生成AI社内利用規程テンプレート｜中小企業の作り方

生成AIの社内利用規程は、完璧な文書を一から作る必要はありません。中小企業なら「入力してよい情報・禁止情報」「利用できる人とアカウント」「出力の確認ルール」「事故が起きたときの報告手順」の4点を決め、テンプレートに自社固有の項目を足す形が現実的です。本記事では、法務・情シス専任がいない企業でも運用できる規程の作り方を、チェックシート形式で整理します。

なぜ中小企業にこそ「短い規程」が必要か

生成AIは個人アカウントでもすぐ使えるため、規程がない状態では「誰が何を入力したか」を会社が把握できません。特に問題になりやすいのは、顧客情報や取引条件、未公開の企画、人事情報などの入力です。これらは一度外部サービスに送信すると取り消せない可能性があります。

一方で、数十ページの立派な規程は中小企業では読まれず、形骸化しがちです。重要なのは網羅性より、現場が判断に迷ったときに立ち返れる短い基準を持つことです。まずはA4数枚程度の「利用ルール」と、別紙のチェックシートから始めるのが現実的です。

なお、生成AIをめぐる法制度や各サービスの仕様は変化が続いています。規程に法的な断定を書き込むのではなく、公開直前に公式情報を再確認し、必要に応じて専門家に相談する前提で作成してください。

規程に入れるべき4つの柱

テンプレートを選ぶときは、次の4項目が含まれているかを確認します。この4点が抜けていると、現場の判断基準として機能しません。

1. 入力禁止情報の定義

「個人情報」「機密情報」といった抽象語だけでは現場は判断できません。顧客名・連絡先・契約金額・未公開の製品仕様・従業員の評価情報など、自社の業務に即した具体例を列挙します。業種によって禁止対象は変わるため、テンプレートの例をそのまま使わず、自社の書類やシステムを思い浮かべて追記してください。

2. 利用権限とアカウント管理

誰がどのサービスを、どのアカウントで使うのかを決めます。無料の個人アカウントの業務利用を認めるか、法人契約のアカウントに限定するかは、情報管理の考え方によって変わります。入力を学習に使わない設定の有無など、サービスごとの条件は公式サイトで確認が必要です。

3. 出力の確認ルール

生成AIの回答には誤りが含まれることがあります。顧客向け文書、契約関連、数値や法務・税務に関わる内容は、そのまま使わず人が確認する、といったルールを決めます。誰が最終確認するかまで書くと運用しやすくなります。

4. 事故発生時の報告手順

禁止情報を入力してしまった、誤った情報を顧客に送ってしまった、といった事態に備え、報告先と初動を決めます。報告した人が不利益を被らない旨を明記すると、隠蔽を防ぎやすくなります。

テンプレートに足す「自社固有」の項目

インターネット上には生成AIの利用規程の雛形が複数公開されています。ただし、雛形は一般的な内容にとどまるため、次の観点で自社向けに調整します。

• 利用目的の範囲：文章作成、要約、アイデア出しなど、業務利用を認める範囲を具体化する
• 禁止する用途：最終判断をAIに委ねる、顧客への回答を無確認で送るなど
• 利用サービスの一覧：会社として利用を許可するサービス名と契約形態を記載する
• 教育・周知の方法：入社時や規程改定時の説明方法を決める
• 見直しの時期：半年ごとなど、定期的に見直すタイミングを定める

サービス名や契約条件は変更されることがあるため、一覧には「確認日」を添えておくと、更新漏れを防げます。

導入前チェックシート｜意思決定に使う10項目

規程を作る前に、次の項目を関係者で確認してください。すべて「はい」と言えない項目があれば、それが規程で重点的に触れるべき論点です。

作成から運用までの5ステップ

規程は作って終わりではなく、現場で使われて初めて意味を持ちます。次の順序で進めると、負担を抑えながら運用に移れます。

1. 現状把握：社内でどの生成AIサービスが、誰によって、何の目的で使われているかを洗い出す
2. 雛形の選定：公開されているテンプレートを参考に、4つの柱が含まれるものを選ぶ
3. 自社項目の追記：チェックシートの結果をもとに、禁止情報の具体例や確認者を書き込む
4. 関係者レビュー：現場の担当者と経営層の双方が読んで、実行可能かを確認する
5. 周知と定期見直し：説明の場を設け、確認日と見直し時期を記録する

特にステップ1は省略されがちですが、実態と規程がずれると現場は規程を無視するようになります。まずは現状を把握するところから始めてください。

よくある失敗と回避のポイント

失敗1：禁止情報を抽象的に書きすぎる。「機密情報は入力禁止」だけでは、現場は何が機密か判断できません。自社の書類名や業務名で具体例を示します。

失敗2：規程を作っただけで周知しない。作成した規程の存在を知らない社員がいる状態では意味がありません。朝会や研修など、既存の場を借りて説明すると定着しやすくなります。

失敗3：一度作って見直さない。生成AIのサービス仕様や関連する制度は変化します。確認日を記録し、定期的に見直す仕組みを規程自体に書き込みます。

失敗4：法的な断定を書き込む。規程は社内ルールであり、法的助言ではありません。著作権や個人情報の扱いについて判断に迷う場合は、専門家への相談を検討してください。

まとめ｜今日決めるべき3つのこと

生成AIの社内利用規程は、次の3点を今日決めることから始められます。第一に、入力禁止情報の具体例を3つ以上挙げること。第二に、業務で使ってよいサービスとアカウントを決めること。第三に、事故が起きたときの報告先を決めることです。

この3点が決まれば、テンプレートへの追記は短時間で終わります。制度やサービス仕様は変更されるため、公開直前と定期見直しの際には公式情報を確認し、確認日を記録してください。まずは自社のチェックシートを作り、無理のない範囲で運用を始めましょう。