生成AIの社内ルールの作り方｜担当者と承認手順を決めるテンプレート
目次
生成AIの社内ルールは、禁止事項だけを並べると現場で使いにくくなります。「どの業務なら使えるか」「誰に相談すれば判断できるか」「問題が起きたら何を止めるか」まで決めておくことが大切です。
この記事では、社内の制定担当者が使える規程草案と承認手順を紹介します。文章のひな形は、一般的な業務利用を想定した作成例です。自社の情報管理規程、取引先との契約、法令上の義務と照合し、関係部署の確認を受けてから運用してください。
1．ルールを作る前に利用場面を集める
まず、部署ごとに「使いたい作業」「使う情報」「出力を渡す相手」を集めます。営業メールの下書き、社内資料の要約、プログラムの作成支援では、確認すべき事項が異なります。生成AIという一括りだけで利用可否を決めないようにします。
整理の単位は「サービス×用途×情報×出力先」です。同じサービスでも、公開済みの商品説明を短くする場合と、未公表の顧客相談を要約する場合では、同じ承認で扱えません。
収集した利用場面を、通常利用できるもの、事前審査が必要なもの、現状では認めないものに分けます。許可する範囲から先に書くと、社員が毎回申請すべきか判断しやすくなります。
既存の規程との関係を確認する
新しいAI規程の中に、情報区分や文書保存のルールを重複して作ると、改訂時に食い違います。機密区分、個人情報、持ち出し、アカウント、文書公開は既存規程を参照し、AI利用で追加する手順を明記する方法が実務的です。
参考資料には、経済産業省が公開するAI事業者ガイドラインがあります。公開されているチェックリスト等も、自社の確認漏れを探す材料にできます。ガイドラインの掲載だけで、自社の運用が適切かどうかを判定したことにはなりません。
2．責任者と承認者を分けて決める
「担当部署が責任を持つ」とだけ書くと、利用者は誰へ連絡するか迷います。少なくとも、次の役割と代行先を決めておきましょう。
運用責任者：承認済みサービスと用途の一覧を管理し、ルールを改訂する
部門承認者：自部門の目的、出力の使い道、確認方法を判断する
情報管理担当：入力情報、権限、外部連携、保存条件を確認する
専門確認者：法務、人事、知財など必要な領域を確認する
利用者：許可範囲を守り、出力を点検し、問題を報告する
小規模な会社では兼務できます。ただし、自分が申請した高リスクの利用を自分だけで承認する状態は避け、必要に応じて別の責任者や専門家を加えます。サービスの契約・アカウント設計は、法人導入の確認事項と合わせて整理してください。
3．自社で埋める社内ルールのテンプレート
以下は、編集して使う規程草案です。角括弧の項目を埋め、別紙の一覧と合わせてレビューします。未記入のまま配布せず、社員が参照できる場所も確定させてください。
第1条 目的と対象
本ルールは、［会社名］における生成AIの業務利用について、利用条件と確認・報告の手順を定める。対象者は［役員・従業員・委託先等の範囲］、対象サービスは［文章・画像・音声・コード等を生成するサービスの範囲］とする。既存の［関連規程名］を合わせて適用し、判断が難しい場合は［窓口］へ相談する。
第2条 利用可能なサービスと用途
業務利用は、別紙「承認済みサービス・用途一覧」に記載された環境、利用者、用途、情報区分の範囲で行う。一覧にないサービス、新しい用途、外部アプリ連携、公開範囲の拡大は、開始前に［承認者］へ申請する。個人で契約したサービスの業務利用は［会社としての方針］に従う。
第3条 入力情報の確認
利用者は、入力前に［情報分類規程］と対象サービスの許可条件を確認する。入力する資料は必要な範囲に限定し、入力権限や契約上の制約が不明な情報は、確認が終わるまで送信しない。許可されない情報の具体例と相談先は、別紙「入力判断表」に示す。
第4条 出力の確認と利用
生成物を業務に使う際は、［確認担当者］が根拠、数値、固有名詞、引用、権利上の懸念、目的への適合性を確認する。社外への送信・公開には、既存の［文書承認規程］を適用する。［採用・評価・契約判断等の対象業務］での利用条件は別途審査し、生成物のみを根拠とした確定処理を行わない。
