この記事の要点
生成AIの社内ルールは、分厚い規程を作らなくても始められます。A4一枚に「使ってよい業務」「入力しない情報」「出力を誰が確認するか」「使うサービスとアカウント」「困ったときの相談先」の5つを書けば、運用は回り出します。線引きの根拠は国が公開している資料にそろっていて、AI事業者ガイドライン第1.2版には別添7としてチェックリストとExcelのワークシートまで付いています。静岡市も2025年11月末から利用者を絞って行政業務へ本導入しました。まず紙一枚を配り、使いながら直していく形が現実的です。
ルールがないまま使われている状態がいちばん危ない
県内の中小企業でよく聞くのは、「会社としては何も決めていないが、若手が自分のスマートフォンで使っている」という状態です。総務や情報システムの担当者が兼任で、規程を作る時間が取れないまま数か月が過ぎている会社が多くあります。
「全面禁止」も「野放し」も長続きしない
対応は3つに分かれます。全面禁止、野放し、範囲を決める、の3つです。
全面禁止は、決めた直後はいちばん楽です。ただし、禁止しても個人のアカウントでの利用は見えないところで続きます。会社が把握できない場所で顧客名や見積の内容が入力されるほうが、リスクとしては大きくなります。
野放しは、最初のうちは何も起きません。問題が表に出るのは、誤った出力をそのまま取引先に送ったときや、個人情報を入力していたことが後から分かったときです。そのときに「会社としてどう決めていたか」を説明できないと、担当者個人の責任のように扱われてしまいます。
残るのは「範囲を決める」です。使ってよい業務と入力しない情報を決めて、それ以外は当面やらない、という形にします。範囲は後から広げられます。
静岡市も範囲を絞って本導入している
身近な例として、静岡市が参考になります。市の報道資料（令和7年11月26日発表）によると、静岡市は令和7年11月末から行政業務に生成AIを本導入しました。導入したサービスは「Microsoft 365 Copilot」で、庁内で選抜された300人の職員が利用する形です。あわせて、令和7年12月3日に職員向けの利活用説明会を開いています。
全職員に一度に配るのではなく、サービスを1つに決め、使う人を絞り、説明会をセットにする。中小企業がそのまま真似できる形です。人数の規模は違っても、順番は同じで構いません。
A4一枚に何を書くか
書く項目は5つです。これ以上増やすと読まれません。
使ってよい業務と、当面やらない業務
「文章の下書き」「要約」「表記の統一」「アイデア出し」のように、動詞で書きます。「議事録の下書き」「社内向け説明文の書き直し」のように、自社に実際にある仕事の名前で書けるとさらに読まれます。
当面やらない業務も同じ粒度で書きます。「顧客への最終回答文をそのまま送ること」「人事評価や採用合否の判断」「契約書の条文を作ること」あたりが、最初に外しておく候補です。
入力しない情報
ここがルールの中心です。詳しくは次の節に分けて書きます。A4一枚には、箇条書きで4行から5行あれば足ります。
出力を誰が確認するか
生成AIが出した文章をそのまま外に出さない、という原則を書きます。あわせて「社外に出る文書は、作成者以外がもう一度読む」と決めておくと、確認が形だけにならずに済みます。責任の所在は、生成AIではなく、その文書を出した人と部署にある、と明記します。
使うサービスとアカウント
会社として使うサービスを名指しで1つか2つに決めます。無料版と有料版でデータの扱いが違うサービスがあるので、契約しているプランまで書きます。個人アカウントでの業務利用は避ける、という一行も入れておきます。
困ったときの相談先
社内の担当者名と、判断に迷ったときの連絡先を書きます。「迷ったら止めて相談」を明文化しておくと、現場が黙って進めるのを防げます。県内の公的な相談先は静岡県のDX・AI支援窓口にまとめてあります。
入力しない情報の線引き
線引きの根拠は個人情報保護委員会の資料にあります。
個人データを含むプロンプト
個人情報保護委員会は令和5年6月2日に生成AIサービスの利用に関する注意喚起を出しています。要点は2つです。
1つ目は、個人情報取扱事業者が個人情報を含むプロンプトを入力する場合、特定した利用目的を達成するために必要な範囲内であることを十分に確認する必要がある、という点です。2つ目は、あらかじめ本人の同意を得ずに個人データを含むプロンプトを入力し、そのデータが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法の規定に違反する可能性がある、という点です。
