生成AI社内利用ルールひな形（全8条・登録不要）── 条文の要点と、編集のポイント

社内で生成AIを使い始める前に、最低限の約束事を文章にしておくためのひな形です。各条文はそのまま編集して、自社の規程として使える最小構成にしています。「禁止するための規程」ではなく、安全に使うための線を引く規程として書いています。

先にお断りしておきます。本ひな形は一般的な検討材料であり、法的助言ではありません。個人情報保護法をはじめとする法令、業界のガイドライン、自社の既存規程（就業規則・情報セキュリティ規程・秘密保持契約など）に合わせて内容を調整のうえ、必要に応じて専門家にご確認ください。

8条の構成と、最初に決める2条

全条文の整備を待たず、第3条と第8条の2つだけ先に決めて周知する進め方もあります。リスクの大きい部分から先に抑え、残りは運用しながら整えていく方法です。

各条の要点と、編集のポイント

第1条 目的

従業員等が生成AIを業務で利用するにあたり、情報漏えいなどのリスクを避けながら業務の品質と効率の向上に役立てることを目的とする、という趣旨の条文です。

編集のポイントは一つ。「禁止するための規程」と読める書き出しは避け、利用を前提に守るべき線を引く目的だと伝わる文にします。

第2条 適用範囲

業務に関連して生成AIサービス（文章・画像・コード等を生成するサービス、形態を問わない）を利用するすべての場合に適用します。会社が契約・指定したサービス以外を業務で使う場合は事前の届け出を求め、派遣社員・業務委託先には契約書または覚書で同等の取り扱いを求めます。

• 会社契約のサービスが既にある場合は、サービス名の列挙（指定リスト方式）に書き換えると迷いが減ります
• 私物端末・個人アカウントでの業務利用を認めるかどうかは、この条に1項を足して明示することをおすすめします

第3条 入力してはいけない情報

生成AIの入力欄に書き込んではいけない情報を列挙します。迷ったら入力しない、を原則にします。会社が安全性を確認したうえで書面により許可した場合は除きます。

入力してよいか判断に迷う情報は、入力せずに担当部署へ相談します。

• 表の「例」を自社の言葉（帳票名・システム名）に置き換えると、現場が判断しやすくなります
• 会社契約のサービスで、入力データが学習に使われない設定を確認済みの場合は、その旨と対象サービス名をただし書きに記載します
• この条は全条文の中で最も周知が必要です。文書配布だけでなく、研修・朝会などでの説明をおすすめします

第4条 承認が必要な用途

自由に使ってよい範囲と、事前承認が必要な範囲を分けます。承認が必要な用途の例は次の4つです。

1. 社外に公開する文章・画像・コードの作成（HP、広告、プレスリリース等）
2. 顧客への提案書・見積書など、契約に関わる文書の下書き
3. 採用・人事評価など、個人の処遇に関わる判断の補助
4. 新しい生成AIサービスの業務利用の開始

承認者は氏名ではなく役職で書きます。異動のたびに規程を直す必要がなくなります。承認が必要な用途を増やしすぎると規程そのものが使われなくなるので、最初は「社外に出るもの」と「人の処遇に関わるもの」の2軸に絞るのが現実的です。

第5条 出力の取り扱い

生成AIの出力をそのまま業務の成果物にしない、という原則を条文にします。事実関係・数値・固有名詞・引用の正確さを人が確認し、社外へ送信・公開する前には作成者以外が内容を確認します。第三者の著作物に類似していないかも公開前に確認し、疑いがあれば使用を中止して相談します。

「作成者以外の確認」は、社外に出る文書だけに絞るなど、自社の文書量に合わせて範囲を調整します。

第6条 記録の残し方

何を・どこに・誰が残すかを決めます。問題が起きたときに経緯をたどれることが目的です。記録する事項は、利用しているサービス名と契約形態、第4条の承認（用途・承認者・日付）、社外へ出した成果物と確認者、ヒヤリハット・トラブルの内容と対応、の4つです。

• 記録の置き場所は、既に使っているシステム（グループウェア・ワークフロー）に寄せます。記録のためだけの新しい仕組みは続きません
• 「全部は記録できない」場合は、社外へ出した成果物とトラブルの2つだけに絞っても、経緯をたどる目的は果たせます

第7条 見直しの頻度と担当

生成AIサービスは変化が速いため、見直しの周期と担当をあらかじめ決めておきます。半年または1年ごとの定期見直しに加え、利用サービスの規約変更、法令・ガイドラインの改定、社内でのトラブル発生時は期日を待たずに見直します。

初年度は半年ごとの見直しをおすすめします。運用の初期に、実態と条文のずれが最も多く見つかるためです。

第8条 相談窓口・問題が起きたときの対応

誤って入力してしまった場合の報告先と初動を決めておきます。初動は、入力した情報の範囲と対象サービスの確認、履歴削除・学習利用の停止設定など可能な手当て、影響の大きさに応じた関係部署への連絡、の3つです。

そして、誠実に報告した従業員等に対して、報告したこと自体を理由とする不利益な取り扱いを行わない旨を明記します。この1文がないと、ヒヤリハットが報告されず、問題の発見が遅れます。削らないことをおすすめします。

個人情報の漏えいに該当し得る場合の対応（法令上の報告義務の確認を含む）は、既存の情報セキュリティ規程・個人情報関連規程との役割分担を専門家に確認してください。

導入の進め方（5ステップ）

最初から完璧を目指しません。運用の中で条文が育つ前提です。

施行前チェックリスト

周知を始める前に、次の項目を確認してください。

• 「（　　）」の空欄が、すべて自社の部署名・役職名・システム名に置き換わっている
• 第3条の表の「例」が、自社の帳票名・情報の呼び方になっている
• 第4条・第5条の承認者・確認者が、実在する役職になっている
• 第6条の記録の置き場所が決まっていて、対象者がアクセスできる
• 第8条の相談窓口が決まっていて、窓口本人が把握している
• 既存規程（就業規則・情報セキュリティ規程等）との重複・矛盾を確認した
• 施行日と承認者が決まり、改定履歴の1行目を記入した

よくある編集の論点、四つ

個人アカウント・私物端末での利用を認めるか。 会社契約のサービスがあるなら、業務利用はそちらに限定するのが管理しやすい形です。会社契約がまだない期間は、第3条の入力禁止を守ることを条件に暫定的に認める、という段階的な書き方もあります。

無料版サービスの扱いをどう書くか。 無料版は入力データの扱いが有料・法人契約と異なる場合があります。サービス名ではなく「入力データが学習に利用され得る設定のサービス」という条件で線を引くと、サービスの入れ替わりに強くなります。

どこまで細かく用途を列挙するか。 列挙を増やすほど網羅的に見えますが、載っていない用途の扱いで必ず迷いが生じます。原則（第3条・第5条）を太くし、列挙は第4条の承認対象だけに絞るのが、迷いの少ない構成です。

罰則を書くかどうか。 本ひな形には罰則条項を置いていません。懲戒は就業規則の領域であり、二重に定めると矛盾のもとになるためです。必要な場合は「違反時は就業規則の定めによる」と参照する形をおすすめします（専門家にご確認ください）。

研修とあわせて周知すると、定着しやすい

ルールは、配布しただけでは「禁止事項の一覧」として読まれます。研修とあわせて周知すると、「使い方の合意」として定着しやすくなります。当社の研修では、第3条の入力禁止と第5条の出力確認を、受講者が自分の業務を題材にした演習の中で扱います。