生成AI利用規程のひな形を自社用に書き換える手順と入力禁止情報の線引き

「生成AI利用規程」で検索すると、ひな形は見つかります。ただし、どこを自社用に書き換えればよいのか、承認制と届出制のどちらを選ぶべきかまでは書かれていません。

結論として、規程に入れるのは総則・利用ルール・管理の3つのかたまりだけで形になります。項目名はひな形から取り、中身を自社の情報区分と運用体制に合わせて埋めれば、今日にも社内に提示できる状態になります。

生成AI利用規程に必ず入れる項目（必須項目チェックリスト）

生成AI利用規程は、総則・利用ルール・管理の3つのかたまりに入れば形になります。禁止事項の羅列ではなく、安全に使うための取り決めとして組み立てます。

かたまり	含める項目
総則	目的・定義・適用範囲
利用ルール	利用可能なサービスの指定・入力禁止情報・生成物の確認
管理	アカウント管理・違反時の扱い

項目名だけを並べても、実際には運用できません。「入力禁止情報」と書くだけでは、明日誰かが顧客名を入力してよいかどうかは決まらないからです。各項目で自社が決める中身を、以降の見出しで1つずつ埋めていきます。

総則にあたる項目（目的・定義・適用範囲）に書くこと

総則には、生成AIを禁止するためではなく安全に使うために定める、という基本方針を1文入れます。この1文があるかどうかで、規程の読まれ方が変わります。命令として読まれるか、手引きとして読まれるかの違いです。

定義では、「生成AI」に何を含めるかを書き分けます。ChatGPTのようなチャット型のツールだけでなく、資料作成ソフトに組み込まれた要約・翻訳機能まで含めるかを決めておきます。ここを決めないと、後から「これはAIに当たるのか」という相談が続きます。適用範囲は正社員だけでなく、パート・派遣・業務委託先まで及ぶかをここで決めます。

利用ルールにあたる項目（使えるサービス・入力禁止情報・生成物の確認）に書くこと

会社が認めたサービス名を条文に列挙し、それ以外は使わせない形にします。ChatGPT、Claude、Copilot、Geminiのうち、実際に社内で使う名前だけを書きます。名前を挙げていないサービスは、届出も承認もなく使えない状態を作ります。

入力禁止情報は、条文本文には区分名だけを書き、具体例は別表に逃がします。こうすると、扱う情報が増えても条文自体を直さずに別表だけを改訂できます。生成物は案として扱い、公開・送付する前に人が確認する条を置きます。誤情報の混入や、他社の表現に似ていないかを確認する担当を、条文の中で名指ししておきます。

管理にあたる項目（アカウント・ログ・報告ルート・違反時の扱い）に書くこと

会社支給のアカウントを付与し、私用アカウントでの業務利用を禁じる条文を置きます。これが無いと、退職者のアカウントに業務データが残ったままになる事態を防げません。

入力ミスや漏えいが疑われたときの連絡先も条文に書きます。担当者へ即時連絡し、次に上長、経営者という順の報告ルートを定めておくと、発見した社員が誰に言えばよいか迷いません。違反時の処分は規程に細かく書き込まず、就業規則の懲戒規定を根拠にする旨を1条で結びます。処分の重さまで規程に書くと、就業規則と矛盾したときに扱いに困ります。

そのまま使える生成AI利用規程のひな形はどこで手に入るか

日本ディープラーニング協会（JDLA）が公開している「生成AIの利用ガイドライン」は無料でダウンロードできます。改変して社内展開もできます（出典：0120.co.jp）。条文形式のひな形は、士業事務所や規程販売サイトが別途公開しています。

ひな形は入手先ごとに、想定している会社の規模と体制が違います。どれを土台にするかを、中身を読む前に決めておきます。書き換えが必要な条文の見分け方は、次の見出しで扱います。

ひな形の入手先と、それぞれ向いている使い方（比較表）

入手先	資料の形	改変の可否	主な対象	向いている使い方
JDLAの生成AIの利用ガイドライン	利用者向けの手引き（文章）	可能	全社員への周知	社員配布用の説明資料として使う
士業事務所・規程販売サイト	条文形式のひな形	購入元の規約による	管理部門	就業規則と並べて備え付ける規程にする
AI事業者ガイドライン（経産省・総務省）	事業者向けの考え方の資料	参照のみ	規程を作る担当者	規程の中身が偏っていないか確認する物差しにする

JDLAのガイドラインは条文というより利用者向けの手引きで、社員配布用の文章に近いものです。士業事務所や規程販売サイトが出しているものは条文形式で、就業規則と並べて備え付ける規程に向きます。AI事業者ガイドラインは規程のひな形ではなく、できあがった規程の中身が偏っていないかを確かめる物差しとして使います。