実務に落とすと、社員名簿、応募者の履歴書、顧客の氏名や連絡先が入った名簿、健康診断や面談の記録は、そのまま貼らないという線になります。
取引先から預かっている情報
秘密保持契約を結んで受け取った図面、仕様書、価格表、未公表の計画は、契約上そもそも第三者に渡せません。生成AIサービスに入力することが契約上どう扱われるかは、契約書の文言によって変わります。判断がつかないものは入力しない、と決めておくのが安全です。
貼ってよいもの
逆に、すでに公表されている資料は入力しても問題になりにくいものです。官公庁が公表しているPDF、自社の公開済みホームページの文章、製品カタログなどが該当します。県の統計や労働局の公表資料を読ませて社内向けにまとめ直す使い方は、この範囲に入ります。県の公表データの扱いは静岡県の全国順位を資料に使うで詳しく扱っています。
出力を使うときに確認すること
数字と固有名詞は原典に当たる
生成AIは、それらしい数字を書いてしまうことがあります。金額、日付、法令名、制度の名前、人名、会社名は、必ず元の資料と突き合わせてから使ってください。「渡した資料に書かれていないことは書かない」「書かれていない項目は記載なしと書く」と指示に入れておくと、作り話は減りますが、ゼロにはなりません。
著作権のチェックは文化庁の資料を使う
文章や画像を社外に出す場合は、著作権の確認が要ります。文化庁がAIと著作権についてのページで考え方と資料をまとめていて、令和6年7月31日には「AIと著作権に関するチェックリスト＆ガイダンス」も公開されています。社内で全部を読む必要はありませんが、広報物やカタログを作る部署には、このページの場所だけ共有しておいてください。
国のガイドラインは雛形として使える
ゼロから条文を書く必要はありません。総務省と経済産業省がAI事業者ガイドライン（第1.2版）を令和8年3月31日にとりまとめています。ページの最終更新は2026年4月1日です。
構成は、本編で基本的な考え方と指針を示し、別添で具体的な進め方を示す形です。中小企業が使いやすいのは別添7で、本編PDFとは別に、チェックリストのPDFとワークシートのExcelが配布されています。あわせて「AI事業者ガイドライン活用の手引き（案）」とチャットボットも公開されています。
使い方としては、まずチェックリストで自社に関係する項目だけを拾い、ワークシートに埋めた内容をA4一枚に縮めます。ガイドライン本編は分量があるので、全社に配る文書には向きません。担当者が読んで、現場向けに翻訳する位置づけで扱ってください。
ルールづくり自体を生成AIに手伝わせる
ここまで読んで「書く時間がない」と感じたら、下書きは生成AIに任せられます。
渡すもの、渡さないもの
渡してよいのは、公表されている資料と、自社の一般的な業務の説明です。国のガイドラインのチェックリストの項目、自社の部署名と主な業務、使う予定のサービス名あたりで足ります。
渡さないほうがよいのは、社員名簿、取引先名の入った一覧、未公表の契約条件です。ルールの下書きを作るのに、これらは要りません。
指示の書き方
次のような形で頼みます。
あなたは中小企業の総務担当者です。以下の条件で、社内向けの 「生成AI利用ルール」をA4一枚（900字以内）で作ってください。 ・読み手：全社員（パート・アルバイトを含む） ・含める項目：使ってよい業務／入力しない情報／出力の確認と責任／ 使うサービスとアカウント／相談先 ・条件：法令名は正式名称で書く。私が渡していない事実や数字は書かない。 判断に迷う箇所は［要確認］と書いて、こちらに質問を返す。 ・部署：営業／製造／総務（それぞれの具体例を1つずつ入れる）
出てきた下書きは、必ず自社の実態に合わせて直します。特に「使ってよい業務」の例は、生成AIが一般論で埋めてくるので、自社に実在する仕事の名前へ置き換えてください。
出来上がりの確認
配る前に3点を確認します。法令名と制度名が正しいか、自社にない部署やサービスの名前が混ざっていないか、読んで意味の取れない一文がないか。この3点だけでも、そのまま配れる水準にはなります。
配ってからが本番
周知は既にある場でやる
新しく説明会を設けなくても構いません。朝礼、部門会議、安全衛生委員会など、すでに人が集まる場で10分もらえば足ります。紙を配って読み上げ、質問を受けて終わりでよいです。研修として設計し直すなら、中小企業の生成AI研修の始め方が参考になります。
困りごとを集める仕組みを1つ作る
配ったあと、現場からは必ず「これはやっていいのか」という質問が出ます。この質問こそがルールを育てる材料なので、集める場所を1つ決めておきます。共有フォルダのメモでも、担当者宛のメールでも構いません。
