中小企業の生成AI社内ガイドラインの作り方
情報漏えいを防ぐ利用ルールの項目と定着のコツ

「社員が個人のアカウントでChatGPTを使っているらしい」「顧客の情報を入力していないか心配」——生成AIの業務利用が広がるなかで、こうした声を経営者の方から伺う機会が増えています。一方で、不安だからと全面禁止にすると、業務効率化のチャンスを逃すうえ、かえって隠れて使う「シャドーAI」を生みかねません。そこで必要になるのが生成AIの社内ガイドライン（利用ルール）です。本記事では「中小企業 生成AI 社内ルール 作り方」「生成AI ガイドライン 項目」で調べている経営者・総務担当者に向けて、専任の情報システム部門がなくても作れて、現場で守られるガイドラインの作り方を整理します。

1. なぜ今、中小企業に生成AIの社内ガイドラインが必要なのか

生成AIは、文章の下書き、議事録の要約、メール作成、資料の構成づくりなど、専門知識がなくても幅広い業務に使えるのが特長です。そのぶん、会社がルールを決める前に、社員が自分の判断で使い始めているケースが少なくありません。ルールがない状態で起こりやすいリスクは、主に次の3つです。

• 情報漏えいのリスク：顧客名や取引条件、社員の個人情報などを、設定を確認しないまま入力してしまう
• 誤情報のリスク：AIがもっともらしく出力した誤った内容を、確認せずに顧客への資料やメールに使ってしまう
• 権利・信用のリスク：他者の著作物に似た文章や画像を、そのまま自社の制作物として公開してしまう

大切なのは、これらのリスクがあるから「使わない」のではなく、リスクを抑えながら使うという発想です。下期のスタートにあたる10月は、新しい業務の進め方を社内に浸透させるのに適したタイミングでもあります。どのツールから始めるか迷っている場合は、ChatGPTとClaudeの使い分けガイドもあわせてご覧ください。

2. ガイドラインに最低限入れるべき4つの項目

大企業のような数十ページの規程は、中小企業では読まれず、守られません。まずは次の4項目に絞って決めましょう。

• ① 使ってよいツールと契約形態：会社として認めるツールを明記し、個人アカウントでの業務利用を認めるかどうかを決める。入力内容がAIの学習に使われない設定や、法人向けプランの有無も確認しておく
• ② 入力してはいけない情報：何を入れてはいけないかを、具体例つきで示す（詳しくは次章）
• ③ 出力の確認と最終責任：AIの出力は「下書き」であり、社外に出す前に必ず人が事実確認をすること、最終的な責任は使った本人と所属部署にあることを明記する
• ④ 相談・報告の窓口：判断に迷ったときの相談先と、誤って機密情報を入力してしまったときの報告先を決めておく。隠さず報告できる雰囲気づくりも重要

ツールの利用規約やデータの取り扱い方針は、提供会社によって異なり、改定されることもあります。導入前と定期的な見直しの際に、各サービスの公式情報で最新の内容をご確認ください。

3. 「入力してはいけない情報」の線引きのしかた

ガイドラインで最も質問が多いのが、「何を入れたらダメなのか」です。「機密情報は入力禁止」とだけ書いても、社員は判断に迷います。信号の色で3段階に分け、具体例を添えると伝わりやすくなります。

• 赤（入力禁止）：顧客や社員の氏名・連絡先などの個人情報、マイナンバー、パスワード、取引先から預かった資料、未公開の決算数値や人事情報
• 黄（加工すれば可）：社内の会議メモや提案書の下書きなど。固有名詞を「A社」「担当者B」に置き換え、数値をぼかしてから入力する
• 青（入力してよい）：自社のWebサイトに公開済みの情報、一般的な文章の添削、公開情報をもとにした調べものの整理など

個人情報の取り扱いについては、個人情報保護委員会などが生成AIの利用に関する注意点を公表しています。自社の判断に迷う場合は、公的機関の最新の情報や専門家の見解で確認したうえでルールに反映しましょう。

4. A4・1枚で始める社内ガイドラインのひな形

最初の版は、次のような構成で1枚にまとめるのがおすすめです。社内の掲示やチャットでの共有もしやすくなります。

• 目的：「生成AIを安全に活用し、業務の質とスピードを上げるため」と前向きに書く
• 対象：正社員・パート・業務委託など、ルールが適用される人の範囲
• 利用できるツール：会社が認めたツール名と、アカウントの管理方法
• 入力ルール：前章の赤・黄・青の3段階と具体例
• 出力の扱い：事実確認の徹底、社外向け文書は上長確認、他者の権利への配慮
• 困ったときは：相談窓口と、誤入力時の報告手順
• 見直し時期：「半年ごとに見直す」と明記し、改定日を記載する

この1枚に加えて、部署ごとの「おすすめの使い方」集を添えると、ルールが「制限」ではなく「使い方の案内」として受け止められやすくなります。業務別の使い方のヒントは中小企業の生成AI活用 実例と始め方で紹介しています。

5. ガイドラインを「守られるルール」にする定着の進め方

ガイドラインは配布しただけでは読まれません。定着させるには、次の流れで進めるのが現実的です。

• ① 経営者が目的を伝える：「禁止ではなく、安心して使うためのルール」であることを、朝礼や全体会議で経営者自身の言葉で伝える
• ② 研修で実際に触れる：ルールを説明するだけでなく、ダミーデータを使って「黄を青に加工する」練習などを体験してもらう
• ③ 推進役を決める：部署ごとに相談しやすい推進役を置き、よい使い方や迷った事例を集める
• ④ 半年ごとに見直す：ツールの機能や利用規約の変化、社内の困りごとを反映して更新する

当社の Claude Training Program では、機密情報の扱いや社内利用ルール、推進体制づくりまでを研修内に組み込んでおり、匿名化済みダミーデータを使った実践を通じて「安全に使える」運用の基礎を身につけていただけます。導入事例では、建設会社のお客様が現場監督・積算担当への全社展開により、見積作成時間を70%削減しています。また、法人向けオーダーメイドAI研修では、貴社の情報管理規程と整合する社内ガイドラインを、ポリシーに沿って整備するところから伴走しています。

6. まとめ——ルールは「使う会社」になるための土台

生成AIの社内ガイドラインは、社員の手を縛るためのものではなく、全員が安心してAIを使える会社になるための土台です。まずは「使ってよいツール」「入力してはいけない情報」「出力の確認責任」「相談窓口」の4項目を、A4・1枚にまとめるところから始めましょう。完璧を目指して作成に何か月もかけるより、早く運用を始めて半年ごとに磨いていくほうが、現場に根づくルールになります。

TRUSTEP JAPAN は認定経営革新等支援機関として、生成AI研修・社内ルールの整備から、現場で回るAIシステムの実装、補助金・助成金の活用まで一気通貫で伴走しています。「何から手をつければよいか分からない」という段階でも、お気軽にご相談ください。なお、本記事は一般的な考え方の解説です。法令・公的な指針・各ツールの利用規約は改定される場合があるため、最新は各公式情報でご確認ください。