※本記事は2026年6月時点の公開情報（総務省・経済産業省「AI事業者ガイドライン（第1.2版）」、IPA「情報セキュリティ10大脅威 2026」、総務省「令和7年版 情報通信白書」、帝国データバンク「生成AIに関する企業の動向調査（2026年3月）」、各社が公開する利用ポリシー等）と、当社の生成AI・業務改善（BPR）支援の実務にもとづく内容です。守秘案件は業界・規模・概要のみに匿名化し、実名・実数は出していません。本文中の規程雛形は当社が作成したサンプルです。
「全社で生成AIを使わせたいが、ルールが無いまま広げて情報漏えいが起きないか不安だ」「ガイドラインを作れと言われたが、何を盛り込めばいいのか分からない」「ひな形をネットで拾ってきても、自社にどう当てはめればいいのか見えない」——生成AIの業務活用が当たり前になった2026年、多くの企業が次に直面しているのが、この社内ルール（利用規程）の整備です。
先に結論をお伝えします。生成AIの社内ルールは、難しい条文をゼロから書く作業ではありません。「盛り込むべき必須7項目」を埋め、「作成5ステップ」で回す——この型に沿えば、中小企業でも2〜4週間で実用的な規程ができます。そして最大のコツは、禁止事項を並べることより「入力してよい情報の線引き」と「形骸化させない運用」にあります。
この記事では、必須7項目とその中身、作成5ステップ、コピペで使えるテンプレート雛形、そして当社が複数業界の生成AI導入を伴走支援してきた経験から得た「現場で回るルールの作り方」を解説します。なお、ルール整備の先にある生成AIの開発・PoCまでの進め方の全体像は、生成AI開発・PoC支援にまとめています。
この記事の監修：大槻 伸夫（キュリオシティ株式会社 代表取締役CEO）。”現場主義 × AI” を掲げ、決済・物流・製造・コンタクトセンターなど複数業界の大手・中堅企業の業務改善（BPR）と生成AI活用を伴走支援。自社でも閉域網前提の生成AI PoCや、VDR（バーチャルデータルーム）級のファイル権限設計を手がける。
結論｜生成AI社内ルールは「必須7項目 × 作成5ステップ」で作る
生成AIの社内ルール作りでつまずく最大の理由は、「何を書くか（項目）」と「どう作って回すか（手順）」がごちゃ混ぜに語られるからです。そこで本記事は、この2つを明確に分けます。
- 盛り込むべき必須7項目＝規程に「何を書くか」。目的・基本方針／適用範囲／利用可能ツール／入力可否の線引き／出力の取り扱い／承認フロー／インシデント報告・罰則・改定。
- 作成5ステップ＝規程を「どう作り、どう浸透させるか」。実態把握→リスク評価→たたき台作成→法務レビュー→周知・運用。
ポイントは、ルールは作って配って終わりではないということです。立派な規程をイントラに置いても、現場が読まなければ守られません。後半で詳述しますが、当社の支援現場で最も効いたのは、分厚い規程そのものより「やってよい／ダメの早見表＋研修＋相談窓口」という運用の三点セットでした。まずは全体像を押さえたうえで、項目→手順→運用の順に掘り下げます。
なぜ今 生成AIの社内ルールが必要なのか｜2026年のデータ
「ルールが大事なのは分かるが、本当に急ぐべきか」——この問いには、2026年のデータが明確に答えています。
第一に、利用はすでに常態化しています。総務省「令和7年版 情報通信白書」では、何らかの業務で生成AIを利用していると回答した割合が国内で55.2%（調査定義により差）。帝国データバンクの「生成AIに関する企業の動向調査（2026年3月）」でも、業務で「活用している」企業は34.5%に達しました。つまり、会社が許可するかどうかにかかわらず、現場はすでに使い始めています。
第二に、企業の悩みは『導入の可否』から『運用の仕組み』へ移っています。同じ帝国データバンクの調査（2026年3月）では、生成AI活用の懸念・課題として「情報の正確性」（50.4%）に次いで「情報漏洩のリスク」（33.5%）や「トラブル時の責任所在などのルール整備」（25.5%）が上位に挙がりました。導入そのものより、責任分界・管理体制・人材といった「使いこなすための仕組み」が論点になっているのです。
