記事執筆者：認定SEOコンサルタント 三田健司
「うちでは生成AIのルールを決めていないのですが、社員が勝手に使っていて大丈夫でしょうか」。中小企業の経営者やWeb担当者の方から、最近こうしたご相談をいただく機会が増えています。
禁止すれば安全に思えますが、業務での便利さを知った社員はこっそり使い続けます。かといって放置すれば、顧客情報や見積書をそのままAIに貼り付けてしまうリスクが残ります。
この記事では、国の公的資料（AI事業者ガイドライン、個人情報保護委員会の注意喚起、IPAの導入・運用ガイドライン、文化庁の考え方）を土台に、中小企業が社内ルールに入れておきたい7つの項目を整理します。あわせて、入力してよい情報・いけない情報の線引き、ルールを定着させる5つのステップ、よくある質問までお伝えします。
筆者は全日本SEO協会認定SEOコンサルタントとして、Web制作とSEOコンサルティングに10年以上携わり、延べ1,000件以上のサイト・システムのご相談に対応してきました。近年はAI導入のご相談も増えており、「ルールがなくて動けない会社」と「ルールが重すぎて使われない会社」の両方を見てきた経験も交えて解説します。
生成AIの社内ルールが必要な理由｜使っていなくても要る
まず、なぜ「使っていない会社」にも社内ルールが必要なのかを、調査データから確認しましょう。ポイントは、会社が決めていなくても、社員は個人で使い始めているという点です。
IPA「10大脅威2026」で、AIのリスクが組織編3位に
IPA（情報処理推進機構）は2026年1月29日に「情報セキュリティ10大脅威 2026」を公表しました。組織向けの脅威では「AIの利用をめぐるサイバーリスク」が初めて候補に入り、3位にランクインしています。
このリスクには、AIへの理解が不十分なまま使うことによる情報漏えいや、AIの悪用による攻撃の容易化などが含まれます。つまりAIは、便利な道具であると同時に、組織のセキュリティ対策の対象にもなったということです。
商工中金の調査｜会社としては決めず、個人任せの企業が6割超
では、中小企業の現場ではどうでしょうか。商工中金の「中小企業の生成AIの利用にかかる調査（2026年1月調査）」では、会社として導入しておらず、使用は個人の判断に任せている企業が64.9%にのぼりました。
これに対して、生成AIの利用を禁止・制限している企業は1.4%にとどまります。多くの会社が、禁止も推進もせず「個人の判断に任せている」状態にあると読み取れます。
さらに中小機構の「中小企業のAI等の利活用に係る実態調査」（2026年3月公表）では、AIを導入している企業は20.4%、導入を検討中は18.6%でした。会社の公式な導入が進む前に、個人利用が先行している可能性は十分にあります。
ルールは「禁止」のためではなく「安心して使う」ため
社内ルールと聞くと、細かい禁止事項の一覧を想像されるかもしれません。しかし中小企業に必要なのは、分厚い規程ではなく、迷ったときに判断できる短い基準です。
ルールの目的は使わせないことではなく、社員が安心して使える範囲を先に決めておくことです。範囲が決まっていれば、社員は「これは入力していいのか」と悩まずに済み、経営者も必要以上に心配せずに済みます。
なお、この記事は一般的な情報提供を目的としています。個別の契約や法律の解釈が絡む場合は、弁護士など専門家にご相談ください。
ルール作りの土台になる国の資料｜5つの公的ガイドを整理
社内ルールをゼロから考える必要はありません。国や公的機関がすでに公開している資料を「考え方の骨組み」として借りるのが、最も早く、安全な進め方です。
AI事業者ガイドライン｜2026年3月に第1.2版へ
AI事業者ガイドラインは、経済産業省と総務省が公表しているAIの安全な活用の指針です。第1.1版は2025年3月28日に公表され、第1.2版は2026年3月31日に公表されました。
第1.2版では、自律的に動くAIエージェントなどに関する記載が加わり、リスクの書き方や用語の整理が見直されています。基本の骨格である「10の共通指針」と、開発者・提供者・利用者の3つの立場という整理は、これまでの版から引き継がれています。
