この記事でわかること
- 社内ガイドラインを作る5ステップ（体制→対象範囲→リスク洗い出し→ルール→運用・見直し）
- どの会社でも必要になる8つの必須項目と、そのまま使えるルール文例
- 広告・デザイン・映像などクリエイティブ部門で追加すべきルール
- JDLAのひな形、AI事業者ガイドライン、文化庁の資料など、参考にすべき公的資料
- 作って終わりにしないための運用と改訂の仕組み
社内ガイドラインは「禁止事項の一覧」ではなく、社員が迷わず使えるようにするための道具です。公的なひな形を土台にしつつ、入力してよい情報・使ってよいツール・出力の確認責任の3点を自社の言葉で具体的に書き、少なくとも年1回、できれば半年ごとに見直す前提で作るのが近道です。
なぜ今、社内ガイドラインが必要なのか.
生成AIは、社員が個人のアカウントで今日から使えてしまう道具です。会社がルールを決めないうちに、現場では次のようなことが起きがちです。
- 情報漏えいの不安：顧客名や未発表の企画を、学習に使われる設定のままのツールに入力してしまう
- 誤情報の拡散：AIが作ったもっともらしい数字や説明を、確認せずに資料や記事に載せてしまう
- 権利トラブル：既存の作品やキャラクターに似た画像を、そのまま広告に使ってしまう
- シャドーAI（会社が把握していないAIツールの業務利用）：禁止されるのを恐れて、こっそり使われる
一方で「とりあえず全面禁止」にすると、業務効率化の機会を失ううえ、シャドーAIを増やす結果になりがちです。ガイドラインの役割は、使ってよい範囲をはっきり示し、安心して使える状態をつくることにあります。
実際、総務省「令和8年版 情報通信白書」では、生成AIによる業務変革について「組織的な取組はない」と答えた日本企業が27.0%とされ、米国・ドイツなどより高い水準でした。使い方が個人任せになっている会社は、まだ少なくありません。
法律上の位置づけも押さえておく
2025年には「人工知能関連技術の研究開発及び活用の推進に関する法律」（AI法）が公布され、同年9月に全面施行されました。罰則で縛る法律ではなく、AIの活用を推進する基本法です。ただし、個人情報保護法や著作権法など既存の法律は、生成AIを使う場面にもそのまま適用されます。社内ガイドラインは、こうした既存の法律を自社の業務に落とし込んだ実務ルールと考えると位置づけがはっきりします。
参考になる公的資料とひな形.
ゼロから書く必要はありません。まずは次の資料に目を通し、使える部分を土台にしてください。いずれも無料で公開されています（2026年10月時点で各公式サイトにて確認）。
| 資料 | 発行元・版 | どう使うか |
|---|---|---|
| 生成AIの利用ガイドライン（条項のみ／簡易解説付） | 日本ディープラーニング協会（JDLA）／第1.1版（2023年10月） | 社内ガイドラインのたたき台。社名やツール名を書き換えて使える構成 |
| 生成AIの利用ガイドライン（画像編） | JDLA／第1版（2024年2月） | 画像生成を使う部門の細則づくりに |
| AI事業者ガイドライン | 総務省・経済産業省／第1.2版（2026年3月31日） | AIの「利用者」として求められる事項の確認。付属のチェックリスト・ワークシートも活用できる |
| AIと著作権に関する考え方について／チェックリスト＆ガイダンス | 文化審議会著作権分科会法制度小委員会（考え方）・文化庁（チェックリスト）／2024年3月・2024年7月 | 著作権に関する条文の根拠づけ。利用者向けの確認項目の参考に |
| 生成AIサービスの利用に関する注意喚起等 | 個人情報保護委員会／2023年6月 | 個人情報を入力する場合の注意点の根拠に |
| 行政の進化と革新のための生成AIの調達・利活用に係るガイドライン | デジタル庁／第2.0版（2026年6月） | 行政機関向けだが、ツール調達やリスク管理の考え方の参考になる |
入手先：JDLA 資料室 ／ 経済産業省「AI事業者ガイドライン」 ／ 文化庁「AIと著作権について」 ／ 個人情報保護委員会 注意喚起 ／ デジタル庁 生成AIガイドライン
なかでも実務で使いやすいのがJDLAのひな形です。社内規程として最低限決めておきたい事項がまとまっており、自社の名称や対象サービスを書き換えるだけで骨格ができます。ただし、ひな形はあくまで汎用版です。自社の業種・取引先・扱う情報に合わせて、足す・削る・言い換える作業が必ず必要になります。
AI事業者ガイドラインは、AIを「開発する」「提供する」「利用する」事業者の3つに分けて整理しています。生成AIを業務で使うだけの会社は、主に「AI利用者」の項目を確認すれば足ります。全文を読もうとして手が止まるより、該当部分とチェックリストから入るのがおすすめです。
策定の5ステップ.