第三に、脅威としての格も上がっています。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織編で初めて選出され、いきなり3位にランクインしました。ルール無きまま現場が機密情報を外部サービスに入力する「シャドーAI」（情シスの承認を得ない無断利用）は、情報漏えいの典型的な入り口です。
利用は広がり、悩みは運用に移り、リスクは定番化した。「使うか/使わないか」ではなく「安全に使うルールをどう整えるか」が、2026年の実務課題になっています。
盛り込むべき項目｜生成AI社内利用規程の必須7項目
レバテック・RICOH・マネーフォワード等が公開する整理と、当社の支援現場での勘所を突き合わせると、社内ルールに盛り込むべき項目は次の必須7項目（＋推奨1：教育）に集約できます。10項目に分解する流儀もありますが、本記事は運用しやすさを優先し、関連の深い論点（⑤に出力検証と著作権、⑥に承認と例外申請）を束ねて7つにまとめ、教育は運用の章で強調したうえで推奨項目として別掲しています。
| # | 項目 | 何を書くか（要点） |
|---|---|---|
| 1 | 目的・基本方針 | なぜ活用するか（効率化・品質向上）と、安全に使う基本姿勢 |
| 2 | 適用範囲 | 対象者（社員・契約社員・派遣・業務委託先）と対象業務 |
| 3 | 利用可能ツールの指定 | 会社が承認した生成AIサービスのホワイトリスト |
| 4 | 入力可否の線引き | 入れてよい情報／禁止情報を「機密度の分類」で定義 |
| 5 | 出力の取り扱い | ファクトチェック義務・著作権/権利侵害の確認・最終判断は人 |
| 6 | 承認フロー・例外申請 | 通常利用と、機密を扱う例外利用の手続き・窓口 |
| 7 | 報告・罰則・改定 | インシデント報告ルート、違反時の扱い、見直しの頻度 |
①目的・基本方針
冒頭で「何のために使うのか」を前向きに書きます。禁止事項から入ると現場が萎縮し、シャドーAIを助長します。「業務効率と品質を高めるために活用する。ただし情報を守る範囲で」という基本姿勢を最初に置くのが鉄則です。
②適用範囲
意外と漏れやすいのが、社員以外の取り扱いです。契約社員・派遣・業務委託先・インターンまで含めるかを明記します。委託先が顧客データを生成AIに入れて漏えいすれば、責任は発注元に及びます。
③利用可能ツールの指定（承認制）
「どの生成AIを使ってよいか」を会社が承認したサービスのリスト（ホワイトリスト＝許可制の一覧）で示します。無料版か法人契約か、入力データが学習に使われない設定（オプトアウト＝学習利用の拒否設定や、エンタープライズ契約）かまで指定するのが安全です。クラスメソッドが公開するガイドラインでも、業務利用は原則として上長の許可・規約確認を求めています。
④入力可否の線引き（最重要）
ルール作りの心臓部です。ここで多くの規程が「機密情報の入力禁止」とだけ書いて失敗します。「機密情報」が何を指すか現場が判断できないからです。当社が支援現場で勧めているのは、情報を3分類して線引きする方法です。
- 入力OK（公開可）：すでに公開済みの情報、一般的な質問、サンプルデータ
- 条件付き（社内限定）：社内情報。承認ツール＋マスキング（固有名詞・数値の伏字化）を条件に可
- 入力禁止：個人情報、顧客機密、未公開の財務・人事、ソースコード、パスワード・認証情報
「禁止リストを長く書く」より「3つの箱のどれに入るか」で考えさせる方が、現場は迷いません。
⑤出力の取り扱い（ファクトチェック・著作権）
