生成AI利用ルールの作り方｜中小企業向けひな形付き

結論

生成AI利用ルールは、禁止事項だけを並べるより、現場が安全に使える条件を書く 方が定着します。

経済産業省のAI事業者ガイドラインやIPAの中小企業向けセキュリティ資料では、AIや情報セキュリティを継続的に管理する考え方が示されています。中小企業では、難しい規程から入るより、まず業務利用の線引きを1枚にまとめることが現実的です。

ルールに入れる項目

最低限、次の7項目を入れます。

1. 利用目的
2. 使ってよい業務
3. 入力してはいけない情報
4. AI出力の確認責任
5. アカウントとツールの管理
6. 生成物の保存・共有ルール
7. 相談先と見直し頻度

この7つがあれば、現場が「使ってよいか迷う」場面を減らせます。

中小企業向けひな形

以下は、初期導入向けの簡易ひな形です。実際に使う場合は、自社の業務、契約、個人情報の扱いに合わせて修正してください。

# 生成AI利用ルール

## 1. 目的
当社は、業務効率化と品質向上のため、生成AIを下書き、要約、整理、アイデア出しの補助として利用する。

## 2. 利用できる業務
- 社内向け文書の下書き
- メール文面のたたき台
- 会議メモの整理
- 公開情報の要約
- FAQ、マニュアル、提案資料の構成案作成

## 3. 入力禁止情報
- 個人情報
- 顧客、取引先、従業員の秘密情報
- 契約、価格、未公開の経営情報
- 他社から秘密保持義務を負って受領した情報
- 法令、契約、社内規程で外部入力が禁止されている情報

## 4. 確認責任
AIの出力は下書きとして扱い、社外送信、契約、採用、価格、法務、医療、安全判断では担当者が確認する。

## 5. 利用ツール
業務利用は会社が認めたツールとアカウントに限定する。個人アカウントでの業務利用は原則禁止する。

## 6. 保存と共有
AIで作成した文書を保存する場合は、通常の社内文書と同じ保存場所、権限、保管期間に従う。

## 7. 相談と見直し
判断に迷う場合は管理者へ相談する。本ルールは少なくとも3か月ごと、または利用範囲を広げる前に見直す。

運用で失敗しやすい点

ルールを作っても、現場が読まなければ意味がありません。

よくある失敗は、次の通りです。

• 長すぎて読まれない
• 禁止事項だけで、使ってよい場面がわからない
• 個人アカウント利用が黙認される
• 社外送信前の確認者が決まっていない
• ルール更新の担当者がいない

最初は短く作り、利用例と禁止例をセットで配る方が定着しやすくなります。

次の一歩

ChatGPT利用に絞って整理したい場合は ChatGPTを会社で使って大丈夫？情報漏えいを防ぐ社内ルール を確認してください。より実務順にルール項目を確認したい場合は 中小企業の生成AI利用ルールは何から決めるべきか も参考になります。