自社でAIを使う中小企業は、主に「利用者」の立場にあたります。10の共通指針には、プライバシーの保護、セキュリティの確保、透明性、アカウンタビリティ（説明責任）、教育・リテラシーなどが含まれており、社内ルールの項目を考えるときの手がかりになります。
個人情報保護委員会の注意喚起（2023年6月2日）
個人情報保護委員会は2023年6月2日に、生成AIサービスの利用に関する注意喚起を公表しています。個人情報取扱事業者に対しては、プロンプト（AIへの指示文）に個人情報を入力する場合、特定した利用目的の達成に必要な範囲内であるかを確認するよう求めています。
また、本人の同意なく個人データを入力する場合は、その個人データが回答を出す目的以外で処理されないかを確認することも重要とされています。あわせて、生成AIの提供事業者が、入力された個人データを機械学習に利用しないことなどを確認する必要があります。
IPAの「テキスト生成AIの導入・運用ガイドライン」（2024年7月）
IPAの産業サイバーセキュリティセンターが2024年7月にまとめた資料では、利活用ガイドラインで決めておく項目として、利用範囲、入力禁止情報、出力内容の確認ルール、著作権などの扱いが挙げられています。
とくに出力については、AIの答えを鵜呑みにせず、常に批判的に検証することが求められています。AIが事実とは異なる内容をもっともらしく作る現象（ハルシネーション）があるためです。
資料は、一度作って終わりにせず、継続的に見直すことも重視しています。この考え方は、後述する「小さく始めて回す」進め方にもそのまま使えます。
文化庁「AIと著作権に関する考え方」と経産省の契約チェックリスト
文化庁は2024年3月15日に「AIと著作権に関する考え方について」を取りまとめ、同年7月31日にはチェックリスト＆ガイダンスも公表しています。生成AIの出力が既存の著作物に似ていて、かつ既存の著作物に基づいて作られた場合には、著作権侵害になり得るという整理が示されています。
経済産業省は2025年2月18日に「AIの利用・開発に関する契約チェックリスト」を公表しました。利用者側の視点で、入力データの扱い、入力内容が学習に使われないか、出力物の権利は誰にあるか、責任をどう分けるかといった項目を確認できます。
これらの資料は、社内ルールの「なぜこの項目が必要か」を説明する根拠になります。ルールを社員に伝えるときに、「国の資料でもここは注意点とされています」と示せると、納得感が変わります。
社内ルールに入れる7項目｜中小企業向けの基本セット
ここからが本題です。国の資料を踏まえると、中小企業の社内ルールに入れておきたい項目は、次の7つに整理できます。
すべてを長文で書く必要はなく、A4用紙1〜2枚に収まる分量が目安です。
項目1｜目的と適用範囲
まず、ルールの冒頭で「何のために」「誰に」適用するのかを書きます。目的は「業務の効率化と品質向上を図りつつ、情報漏えいなどのリスクを防ぐこと」のように、短く前向きに書くのがコツです。
適用範囲は、正社員だけでなく、パート・アルバイト、業務委託先のスタッフまで含めるかを決めます。私用のスマートフォンで業務の内容を入力する場合も対象に含めるか、ここではっきりさせておくと後の混乱を防げます。
項目2｜利用してよいサービスと申請方法
次に、業務で使ってよいAIサービスを決めます。無料のサービスを個人のアカウントで自由に使わせるのではなく、会社が認めたサービスだけを使う形にすると、管理が格段に楽になります。
新しいサービスを使いたいときは、責任者に申請して承認を得る流れにしておくと、知らないうちにリスクが広がるのを防げます。申請といっても難しくする必要はなく、サービス名と用途をチャットで伝えるだけでも十分です。
サービスを選ぶ際は、入力内容が学習に使われないか、データの保管場所や削除の方法はどうなっているかを、各社の公式ヘルプや規約で確認します。経産省の契約チェックリストの観点が役に立ちます。
項目3｜入力してはいけない情報
