AI導入のセキュリティ社内ルールの作り方（雛形の考え方）
AI利用の社内ルールは、ゼロから作る必要はありません。決めるべき項目は「入力してよい情報」 「使ってよい場面」「確認の手順」「違反したときの対応」の4つに絞れます。 この4つをAIに雛形として書かせ、自社の実情に合わせて編集するだけで、たたき台は数時間で用意できます。 法律や制度に関わる部分（個人情報保護法との関係など）は、AIの出力をそのまま使わず、 専門家の確認を挟む前提で読んでください。
ルールが無いと何が起きるのか
AI利用の社内ルールが無い会社で起きるのは、多くの場合、悪意ある持ち出しではなく 「知らずにやってしまう」漏洩です。
- 顧客名簿を貼り付けて要約させる
- 見積書の金額や取引条件を貼り付けて文面を整えさせる
- 社外秘の議事録をそのまま貼り付けて議事メモを作らせる
無料版のAIツールでは、入力した内容が学習データとして扱われる設定になっている場合があります。 たとえばChatGPTの無料プランは、既定では入力内容がモデル改善に使われる設定になっており、 設定画面の「データコントロール」からオフにできます （OpenAIヘルプセンター「データコントロールに関するFAQ」による）。 設定はツールとプランによって異なるため、自社が使っているツールの設定は個別に確認する必要があります。 「うちは大丈夫」ではなく、「何を確認したら大丈夫と言えるか」を先に決めておくのがルール作りの目的です。
ルール作りにAIはどこまで任せられるか
ルール文書そのものの作成は、AIに任せやすい作業です。判断が要るのは「自社にとって何が機密か」 「どの部署にどこまで権限を渡すか」という線引きの部分で、ここは人が決めます。
| 作業 | いまの時間（目安） | AI活用後 | 差 |
|---|---|---|---|
| ルール文書のたたき台作成 | 8時間 | 1.5時間 | 6.5時間 |
| 部署別Q&A集の作成 | 4時間 | 1時間 | 3時間 |
| 社内説明会用スライド作成 | 3時間 | 1時間 | 2時間 |
| 合計 | 15時間 | 3.5時間 | 11.5時間 |
前提: 従業員30名規模、総務担当1名が単独で作成する場合の一般的な作業量から試算。 「AI活用後」は、AIに骨子と条文案を作らせ、担当者が自社事情に合わせて修正する時間のみを計上。 最終文面の法務・専門家チェックにかかる時間は含めていません。
雛形に入れる7項目
社内ルールの雛形は、次の7項目があれば骨格として機能します。AIに「この7項目でAI利用ガイドラインの たたき台を作って」と指示すれば、条文形式の下書きが出てきます。
- 目的: なぜこのルールを作るか（情報漏洩防止・品質担保など）
- 対象範囲: どの部署・どのツールに適用するか
- 入力禁止情報の一覧: 次章で具体化
- 利用してよい場面・禁止する場面: 例）社外向け文章の下書きはOK、契約書の最終判断はNG
- 確認手順: AIの出力を使う前に誰が何を確認するか
- 記録・保管: 何を入力したか、どのツールを使ったかの記録方法
- 違反時の対応: 誰に報告し、どう対処するか
このうち3と4は、業種と部署によって中身がまったく変わるため、雛形をそのまま使わず、 必ず自社の担当者が具体的な情報名・業務名に書き換える必要があります。
入力禁止情報の線引き方
「機密情報を入力しない」だけでは、社員は何が機密か判断できません。線引きは 「情報の種類」で分けると具体的になります。
| 情報の種類 | 入力の可否 | 理由 |
|---|---|---|
| 個人が特定できる顧客情報（氏名・連絡先・購買履歴） | 原則禁止 | 個人情報保護法との関係で慎重な扱いが必要。自社の個人データ取扱い規程との整合も確認する |
| 未公開の契約条件・金額 | 原則禁止 | 取引先との信頼関係に関わる |
| 社内の人事評価・給与情報 | 原則禁止 | 従業員のプライバシーに関わる |
| 公開済みの自社製品情報 | 利用可 | 既に社外に出ている情報 |
| 一般的な文章の下書き（挨拶文・案内文のひな形） | 利用可 | 固有情報を含まない |
判断に迷う情報は「公開されてもすぐには困らないか」を基準にすると、現場で運用しやすくなります。 迷う場合の相談先（総務・情報システム担当など）をルールに明記しておくと、 社員が自己判断で入力してしまう事態を防げます。