生成AIはもっともらしい誤り（ハルシネーション）を出します。出力は必ず人が検証し、最終判断は人が行うことを義務化します。あわせて、生成物が第三者の著作権・商標等を侵害しないかの確認、社外公開物への利用ルールも定めます。パナソニック コネクトも、安全利用の柱として機密情報の入力禁止とファクトチェックの徹底を掲げています。
⑥承認フロー・例外申請
ここで現場が止まるか回るかが決まります。「すべての利用に上長承認」は形骸化します。当社の知見では、ツールと用途を会社が事前にホワイトリスト化し、通常業務はその範囲で自由に使わせ、機密を含みうる例外的な用途だけ申請に回す設計が回ります。承認の窓口（情シス・DX推進室など）も明記します。
⑦報告・罰則・改定
万一の入力ミスや漏えい疑いを隠さず早く報告できるルート（窓口・様式）を用意します。罰則は就業規則と紐づけますが、目的は処罰でなく抑止と早期対応です。技術と法制度の変化が速いため、半年〜1年での見直しを明記し、改定の責任部署を決めておきます。
＋推奨1：教育・研修の受講。上記7項目に加え、「対象者は生成AI利用研修を受講する」を独立条文として立てる流儀もあります。本記事では運用の章で「教育とセット」を強調するため別掲としていますが、規程本文に明記すればより堅牢です（後掲のテンプレ第8条に反映しています）。
作り方｜生成AI社内ルール 作成5ステップ
項目が分かったら、次は作り方です。ゼロから条文を書く必要はありません。次の5ステップで進めます。
STEP1 利用実態の把握：まず現場が「今すでに何にどう使っているか」を匿名アンケート等で把握します。実態を無視したルールは守られません。
STEP2 リスクの洗い出しと評価：想定リスク（情報漏えい・著作権・誤情報など）を洗い出し、「発生可能性×影響度」の2軸で評価。優先的に対策すべき点を特定します。
STEP3 たたき台（雛形）の作成：本記事のテンプレートのような雛形を出発点に、自社の業種・体制に合わせてカスタマイズします。完璧を目指さず、まず8割で出すのが速さの秘訣です。
STEP4 法務・セキュリティのレビュー：適用範囲・罰則・委託先条項・個人情報の扱いを法務が、入力可否・ツール選定をセキュリティ/情シスが確認します。
STEP5 周知・教育と運用開始：説明会・eラーニングとセットで配布し、相談窓口を開設して運用を始めます。「完璧より運用開始」。走らせながら半年で見直します。
現場で形骸化させない3つのコツ（支援現場の知見）
規程を作るところまでは多くの企業ができます。差がつくのは浸透です。
たとえば、ある中堅企業（従業員数百名規模・対面サービス業）では、立派な利用規程をイントラに掲載したものの、現場アンケートをとると「読んでいない」「自分の業務で何がOKか分からない」という声が大半でした。一方で営業現場は無料のチャットAIを個人判断で使い始めており、規程と実態が乖離していました。そこで規程はそのまま残し、入口を「1枚の早見表＋相談チャット窓口」に作り替えたところ、運用の切り替えから数週間ほどで、数十名規模の営業・サポート部門を中心に「これは入れていいか」を窓口へ確認する動きが定着しました。現場が判断に迷ったときに自己流で機密を入力するのではなく窓口に聞くようになり、個人アカウントでの利用申告も増えて、シャドーAIの芽を早期に拾えるようになったのです。ルールは「読ませる」より「迷ったときに開ける場所」を作るほうが効く、という典型例です。
当社が決済・物流・製造・対面サービスなど複数業界の生成AI導入を伴走支援するなかで、繰り返し効果が出た打ち手を3つ挙げます（守秘のため業界・規模・概要のみに一般化し、実名・実数は出していません）。
- 「早見表」を1枚作る：分厚い規程は読まれません。「やってよい／確認が要る／ダメ」を色分けした1枚を全員のデスクトップに置くと、現場の判断が一気に揃いました。規程は根拠として残し、入口は1枚にします。
- 相談窓口とFAQを用意する：「これは入れていい？」と気軽に聞けるチャット窓口を設けると、シャドーAIが目に見えて減ります。聞かれた事例はFAQに蓄積し、規程の改定にも使えます。
