【2026年最新】生成AIガイドラインの作り方｜A4 2枚・必須6項目

生成AIの社内ガイドラインは、A4で1〜2枚に「①適用範囲 ②使ってよいツール ③入力してよい情報 ④出力の扱い ⑤著作権への配慮 ⑥相談先」の6項目をこの順で書けば動き出します。分厚い規程は要りません。栃木県内の中小企業を想定し、雛形の骨子まで示します。

分厚い規程より「A4で1〜2枚」から始める理由

総務省「令和8年版情報通信白書」によれば、業務で生成AIを利用している日本企業は86.4%に達しました。実際に起きているのは「社員が個人アカウントで使い始めたが、会社として何も言っていない」という状態です。この状態が危ないのは、禁止していないからではなく、どこまでが許容範囲かを誰も言語化していないからです。

ここで多くの中小企業がつまずくのが、いきなり十数ページの規程を作ろうとすることです。法務専任がいない会社では、条文の体裁を整えている間に半年が過ぎ、その間ずっと無法状態が続きます。順序が逆です。まずA4で1〜2枚、朝礼で5分あれば読み上げられる分量のものを施行し、運用しながら足りない部分を足していきます。

この「小さく始める」考え方は国の方針とも整合します。総務省・経済産業省の「AI事業者ガイドライン（第1.2版・令和8年3月31日）」は、リスクの大きさ（危害の大きさ及びその蓋然性）に対策の程度を対応させるリスクベースアプローチを基本に据えています。従業員30名の会社が最初に潰すべきリスクは2つだけです。機密情報を外部サービスに入力してしまうこと、そして生成物を検証せずに社外に出してしまうこと。この2つを止められれば、1枚目の役割はほぼ果たせます。

栃木県自身も、2023年5月23日付の「チャットGPTの活用方針について」（行政改革ICT推進課）で、試行結果を踏まえて「利用にあたっての注意点や効果的な利用方法などをまとめたガイドラインを策定する」ことを対応方針に掲げています。行政も民間も、入口は同じ「まず注意点を紙にする」です。

なお、AIをめぐる国内の法整備としては「人工知能関連技術の研究開発及び活用の推進に関する法律」（AI法）が令和7年5月28日に成立し、同年6月4日に一部施行、9月1日に全面施行されています。事業者の責務として、国等の施策への協力が定められています。個別の法的判断が必要な場面では顧問弁護士・社労士に相談してください。本記事は法的助言ではありません。

ガイドラインに必ず書く6項目

1〜2枚に収めるなら、書く項目は6つに絞ります。順番にも意味があり、「誰に適用されるか」を先に置かないと、後続のルールが宙に浮きます。

①適用範囲と対象者

役員・正社員だけでなく、パート、派遣、業務委託、インターンまで含めるかを明記します。実務では「業務委託の設計者が自分のアカウントで図面の説明文を作った」といったケースが起きます。対象に含めるなら、契約書側の秘密保持条項との整合も後日確認します。

②使ってよいツールと契約形態

ツール名を本文に直接書くと改訂のたびに全文が古くなるため、本文には「別紙『利用可能ツール一覧』に記載したものに限る」と書き、別紙を1枚足す構成にします。別紙には、サービス名・契約形態（無料／個人有料／法人プラン等）・確認日・管理責任者を並べます。どのツールを選ぶかの判断軸は「生成AIツールの比較と選び方」で整理しています。

③入力してよい情報／禁止情報の分類

「機密情報を入れないこと」とだけ書いても現場は判断できません。後述する3分類を使い、分類ごとに可否を示します。ここが6項目の中で最も分量を取るべき部分です。

④出力の扱いと確認義務

生成物は下書きであって成果物ではない、という前提を1行で書きます。事実・数値・固有名詞・法令名は一次情報で確認する、社外文書はそのまま使わない、最終責任は作成者と承認者にある、の3点で足ります。

⑤著作権・第三者権利への配慮

文化庁のチェックリストが示すとおり、著作権侵害の要件は既存の著作物との「類似性」と「依拠性」の双方です。社外に出す生成物については、公開前に検索で類似物がないか確認し、生成に用いた指示文（プロンプト）を残す運用にします。

