生成AIの社内ルールはどう作って運用すればよいですか？　A4一枚から始める6項目

社内で生成AIを使い始めた会社の担当者から、同じ相談を続けて受けたことがあります。「うちは特にルールを決めていないのですが、大丈夫でしょうか」。

大丈夫かどうかの答えは実のところ決まっています。ルールがない状態は社員一人ひとりが自分の判断で線を引いている状態です。判断はばらつきます。慎重な人はほとんど使わず、そうでない人は顧客名の入った文章をそのまま貼り付ける。片方は成果が出ず、もう片方はリスクを抱える。どちらも、決めなかったことの結果です。

社内ルールは何から書き始めればよいですか？

許可の側からです。禁止事項の列挙から始めると、現場には「結局、何なら入れていいのか」が残りません。

実務では情報を3段階に分けると運用しやすくなります。

• 入力してよい　社外に出しても支障のない情報。公開済みの製品情報、一般的な業界知識、社内の定型フォーマット、固有名詞を伏せた業務の相談
• 条件付きで入力してよい　社内限りだが機微ではない情報。会議の発言録、社内向け報告の下書き、手順書の原案。条件は「社名・個人名・金額を伏せる」「指定したツールでのみ扱う」など
• 入力してはいけない　個人情報、他社から受領した秘密情報、認証情報、未公表の経営情報

3段目の中身と、なぜ禁止なのかは別の記事に分けています。ルール文書には結論だけ書き、理由の説明は参照先に逃がしたほうがA4一枚に収まります。

Column生成AIに入力してはいけない情報は何ですか？　4つの区分と判断の基準生成AIに入力してはいけない情報を、個人情報・他社の秘密情報・認証情報・未公表の経営情報の4区分で整理します。入力した内容が事業者側でどう扱われるか、迷ったときに何を基準に切り分けるかを中小企業向けに解説します。2026.06.17　AI活用

分け終えたら、境目にある具体例を5つほど書き添えます。「取引先から届いたメール本文をそのまま貼ってよいか」のような、実際に毎日発生する判断です。この5つが現場から見たルールの本体になります。

区分ごと、業務ごとに書き分けようとすると、いつまでも完成しません。まず全社共通の一枚を作り、判断に迷う例が現場から挙がってきたら、その例を追記していく。半年もすれば、実際に起きた判断だけが並んだ一覧になります。

ルール文書には何を書けばよいですか？

6項目です。情報セキュリティ規程への組み込みを待つと数か月かかり、その間ずっと現場は無法地帯のままになります。

1. 目的と適用範囲（誰がどの業務で対象になるか）
2. 使ってよいサービスの一覧（無許可のサービスを使わない旨を含む）
3. 入力情報の3段階と、境目の具体例
4. 出力の扱い（社外に出す文章は人が確認して確定する、事実関係と数値は裏を取る）
5. 事故が起きたときの連絡先と初動（入力してしまったときに誰へ、何分以内に連絡するか）
6. 改定の担当と見直しの頻度

5番目を空欄のまま配ってしまう会社が多い。入力してしまった社員が最初に考えるのは「怒られるかどうか」で、連絡先と初動が書かれていないと、報告は遅れます。遅れた報告は事故そのものより高くつきます。

ゼロから書く必要はありますか？

ありません。公的な文書とひな形が公開されています。

総務省と経済産業省はAI事業者ガイドラインを公表しており、2026年8月時点の最新版はVer1.2（令和8年3月31日）です。日本ディープラーニング協会は『生成AIの利用ガイドライン』第1.1版を無償で公開しています。各組織がカスタマイズして使えるひな形です。入力データの扱い、著作権、出力物の権利帰属といった論点が条項の形で整理されているので、自社の実情に合わせて削るところから始められます。

土台としてはIPAの中小企業の情報セキュリティ対策ガイドラインが使えます。2026年3月公開の第4.0版は経営者編と実践編に分かれ、経営者が認識し実施すべき指針と社内で対策を実践する手順がそれぞれ書かれています。生成AIのルールだけが宙に浮いていると社内で扱いに困るので、既存の情報セキュリティの枠に接続しておくほうが後々楽です。

政府情報システム向けではありますが、デジタル庁のテキスト生成AI利活用におけるリスクへの対策ガイドブックも、リスクの洗い出し表としてそのまま参考になります。

部門ごとに線引きを変えるべきですか？

変えたほうがよい。営業部門にとっての顧客情報と、開発部門にとってのソースコードは性質が違います。

現実的なのは共通ルールを土台にして、部門ごとに上乗せの条件を置く形です。営業部門なら、提案書の構成や訴求の案出しは広く許可し、顧客名と金額が入った資料は伏せ字にしてから扱う。管理部門なら、規程や社内文書の下書きは許可し、給与や評価に関する個票は対象から外す。開発部門なら、扱ってよいリポジトリの範囲を明示する。カスタマーサポートなら、問い合わせ内容の分類や返信の下書きまではAIが担い、送信は必ず人が確定する。

送信の確定を人に残す点は部門を問わず共通です。OnFieldは自社の経営をAI前提の仕組みで動かしていますが、そこでも承認の境界を先に引いています。AIがやるのは下書きの作成、集計と仕分け、気づきの通知まで。対外への送信、支払いと契約、最終の確定は人だけがやる。この一行があると、部門ごとの上乗せは「どこまで下書きさせるか」の議論に収束し、話が早くなります。

作ったルールが古くならないようにするには？

改定の担当と頻度を決め、ルールをAIが読める場所に置きます。この2つで6項目のうち最後の1項目が機能し始めます。

生成AIのサービスは数か月単位で仕様が変わり、機能が増えます。だから3か月に一度、使ってよいサービスの一覧と設定を見直す担当を置きます。この担当がいるだけでルールは実態から離れません。逆にここを決めないと、初版が配られたまま2年が過ぎます。

置き場所のほうはあまり語られません。ルールをPDFで配って共有フォルダに沈めると、参照されるのは入社時だけです。OnFieldは会社の情報とルールと記録をAIが読める1か所のフォルダにまとめています。部門ごとの担当AIがそのルールを読んでから作業するので、ルールを更新すればその日から振る舞いも変わる仕組みです。あわせて、何をどういう判断基準で決めたかを記録として残しています。半年後に「なぜこの線引きなのか」を再現できるかどうかで改定作業の重さが変わります。

ルールを配ったのに使われないのはなぜですか？

線の内側が見えていないからです。禁止事項だけを配ると、社員には「使わない」という選択肢しか残りません。

冒頭の「大丈夫でしょうか」に戻ります。ルールがない会社で先に起きているのは事故ではなく、使われないことのほうでした。判断を現場に丸投げすれば、まじめな社員ほど手を止めます。線を引くのは線の内側を安心して使ってもらうためです。

ルールを配ったあと、実際に使える人を社内に増やす段階はこちらにまとめています。

ColumnAI研修はどう設計すれば社内に定着しますか？　受講者の実務を教材にする組み立て方AI研修を実施しても翌週には誰も使っていない。原因は講義内容ではなく設計にあります。受講者の実務を教材にする方法、経営層と実務者の分け方、必要な研修時間の目安、終了後2週間に置く仕掛け、助成金の確認先までをまとめました。2026.08.12　AI活用

社内で回せる人を育てる研修も事業として提供しています。

Service法人向けAI研修AI経営OSを社内で回せる人を育てる