生成AI社内ルールのサンプル｜A4一枚12項目のひな形と決め方

生成AIの社内ルールは、A4一枚・12項目で作れます。必要な12項目は下の表のとおりです。この12項目を埋めれば、現場が自分で判断できる状態になります。

この記事が扱うのは、社員が日々生成AIを使うときの利用ルール、つまり規程の条文項目だけです。会社としての倫理方針や対外的な姿勢の示し方はAI倫理ガイドラインの作り方（A4一枚・2週間で初版）、すでに勝手に使われている状態をどう止めるかはシャドーAI対策｜中小企業の放置リスクとルール化手順で扱っています。

想定しているのは、従業員10〜100人ほどで情シス専任がいない会社です。読み終わる頃には、コピーして［　］を埋めるだけのひな形と、自社で決めないといけない4つの分岐が手元に残ります。

Contents / 目次

1. 生成AI社内ルールのサンプルは、この12項目をA4一枚に書けば動き出す
2. そのまま使える生成AI社内ルールのサンプル条文（A4一枚版）
3. 中小企業がAI導入を止めずにルールを決める2週間の進め方
4. 生成AI社内ルールでよくある失敗5つと、その防ぎ方
5. 規程だけでは足りない部分と、現場での妥協点
6. 社内ルールを決めると何が変わり、何は変わらないか
7. 生成AIの社内ルールについてよくある質問
8. 今日の最初の一歩

生成AI社内ルールのサンプルは、この12項目をA4一枚に書けば動き出す

生成AIの社内ルールに必要な項目は12個です。ボリュームのある規程集をゼロから作る必要はありません。下の表の「決めること」を1行ずつ埋めれば、それがそのまま第1条から第12条になります。

項目（条文の順番）	決めること	迷ったときの目安
1. 目的	何を防ぐために作るのか	情報漏えいと誤情報の社外流出の2つに絞る
2. 適用範囲	誰に・どの端末に適用するか	業務委託と個人端末を含めるかを明記
3. 用語	生成AI・出力物の定義	1文ずつで十分。長い定義は不要
4. 利用してよいツール	許可するツールと契約形態	別紙1の一覧に切り出す
5. 例外申請	一覧にないツールを使う手順	申請先・承認者・有効期間の3点
6. 入力してよい情報	入れてはいけない情報の線引き	別紙2のリストに切り出す
7. 出力物の確認	誰が事実確認して責任を持つか	「下書き扱い」と書くのが要
8. 第三者の権利	著作権・作風の指定の可否	公開前の類似チェックを義務化
9. 社外公表時の扱い	AI利用を明記するかどうか	方針を1つ選んで書き切る
10. 記録と報告	何を残し、事故時にどうするか	自己申告を不利益に扱わないと明記
11. 違反時の取り扱い	就業規則とどうつなぐか	社労士・弁護士の確認前提で書く
12. 改定	いつ・誰が見直すか	3か月ごと＋ツール仕様変更時

本体・許可ツール一覧・入力禁止リストの3つに分けて作る

ここが、他社のサンプルをそのまま写すと失敗する一番の分かれ目です。生成AIのルールは「1枚の規程」にまとめず、本体（12条）、別紙1「許可ツール一覧」、別紙2「入力禁止情報リスト」の3つのファイルに分けてください。

理由は改定の速さです。生成AIのツールは仕様もプランも頻繁に変わります。全部を1枚に書くと、ツールを1つ足すたびに規程そのものの改定手続きが必要になり、決裁を待つ間に現場が勝手に使い始めます。

別紙に分けておけば、別紙1の更新は管理部門の判断だけでできる、と第12条に書けます。本体は半年〜1年変わらない、別紙は月単位で変わる。この速度差を前提に設計するのが、生成AIのルールづくりの実務です。

ポイント。入力してよい情報の線引きそのもので迷っている段階なら、先にAIに入力してはいけない個人情報｜線引きと社内ルールの作り方を読んでから、この記事の別紙2に取りかかると早いです。

