AI社内ルールの作り方｜中小企業が最初に決める5項目とひな形
社員が生成AIを使い始めた中小企業向けに、情報漏えいや誤情報を防ぐ社内ルール（ガイドライン・利用規定）の作り方を解説します。最初に決める最小限の5項目と、そのまま使えるひな形、私が自分の事業で実際に運用している確認ルールも紹介します。
生成AIの社内ルールは、最初から分厚い規定を作る必要はありません。中小企業なら「入力してよい情報・してはいけない情報」「出力の確認」「公開前の責任者」「使うツールとアカウント」「困ったときの相談先」の5項目をA4一枚にまとめるだけで、情報漏えいと誤情報の多くは防ぎやすくなります。この記事では、5項目それぞれの決め方と、社名を置き換えればそのまま使える箇条書きのひな形を載せました。私自身が自分の事業で運用しているルールも、理由とあわせて紹介します。
この記事は、社員が個人の判断でChatGPTなどを使い始め、「何か決めないと危ない」と感じている従業員5〜100名規模の経営者・事業責任者の方に向けて書いています。
なお、この記事は法的助言ではありません。個人情報や契約情報、著作権の扱いについては、顧問弁護士や社会保険労務士などの専門家に確認してください。
生成AIの社内ルールが中小企業にも必要になった理由
帝国データバンクが2026年5月に発表した調査（全国23,349社対象、10,312社回答）では、業務で生成AIを活用している企業は34.5%でした。大企業は46.5%、中小企業は32.4%、小規模企業は28.0%です。活用している企業の9割近くが効果を実感している一方で、課題として「情報の正確性への懸念」と「従業員間の使いこなし格差」が挙がっています。
つまり、中小企業でも3社に1社は生成AIを使っていて、使っている会社の中では「出てきた内容を信じていいのか」「使える人と使えない人の差」が問題になっている、ということです。
一方、東京商工リサーチの2025年8月の調査では、生成AIについて「方針は決めていない」と答えた企業が50.9%と最多でした。同調査では、情報漏えいや著作権の危険性も指摘されています。半数の会社は、社員が使っているかどうかに関係なく、会社としての方針を持っていないのが現状です。
私の場合は、Claude CodeやCodex CLIというターミナル（文字で指示を打ち込む画面）で動くAIエージェントに指示を出し、自社の業務システムや展示会ポータル「BizExpo.jp」の開発・運営をしています。毎日使っていて実感するのは、同じ指示でもツールによって得意不得意があり、結果がぶれるということです。1人で使っていてもぶれるのですから、社員それぞれが別々のツールを別々の使い方で使えば、品質の差が出るのは自然なことです。ルールは社員を縛るためではなく、結果をそろえるために必要だと考えています。
社内ルールがないと起きやすい3つのトラブル
ご相談でよく聞くのは、次の3つです。いずれも悪意ではなく、「決まっていなかったから」起きています。
1. 入力による情報漏えい
顧客名簿、見積書、契約書の文面などをAIに貼り付けて「要約して」と頼むケースです。多くのAIサービスは入力内容の扱いを利用規約で定めていますが、社員がそれを読んで判断するのは現実的ではありません。会社として「入れてよいもの・いけないもの」を決めていないと、判断が個人任せになります。
2. 誤情報をそのまま使う
生成AIは、もっともらしい文章で誤った内容を出すことがあります。帝国データバンクの調査で「情報の正確性への懸念」が課題に挙がっているのは、このためです。提案書や社外向けメールにAIが出した数字や固有名詞がそのまま載ると、信用に関わります。
3. 確認なしで社外に公開される
AIが作った文章や画像を、誰のチェックも通さずにSNSやWebサイトに公開してしまうケースです。著作権の問題や、「AIが作ったものだと知らされていなかった」というお客様の不信につながることがあります。
私の場合は、3つ目を一度自分で経験しかけました。BizExpo.jpの紹介文を作っていたとき、AIが提案してきた文章に、こちらが伝えていない利用者数や実績の表現が含まれていたのです。もっともらしかったので、確認せずにそのまま載せていたら、根拠のない数字を公開することになっていました。これをきっかけに「AIが出した数字は使わない」というルールを自分に課しました。詳しくは後の章で書きます。