第5条 記録と保管
業務上必要な成果物、確認結果、承認記録は［保管場所］に［保存期間］保管する。会話全体の保存を一律に求めず、追跡に必要な情報と機密性を考慮して記録範囲を定める。閲覧者、削除手順、異動・退職時の引き継ぎは［関連手順］に従う。
第6条 例外申請と問題発生時の対応
許可範囲を超える利用は、目的、対象情報、送信先、期間、確認方法を申請し、［承認者］の判断を受ける。社内承認によって法令や契約上の制約を解除することはできない。誤入力、不適切な共有、誤出力の利用等を認識した場合は、該当する処理を止め、［緊急連絡先］へ報告する。
第7条 教育と見直し
利用開始前に［説明・研修の方法］で本ルールを周知する。運用責任者は［定期見直し時期］およびサービス変更・事故・業務変更が生じた際に見直す。版番号、適用日、変更点、問い合わせ先を明示し、旧版と混在しないように管理する。
4．申請から承認までの流れを具体化する
規程と同時に、実際に処理できる申請票を用意します。「生成AIを使いたい」という申請では情報が足りません。次の項目があれば、審査担当が追加確認する対象を絞れます。
申請者／対象業務／サービスと契約環境／利用目的／入力情報の区分／情報の入手元と利用権限／出力の提供先／外部連携の有無／確認者／利用期間／停止方法。
架空の申請例と判断の分岐
申請例は「営業部が、公開済み製品資料から提案書の見出し案を作り、営業責任者の確認後に利用する」です。承認済み環境で、顧客情報を含めず、既に認めた用途に収まるなら、定めた通常利用手順に乗せられます。
一方、「顧客から届いた未公表資料も追加したい」となった場合は、以前の申請をそのまま使わず、入力情報と利用権限を再確認します。機密区分や契約条件が未確認なら、公開資料だけで継続するか、必要部分を人が整理する代替案を用意します。
承認記録には、承認・条件付き承認・保留・不承認の区分、理由、条件、期限、判断者を残します。「問題なさそう」といった口頭の回答だけにせず、更新時に参照できる形にしてください。回答期限を社内で設定する場合は、不在時の代行者も必要です。
5．事故の報告は事実と初動を優先する
誤入力や共有ミスが起きたときに、誰も連絡できない状態を避けます。報告者には、サービス名、発生時刻、操作の概要、情報の種類、共有先の範囲、実施済みの初動を伝えてもらいます。報告のために問題の情報を広いチャットへ貼り直さないよう、限定された窓口を使います。
利用者は該当する操作や自動処理を止め、責任者の指示に従います。責任者はアクセス・共有の停止、必要な証跡の保全、提供元への確認、社内関係者への連絡を判断します。独断で履歴を消すと調査に必要な記録を失う場合があるため、削除の判断者も決めてください。
個人情報に関わる事案では、個人情報保護委員会の生成AI利用に関する注意喚起等を確認し、対応は自社の個人情報管理担当へつなぎます。この記事では個別事案の報告義務や適法性は判定しません。
6．ルールが使われているかを見直す
公開後は、閲覧数だけでなく「申請で何度も聞かれる項目」「保留になる理由」「現場が迷った情報区分」を集めます。同じ質問が続くなら、規程を長くする前に、具体例や判断表を追加した方が解決することがあります。
文章・画像を社外公開する部署では、文化庁のAIと著作権に関するチェックリスト＆ガイダンスも確認材料になります。出力に関する権利確認を、誰がどの工程で担当するかに落とし込んでください。
最初に作るべき一式は「短い規程」「承認済み用途の一覧」「申請票」「緊急連絡先」です。担当者と更新日を明示し、利用者が必要なときに見つけられる場所へ置きましょう。MiyabeeのAI導入支援の内容は、サービスページでご確認いただけます。
※公式資料の確認日：2026年10月3日。本記事のひな形は運用設計の参考例であり、法的助言や法令適合性の保証ではありません。