- 技術でルールを軽くする：禁止事項を増やすほど現場は窮屈になります。社内向け生成AIや閉域網（RAG）を併設して「安全に入れられる場所」を用意すると、「外部サービスに入れない」というルール自体を技術的に減らせます。ルールと仕組みは両輪です。社内データを安全に活用する構築方法は社内向け生成AIの構築方法｜RAGと社内データ活用、より機密性の高い環境は閉域網で生成AIを使う方法｜セキュアな社内活用で解説しています。
コピペで使える｜生成AI社内利用規程のテンプレート（雛形）
たたき台として、当社が作成したサンプル雛形を掲載します。自社の実態に合わせて必ず加筆・修正のうえ、法務確認を経てご利用ください。
生成AI利用規程（サンプル）
第1条（目的）
本規程は、当社における生成AIの安全かつ効果的な業務活用を促進し、
情報漏えい等のリスクを防止することを目的とする。
第2条（適用範囲）
本規程は、当社の役員・従業員（契約・派遣を含む）および
業務委託先のうち当社業務で生成AIを利用する者に適用する。
第3条（利用可能なツール）
業務での生成AIは、別表に定める会社承認済みサービスに限る。
無料版の業務利用、未承認サービスの利用は禁止する。
第4条（入力情報の取扱い）
入力する情報は次の3区分により取り扱う。
(1) 入力可：公開済み情報・一般的な照会・サンプルデータ
(2) 条件付き：社内限定情報。承認ツール上でマスキングのうえ利用可
(3) 入力禁止：個人情報、顧客機密、未公開の財務・人事情報、
ソースコード、認証情報（ID・パスワード等）
第5条（出力物の取扱い）
生成物は利用者が内容を検証し、最終判断は人が行う。
第三者の権利を侵害しないことを確認し、社外公開時は所定の承認を得る。
第6条（承認・例外申請）
通常業務は第3条の承認ツール・第4条の区分の範囲で利用できる。
機密情報を扱う等の例外利用は、所管部門（DX推進室）へ事前申請する。
第7条（報告義務）
誤入力・漏えいのおそれ等が生じた場合、速やかに所管部門へ報告する。
第8条（教育）
対象者は会社が定める生成AI利用研修を受講する。
第9条（罰則）
本規程に違反した者は、就業規則に基づき処分されることがある。
第10条（改定）
本規程は技術・法制度の変化に応じ、原則として1年ごとに見直す。
所管：DX推進室（改定責任部署）。
別表（承認ツール一覧）と「やってよい／ダメ早見表」を添付すると、現場が使いやすくなります。
企業の公開ポリシーに学ぶ
自社で迷ったら、先行企業が公開しているポリシーが良い教材になります。
- メルカリ：「メルカリグループ AI活用基本ポリシー」を社外公開し、生成AI利用ガイドラインやAIセキュリティガイドラインを変化に合わせて継続的に見直しています。社員の高い活用率の裏に、明文化されたガバナンスがあります。
- パナソニック コネクト：全社員向けAIアシスタントを早期に展開し、機密情報の入力禁止とファクトチェック徹底を柱に運用。大きな問題なく大幅な業務時間削減を実現しています。
- クラスメソッド：エンジニア企業らしく、業務利用は原則 上長許可・規約確認・機密情報の取扱注意を明文化した実務的なガイドラインを公開しています。
- 東京都デジタルサービス局：公的セクター向けに「AI導入・活用ガイドライン」「生成AI利用の手引き」を公開。自治体・公共性の高い組織のひな形として参考になります。
3社・1団体を「公開範囲・禁止の置き方・運用の工夫」で並べると、自社規程への示唆が見えてきます。
| 組織 | 公開範囲 | 禁止の置き方 | 運用の工夫（自社への示唆） |
|---|---|---|---|
| メルカリ | ポリシーを社外公開 | 法令・規約遵守を基本に明文化 | ガイドラインを継続的に改定＝「作って終わり」にしない |
| パナソニック コネクト | 全社員に展開 | 機密入力の禁止を明確化 | ファクトチェック徹底を文化として定着 |