最も重要なのがこの項目です。個人情報、顧客の氏名や連絡先、未公開の経営情報、取引先との契約内容、パスワードやAPIキーなどは、原則として入力しないことを明記します。
何を入力してはいけないかは、具体例で書くほど伝わります。「お客様の名前を含む問い合わせメール」「見積書の原本」「未発表の新商品の企画書」のように、社員が日常で扱う書類の名前で示してください。
この線引きについては、次の章で「信号機の3色」に分けて詳しく解説します。
項目4｜出力内容の確認ルール
AIが出した文章や数字は、そのまま社外に出さないことをルールにします。事実関係、数字、固有名詞、法律や制度の記述は、必ず人が一次情報で確認するという手順を決めておきます。
特に、お客様に送る文書、契約や法律に関わる文書、広告表現を含む文書は、上長など第三者の目を通してから出すルールにすると安心です。AIは下書きを作る道具であり、最終責任は使った人と会社にあると明記しておくのが基本です。
ホームページのブログ記事など公開する文章も同様です。AIで作った文章をそのまま公開せず、事実確認と自社の経験の追記を行う運用が、品質面でも検索評価の面でも安全です。
項目5｜著作権・権利まわりの扱い
生成AIの出力を使うときは、既存の著作物に似ていないかを確認することを求めます。特に、画像や文章を他社の作品のスタイルに寄せるよう指示することは、リスクが高くなります。
また、他人の著作物（記事、写真、図表など）をそのままAIに読み込ませて要約・改変させる場合は、利用してよい範囲を事前に確認するルールにします。判断に迷うケースは、責任者か専門家に相談する流れにしておきましょう。
著作権や契約上の権利関係は個別の事情で判断が変わります。重要な案件では、弁護士など専門家にご相談ください。
項目6｜記録と報告のルール
誰がどの業務でAIを使ったかを、最低限記録しておくと、問題が起きたときに原因をたどれます。難しい仕組みは不要で、共有の表に「日付・用途・使ったサービス」を書く程度でも構いません。
また、「間違えて入力してしまった」ときに、隠さずすぐに報告できる仕組みが大切です。叱るのではなく、早く報告した人を評価する空気をつくることで、被害を小さく抑えられます。
報告先は、責任者と情報システム担当（いなければ経営者）の2名を決めておき、連絡手段もチャットや電話など具体的に書いておきます。
項目7｜違反時の対応と見直しの頻度
最後に、ルールを守らなかった場合の対応と、ルール自体の見直しの頻度を決めます。違反への対応は、就業規則との関係もあるため、社会保険労務士など専門家に確認しながら整えると安全です。
ルールの見直しは、少なくとも半年に1回、AIサービスの大きな更新があったときは随時行います。AI事業者ガイドラインも短い間隔で改定されているため、社内ルールも固定せず更新していく前提にします。
この7項目が揃えば、社内ルールの骨格は完成です。ここからは、最も判断に迷う「入力してよい情報・いけない情報」を具体的に整理します。
入力してよい情報・いけない情報｜信号機の3色で線引き
社員が日常で迷うのは、「これは入力していいのか」という判断です。中小企業では、赤・黄・緑の3色に分けて、社員が見てすぐ判断できる表にしておく方法が定着しやすい傾向があります。
緑（入力してよい情報）｜公開済みの情報と一般的な質問
緑は、すでに公開されている情報や、一般的な知識を尋ねる内容です。自社のホームページに載っている会社概要、公開済みのプレスリリース、一般的な法律・制度の説明を求める質問などが当たります。
文章の言い回しを整える、一般的な用語の意味を聞く、アイデアの候補を出させるといった用途も、緑に入れてよいでしょう。ただし、出力の確認ルール（項目4）は緑でも適用します。
黄（条件つきで入力してよい情報）｜加工すれば使える情報
黄は、そのままでは入力できないものの、加工すれば使える情報です。たとえば、お客様の問い合わせメールは、氏名・会社名・電話番号・メールアドレスを削除し、内容だけを残せば要約に使える場合があります。