※ 個人情報保護委員会は2023年6月2日、生成AIサービスへの個人情報の入力について 「利用目的の範囲内かを十分に確認すること」などを求める注意喚起を公表しています （個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」）。
ツールの種類ごとに運用を分ける
「AI」とひとくくりにすると、ルールが実態に合わなくなります。使う場面ごとに分けて考えます。
- 会話型AI（文章作成・要約）: 入力禁止情報の線引きが最も重要。この記事の主対象
- 画像生成AI: 著作権・肖像権の扱いを別項目で定める。人物写真を素材に使う場合は特に注意
- 議事録・文字起こしAI: 録音データの保管期間と削除ルールを別途決める
- 業務システムに組み込まれたAI機能: ベンダー側の利用規約・データ取扱いを確認してから使う
社内で使われているAIツールを一度棚卸しし、上記のどれに当てはまるかを分類してから ルールを当てはめると、抜け漏れが減ります。
周知と違反時の対応
ルールは作って配るだけでは定着しません。次の2つを最初から仕組みに入れておきます。
- 説明会または簡単な確認テスト: 読んだだけでは理解度にばらつきが出るため、 短い確認クイズを挟むと効果が上がりやすい
- 違反時の対応フロー: 罰則より先に「気づいたときにすぐ報告できる窓口」を明確にする。 報告を恐れて隠される方が被害が大きくなる
ルールの見直しは、3か月〜半年ごとを目安にする例が複数の解説記事で見られます 【一次情報なし：社内AIルールの見直し頻度について定めた公的な統計・基準は見つかりませんでした。 ここは複数の解説記事に共通する目安です】。参考までに、国の「AI事業者ガイドライン」自体も 2024年4月19日の第1.0版公表後、約1年ごとに改定されています（第1.1版: 2025年3月28日、 第1.2版: 2026年3月31日、総務省・経済産業省。 経済産業省の公表資料による）。 AIツールの機能や規約は変わるため、一度作って終わりにしない前提で運用します。
雛形を最終化する前に確認すること
この記事で示した雛形は骨格であり、次の点は自社の状況と最新の制度に照らして 専門家に確認したうえで最終化してください。
- 個人情報保護法・不正競争防止法（営業秘密の管理。同法第2条第6項が定める 「秘密管理性」「有用性」「非公知性」の3要件。 e-Gov法令検索で確認可能）との整合性
- 経済産業省・総務省が示す「AI事業者ガイドライン」の最新版の内容 （2024年4月公表の第1.0版から改定が続いており、2026年3月時点の最新は第1.2版）
- 個人情報保護委員会が2023年6月に公表した「生成AIサービスの利用に関する注意喚起等について」との整合性
- 業界固有の規制（金融・医療・法務など）がある場合の追加要件
よくある質問
Q. 社内ルールは何ページくらい書けばいいですか。 A. 最初のたたき台はA4で2〜3枚程度で十分です。厚いルールは読まれません。 運用しながら必要な項目を足していく方が定着しやすいです。
Q. すでにAIを使っている社員がいる場合、どこから手をつければいいですか。 A. まず「今、誰が何のツールに何を入力しているか」を簡単なアンケートで把握します。 実態を知らずにルールだけ作ると、現場の使い方とずれます。
Q. 無料のAIツールと有料のAIツールでルールを分ける必要がありますか。 A. 分けることをおすすめします。無料版は入力内容の扱いがプランによって異なるため、 機密情報の入力は有料版よりも厳しく制限する考え方が一般的です 【一次情報なし：無料版・有料版でルールを分けている企業の割合を示す公的な統計は見つかりませんでした。 ここは複数の解説記事に共通する目安です】。実際にどこまで厳しくするかは、 利用中ツールの最新の利用規約を確認したうえで決めてください（規約は改定されるため、契約中のプランの最新版を見てください）。
Q. ルールを作った後、社員が守っているか確認する方法はありますか。 A. 完全な監視は難しいですが、「どのツールを使ったか」を業務記録に一言残す運用にするだけで、 振り返りと指導がしやすくなります。
Q. 顧問弁護士がいない会社でも作れますか。 A. たたき台はAIと自社担当者だけで作れます。ただし公開・運用する前に、 個人情報や契約に関わる部分だけでも一度専門家に見てもらうことを推奨します。