体制を決める
事務局（経営企画・DX推進など）を決め、法務、情報システム、現場の代表者を巻き込みます。現場の代表がいないと、実態に合わない「守れないルール」になりがちです。最終的に誰が承認するか（役員会、社長決裁など）も最初に決めておきます。
対象範囲を決める
対象者（正社員だけか、派遣社員・業務委託先も含むか）、対象ツール（文章・画像・動画・音声、業務ツールに組み込まれたAI機能も含むか）、対象業務（社内利用のみか、社外向け成果物も含むか）を決めます。とくに業務委託先の扱いは、後から問題になりやすい論点です。
リスクを洗い出す
情報漏えい、誤情報、権利侵害、差別的・不適切な出力、炎上の5つを軸に、自社の業務で起こりうる場面を書き出します。「どの部署の、どの業務で、何が起きると一番困るか」で優先順位をつけると、条文に強弱がつきます。
ルールを書く
ひな形を土台に、洗い出したリスクへの対策を条文にします。禁止事項だけでなく、「この条件なら使ってよい」という許可の書き方を意識してください。専門用語には一言の説明を添えます。
運用・見直しの仕組みをつくる
公開と同時に説明会を開き、相談窓口を設けます。ツールの規約や法令の動きは速いため、改訂のタイミング（少なくとも年1回、できれば半年ごと。加えて重要な法令・規約改定があったとき）を文書の中に書いておきます。
盛り込むべき8つの必須項目とルール文例.
1. 入力してよい情報の区分
最も重要な項目です。情報を3段階程度に分け、ツールごとに入力の可否を決めます。個人情報保護委員会の注意喚起でも、個人データを含むプロンプトを入力する場合は、入力した情報がAIの学習など回答以外の目的に使われないことを確認するよう求めています。
| 情報の区分 | 例 | 法人契約ツール（学習利用なし） | 個人向け無料ツール |
|---|---|---|---|
| 公開情報 | 公開済みのプレスリリース、Webサイトの文章 | 可 | 可 |
| 社内情報 | 社内資料、議事メモ、未公開の企画 | 可（業務範囲内） | 不可 |
| 機密情報・個人情報 | 顧客名簿、契約条件、未発表の新商品、取引先から預かった素材 | 原則不可（事前承認制） | 不可 |
2. 利用できるツール（許可リスト）
「使ってよいツール」を一覧にします。基準は、法人向け契約であること、入力データが学習に使われない設定にできること、管理者がアカウントを管理できること、などです。一覧は頻繁に変わるため、本文ではなく別紙にしておくと改訂が楽になります。
3. 出力の確認責任
AIの出力には誤りが含まれることを前提に、最終的な責任は利用者（人）が負うことを明記します。数字・固有名詞・法律の記述は一次情報で確認する、社外に出す前に上長または担当者が確認する、といった具体的な手順まで書きます。
4. 著作権・商標・肖像の扱い
文化庁の資料では、AIの学習段階と、生成・利用段階を分けて考え方が整理されています。社内ルールで押さえるべきは主に後者です。他人の作品名・作家名・キャラクター名・ブランド名・実在の人物名を指定して生成しないこと、生成物が既存の作品に似ていないか確認すること、を定めます。詳しい論点は画像生成AIのプロンプトと著作権やAI音声と肖像権の解説記事も参考にしてください。
