生成AIの社内ルールの作り方｜中小企業が決めるべき7項目

「社員がChatGPTを使い始めたようだが、何をどこまで入力しているのか把握できていない」——生成AIの社内ルールについて、こうした不安を口にされる経営者が増えています。
禁止すれば業務が止まり、放置すれば情報漏えいのリスクが残る。

この記事では、中小企業が生成AIの社内ルールを作るとき、何を決めればよいのか（7項目）と、どう作ればよいのか（4ステップ）を具体的に整理します。

中小企業の生成AI社内ルールは、なぜ必要か

総務省が2026年7月に公表した「令和8年版情報通信白書」によると、日本企業で生成AIを業務利用している割合は86.4%に達しました（前年度は55.2%）。ところが、生成AIについて「組織的な取組はない」と回答した企業は日本で27.0%。企業規模別に見ると、大企業が18.1%であるのに対し、中小企業では45.6%にのぼります。

つまり、使っている会社はすでに大多数。
しかし中小企業の半数近くは、ルールがないまま使っているというのが現状です。

ルールがないまま使い続けると、次のような形で問題が表面化します。

• 社外に出してはいけない情報が入力される：顧客名簿、見積単価、未公開の商談内容など。一般向けの無料サービスでは、入力内容が学習に使われる設定になっている場合があります
• AIが書いた誤りが、そのまま社外に出る：生成AIは、事実でないことを自信を持って書くことがあります。確認の担当を決めていないと、誰も止められません
• 社員が萎縮して、使われなくなる：「怒られるかもしれない」という空気があると、便利でも誰も手を出しません。ルールは制限であると同時に、安心して使うための許可証でもあります

なお、国が示す考え方の土台としては、総務省・経済産業省の「AI事業者ガイドライン」があります。ここではAIに関わる立場が「開発者・提供者・利用者」に分けられており、AIを業務で使う中小企業のほとんどは「利用者」にあたります。 自社に必要なのは分厚い規程ではなく、利用者として気をつける点を自社の言葉に置き換えた紙1枚です。

生成AIの社内ルールに入れる7項目｜中小企業が決めるべきこと

盛り込む項目を増やすほど、読まれなくなります。次の7つに絞るのが現実的です。

1. 入力してはいけない情報：顧客の氏名・連絡先、取引単価、未公開の商談内容、図面、従業員の個人情報。具体名で列挙するのがコツです。「機密情報」とだけ書くと、判断が人によってぶれます
2. 使ってよいツールと、プランの指定：会社として認めるサービスを名指しします。業務で本格的に使うなら、入力内容を学習に使わない設定が用意されている法人向けプランを選ぶのが基本です
3. 人が確認する範囲：社外に出す文章、金額、日付、法令や契約の条件は、必ず人が確認する。AIの回答を最終判断にしないという一文を入れます
4. 著作権・引用の扱い：AIが出した文章や画像をそのまま社外向けの資料や広告に使う場合、他社の表現と似ていないかを目視で確認する。ロゴや既存キャラクターを模した画像は使わない
5. AIを使ってよい業務と、使ってはいけない業務：使ってよい例（社内文書、要約、アイデア出し）と、使ってはいけない例（人事評価の判断そのもの、与信判断）を挙げます
6. 困ったときの相談先：判断に迷ったら誰に聞くか。担当者名を1名書くだけで構いません。ここが空欄だと、社員は自己判断で進めます
7. ルールの見直し時期：「半年ごとに見直す」と明記します。生成AIの仕様変更は速く、一度決めて放置すると実態と合わなくなります
   

生成AI社内ルールの作り方｜A4用紙1枚で作る4ステップ

準備するもの：現在社内で使われているAIサービスの一覧（把握できている範囲で構いません）と、書き出すためのWordやGoogleドキュメント。それだけです。外部の専門家に依頼しなければ作れないものではありません。

所要時間の目安：たたき台の作成に1〜2時間、社内での確認を含めて2週間程度をみておくと無理がありません。

1. 現状を聞き取る（30分）：社員に「いまAIを何に使っているか」を聞きます。責めない前提で聞くのがコツです。ここで実態が出てこないと、実情と合わないルールになります
2. たたき台を作る（1時間）：前章の7項目を見出しにして、自社の言葉で埋めます。A4用紙1〜2枚に収めること。分量が増えるほど読まれません
3. 1〜2名に読んでもらう（1週間）：実際にAIを使っている社員に見せ、「これだと仕事が止まる」という箇所がないか確認します。禁止だらけのルールは、結局守られません
4. 配って、口頭で1回説明する（15分）：配布するだけでは伝わりません。朝礼などで、なぜこのルールがあるのかを一度だけ説明します

つまずきやすいのは、1のステップです。 「うちの社員は使っていないはず」という前提で作ると、実際にはすでに使われていて、ルールが実態から外れます。個人のスマートフォンから無料で使えてしまう以上、使われている前提で作るほうが安全です。

たとえば工務店であれば、「施主の氏名・住所・図面は入力しない。工程の説明文の作成には使ってよい。施主へ送る前に現場監督が確認する」——この3行が決まっているだけでも、実務は十分に回ります。

生成AIの社内ルールが形骸化しないための3つの工夫

作ったあとに守られなくなる会社には、共通する原因があります。

• 禁止だけを書かない：「これは使ってよい」を必ず併記します。
  許可の範囲が書かれていないルールは、現場では「全部だめ」と解釈されます。
• 経営者自身が使う：判断できる人が社内にいないと、例外的な相談が来たときに止まります。経営者が実際に使っていれば、その場で判断できます
• うまくいった使い方を共有する場を作る：良い頼み方をスプレッドシートなどに残して共有すると、ルールが「守るもの」から「使うための手引き」に変わります

そして、半年に一度は見直してください。 サービスの仕様も、料金も、使える機能も変わります。見直しの時期をルール本文に書いておくのは、そのためです。

まとめ

• 日本企業の生成AI業務利用は86.4%に達する一方、「組織的な取組はない」企業は中小企業で45.6%（総務省 令和8年版情報通信白書）。使われている前提で社内ルールを作る段階に来ている
• 生成AIの社内ルールに入れるのは7項目。入力禁止情報、使ってよいツール、人が確認する範囲、著作権の扱い、使ってよい業務、相談先、見直し時期。具体名で書くのがコツ
• 作り方は、現状を聞き取る→たたき台→社員に読んでもらう→口頭で説明、の4ステップ。A4用紙1〜2枚に収め、半年ごとに見直す

生成AIの社内ルールを何から決めればよいか迷われているなら、株式会社アドクルーへお気軽にご相談ください。愛知県の中小企業のみなさまの業務の実態を伺ったうえで、現場が止まらない範囲のルール作りと、その後の運用までご支援します。