つまりこの章で押さえるのは、次の2つです。

• 12項目を埋める
• 変わりやすい部分を別紙に逃がす

この2つができていれば、あとは条文の言い回しを埋めるだけになります。

そのまま使える生成AI社内ルールのサンプル条文（A4一枚版）

ここからは、コピーして［　］を埋めるだけで使えるひな形です。ステップ1から5の順に、自社の事情を入れていってください。全文は最後にまとめて載せています。

ステップ1. 目的と適用範囲を、それぞれ1文で決める

最初に決めるのは、このルールで何を防ぐかです。欲張らず「情報漏えい」と「誤情報の社外流出」の2つに絞ってください。目的が5つも6つもあるルールは、現場が要点を覚えられません。

適用範囲でつまずくのは、たいてい次の2点です。

• 業務委託・派遣スタッフを含めるか
• 個人のスマホやパソコンでの利用を含めるか

含めるなら、その人たちに読ませる手順もセットで決めないと、書いただけで終わります。

ステップ2. 使ってよいツールを「許可リスト型＋例外申請」で決める

ツールの決め方は、禁止するものを並べる禁止リスト型ではなく、使ってよいものを並べる許可リスト型にしてください。生成AIは新しいサービスが毎月出るので、禁止リストは書いた翌週から穴が空きます。

許可ツール一覧（別紙1）は、ツール名だけを書いても意味がありません。契約形態と、どこから使うか（入り口）まで書き分ける必要があります。次の5列で作ります。

ツール名	契約形態	許可する入り口	使ってよい用途	入れてよい情報
［例］ツールA	法人契約	ブラウザ	文章の要約・たたき台作成	社内一般まで
［例］ツールB	法人契約	会社端末のデスクトップアプリ	長文資料の読み込み・整理	社内一般まで
［例］ツールC	会社アカウント	会社が導入済みの業務ソフト内	社内資料の作成補助	社外秘まで
［例］個人の無料アカウント	契約なし	—	業務利用は不可	入力不可

「入り口」の列は面倒に見えますが、実務では効きます。同じサービスでも、ブラウザから使うか、アプリから使うか、別のソフトに組み込まれた機能から使うかで、ログインしているアカウントが違うことがあるからです。どの入り口を許可したのかを書いておかないと、社員が別ルートで同じサービスを使い、会社が契約していないアカウントで入力してしまいます。

契約形態やプランごとのデータの扱いは、記事や社内文書に書き写さず、必ず各サービスの提供元の公式ページで確認してください。たとえばGoogle Workspaceについては生成 AI のセキュリティ、コンプライアンス、プライバシー | Google Workspaceで、データ保護の考え方が公開されています。ここは仕様が変わる部分なので、別紙1に「確認先URL」と「確認日」の欄を作り、誰がいつ確認したかだけを残すのが安全です（2026年8月11日時点）。

ステップ3. 入力禁止情報を6カテゴリで具体的に書く

入力してはいけない情報は、最低6カテゴリを名指しで書いてください。「機密情報は入力しない」という一文だけでは、現場は何が機密か判断できません。判断できないと、安全側に倒して誰も使わなくなるか、面倒になって全部入れるかのどちらかになります。

別紙2は、禁止するだけでなく「こう加工すれば使える」まで書くのがコツです。ここまで書いて、はじめて現場が業務を止めずに済みます。

区分	具体例	そのまま入力	加工すれば使える形
顧客情報	取引先の社名・担当者名・案件の詳細	不可	社名をA社、担当者名を担当者に置き換える
個人情報	氏名・住所・電話番号・メールアドレス・顔写真	不可	該当箇所を削除し、属性（40代・製造業）だけ残す
社内機密	未公開の商品仕様・図面・原価・仕入先	不可	数値を伏せ、構成の相談だけにする
未公開の財務情報	決算前の売上・利益・資金繰り表	不可	実数を倍率や概算に置き換える
契約書の全文	取引基本契約・NDA・業務委託契約	不可	条文の一般的な書き方だけを質問する
人事評価情報	評価シート・面談記録・給与・健康情報	不可	評価コメントの書き方の相談にとどめる

受託業務では、顧客との契約に「再委託や外部サービスへのデータ提供の制限」が入っていることがあります。この場合に社内ルールと契約のどちらが優先されるかは、契約書の文言によって変わります。案件を受けたときのチェック項目に「生成AI利用の可否」を1行足し、判断に迷う契約は法務や顧問弁護士に確認してください。

