社内AIルールづくり完全ガイド｜セキュリティ・個人情報・運用まで

何を入力してはいけないか——情報の線引き

「機密情報は入力禁止」という一文だけでは、社員は何が機密か判断できません。 情報の種類で分けると、現場で使える線引きになります。

上から下に行くほど、漏れたときの被害が自社の外に及びます。判断に迷ったときは 「この情報が漏れたら、誰が困るか」を基準にします。答えが「自社以外の誰か」に なる情報は、伏字にするか入力しない方向で判断します。

情報漏えいの多くは、技術的な欠陥ではなく運用の抜けが原因です。社員が個人契約の 無料アカウントに顧客情報を貼り付けてしまう、契約書をそのまま貼り付けてしまう、 といった「便利だから」という理由で起きます。禁止するだけでなく「代わりにどうすれば よいか」を示すルールが必要です。

線引きルールを作ると確認の手間が増えるように見えますが、一般的な業務量から 試算すると、削減効果のほうが大きくなります。問い合わせ対応の下書き作成や 社内文書の匿名化作業を含めても、月18時間かかっていた業務がルール運用込みで 月8時間程度に収まる計算です(前提:入力前に個人・取引先名を伏字にする運用を 組み込んだ場合の目安。自社の時給・時間で置き換えて計算し直してください)。

詳しくは 社内データを生成AIに入れて大丈夫か｜情報漏えいの線引き を参照してください。

個人情報はどこまでAIに入力してよいか

個人情報保護法は、生成AIへの入力を一律に禁止しているわけではありません。 問題になるのは「入力していいか」ではなく「利用目的の範囲内か」です。 氏名・連絡先程度なら業務上の利用目的内で使えることが多く、病歴・信条などの 要配慮個人情報とマイナンバー・口座番号は、業務効率化の目的があっても 入力しないという線を最初に固定しておくと、現場の判断コストが下がります。

個人情報保護委員会は2023年6月2日、生成AIサービスへの個人情報の入力について 「利用目的の達成に必要な範囲かどうかを確認すること」を求める注意喚起を 公表しています。個人情報保護法の命令に違反した場合、違反した本人には 1年以下の拘禁刑または100万円以下の罰金(第178条)、法人には別途1億円以下の 罰金が科されます(両罰規定・第184条)。

入力した情報の行き先は、契約プラン次第で変わります。ChatGPTは個人向けプラン (Free・Plus・Pro)が既定で対話内容をモデル学習に利用する設定になっており、 利用者が設定画面で個別にオフにする必要があります(OpenAI公式ヘルプセンターの データコントロール設定より)。Claudeは2025年8月28日以降、個人向けプラン (Free・Pro・Max)で学習利用の可否をユーザー自身が選ぶ方式に変わりました (詳細は次項)。法人向け契約(ChatGPT Business/Enterprise、Claude for Work、 Google Workspace上のGemini)は、いずれも既定で学習に使われません。 「学習に使われない」と明記された契約形態を選ぶことが、個人情報を扱う業務で AIを使う際の最低条件になります。

機能するルールには、次の3点が入っています。

• 入力していい情報の具体例(禁止の反対側も示す)
• 匿名化・仮名化の手順(氏名を「A社担当者」に置き換える、番号を伏せるなど)
• 違反時の相談先(誰に聞けばいいかが決まっている)

詳しくは 個人情報を生成AIに入力してよいか｜法律とルールの整理 を参照してください。

著作権はどう扱うか

生成AIの著作権リスクは、「AIが学習した段階」と「AIが出力したものを業務で 使う段階」で性質が違います。学習段階の話は個別の会社が対応できる範囲を 超えていますが、出力を業務で使う段階のリスクは社内ルールでかなり抑えられます。

線引きの基準は「社外に出るかどうか」と「識別性・独自性が高いかどうか」の 2軸です。社内向けの下書きや議事録の要約はリスクが低く、ロゴ・キャラクター・ 商品パッケージなど識別性の高い画像は、既存の作品との類似性を確認する工程を 挟む必要があります。実在の作家・タレントの画風や声、容姿を模した生成物は、 著作権に加えて肖像権・パブリシティ権の問題が生じるため原則使用しません。