ひな形をコピーしたまま配ると動かなくなる条文

ひな形には、専任の管理部門や情報システム部門があることを前提にした条文が混ざります。承認者・ログ確認者にあたる役割が、自社に実在するかを条文ごとに確かめます。専任の担当者がいない前提でひな形を選んでも、条文の中身までは自社仕様になっていません。

定期監査、利用ログの全件確認、年次教育の義務づけといった条文は、実行できないまま残すと違反が常態化します。守られていない条文は、いざというとき懲戒の根拠にも使えません。自社で回せない条文は削るか、頻度を下げて書き直します。削った箇所は、運用を始めてから必要に応じて追加します。

ガイドラインと規程の違い、どちらの形で作るか

ガイドラインは守ってほしいことを説明する手引きで、規程は就業規則と結びつけて守らせる社内規則です。違反時に処分を伴わせるなら、規程の形にします（出典：office-roumu1.com）。

社員がすでに個人判断で使い始めている状態なら、まず数か条のルールを先に配ることを優先します。規程として体裁を整えるのは、その後でも遅くありません。「入力してはいけない情報」「会社支給アカウントを使うこと」の2〜3行だけでも、配らないより早く止血できます。

規程の形で作る場合は、就業規則の懲戒規定に「社内規程違反」を根拠として置けるかを先に確認します。ここが無いまま規程だけを作ると、違反があっても処分の根拠が無い状態になります。総則・利用ルール・管理の3つの項目分けは、生成AIガイドラインの作り方の記事でも扱っています。条文の重さで迷ったときはあわせて確認してください。

AI事業者ガイドラインに沿った内容にするには、どこを見ればよいか

経済産業省・総務省のAI事業者ガイドラインは、規程のひな形ではなく事業者が守る考え方をまとめた資料です。版が改訂されるため、参照するときは版と公表時期を自社の規程に明記します。

「沿った内容にする」というのは、ガイドラインの文章を規程に写すことではありません。自社の規程がガイドラインの考え方から抜けていないかを、条文ごとに照らして確認する作業です。

ガイドラインの考え方を、自社の条文のどこで受けるか

ガイドラインの考え方

• 人が最終判断する
• プライバシーと機密の保護
• 透明性

規程で受ける条文

• 生成物の確認を定めた条
• 入力禁止情報と別表
• AI利用の記録を残す条

人が最終判断する点は、生成物の確認を定めた条で受けます。プライバシーと機密の保護は、入力禁止情報の条と別表で受けます。透明性は、AIを使って作った文書の扱い、つまり社外に出す資料でAI利用をどう記録するかという条文で受けます。

規程の条文の横に、どの考え方に対応するかをメモした対応表を1枚作っておくと、改訂のたびに抜けを見つけやすくなります。条文番号とガイドラインの項目を1対1で並べるだけで十分です。

AIに入力してよい情報と、入力してはいけない情報の線引き

条文に個別の書類名を書き並べると改訂が追いつかないため、社内の情報を機密性で3段階に分け、段階ごとに入力の可否を決めます。書類は増え続けますが、区分は3段階のまま変わりません。

顧客情報・個人情報・図面・契約書PDFは原則禁止、固有名詞を伏せた文章は条件付きで可、という並びを別表に書きます。この並びを条文本文ではなく別表に置くのは、書類が追加されるたびに規程そのものを改訂しなくて済むようにするためです。

禁止・条件付き・自由の3段階で決める（区分表）

情報の区分	具体例	一般公開AI	会社が契約した法人向けAI	条件
禁止	顧客名、個人が特定できるデータ、未公表の見積・図面	不可	不可	例外なし
条件付き	固有名詞を伏せた社内文書	条件を満たせば可	可	固有名詞・金額を伏せてから入力する
自由	公開資料、一般的な文章の下書き	可	可	特になし

条件付きに置くのは、固有名詞を伏せれば使える社内文書です。社名・氏名・金額を仮の記号に置き換えてから入力する、という伏せ方の手順を1行添えておくと、判断に迷いません。当社では社内ルールの整備で、情報を機密性で3段階に分ける方法をとっています。分け方の詳細は生成AIの社内ルールの記事にまとめています。

法人向けプランや非学習モードにしても、禁止のままにする情報

無料版や個人版は入力内容が学習に使われる場合があり、業務利用を原則禁止とする運用が推奨されています(出典:0120.co.jp)。

法人契約や学習させない設定にしても、100%安全と言い切れるわけではありません(出典:office-roumu1.com)。誤送信や画面共有、拡張機能経由の持ち出しといった経路は、契約形態を変えても残ります。そのため、契約形態にかかわらず入力を禁じる情報は、別表の最上段に固定して置きます。

承認制にするか届出制にするか、部署ごとの運用をどう決めるか

承認制は使う前に許可を取る方式、届出制は使い始めたことを申し出る方式です。会社が契約したサービスは届出制、それ以外は承認制という分け方にすると、申請が窓口に集中しません。