ステップ4. 出力物は「下書き扱い」と書き、確認者を決める

出力の条文で必ず入れるのは、「生成AIの出力物は下書きとして扱う」という一文です。この一文があるかないかで、事故が起きたときの責任の所在がまるで変わります。

確認するのは、事実・数値・固有名詞の3つです。生成AIは、それらしいけれど存在しない情報を作ることがあります（ハルシネーション）。仕組みと防ぎ方は生成AIのハルシネーションはなぜ起きる｜業務で防ぐ5つの手順で詳しく書いています。

社外に出す文書については、確認者を役職で指定します。「担当者が確認する」だけだと、担当者が自分で書いて自分で確認する形になり、実質チェックが働きません。

ステップ5. 記録・違反時・改定サイクルを決めて締める

最後の3条は、忘れられがちですが運用が続くかどうかを左右します。特に大事なのは、入力してはいけない情報を入れてしまった社員が、すぐ報告できる設計にすることです。

報告を理由に不利益な扱いをしない、と条文に書いてください。書かないと、事故は隠され、発覚するのは取引先からの指摘のときになります。

改定は「3か月ごと」と「利用ツールの仕様変更時」の2軸で。日付と担当部署を条文に入れておかないと、誰も見直しません。

生成AI利用ルールのひな形（コピー用・全文）

ここまでの内容をつないだ全文です。［　］の中を自社の言葉に置き換えて使ってください。

法的な効力を持つ社内規程として運用する場合は、就業規則や秘密保持契約との関係を社会保険労務士・弁護士に確認したうえで確定させてください。

生成AI利用ルール（A4一枚版ひな形）
制定日 2026年　月　日 ／ 改定日 　年　月　日
管理部門 ［総務部］ ／ 相談窓口 ［総務部・内線○○］

第1条（目的）
本ルールは、［会社名］の従業員が業務で生成AIを利用する際の、
使ってよいツール、入力してよい情報、出力物の取り扱いを定め、
情報漏えいと、誤った情報の社外流出を防ぐことを目的とする。

第2条（適用範囲）
本ルールは、［正社員・契約社員・パート・派遣社員・業務委託先］が、
［会社支給の端末および個人端末］を用いて業務のために生成AIを
利用するすべての場合に適用する。

第3条（用語）
生成AIとは、入力した指示（プロンプト）に応じて文章、画像、音声、
プログラムなどを自動で作り出すサービスをいう。
出力物とは、生成AIが作成した文章、画像、コード等をいう。

第4条（利用してよいツール）
別紙1「許可ツール一覧」に記載したツールのみ利用できる。
一覧にないツールを利用する場合は、第5条の申請を行い、
承認を得てから利用する。

第5条（例外申請）
申請先は［総務部］、承認者は［部門長］とする。
申請には、ツール名、利用目的、入力する情報の区分、契約形態、
利用期間を記載する。承認の有効期間は原則［3か月］とし、
継続する場合は再申請する。
同一ツールの申請が［3件］を超えた場合、［総務部］は
別紙1への追加を検討する。

第6条（入力してよい情報）
別紙2「入力禁止情報リスト」に該当する情報は入力しない。
別紙2に「加工すれば使える形」が示されている場合は、
その加工を行ったうえで入力できる。
判断に迷う場合は入力せず、相談窓口に確認する。

第7条（出力物の確認）
生成AIの出力物は下書きとして扱う。
利用者は、事実、数値、固有名詞について一次情報で確認したうえで
使用する。社外に提出する文書は、［部門長］の確認を経る。

第8条（第三者の権利）
特定の作家名、企業名、既存作品の作風を指定して生成しない。
画像、文章、音声を社外に公開する前に、既存の著作物と
類似していないかを確認する。

第9条（社外公表時の取り扱い）
社外に公開する制作物における生成AIの利用については、
［方針を1つ選ぶ／AI利用を明記する・明記しない・掲載媒体の
規定に従う］。

第10条（記録と報告）
［社外提出物の作成］に生成AIを用いた場合は、使用ツール名と
日付を［案件フォルダの作業記録］に残す。
入力してはいけない情報を入力した場合、または誤った出力物を
そのまま使用した場合は、直ちに相談窓口へ報告する。
報告したこと自体を理由に、不利益な取り扱いは行わない。

