中小企業の生成AIガイドラインの作り方と、最初に決める3つの項目

社員がスマホで生成AIを使っているが、顧客情報や図面を入力していないかは分からない。情報漏えいや著作権のトラブルが起きる前にガイドラインを作りたいが、専任のAI担当者はいない。

インターネットで出回っている雛形は8条あります。全部埋める前に、何から決めればよいのでしょうか。

全部埋める必要はありません。最初に決めるのは3つの項目だけで、残りは運用しながら足していけます。

生成AIガイドラインとは何か。雛形の8条を、中小企業が同じ重さで運用する必要はない

生成AIガイドラインとは、社員が生成AIを使うときに、何を入力してよく、誰が生成物を確認するかを決めた社内文書です。

著作権や情報漏えいへの対応も含みます。インターネットで出回っている雛形の多くは8条前後で、次の構成です。

• 禁止事項
• 利用範囲
• データ管理
• 教育・研修
• 責任の所在
• 著作権の扱い
• 外部委託先の管理
• 見直し手続き

この8条は、情報システム部門があり、複数の事業部にまたがる大企業を想定して作られています。

社員30〜80名で、総務部長や経営企画室長が窓口を兼任している会社では、この密度は運用しきれません。無理に運用しても、誰も更新せず読まれない文書が1つ増えるだけです。

たとえば、責任の所在や外部委託先の管理といった項目は、担当者が1人しかいない実態と合いません。

8条を同じ重さで扱う必要はありません。厚く書く項目と簡単に済ませる項目を、自社の体制に合わせて先に決めます。

最初に決めるのは、入力禁止情報、生成物の確認、アカウント管理の3点

最初に文書にするのは、入力禁止情報の線引き、生成物を人が確認する手順、アカウントの発行と停止の3点です。

この3点で、実際に事故につながりやすい経路をふさげます。

• 入力禁止情報の線引き → 情報漏えいを防ぐ
• 生成物を人が確認する手順 → 誤った生成物の外部流出を防ぐ
• アカウントの発行と停止 → 退職者アカウントの放置を防ぐ

著作権の細かい規定や外部委託先の管理体制は、事故につながる経路としては後回しにできます。

先に決める

• 入力禁止情報の線引き
• 生成物を人が確認する手順
• アカウントの発行と停止

運用しながら足す

• 著作権の細かい規定
• 外部委託先の管理体制
• 責任の所在

3点だけを文書にして周知し、残りは運用しながら足していきます。専任担当者がいない会社では、この順番のほうが続きます。

入力禁止情報の線引き：顧客情報・図面・見積データを3段階に

自社が実際に扱っている顧客情報、図面、見積データを1つずつ挙げて、入力してよいかどうかを決めます。

「機密情報を入力しないこと」という条文だけでは、現場の社員は判断できません。顧客の名前は駄目でも、業界名や大まかな条件はどうなのかが決まっていないと、各自の判断に任されます。

分け方は、次の3段階です。

• 誰でも使ってよい情報：会社案内、公開済みの製品情報
• 確認して使う情報：社内の一般的な業務手順
• 入力禁止情報：顧客の個人情報、取引条件

5段階や6段階に細かく分けたくなりますが、分けた数だけ判断基準の説明と維持の手間が増えます。現場が迷わずに判断できるのは3段階までです。

どの段階か迷う情報が出たら、その都度確認する決まりにしたほうが、細かく分けるより機能します。

顧客の氏名、連絡先、取引条件は、入力した時点で社外のサーバーに渡るため、そのまま入力禁止情報です。図面と見積データは一律には決まらず、取引先との秘密保持契約があるかどうかで判断が変わります。

情報の種類	機密段階	入力可否
顧客の氏名・連絡先・取引条件	入力禁止情報	入力不可
秘密保持契約のある図面	入力禁止情報	入力不可
契約の無い社内向け見積データ	確認して使う情報	上長確認のうえ可
会社案内・公開済み製品情報	誰でも使ってよい情報	入力可

ガイドラインを作る手順は、聞き取りから周知までの5つ

禁止事項を書き出す前に、社員が今どう使っているかを聞き取り、使ってよい業務を先に決めます。

禁止事項から書き始めると、現場で既に使われている便利な使い方まで塞いでしまうためです。

1. 社員に今の使い方を聞き取る
2. 使ってよい業務を決める
3. 入力禁止情報とあわせて文書にする
4. 全社員に説明する場を設ける
5. 見直す日をカレンダーに入れる

聞き取りでは、業務名だけでなく、実際に入力している情報の中身まで聞きます。たとえば、営業が提案書の下書きに使っている、総務が案内文の文面を作っている、といった使い方です（例）。

使ってよい業務が決まったところで、入力禁止情報の線引きとあわせて文書にします。

文書ができたら、配布だけで終わらせず、全社員に説明する場を設けます。配布するだけでは、条文の言葉が自分の業務のどの場面を指すのか伝わらず、読まれないまま終わります。