「AIが作ったので自社に責任は無い」という主張は、現時点では通りにくいと 考えておいたほうが安全です。公開・使用の判断をしたのは会社であり、AIは あくまで道具という位置づけになります。文化庁「AIと著作権に関する考え方について」 (文化審議会著作権分科会法制度小委員会、2024年3月15日公表)は、AI生成物が 著作物として保護されるかどうかは、人の創作的寄与の程度から総合的に判断される としています。Microsoftは有料版の商用Copilotに限り、著作権侵害訴訟への対応を 約束する「Copilot Copyright Commitment」を2023年9月に発表しました(無料版・ 個人向けは対象外)。免責・補償の条件はサービス・料金プランごとに異なるため、 自社が契約するツールの利用規約を個別に確認する必要があります。

確認工程を入れると業務あたり15〜60分程度増えますが、公開後に類似性を指摘され 差し替え・謝罪対応に追われる時間と比べると、事前確認のほうが総コストは 低く済みます。

詳しくは 生成AIの著作権リスク｜業務で使うときの線引き を参照してください。

AIツールの利用規約で確認すべき点

利用規約は長く、全文を読み通すのは現実的ではありません。確認すべき箇所は 次の3つに絞れます。

• 入力データが学習に使われるか
• データの保存期間
• 第三者への提供があるか

この3つが確認できれば、取引先の名前や金額、個人情報を含む文章をそのサービスに 入力してよいかの判断材料が揃います。ChatGPTはFree・Plus・Proのいずれも既定で 学習利用がオンになっており、設定でオフにする必要があります。Claudeは 2025年8月28日以降、個人向けプランでサインアップ時に学習利用の可否を選ぶ方式に 変わりました(同意すると5年保存、同意しないと30日保存)。あとから学習利用を オフにしても、それより前に入力した内容が既に学習に取り込まれていた場合、 その分を遡って取り消すことはできません。

チェックリスト化すると、1ツールあたりの確認時間は目安で60分前後短縮できます (利用規約を読む・設定を確認する・記録するという3工程の合計で、80分から 20分程度への短縮が見込める計算です)。社内で5〜10種類のAIツールを使っている 会社であれば、導入時の確認作業だけで合計5〜10時間程度の差になります。

取引先からセキュリティチェックシートで利用状況を聞かれる場面も増えています。 IPA(情報処理推進機構)が2026年1月29日に発表した「情報セキュリティ10大脅威2026」の 組織編では、「AIの利用をめぐるサイバーリスク」が初めて選出され3位に入りました。 使っていないと偽って答えるより、入力データの範囲を限定していることを 具体的に説明するほうが、評価されやすい傾向にあります。

詳しくは 生成AIの利用規約で見るべき点｜入力が学習に使われるかの確認方法 を参照してください。

シャドーAI(隠れ利用)にどう対処するか

シャドーAIとは、会社として許可も把握もしていないAIツールを、社員が個人の 判断で業務に使っている状態です。無料のChatGPTに顧客情報を貼り付けて要約させる、 契約前の見積書をAIに下書きさせる、といった使い方がこれにあたります。 使っている本人に悪意はなく、多くの場合は「早く終わらせたい」という善意からの 行動です。

「リスクがあるなら全面禁止にすればよい」という判断は、実際には逆効果に なりやすい方法です。個人のスマートフォンでの利用は会社側から見えなくなり、 把握できていた一部の利用実態すら見えなくなります。使用を前提にしたルール 整備のほうが、結果として管理できる範囲は広くなります。

対応の手順は次の5ステップです。

1. 実態を把握する(罰則を先に出すと申告が減るため、まず実態把握を優先する)
2. 入力禁止情報を1枚にまとめる
3. 使ってよいツールを決める(全面禁止ではなく、会社契約のツールか学習除外設定が できるツールを候補にする)
4. 周知する(1回の配布で終わらせない)
5. 半年に1回程度、見直す