中小企業が最初に決める最小限の5項目
分厚いガイドラインを作ろうとすると、作る前に止まります。最初は次の5項目だけ決めてください。
| 項目 | 決めること | 決めないと起きること |
|---|---|---|
| 1. 入力情報の線引き | AIに入力してよい情報・してはいけない情報 | 顧客情報や契約内容の漏えい |
| 2. 出力の確認 | 誰が、何を、どう確かめてから使うか | 誤った数字や事実の流出 |
| 3. 公開前の責任者 | 社外に出す前に誰が承認するか | 確認漏れ、責任の所在が不明 |
| 4. 使うツールとアカウント | 会社として認めるツールと、使うアカウントの種別 | 個人アカウントの乱立、管理不能 |
| 5. 困ったときの相談先 | 迷ったときに誰に聞くか | 現場が止まる、または独断で進む |
項目1：入力してよい情報・してはいけない情報
一番重要な項目です。「してはいけない情報」を具体的に書きます。例えば、個人の氏名・住所・電話番号、取引先の社名が分かる契約条件、未公開の価格や原価、採用応募者の情報などです。逆に「公開済みの自社サイトの文章」「一般的な業務知識の質問」などは入力してよい、と明記します。
社員が判断しやすいように、「社外の人に見せられない情報は入力しない」という一文を基準にしておくと分かりやすいです。個人情報の具体的な線引きは、専門家に確認してください。
項目2：出力の確認
AIの出力は「下書き」であり、使う人が内容を確認してから使う、と決めます。特に数字、固有名詞、法令や制度の名称、日付は確認対象です。確認の方法は「元の資料と照らす」「出典が示せないものは使わない」の2つで十分です。
項目3：公開前の責任者
社外に出るもの（Webサイト、SNS、提案書、プレスリリース、お客様へのメール）は、作った人以外の誰かが見てから出す、と決めます。小さな会社なら「社長または部門責任者」で構いません。重要なのは、名前を書くことです。「上司の確認を得る」ではなく「○○が確認する」と書きます。
項目4：使うツールとアカウント
会社として使うツールを1〜2つに絞り、会社が管理するアカウントで使うと決めます。個人アカウントの業務利用を認めるかどうかも明記します。ツール選びに迷う場合は、AIツールの選び方の記事で考え方を書いています。
私の場合は、ClaudeとCodexの2つに絞っています。理由は、2つあれば一方の出力をもう一方に検証させられるからです。ツールを増やすほど確認の手間が増え、管理が追いつかなくなると感じています。
項目5：困ったときの相談先
「これは入力していいのか」「この出力は使っていいのか」と迷ったとき、誰に聞くかを決めます。ここが決まっていないと、現場は「聞くのが面倒だから黙って使う」か「怖いから使わない」のどちらかになります。社内に詳しい人がいなければ、外部の相談先を決めておくのも一つの方法です。
そのまま使える生成AI利用ルールのひな形
以下は、上の5項目を箇条書きにしたひな形です。「当社」「○○」の部分を自社の情報に置き換えて使ってください。A4一枚に収まる分量にしています。
生成AI利用ルール（第1版・○年○月○日）
- 目的：当社では、業務の品質向上と効率化のために生成AIの利用を認めます。このルールは、情報漏えいと誤情報の防止のために定めます。
- 使ってよいツール：当社が認めるツールは「○○」「○○」です。会社が管理するアカウントで利用します。個人アカウントでの業務利用は認めません。
- 入力してはいけない情報：お客様・取引先・社員・応募者の個人情報（氏名、連絡先、住所など）、契約条件や未公開の価格・原価、社外に出していない経営数値、取引先から預かった資料。社外の人に見せられない情報は入力しません。
- 入力してよい情報：公開済みの自社資料、一般的な業務知識や文章表現に関する質問、個人や取引先を特定できない形に加工した情報。
- 出力の確認：AIの出力は下書きとして扱い、使う人が内容を確認します。数字、固有名詞、制度や法令の名称、日付は、元資料か出典で確かめます。出典を示せない数字や事実は使いません。