このような加工を、社内では「匿名化」や「マスキング」と呼びます。黄の情報を使うときは、加工した内容を責任者が確認できるルールにすると、うっかりミスを減らせます。
社内の議事録や業務マニュアルも黄にあたる場合が多いでしょう。取引先の名前や金額を伏せる、社外秘の表記があるものは対象外にするなど、判断基準を具体的に決めておきます。
赤（入力してはいけない情報）｜個人データ・機密・認証情報
赤は、原則として入力しない情報です。顧客や従業員の個人データ、取引先との契約書、未公開の財務情報や新商品の企画、パスワード・APIキー・社内システムのアクセス情報などが該当します。
個人情報保護委員会の注意喚起でも、個人データを入力する際は利用目的の範囲内か、機械学習に使われないかを確認するよう求めています。この条件を確実に満たせない限り、赤の情報は入力しない運用が、中小企業には現実的です。
なお、営業秘密として法的に保護されるためには、秘密として管理されていることが要件のひとつとされています。外部のAIサービスへ入力した情報の扱いは慎重に考え、不安なときは弁護士など専門家にご相談ください。
「学習に使われない設定」だけでは安心しきれない理由
多くのAIサービスには、入力内容を学習に使わない設定や、法人向けに学習に使わない規約を定めたプランがあります。こうした設定は、リスクを下げる有効な手段です。
ただし、設定や規約はサービスごとに異なり、更新もされます。学習に使われないことと、情報を入力してよいことは別の話ですので、設定を確認したうえでも、赤の情報は入力しない運用を基本にしてください。
サービスの選び方や使い分けは、別の記事で詳しく解説しています。
中小企業のAI導入、ご相談ください
株式会社アクセス・リンクは、業務の棚卸しから社内ナレッジの構築、操作研修、月次の伴走まで、中小企業のAI導入を支援しています。
- 「使ってみた」で終わらせず、毎日の業務に組み込みます
- AIに渡してよい情報・いけない情報のルールづくりから始めます
- 業務に合わせたアプリ開発にも対応します
小さく始めて回す｜ルール作成から定着まで5つのステップ
ルールは作っただけでは守られません。定着させるには、短く作って、試して、直すという小さなサイクルが有効です。
ここでは、社員数が数名から数十名の会社を想定した5つのステップを紹介します。
ステップ1・2｜現状把握とたたき台づくり
まず、社員が今どのAIをどんな業務に使っているかを、アンケートやヒアリングで把握します。責める目的ではないことを明言し、「困っていること」も一緒に聞くと、本音が出やすくなります。
次に、7項目をもとにA4用紙1〜2枚のたたき台を作ります。最初から完璧を目指さず、赤・黄・緑の線引きと申請先の2点だけでも先に決めるのがおすすめです。
ステップ3・4｜社内説明と試行期間
たたき台ができたら、全社員に15〜30分ほどで説明します。ルールの一覧を読み上げるのではなく、「これは緑、これは赤」という実例のクイズ形式にすると、理解が深まります。
その後、1〜2か月の試行期間を設けます。この期間に出た疑問や、判断に迷ったケースを記録しておくと、本番のルールを改善する材料になります。
AI事業者ガイドラインの「教育・リテラシー」の観点にも通じる進め方です。
ステップ5｜定期的な見直しと相談窓口
試行期間の結果を反映して正式版にしたら、半年に1回の見直し日を、あらかじめカレンダーに入れておきます。AIサービスの仕様や国のガイドラインは、比較的短い間隔で変わります。
あわせて、「迷ったら誰に聞くか」の相談窓口を1人決めておきます。窓口が決まっているだけで、社員が自己判断で入力してしまう場面が減り、ルールが「使われる」ものになります。
社内ルールの作成と併せて、AIの導入自体の進め方を知りたい方は、こちらの記事もご覧ください。
よくある質問（FAQ）
Q1．従業員が数名の会社でも社内ルールは必要ですか？
必要です。人数が少ないほど、1人のミスが会社全体に直結しやすいからです。
ただし、分厚い規程は不要で、A4用紙1枚に「入力してよい情報・いけない情報」と「困ったときの相談先」を書くだけでも、十分に効果があります。