ルールが無い状態と最低限のルールを整備した状態を比べると、総務・情報システム 担当者の対応時間は次のように変わります(前提:従業員10〜100名規模、担当者 1〜2名体制。件数は会社によって差があるため、自社の実際の件数に置き換えて 参照してください)。

社員が個人のスマートフォンでAIを使っている様子を見たことがある、 「使っていいか」と個別に質問されたことがある——これらのうち2つ以上に 当てはまる場合は、ルール整備を急いだほうがよい状態です。

詳しくは 社員が勝手にAIを使っている状態（シャドーAI）への対処 を参照してください。

社内ルールの作り方——決める4項目と雛形7項目

ルールをゼロから書く必要はありません。決めるべき項目は「入力してよい情報」 「使ってよい場面」「確認の手順」「違反したときの対応」の4つに絞れます。 この4つをAIに雛形として書かせ、自社の実情に合わせて編集するだけで、 たたき台は数時間で用意できます。

雛形に入れる7項目は次のとおりです。

1. 目的(なぜこのルールを作るか)
2. 対象範囲(どの部署・どのツールに適用するか)
3. 入力禁止情報の一覧
4. 利用してよい場面・禁止する場面
5. 確認手順(AIの出力を使う前に誰が何を確認するか)
6. 記録・保管(何を入力したか、どのツールを使ったかの記録方法)
7. 違反時の対応(誰に報告し、どう対処するか)

このうち3と4は業種と部署によって中身が変わるため、雛形をそのまま使わず、 自社の担当者が具体的な情報名・業務名に書き換える必要があります。

作業時間は、従業員30名規模・総務担当1名が単独で作成する場合の一般的な 作業量から試算すると、ルール文書のたたき台作成から社内説明会用スライドまで 含めて、ゼロから作ると15時間、AI活用後は3.5時間で済む計算です(差11.5時間。 最終文面の法務・専門家チェックにかかる時間は含めていません)。

ルールの見直しは3か月〜半年ごとを目安にする例が複数の解説記事で見られます (社内AIルールの見直し頻度について定めた公的な統計・基準は見当たりませんでした)。 参考までに、国の「AI事業者ガイドライン」自体も2024年4月19日の第1.0版公表後、 約1年ごとに改定されています(第1.2版:2026年3月31日、総務省・経済産業省)。

詳しくは AI導入のセキュリティ社内ルールの作り方（雛形の考え方） を参照してください。

就業規則との関係——別文書にするのが現実的

生成AIを社内で使い始めるなら、就業規則そのものより先に「AI利用ガイドライン」 という別文書を作るのが現実的です。常時10人以上の労働者を使用する事業場は、 就業規則の作成・変更に労働基準監督署への届出が必要です(労働基準法第89条。 違反時は同法第120条により30万円以下の罰金)。ガイドラインなら社内周知だけで 運用を始められます。

実務では次の2段構えにするのが一般的です。

• 就業規則:懲戒事由に「情報の不正利用・漏えい」が既に含まれているかを 確認する。含まれていれば、AI経由の情報漏えいもこの条文でカバーできる 可能性が高い
• AI利用ガイドライン(社内規程):どのAIツールを、どの業務で、どんな情報を 入力してよいかを具体的に定める別文書として新設する

ガイドライン違反が就業規則の懲戒事由に該当することを実際に機能させるには、 条文の存在に加えて従業員への周知が必要です。最高裁判例(フジ興産事件、 最高裁平成15年10月10日第二小法廷判決)は、就業規則が拘束力を持つには 労働者への周知手続きが必要である旨を示しました。ガイドラインを就業規則の 懲戒事由と結び付ける場合も、作成するだけでなく周知した記録を残しておくことが 実務上のポイントになります。