どちらの方式を選んでも、誰が承認するか、どこに記録を残すかを決めないと運用が止まります。承認者を決めずに「承認制」とだけ書いた規程は、最初の申請が来た時点で止まります。

ツールの種類ごとに承認の要否を分ける（分類表）

分類	該当するサービス	承認の要否	入力してよい情報の範囲
契約済みサービス	会社が契約したChatGPT・Copilotなど	届出のみ	条件付き情報まで（別表のとおり）
未契約の一般公開AI	個人が見つけてきた無料AIツール	事前承認	自由区分の情報のみ
拡張機能・外部連携	ブラウザ拡張機能、外部サービス連携	原則禁止・個別承認	自由区分の情報のみ

分類表は規程の本文ではなく別表に置きます。新しいサービスが増えても、本文を改訂せずに別表と管理部門の決裁だけで更新できるようにするためです。

例外の相談が来たときに、誰がどう決めるか

規程を配ると、必ず「この資料は入れてよいか」という相談が来ます。窓口を1人（兼務でよい）決め、判断した内容と日付を1か所に記録します。

記録が溜まると、次の改訂で別表に反映できます。同じような相談が繰り返されているか、判断がぶれていないかも、記録を見返せば分かります。判断がつかない案件は、使わないことを既定にします。安全に運用できるか分からない業務は、無理に対象へ入れません。

規程を作ってから社内に配るまでの手順

1. 現在使われているサービスを洗い出す
2. 情報の3区分を決める
3. ひな形を土台に条文を直す
4. 入力禁止情報・サービス分類の別表を作る
5. 説明会で配布し受領を記録する

手順は5つです。まず現在使われているサービスを洗い出し、次に情報を3区分に分けます。そのうえでひな形を土台に条文を直し、入力禁止情報とサービス分類の別表を作ります。最後に説明会で配布し、受領を記録します。

懲戒の根拠にするには、就業規則の根拠、明文化された規程、社員への周知の3つがそろっている必要があります(出典:resus.jp)。どれか1つが欠けていると、違反があっても処分の根拠として使えません。

配布して終わりにせず、見直す日をあらかじめ決めて年間予定に入れておきます。新しいサービスを使い始めたときも、改訂のきっかけになります。

自社だけで作りきれないときに、外部へ頼める範囲

規程の条文は自社で作れても、どの業務でAIを使うかが決まっていないと、入力禁止情報の線引きが実態に合いません。業務ごとに使ってよい情報が違うため、線引きを決めるには先に業務を洗い出す必要があります。

業務の洗い出しから行き詰まる場合は、当社のAI顧問で業務の棚卸しと社内ルールの整備をあわせて進められます。規程の条文自体は自社で作れても、この棚卸しの部分で止まる会社は少なくありません。

外部委託の料金の比べ方は、AI社長・AI顧問の費用相場をまとめた記事で25社分を確認できます。AI導入支援会社の費用相場や選び方は専任担当者不在の企業向けの記事にもまとめています。規程づくりと合わせて予算感を確認する際に役立ちます。

よくある質問

生成AI利用規程のサンプルはありますか？

JDLAの「生成AIの利用ガイドライン」は無料でダウンロードでき、改変も認められています（出典：0120.co.jp）。条文形式のひな形は、規程集を販売しているサイトや士業事務所が公開しています。

生成AIを社内で利用するときのルールは？

使ってよいサービスの指定、入力してはいけない情報、生成物を人が確認すること、アカウントを会社支給にすること、事故時の連絡先。この5つが最小の形です。

生成AIの利用が禁止されていることは何ですか？

私用アカウントでの業務利用、顧客情報や個人情報の無断入力、生成物を確認せずそのまま社外へ出すこと。上位ページはこの3つを共通して禁止行為に挙げています。

少人数の会社でも生成AI利用規程を作る必要がありますか？

社員が個人判断で使い始めている時点で必要です。まずA4一枚のルールを配り、規程の形に整えるのは後でかまいません。

規程はどのくらいの頻度で見直しが必要ですか？

見直す日をあらかじめ決めて予定表に入れておきます。加えて、新しいサービスの利用申請が出たとき、参照している公的ガイドラインが改訂されたときに別表を直します。

まとめ

• 規程に入れるのは総則・利用ルール・管理の3つのかたまり。項目名はひな形から取り、中身は自社で埋める
• 入力禁止情報は書類名ではなく機密性の3段階で決め、別表に置いて改訂しやすくする
• 承認の要否は、会社が契約したサービスか否かで分ける
• ひな形をそのまま使わず、承認者・ログ確認者が社内に実在するかを条文ごとに確かめる

今日できるのは、使われているサービスの洗い出しと、情報の3区分を紙に書き出すことです。この2つが決まれば、ひな形の空欄はほとんど埋まります。業務の棚卸しから社内ルールの整備までまとめて進めたい場合は、フォームからご相談ください。