- 公開前の承認：社外に出るもの（Webサイト、SNS、提案書、お客様へのメール、プレスリリース）は、作成者以外の○○が内容を確認してから公開します。
- AI生成の明示：AIで生成した画像や文章を社外に出す場合は、「AI生成」と分かるように表示します。
- 相談先：入力や公開について迷ったときは、○○（担当者名・連絡方法）に相談します。迷ったら入力しない、公開しないを基本とします。
- 見直し：このルールは○か月後に見直します。困ったこと、分かりにくかったことは○○に伝えてください。
このひな形は法的な文書ではありません。個人情報保護や著作権に関わる部分は、専門家の確認を受けてから社内に配布してください。
私が自分の事業で実際に運用している3つのルール
ここからは、私が自分の事業で実際に守っているルールを書きます。社員向けではなく自分向けのルールですが、「決めて守るとどう変わるか」の実例として参考にしてください。
ルール1：AIの出力は自分で確認してから公開する
私はaisoudan.jpというこのサイト自体を、2026年10月7日から8日のほぼ2日間で、Astro（Webサイトを作る仕組み）とCloudflare Workers（サイトを動かす場所）を使い、AIと一緒に作り直しました。問い合わせフォームやアクセス解析の設定もAIに任せています。
ただし、AIが作ったものを確認なしで公開したことは一度もありません。デザインはCodexに任せましたが、私は検証と制約のチェックに回りました。3案作って全部ボツにし、「AIで作ったサイトっぽい」グラデーションや光彩を排除して、白と青を基調にした案に落ち着きました。AIに任せたのは「作る」で、「何を出すか・何を出さないか」は自分で決める。これが私の中の線引きです。
ルール2：AIが出した数字は使わず、実測値だけを切り捨てで表示する
BizExpo.jpでは、サイトの実績を「月間PV 5,000超」と表記しています。実際のGA4（Googleのアクセス解析）の直近30日（2026年9月8日〜10月7日）の表示回数は5,952です。四捨五入すれば6,000ですが、切り捨てて5,000超と書いています。
理由は2つあります。1つは、AIが提案する「約6,000」「月間1万PV規模」のような表現を一度使うと、どこまでが実測か分からなくなるからです。もう1つは、盛った数字は後で自分の信用を削るからです。切り捨てなら、後で誰に見られても説明できます。社内ルールの「出典を示せない数字は使わない」は、この経験から来ています。
ルール3：AI生成の画像は「AI生成」と明示する
BizExpo.jpの画像の一部はAIで生成しています。それらには「AI生成」と明示しています。隠す理由がないからです。むしろ、明示しておくと「この会社はAIの使い方を分かっている」と受け取ってもらえることが多いと感じています。
【要確認：顧客管理システムに入っている顧客情報をAIに扱わせる際、自分が実際に守っている線引き（何を入力し、何を入力しないか）について本人の実体験を追記】
ルール作りの進め方と、やってはいけないこと
A4一枚で始めて、1か月後に見直す
最初から完成版を目指さないでください。私はAIで業務システムを作ったとき、最初から全部作ろうとして止まりました。一画面・一機能ずつに切り替えてから進むようになりました。ルール作りも同じです。5項目をA4一枚にまとめ、「第1版」と書いて配り、1か月ほど使ってから直す方が、最初に半年かけて作るより現場に合ったものになります。
禁止だけのルールにしない
「使ってはいけない」だけのルールは、社員が隠れて使う原因になります。使っている事実が見えなくなるので、漏えいが起きても気づけません。「使ってよい場面」と「使うときの手順」を先に書き、禁止は入力情報の線引きなど最小限にとどめてください。
専門用語を使わない
ルールの文章に「プロンプト」「トークン」「API」のような言葉が入ると、読まれません。私自身、AIに頼むときに専門用語の壁で止まり、「その言葉を使わずに説明して」と頼んで乗り越えてきました。社内ルールも、ITに詳しくない社員が一読で分かる言葉で書いてください。
法的な判断は専門家に