第11条（違反時の取り扱い）
本ルールに反した場合は、［就業規則第○条］に基づき対応することが
ある。本条の運用にあたっては、就業規則および秘密保持契約との
整合を確認する。

第12条（改定）
本ルールは［3か月］ごと、および利用ツールの重要な仕様変更が
あった時に見直す。改定は［総務部］が起案し、［経営会議］で
決定する。別紙1および別紙2の更新は［総務部］の判断で行い、
更新日を記載のうえ社内に周知する。

例外申請は、専用システムを作らなくても社内フォーム1枚で回せます。記載してもらう項目は次の6つです。

• ツール名と提供元：正式名称で書いてもらう。略称だけだと別サービスと取り違える
• 契約形態：個人の無料／個人の有料／法人契約／API のどれか
• 利用目的と業務：「調査」ではなく「競合3社の公開情報の要約」まで具体的に
• 入力する情報：別紙2のどの区分に触れるか、触れないか
• 利用期間：開始日と終了予定日
• 代替手段の有無：許可済みツールでできない理由

この章の結論として、ひな形を埋める作業そのものはそれほど時間がかかりません。時間がかかるのは条文づくりではなく、次の章で扱う4つの分岐を社内で決めるところです。

中小企業がAI導入を止めずにルールを決める2週間の進め方

ルールづくりに何か月もかけないでください。決裁者を含めて2回の会議、合計2時間で決め切るのが現実的です。長引くほど現場は待てず、勝手に使い始めます。

自社で決めるべき4つの分岐

他社のサンプルをコピーしても埋まらないのが、この4つです。会議で議論するのはここだけにしてください。

分岐	A案	B案	こう決めると失敗が少ない
誰に許可するか	全社員に一律	部署・担当者を限定	50人未満なら全社一律。限定すると管理台帳が要り、かえって手間が増える
ツールの決め方	許可リスト型	禁止リスト型	許可リスト型＋例外申請。禁止リストは新サービスに追いつけない
個人端末での利用	認める	会社端末のみ	営業が多い会社は認めたうえで、会社アカウントでのログインを条件にする
社外公表時のAI明記	明記する	媒体の規定に従う	受託制作がある会社は「媒体と契約の規定に従う」。自社発信中心なら方針を1つに固定

2週間のタイムライン

担当者1人が動く前提で、実際に回る段取りです。

1. 1日目。この記事のひな形をコピーし、［　］のうち会社名・部署名など事実だけを埋める（30分）
2. 2〜3日目。現場3〜5人に「いま何のツールを何に使っているか」を聞き、別紙1のたたき台を作る。ここで初めて実態が見える
3. 4日目。第1回会議60分。4つの分岐だけを決める。条文の言い回しは議題にしない
4. 5〜7日目。決まった内容をひな形に反映し、別紙2の「加工すれば使える形」の列を自社の業務に合わせて書く
5. 8日目。第2回会議60分。決裁者が読み上げて確認し、その場で確定させる
6. 9〜10日目。就業規則・秘密保持契約との関係について、顧問の社会保険労務士または弁護士に第11条を見てもらう
7. 11〜14日目。全社に周知。30分の説明会を1回開き、ひな形と別紙2を配って質問を受ける

設計の考え方の全体像を押さえたい場合は、Microsoftが公開している組織の AI 戦略を設定するためのガイダンス（Cloud Adoption Framework）のような、ユースケースの特定から責任あるAI戦略の構築までを整理した資料も参考になります。ただし、これは大企業向けの枠組みを含むので、そのまま写さず自社の規模に合わせて削ってください。

2週間で決め切るための要点は1つです。会議で扱うのは4つの分岐だけにして、条文の文言は担当者が書いて持ち込む。この分業にすると、決裁者の時間を2時間しか使わずに済みます。

生成AI社内ルールでよくある失敗5つと、その防ぎ方

ここからは、ルールの条文そのものが原因で起きる失敗です。作った直後は気づかず、3か月後に「誰も守っていない」という形で表面化します。

失敗1. 「機密情報は入力禁止」の一文で終わっている

いちばん多いのがこれです。何が機密かの定義を書かずに禁止だけすると、現場の担当者は毎回上長に確認するはめになります。確認が面倒になった時点で、聞かずに入れるか、使うのをやめるかのどちらかに転びます。