集まった質問は、次の見直しのときに「使ってよい業務」か「やらない業務」のどちらかに振り分けます。これを繰り返すと、半年後には自社の実態に合った内容になります。推進役の置き方はAI推進担当が最初にやることにまとめてあります。
見直しの時期を先に決める
サービスの仕様も国のガイドラインも動きます。AI事業者ガイドラインは第1.0版が令和6年4月、第1.1版が令和7年3月、第1.2版が令和8年3月と、およそ年に1回改訂されてきました。社内ルールも「年1回、あわせて見直す」と決めて、紙の隅に次回の見直し月を書いておいてください。
災害時の連絡文にも同じ考え方が要る
紙一枚のルールは、平時の業務だけでなく、非常時にも効いてきます。静岡の事業所であれば、地震に関する情報が出たときの社内連絡文をどう用意するかという話につながります。誰が書き、誰が確認して出すのかを先に決めておく点は、平時と同じです。具体的な進め方は南海トラフ臨時情報の社内連絡文を生成AIでにまとめました。
まとめ
生成AIの社内ルールは、A4一枚から始められます。使ってよい業務、入力しない情報、出力の確認と責任、使うサービスとアカウント、相談先。この5つを書いて配り、現場から出た質問で直していく形が、兼任の担当者にとっていちばん続きます。
根拠になる資料は国が公開しています。AI事業者ガイドライン第1.2版の別添7にはチェックリストとワークシートがあり、入力してよい情報の線引きは個人情報保護委員会の注意喚起に、著作権の確認は文化庁のページに書かれています。静岡市が利用者を300人に絞って本導入したように、範囲を決めて小さく始めれば、後から広げられます。
よくある質問
Q. 就業規則を変えないと生成AIは使えませんか。
まず必要なのは、業務でどう使うかを定めた社内ルールです。就業規則の改定が要るかどうかは、懲戒や服務規律に触れる内容を入れるかによって変わります。A4一枚の運用ルールとして配り、必要が出た時点で社会保険労務士に相談する順番で問題ありません。
Q. 無料版を使ってもよいですか。
サービスとプランによって、入力した内容の扱いが変わります。会社として使うサービスを決めるときは、契約しているプランの説明を確認し、その内容をルールに書いてください。判断がつかない場合は、業務では会社が契約したアカウントだけを使う、と決めておくのが確実です。
Q. 顧客名を伏せれば入力してもよいですか。
伏せ方によります。氏名を消しても、住所や取引の内容から個人が分かる場合は個人情報のままです。個人情報保護委員会の注意喚起は、個人情報を含むプロンプトの入力について利用目的の範囲内かを十分に確認するよう求めています。迷う場合は入力しない、を原則にしてください。
Q. AI事業者ガイドラインは中小企業も対象ですか。
AIを開発する事業者だけでなく、業務で使う事業者も対象に含めた構成になっています。ただし全項目に取り組む必要はありません。別添7のチェックリストで自社に関係する項目を拾い、その分だけを社内ルールに反映する使い方で足ります。
Q. ルールを作ったあと、守られているか確認する方法はありますか。
会社が契約したアカウントに集約すると、利用状況の把握はしやすくなります。ただし監視を強めるより、相談窓口を分かりやすくするほうが効きます。「迷ったら止めて相談」を紙に書き、質問が来たら早く返す。この2つのほうが、結果として抜け道の利用は減ります。
Q. どのくらいの頻度で見直せばよいですか。
年1回を目安に、国のガイドラインの改訂に合わせるのが分かりやすい形です。AI事業者ガイドラインは令和6年4月、令和7年3月、令和8年3月と改訂されてきました。あわせて、現場から集まった質問を年度末にまとめて反映してください。
運営元 Uravation より自社に近い業務から着手先を選ぶ材料として、業務別の生成AI活用事例50例を無料で公開しています。 生成AI活用事例 業務別50選を受け取る（無料）
参考・出典
- 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（令和8年3月31日とりまとめ・ページ最終更新2026年4月1日／本編PDFはこちら）
- 総務省「「AI事業者ガイドライン」掲載ページ」（AIネットワーク社会推進会議）
- 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（令和5年6月2日）
- 文化庁「AIと著作権について」（「AIと著作権に関するチェックリスト＆ガイダンス」令和6年7月31日を含む）
- 静岡市「行政業務への本導入に合わせた職員向け生成AI利活用説明会」（令和7年11月26日発表・報道資料）