5. AI利用の開示方針
社外向けの成果物でAIを使ったとき、それを開示するかどうか、どう表示するかを決めます。受託業務では、契約や発注書でAI利用の可否が定められていることもあるため、取引先との合意を優先することも書いておきます。
6. ログと記録
ツール名・利用日時・プロンプト・出力・使った業務を、どの範囲で記録するかを決めます。全件記録は現実的でないため、「社外に出した成果物に使ったもの」に絞るのが一般的な落としどころです。万一の問い合わせへの説明材料になります。
7. 相談窓口と承認フロー
「迷ったら誰に聞くか」を必ず書きます。窓口がないと、現場は自己判断で進めるか、使うのをやめるかのどちらかになります。広告・採用・顧客対応など、事前承認が必要な用途もここで指定します。
8. 違反時の対応
違反や事故に気づいたときの報告義務、初動（公開停止、関係者への連絡）、就業規則・懲戒規程との関係を定めます。罰することが目的ではなく、早く報告してもらうための仕組みとして書くのがポイントです。
ルール文例
以下は、編集部が公的資料の考え方を参考に作成した文例です。自社の名称・ツール名・部署名に置き換え、法務担当の確認を経てから使ってください。
第1条 目的 第2条 適用範囲（対象者・対象ツール・対象業務） 第3条 用語の定義（生成AI、プロンプト、生成物 など） 第4条 利用できるツール（別紙1：許可ツール一覧） 第5条 入力してはならない情報 第6条 生成物の確認と利用 第7条 著作権・商標・肖像等の権利への配慮 第8条 AI利用の開示 第9条 記録の保存 第10条 相談窓口と事前承認 第11条 違反時の報告と対応 第12条 改訂（少なくとも年1回、できれば半年ごとに見直す） 別紙2：部門別の追加ルール 別紙3：公開前チェックリスト
第5条（入力してはならない情報） 利用者は、会社が別に定める場合を除き、次の情報を生成AIに入力してはならない。 （1）顧客・取引先・従業員の個人情報 （2）取引先から秘密として開示された情報および預かった素材 （3）未発表の商品・企画・業績に関する情報 （4）その他、社外秘に指定された情報 第6条（生成物の確認と利用） 1 利用者は、生成物に誤り・偏り・権利侵害のおそれがあることを前提に、内容を自ら確認する。 2 数値・固有名詞・法令等に関する記述は、一次情報により確認したうえで利用する。 3 生成物を社外に公開・提出する場合は、所属長または指定された確認者の確認を受ける。
第7条（権利への配慮） 利用者は、特定の作品名・作家名・キャラクター名・商標・実在の人物名を指定して、 それらに似せることを目的とした生成を行ってはならない。 業務上必要な場合は、事前に法務担当に相談する。 第11条（違反時の報告と対応） 1 利用者は、本ルールに反する利用または事故のおそれに気づいた場合、速やかに相談窓口へ報告する。 2 会社は、必要に応じて公開の停止、関係者への連絡その他の措置を講じる。 3 速やかに報告した者に対しては、その事情を考慮する。
クリエイティブ部門ならではの追加ルール.