まずは赤・黄・緑の線引きだけを共有し、運用しながら項目を足していく進め方をおすすめします。
Q2．無料のAIサービスを業務で使ってもよいですか？
一律に禁止する必要はありませんが、赤の情報は入力しない、会社が認めたサービスだけを使うという条件はつけておくと安全です。無料サービスは、入力内容の扱いや学習への利用が有料版・法人向けと異なる場合があります。
業務の中心で使うなら、法人向けプランの規約や管理機能を確認したうえで、有料プランを検討するのも一つの方法です。
Q3．AIが作った文章や画像は、そのまま使ってもよいですか？
そのまま使うことはおすすめしません。事実関係や数字は人が一次情報で確認し、既存の著作物に似ていないかもチェックする運用が基本です。
お客様向けの文書や公開する文章は、第三者の確認を挟むと安心です。
なお、著作権や契約の判断が難しいケースは、弁護士など専門家にご相談ください。
Q4．ルールを守らない社員がいた場合はどうしますか？
まず、なぜ守られなかったのかを確認します。ルールが分かりにくい、手続きが面倒、といった原因であれば、ルール側の改善が必要です。
罰則を先に決めるより、報告しやすい環境づくりを優先するほうが、結果的に被害は小さくなります。
懲戒などの人事上の対応は、就業規則との関係があるため、社会保険労務士など専門家に確認しながら進めてください。
Q5．ルールはどのくらいの頻度で見直すべきですか？
目安は半年に1回です。AIサービスの仕様変更、国のガイドラインの改定（AI事業者ガイドラインは2026年3月に第1.2版）、社内での新しい使い方の広がりなどがあれば、随時見直します。
ルールの見直し日をあらかじめカレンダーに入れておくと、忘れずに更新できます。
まとめ｜まず「赤・黄・緑」と相談窓口を決めよう
生成AIの社内ルールは、使わせないためではなく、社員が安心して使える範囲を決めるためのものです。IPAの10大脅威2026でAIのリスクが組織編3位になり、商工中金の調査でも会社として決めず個人任せの企業が64.9%にのぼるなか、ルールの整備は経営課題になりつつあります。
ルールに入れる項目は、目的と適用範囲、利用してよいサービス、入力してはいけない情報、出力の確認、著作権、記録と報告、違反時の対応と見直しの7つです。国のAI事業者ガイドライン（第1.2版）、個人情報保護委員会の注意喚起、IPAのガイドライン、文化庁と経産省の資料が、考え方の根拠になります。
最初の一歩は、入力の線引きを赤・黄・緑で決め、迷ったときの相談窓口を1人決めることです。完璧なルールを作ろうとせず、A4用紙1枚から始めて、試行期間を経て半年ごとに見直していきましょう。
なお、個別の契約や法律の判断が必要な場面では、弁護士など専門家にご相談ください。
中小企業のAI導入、ご相談ください
株式会社アクセス・リンクは、業務の棚卸しから社内ナレッジの構築、操作研修、月次の伴走まで、中小企業のAI導入を支援しています。
- 「使ってみた」で終わらせず、毎日の業務に組み込みます
- AIに渡してよい情報・いけない情報のルールづくりから始めます
- 業務に合わせたアプリ開発にも対応します
AI導入のご相談はアクセス・リンクへ
株式会社アクセス・リンクは、栃木県下野市を拠点に、ホームページ制作、SEOコンサルティング、アプリ開発、AI導入支援を行っています。代表の三田健司は全日本SEO協会認定SEOコンサルタントで、Web制作10年以上・延べ1,000件以上のご相談に対応してきました。
「AIを使い始めたいが、ルールや進め方が分からない」「社内の使い方を整理したい」といったお悩みにも、お客様の状況に合わせてご提案します。AI導入支援の詳細はAI導入支援のページで、ご相談はお問い合わせフォームからお気軽にどうぞ。
記事執筆・株式会社アクセス・リンク 代表取締役
Webサイト制作歴10年以上の経験を元にSEOコンサルティングを行い、延べ1,000件以上のサポート実績を誇ります。個人事業主や中小企業向けのホームページ制作やSEOコンサルティングを得意としています。
（社）全日本SEO協会 認定SEOコンサルタント
コメント