIガイドラインの作り方｜企業の事例11選と必須項目2026」