規程整備にかかる時間は、ゼロから作る場合で10〜20時間、既存のひな形を もとに作る場合で3〜5時間かかる計算です(前提:総務・人事担当者1名が作成し、 社内での確認・修正のやり取りを含めた作業時間。法的な妥当性の確認は 社会保険労務士・弁護士が別途行う前提で、その時間は含めていません)。 業界団体である日本ディープラーニング協会(JDLA)が「生成AIの利用ガイドライン」 のひな型(無料公開、2023年10月公開の第1.1版)を配布しています。就業規則本体を 社会保険労務士に新規作成依頼する場合の費用は、法令の最低限を満たすだけの 内容なら3万円程度から、トラブル対応まで見込んだ作りこみでは50万〜100万円程度 まで幅があります(ある社会保険労務士事務所の解説記事による)。

詳しくは AI導入時の就業規則・社内規程はどう変えるか を参照してください。

社内への広め方——反対を減らす順番

ルールは作って配るだけでは定着しません。説明の順番次第で、同じ内容でも 反対の出方が変わります。反対の理由は「AIが嫌い」ではなく、仕事が無くなる 不安・やり方を変えさせられる面倒さ・決まったことを後から知らされた不満の 3つであることがほとんどです。

説明する順番は次のとおりです。

1. 対象業務(何の仕事の話か)
2. 変わらないこと(誰が最終判断するか)
3. 変わること(何が減り、何が増えるか)
4. 数字(時間・件数の試算)
5. 試す期間(いつまで様子を見るか、後戻りできるか)

「変わらないこと」を先に書くのが最も効きます。判断や責任がAIに移るわけではないと 明記するだけで、不安の大部分は解消します。「情報を外部に送るのは不安」という 反対には、入力してよい情報の範囲を先に決めて資料に明記しておくことで答えます。 このルールが無いまま説明会を開くと、質問に答えられず信頼を失います。

数字を出さない説明資料は「なんとなく便利そう」で終わり、議論が前に進みません。 参考として、自社の何らかの業務で生成AIを使っていると答えた日本企業の割合は 86.4%で、前年度調査の55.2%から大きく上昇しました(総務省「令和8年版情報通信 白書」、2026年7月公表。2026年1〜2月実施、企業向け有効回答515社。従業員10名 以上かつデジタル化に着手済みの企業が対象のため、未着手企業を含む実態とは 幅があります)。

周知は説明会1回で終わらせず、朝礼・社内チャット・入社時研修など複数の場で 繰り返し伝えます。試す期間の長さについて公的機関が定めた統一的な基準は 見当たりませんでしたが、1〜3か月を目安にする例が複数の解説記事に共通しています。

詳しくは AI導入の社内説明資料の作り方｜反対を減らす順番 を参照してください。

よくある質問

Q. 社内ルールは何ページくらい書けばいいですか。 A. 最初のたたき台はA4で2〜3枚程度で十分です。厚いルールは読まれません。 運用しながら必要な項目を足していくほうが定着しやすくなります。

Q. 罰則を設けたほうが効果は高くなりますか。 A. 罰則を先に出すと、正直な申告が減り、かえって実態が見えなくなる場合があります。 まず実態把握とルール周知を優先し、周知後も違反が続く場合に罰則を検討する 順番をおすすめします。

Q. 顧問弁護士や社会保険労務士がいない会社でも作れますか。 A. たたき台はAIと自社担当者だけで作れます。ただし個人情報・著作権・ 就業規則に関わる部分だけでも、公開・運用する前に一度専門家に見てもらう ことを推奨します。

Q. 無料のAIツールは一律禁止にすべきですか。 A. 一律禁止よりも、「個人情報や契約金額を入力しない」という条件付きで 許可するほうが実態に近いルールになります。ツールの種類より、入力する 情報の中身を基準にする考え方です。

Q. ルールを作った後、社員が守っているか確認する方法はありますか。 A. 完全な監視は難しいですが、「どのツールを使ったか」を業務記録に一言 残す運用にするだけで、振り返りと指導がしやすくなります。