防ぎ方は、別紙2に6カテゴリを名詞で書き、「加工すれば使える形」まで示すことです。判断を現場に押しつけず、リストを見れば答えが出る状態にします。

失敗2. 公開ガイドラインを写して、自社にない部署名や承認者が残る

自治体や大企業が公開しているガイドラインは参考になりますが、そのまま写すと「情報システム部に申請する」「AI倫理委員会が審査する」といった、自社に存在しない組織が条文に残ります。申請先が実在しないルールは、その日から誰も使いません。

防ぎ方は単純で、配布前に［　］と固有名詞を全文検索して1つずつ潰すことです。承認者は「AI管理責任者」のような新しい役職名を作らず、既にある職位（部門長・総務部長）を当ててください。新しい役職を作ると、その任命だけで1か月止まります。

失敗3. ツール名だけを許可し、無料版と法人契約を区別していない

同じサービス名でも、個人の無料アカウント、個人の有料アカウント、法人契約、APIでは、適用される利用規約やプランが分かれていることがあります。入力したデータがどう扱われるかは提供元の公式ページで確認する必要があり、ツール名だけを許可すると、社員は自分の個人アカウントで会社の情報を入力し、それがルール上は「許可されている」状態になります。

防ぎ方は、別紙1に契約形態と入り口の列を作り、契約形態ごとの扱いを提供元の公式ページで確認して確認日を残すことです。あわせて「個人の無料アカウントでの業務利用は不可」の行を明示的に置いてください。書いていない=禁止、では現場に伝わりません。

失敗4. 出力物の確認者が決まっておらず、責任が宙に浮く

誤った数字が入った資料が社外に出たとき、「AIが書いたので」と言われて誰も責任を取れない状態になります。取引先から見れば、資料を作った過程で生成AIを使ったかどうかは分かりません。社内で確認者を決めていなければ、誰が事実確認をすべきだったのかも後から特定できません。

防ぎ方は、第7条に「出力物は下書きとして扱う」と「社外提出物は部門長が確認する」の2文を必ず入れることです。この2文があれば、確認は既存の承認フローに乗ります。新しい承認ルートを作らないのがコツです。

失敗5. 禁止条項ばかり厚く、代わりの手段が書かれていない

禁止だけを並べたルールは、業務を止めます。止まった業務は、個人アカウントで水面下に潜るだけです。第6条に「加工すれば使える形」を書き、第5条の例外申請を軽くしておくことが、そのまま防止策になります。

すでに水面下で使われている疑いがあるなら、ルールの整備と並行してシャドーAI対策の3ステップ｜禁止せず情報漏洩を止める仕組みの手順を先に回してください。

この章の判断材料。5つとも、原因は「抽象的に書いた」ことです。条文を書き終えたら、入社3か月の社員に読ませて「これを読んで判断できるか」を聞いてください。判断できない箇所が、そのまま形骸化する箇所です。

規程だけでは足りない部分と、現場での妥協点

正直に書きます。12項目のルールを作っても、カバーできない領域が3つ残ります。ここを知らずに「規程を作ったから安心」と考えるのが、いちばん危ない状態です。

AIエージェントが入ると、入力の線引きだけでは足りなくなる

AIエージェントとは、目標を渡すと自分でタスクを分解して実行するAIのことです。ここまでのルールは「人がAIに何を入力するか」を前提に作られていますが、エージェントはメール送信やファイル更新まで自分で実行します。入力の線引きだけでは、決めるべきことが足りません。

先回りして、第4条か第7条に1条足しておいてください。決めるのは3点です。

• 権限の範囲：読み取りだけから始める。書き込み・送信・公開・支払いは別扱いにする
• 人が止める場所：社外への送信、公開、金銭が動く操作は必ず人の承認を挟む
• 記録：いつ・どのエージェントが・何を実行したかのログを残す

懲戒の根拠にしたいなら、就業規則とのつなぎ方は専門家の確認が要る

第11条で「違反した場合は就業規則に基づき対応する」と書いても、それだけで処分ができるとは限りません。社内規程を懲戒の根拠として機能させるには、就業規則との関係や周知の手続きが関わってきます。ここは記事の情報で自己判断せず、社会保険労務士・弁護士に確認してください。