広告、デザイン、映像、記事制作などのクリエイティブ部門では、生成物がそのまま社外に出るため、全社ルールに加えて細則を設けるのがおすすめです。画像生成についてはJDLAの「画像編」も参考になります。
- プラン条件の確認：同じツールでも、無料プランは商用利用不可、ということがあります。契約プランを台帳で管理します（商用利用で安全な画像生成AIの選び方）
- 「〇〇風」の禁止：作家名・作品名・ブランド名を入れたプロンプトを禁止し、代わりに要素（色、構図、質感）で指示する方法を示します
- 類似チェック：公開前に逆画像検索などで既存作品との類似を確認し、記録を残します
- 人物の扱い：実在の人物に似せた生成、声の模倣をしない。AIモデルを起用する場合の表示方針を決めます（AIモデル広告の事例）
- 実物との違い：商品画像や不動産写真などを実物と異なる形で加工しない。広告表示のルール（景品表示法など）の確認を工程に入れます
- 取引先との合意：受託案件では、AI利用の可否、権利の帰属、開示の有無を契約書・発注書で確認してから着手します（AIクリエイターへの依頼ガイド）
クリエイティブ部門の公開前チェック（別紙の例）
Checklist- 使用したツールとプランで、商用利用が認められていることを確認した
- プロンプトに作家名・作品名・キャラクター名・ブランド名・実在の人物名を入れていない
- 生成物が既存の作品や実在の人物に似すぎていないかを確認した
- 取引先から預かった素材を、許可のないツールにアップロードしていない
- 商品・サービスの実物と異なる表現になっていないかを確認した
- AI利用の開示について、取引先・社内の方針どおりに対応した
- ツール名・日時・プロンプト・出力を記録した
作って終わりにしない運用と見直し.
ガイドラインが形骸化する原因の多くは、一度作ったきり更新されないことです。生成AIのツールは機能も規約も頻繁に変わります。AI事業者ガイドライン自体も、2024年4月の第1.0版から2026年3月の第1.2版まで、ほぼ毎年改訂されています。社内ルールも同じペースで見直す前提で作りましょう。
- 3層で作る：基本方針（めったに変えない）、全社共通ルール（少なくとも年1回、できれば半年ごと）、別紙（随時）に分けると、改訂の手間が小さくなります
- 説明会とeラーニング：配布するだけでは読まれません。15〜30分の説明会で、禁止事項より「こう使えばよい」を中心に伝えます
- 相談ログを改訂に活かす：窓口に寄せられた質問は、次回改訂の最良の材料です。FAQとして別紙に追記していきます
- 利用状況の確認：法人契約ツールの管理画面で利用状況を確認し、使われていない部署には個別に支援します
あわせて、社員向けに用語集を用意しておくと説明が楽になります（生成AI用語集）。
よくある質問.
QJDLAのひな形をそのまま社内ルールにしてもよいですか？
Q中小企業でも、正式なガイドラインは必要ですか？
Q業務委託先やフリーランスにも適用すべきですか？
Qどのくらいの頻度で見直せばよいですか？
Q生成AIの利用を全面禁止にするのは、だめですか？
まとめ｜「守れる短いルール」から始めて、育てていく.
- 社内ガイドラインは安心して使える範囲を示す道具。全面禁止はシャドーAIを増やしやすい
- 策定は体制→対象範囲→リスク洗い出し→ルール→運用・見直しの5ステップで進める
- 必須項目は入力情報の区分・許可ツール・出力確認・権利・開示・ログ・相談窓口・違反時対応の8つ
- JDLAのひな形やAI事業者ガイドライン、文化庁の資料を土台にし、自社の言葉に直す
- クリエイティブ部門はプラン条件・類似チェック・人物の扱い・取引先との合意を別紙で追加する
- 3層構造で作り、少なくとも年1回、できれば半年ごとに見直す
参考にした一次情報：日本ディープラーニング協会「生成AIの利用ガイドライン」 ／ 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」 ／ 文化庁「AIと著作権について」 ／ 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」 ／ デジタル庁「生成AIの調達・利活用に係るガイドライン」 ／ 内閣府「AI法」 ／ 総務省「令和8年版 情報通信白書」
※ 本記事は一般的な情報提供であり、法的助言ではありません。個別の案件については弁護士等の専門家にご確認ください。記載は2026年10月時点の情報です。
自社に合った生成AIの社内ガイドラインづくりを、現場の業務に合わせてご支援します.