運用を始めた後の見直し日も、この時点で決めておきます。社内ルールをどこから決めるかは、生成AIの社内ルール、何から決めればいいかでも説明しています。

作った後の運用：総務や経営企画がカレンダーで決めた日に見直す

新しくAI担当者を採用する必要はありません。総務や経営企画の仕事に、月次と四半期のチェックを組み込めば運用できます。

チェックの中身は、生成物の抜き取り確認と、入力ログが残る設定になっているかの確認の2つです。すべての生成物を毎回確認するのは負担が大きく、抜き取りで足ります。

• 月次：生成物を数件、抜き取りで確認する
• 四半期：入力ログが残る設定になっているか確認する
• 異動や退職があったとき：アカウントの停止と引き継ぎを確認する

形骸化を防ぐには、チェックする日を月次と四半期でカレンダーに固定します。

チェックの頻度と対象は、社内の1人で判断するより外部の目を借りたほうが早く決まることがあります。AI顧問に毎月何をしてもらえるかは、毎月の進め方と自社で用意する担当者にまとめています。

退職や異動のとき、生成AIのアカウントをどう扱うか

退職や契約終了の後にアカウントを放置すると、その人のアカウントから社内情報にアクセスできる状態が残ります。異動でも、前の業務で使っていたアカウントの権限が残ったままになりやすい点は同じです。

人事や総務の退職手続きのチェックリストに1行加えるだけで、都度思い出す必要がなくなります。

コピペしたガイドラインが読まれずに終わる3つの理由

読まれない理由は、条文が現場の言葉になっていない、設定の確認で満足している、配布だけで説明していない、の3つです。

理由	現場で起きること	足りていない作業
条文が現場の言葉になっていない	大企業向け雛形の専門的な言い回しのまま。社員は自分の業務のどの場面か分からず、読み飛ばす	条文を自社の業務の言葉に直す
設定の確認で満足している	「学習に使わない設定にしたから安心」で止まる	設定の確認とは別に、入力してよい情報の線引きを詰める
配布だけで説明していない	作った担当者だけが中身を把握している	全社員に説明する場を設ける

設定の確認は必要ですが、入力してよい情報かどうかとは別の話です。設定を確認した後も、線引きを詰める作業は残ります。

文書があることと、社員がその中身を理解して使えることは別の状態です。配布と周知は別の作業です。

自社で作りきれないとき、外部の顧問サービスは月10〜11万円がいちばん多い

2026年9月3日時点で25社を調べたところ、いちばん多いのは月10〜11万円の7社、次が月30〜33万円の6社でした。

月額	社数
月5万円	4社
月8万円	1社
月10〜11万円	7社
月15万円	2社
月20万円	3社
月30〜33万円	6社
月35〜40万円	2社
月50万円以上	3社

月5万円のプランは、4社ともチャット中心で実装は含まれません。月8万円で実装まで含む社が1社ある一方、月30万円でも要件定義までで、実装は別見積という社もあります。

「激安」を名乗る会社でも月10万円からで、導入500社以上の大手も月5万円から参入しています。

月額の大小より、実装が含まれるかどうかで中身が変わります。

初期費用も会社ごとに違います。初期構築費15万円を別に取る社、ロードマップ作成30万円を別売りする社がある一方、初期費用なしの社もあります。最低契約期間も、6ヶ月、3ヶ月、なしの社に分かれています。

月額だけを比べても総額は分からないため、初期費用と最低契約期間を必ず確認します。

• 実装まで含むか、要件定義までか
• 初期構築費やロードマップ作成費の有無
• 最低契約期間の有無と長さ

3ヶ月で、ガイドラインの整備と業務で使い始めるまでをどこまで進められるか

• 初月：業務の棚卸し。生成AIを使える業務を洗い出し、削減できる時間や難易度で優先順位を付ける
• 2ヶ月目：ツールを選び、プロンプトと手順書を作る
• 3ヶ月目：うまくいかない箇所を直し、社内ルールを整えたうえで、減った時間を数字として記録する

この進め方でも、日々の運用を代行することはありません。基本的な設定と運用は、自社の社員が行います。

外部に頼む部分と自社で持ち続ける部分を先に分けておけば、契約終了後も自社だけで運用を続けられます。

よくある質問

国の生成AIガイドラインとは何ですか

企業や個人が生成AIを使うときの一般的な考え方を示した文書です。自社のガイドラインは、その考え方を自社の業務に合わせて具体化したものです。

生成AIの社内ガイドラインとは何を指しますか

社員が生成AIを使うときの規程です。何を入力してよく、生成物をどう確認し、誰がアカウントを管理するかを社内向けに定めます。

企業のAI利用ガイドラインは何のために作りますか

情報漏えいや著作権トラブルを防ぐため、あわせて社員が生成AIを使ってよい業務をはっきりさせるために作ります。禁止だけを目的にした文書ではありません。

生成AIのセキュリティガイドラインと社内ガイドラインは同じものですか

別のものです。セキュリティガイドラインは、情報の管理と漏えい対策に絞った内容です。社内ガイドラインはそれに加えて、使ってよい業務、アカウント管理、生成物の確認まで含みます。

まとめ

8条ある雛形を、すべて同じ重さで運用する必要はありません。先に文書にするのは、入力禁止情報の線引き、生成物を人が確認する手順、アカウントの発行と停止の3点です。

チェックの日をカレンダーに固定し、総務や経営企画の仕事に組み込めば、専任担当者がいなくても続きます。まずは、自社の情報を3段階に分けることから始めてください。自社だけで分けきれないときは、フォームからご相談ください。