| クラスメソッド | ガイドラインを公開 | 原則 上長許可・規約確認 | エンジニア組織向けに実務手順まで具体化 |
| 東京都デジタルサービス局 | 手引きを公開 | 公共性に配慮した利用基準 | 自治体・公共組織のひな形として転用可 |
共通するのは、禁止だけで縛らず「活用を前提に、守る範囲を決める」という設計思想です。自社で迷ったら、まずこの4者のうち自社に近い組織の置き方を起点にすると早く形になります。
公的ガイドラインとの整合｜AI事業者ガイドライン（第1.2版）
社内ルールの土台として外せないのが、総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」（2026年3月31日公表）です。
このガイドラインは事業者を「AI開発者／AI提供者／AI利用者」の3主体に分類しています。SaaSやAPIで生成AIを使う多くの企業は「AI利用者」に当たり、その留意事項は第5部にまとまっています。具体的には、操作ログの管理・データの適正利用・ステークホルダーへの説明責任などが求められます。社内ルールの「承認ツール」「ログ・報告」「入力可否」は、この第5部の要請と素直に対応します。
なお同ガイドラインは本編に加え、「活用の手引き」「チェックリスト」「ワークシート」も公開されています。自社ルールが公的指針と整合しているかを点検する際の、無料で使える物差しとして活用してください。情報漏えいを技術と運用の両面で防ぐ全体設計は、別記事「生成AIのセキュリティ対策」でも詳しく扱う予定です。
よくあるご質問（FAQ）
Q. 中小企業でも規程は必要ですか？
A. 必要です。むしろ専任の情シスがいない分、現場任せでシャドーAIが起きやすい。本記事の7項目に絞った2〜3ページの簡易版から始めれば十分です。
Q. ルールを作る前に、まず使わせるのは危険ですか？
A. 「禁止して様子見」が最も危険です。現場は隠れて使います。最低限の入力可否（3分類）と承認ツールだけ先に決めて走らせ、運用しながら肉付けするのが現実的です。
Q. 雛形をそのまま使ってよいですか？
A. たたき台としてはOKですが、適用範囲・委託先条項・罰則・個人情報の扱いは自社の就業規則・契約と整合させ、必ず法務確認を経てください。
Q. どのくらいの頻度で見直すべきですか？
A. 技術と法制度の変化が速いため、半年〜1年に一度が目安です。改定の責任部署を決めておくと形骸化を防げます。
まとめ｜「項目 × 手順 × 運用」で、現場が動くルールに
生成AIの社内ルールは、難しい条文を書く作業ではありません。盛り込むべき必須7項目を埋め、作成5ステップで回し、早見表・研修・相談窓口で浸透させる——この3点で、中小企業でも実用的な規程が作れます。そして肝は、禁止を並べることより「入力可否の線引き」と「形骸化させない運用」、さらに社内向け生成AIや閉域網で“安全に入れられる場所”を用意してルール自体を軽くすることです。
キュリオシティは、”現場主義 × AI” を掲げ、生成AIの社内ルール整備から生成AI導入支援、社内データを使うRAG構築まで、現場で回る形での導入を一気通貫で伴走します。「自社ならどこから手をつけるべきか」を整理したい方は、まず無料の企画テンプレートからお試しください。
【無料ダウンロード】生成AI PoC企画テンプレート
「どの業務から・どんなルールで・何を検証するか」を1枚に落とし込めるテンプレートです。社内の合意形成と小さく始めるPoC設計にそのまま使えます。
▶ 生成AI PoC企画テンプレートを無料ダウンロードする個別の状況に合わせて相談したい方は、無料相談はこちらからお気軽にお問い合わせください。
監修：大槻 伸夫（キュリオシティ株式会社 代表取締役CEO）／2026年6月時点の公開情報と当社の生成AI・業務改善支援の実務にもとづき作成。本記事の規程雛形は当社が作成したサンプルであり、利用にあたっては自社の規程・契約との整合と法務確認を前提とします。