繰り返しになりますが、この記事と上のひな形は法的助言ではありません。個人情報保護法への対応、取引先との秘密保持契約との関係、著作権の扱いは、顧問弁護士や社会保険労務士に確認してください。社内ルールには「迷ったら入力しない、相談する」と書いておけば、専門家の判断が出るまで現場が独断で進むことを防げます。
AI導入でつまずきやすい点は、AI導入の失敗パターンの記事にもまとめています。ルール作りと並行して読んでいただくと、避けるべき落とし穴が見えやすくなります。
社内ルールで迷ったときの相談先
社内にAIに詳しい人がいない会社では、「何を禁止すればいいのか」「このツールは使っていいのか」を判断する人がいない、というのが一番の問題になります。社員からの相談を受ける人が社内にいないなら、外部に相談先を持つのも一つの方法です。
私は、非エンジニアの立場でAIを使って事業を運営してきた経験をもとに、中小企業の経営者の方の相談を受けています。経歴は運営者紹介に書いています。「社内ルールを作りたいが、何を決めればいいか分からない」という段階からで構いません。無料相談（30分・オンライン）で、自社の状況に合わせた5項目の中身を一緒に整理することもできます。継続的に相談できる相手が欲しい場合は、AI顧問とは何かの記事も参考にしてください。
まとめ
- 中小企業の3社に1社が生成AIを使い、課題は「情報の正確性」と「使いこなし格差」（帝国データバンク）。一方で半数の企業は方針を決めていない（東京商工リサーチ）。
- 最初に決めるのは5項目だけ。「入力してよい情報・してはいけない情報」「出力の確認」「公開前の責任者」「使うツールとアカウント」「困ったときの相談先」。
- A4一枚の第1版を配り、1か月ほど使って見直す。禁止だけのルールにしない。専門用語を使わない。
- 私は自分の事業で「出力は自分で確認してから公開」「数字は実測値だけ、切り捨て」「AI生成は明示」の3つを運用している。
- 個人情報・契約情報・著作権の扱いは、専門家に確認する。この記事は法的助言ではない。
よくある質問
生成AIの社内ルールは、何から決めればいいですか？
最初は「入力してよい情報・してはいけない情報」「出力の確認」「公開前の責任者」「使うツールとアカウント」「困ったときの相談先」の5項目で十分です。A4一枚にまとめ、使いながら1か月ほどで見直すやり方が中小企業には合いやすいと感じています。
社内ルールは禁止事項だけ書けばいいですか？
禁止だけのルールは、社員が隠れて使う原因になりやすいです。「使ってよい場面」と「使うときの手順」を先に書き、禁止は入力情報の線引きなど最小限にとどめる方が、守られやすく、効果も出やすいと考えています。
無料のAIツールを社員が個人アカウントで使っていても問題ありませんか？
会社として「どのツールを、どのアカウントで使うか」を決めていない状態がリスクです。個人アカウントでは入力内容の扱いを会社が把握できません。まず使うツールを1〜2つに絞り、会社管理のアカウントで使う形に整えるのをおすすめします。
AIが出した文章や数字は、そのまま使ってもよいですか？
私は使っていません。AIは自然な文章で誤った内容を出すことがあるためです。出力は担当者が内容を確認し、数字は出典を確かめるか実測値に置き換える手順を、ルールに入れておくことをおすすめします。
個人情報や契約書をAIに入力してよいか、判断に迷います。
この記事は法的助言ではないため、個人情報や契約情報の扱いは顧問弁護士や社会保険労務士などの専門家に確認してください。社内ルール上は「迷ったら入力しない」「相談先に聞く」と書いておくと、現場が止まらずに済みます。
参考
- 帝国データバンク「生成AIの活用に関する企業の意識調査」（2026年5月）: https://www.sbbit.jp/article/cont1/185433
- 東京商工リサーチ「生成AIに関する企業アンケート調査」（2025年8月）: https://www.tsr-net.co.jp/data/detail/1201667_1527.html
この記事の内容を、御社の仕事で。
IT顧問、月5万円から。AIも、クラウドも、ホームページも。営業も、新規事業も。
月1回のオンラインMTGで月5万円、月4回で月20万円（税別）。開発・構築は別途お見積り。AIのことも、それ以外のITの困りごとも、まずは無料相談（30分・オンライン）でお聞かせください。