就業規則そのものをAIに読ませて点検する場合の線引きは、就業規則のAIチェック手順5ステップ｜社労士確認の線引きで整理しています。どこまでAIに任せ、どこから専門家に渡すかの判断が具体的に書いてあります。

ISMSやPマークを運用中なら、既存の情報分類に合わせる

すでに情報セキュリティの認証を取っている会社が、生成AI用に新しい情報区分を作ってしまうケースがあります。「社外秘」と「AI入力不可」が別々に存在すると、現場は2つの分類を突き合わせる必要が出て、運用が止まります。

妥協点として、生成AI用の新しい区分は作らず、既存の情報資産分類に「生成AIへの入力可否」の列を1つ足すだけにしてください。管理表が1枚で済み、監査のときの説明も楽になります。

ひな形づくり自体をAIに任せる範囲

条文の言い回しを整えたり、抜けている項目を指摘させたりする使い方は有効です。一方で、4つの分岐（誰に許可するか、個人端末を認めるか等）は自社の事情でしか決まらないので、AIに決めさせないでください。会社としての姿勢を文書にする話はAI倫理ポリシーの作り方｜4原則と6ステップで社内に定着で扱っています。

この章で押さえるのは、規程は「人が入力する場面」までしかカバーしないという限界です。エージェントを使い始める前に権限と停止条件の1条を足す、懲戒に使うなら専門家に見てもらう。この2つを予定に入れておけば、あとから作り直しになりません。

社内ルールを決めると何が変わり、何は変わらないか

ルールを整えた会社で最初に変わるのは、現場の判断にかかる時間です。「これ入れていいですか」という確認が上長に飛ばなくなり、別紙2を見ればその場で答えが出るようになります。

実務でよくあるのは、使い始めてからルールを整えるという順番です。先にルールを用意できていれば、現場は迷わずに済みます。

この差は、取引先からのセキュリティチェックシートで効いてきます。「生成AIの利用ルールはありますか」「入力禁止情報を定めていますか」という設問に、規程の条番号で答えられるかどうか。答えられる状態にしておくと、先方の確認が一往復で終わります。

例外申請の件数が、次の改定のデータになる

運用が始まったら、例外申請の記録を捨てないでください。これがルールの精度を測る、いちばん安上がりな指標になります。

• 同じツールの申請が3件を超えた：現場に必要なツールなので、別紙1に昇格させる
• 申請がゼロのまま3か月：ルールが読まれていないか、そもそも生成AIが使われていない。周知か活用支援のどちらかが必要
• 申請が毎週来る：許可リストが狭すぎる。業務の実態に合っていない

ルールを作っても、使われる量は増えない

ここは率直に書いておきます。社内ルールは「安心して使える状態」を作るものであって、「使いたくなる状態」を作るものではありません。ルールを配った翌月に利用者が増える、という期待はしないでください。

使われるようにするには、業務ごとの使いどころを見せる、成果を共有する、といった別の取り組みが要ります。そちらは生成AIが社内で使われない原因と90日で定着させる現場の進め方で扱っています。ルールと定着は、別々に手を打つものだと考えてください。

まとめると、ルールを決めて変わるのは判断の速さと、取引先への説明力です。利用が広がるかどうかは別の話なので、両方を同じ施策でやろうとしないのが現実的です。

生成AIの社内ルールについてよくある質問

今日の最初の一歩

まずは5分で終わることから始めてください。この記事の別紙2の6カテゴリ（顧客情報・個人情報・社内機密・未公開の財務情報・契約書の全文・人事評価情報）をそのままコピーして、社内チャットに「当面この6つは入力しないでください」と流すだけでいいです。規程が完成するまでの2週間、これが穴を塞ぎます。

そもそもどの業務から生成AIを使い始めるかで迷っているなら、AI導入は何から始めるか｜中小企業が失敗しない最初の1業務を先に読むと、ルールで縛る範囲も決めやすくなります。

ここまで読んで、4つの分岐を社内で決め切れそうにない、既存のセキュリティ規程との整合が不安、という段階でしたら、一度お話を聞かせてください。現状の業務とツールの使われ方を整理するだけでも、どこから手を付けるべきかははっきりします。無理に導入をすすめることはしませんので、気軽にご相談ください。