⑥違反時の相談先とエスカレーション先

「判断に迷ったら誰に聞くか」と「やってしまったら誰に言うか」を、部署名ではなく連絡先まで書きます。ここを曖昧にすると事故が隠れます。

この6項目は、AI事業者ガイドライン第1.2版の「第5部 AI利用者に関する事項」に挙げられた実務項目（安全を考慮した適正利用、個人情報の不適切入力及びプライバシー侵害への対策、セキュリティ対策の実施、提供された文書の活用及び規約の遵守など）を、中小企業が1枚で運用できる粒度に落としたものです。

情報の3分類｜どこに線を引くか

分類は3つで十分です。宇都宮市が令和6年3月に策定した「宇都宮市生成AI活用ガイドライン」（全19ページ）も、市の情報セキュリティ対策基準に沿って機密性1〜3の3段階で線を引いています。民間企業向けに言い換えると次のようになります。

この線引きの根拠になるのが、個人情報保護委員会が令和5年6月2日に公表した「生成AIサービスの利用に関する注意喚起等」です。個人情報取扱事業者に対して、個人情報を含むプロンプトを入力する場合は特定された利用目的の達成に必要な範囲内であることを十分に確認すること、あらかじめ本人の同意を得ずに個人データを含むプロンプトを入力する場合は「当該生成AIサービスを提供する事業者が、当該個人データを機械学習に利用しないこと等を十分に確認すること」を求めています。

実務で迷うのは、たいてい「社内限り」と「取扱注意」の境目です。栃木県内の企業でよく相談を受ける形に近い例を挙げます。

• 顧客からのクレームメールを要約したい: 会社名・担当者名・電話番号・案件番号を削ってから入力するなら社内限り、そのまま貼るなら取扱注意。判断を現場に委ねず、「先に匿名化する」を手順として書きます。
• 取引先から受け取った図面や仕様書: 自社の情報ではなく預かり物です。秘密保持契約の対象になっている可能性が高く、原則として取扱注意に置きます。
• 採用面接のメモを整理したい: 応募者の情報は個人情報です。氏名を消しても、経歴と地域名の組み合わせで個人が特定できる場合があります。取扱注意です。
• 社内の議事録: 内容次第で分かれます。設備更新の検討なら社内限り、人事や取引条件の話が混ざるなら取扱注意。「議事録は一律OK」と書かないことが重要です。

「学習に使われるか」は契約と設定で決まる｜自社で確認する4手順

「このサービスは入力内容を学習しますか」という質問には、記事やSNSの又聞きで答えないでください。同じブランドのサービスでも、無料版・個人向け有料版・法人向けプラン・API経由で、データの取り扱いや管理者が使える設定が異なる場合があります。しかも各社の規約や提供条件は改定されます。2026年8月時点の各社の公表内容は変わりうるため、契約時と改定時に必ず自社で確認してください。本記事では特定サービスの可否を断定しません。代わりに、誰でも同じ手順で確認できる方法を示します。

1. 公開文書を特定して控える: 利用規約、プライバシーポリシー、データの取り扱いに関する説明ページのURLと確認日を、別紙の「利用可能ツール一覧」に書きます。ページ名だけでなくURLを残すのは、改定時に差分を追えるようにするためです。
2. 管理画面の設定を実際に見る: 学習利用のオプトアウト設定、会話履歴の保存、データの保持期間、管理者によるメンバー管理の有無を、担当者が自分で画面を開いて確認します。設定はデフォルト値が変わることがあるため、スクリーンショットを日付つきで残します。
3. 契約書・注文書の条項を確認する: 法人契約の場合、規約より個別契約が優先することがあります。データの利用範囲、保管場所、再委託、契約終了後の削除に関する条項を控えます。読み取れない条項は顧問弁護士に確認します。
4. 確認結果を日付つきで台帳化し、更新する: 1〜3で分かったことを別紙に1行ずつ書き、次項の見直しのタイミングで再確認します。「いつ・誰が・どこを見て・何と書いてあったか」が残っていれば、後から説明できます。

栃木県が2023年5月の活用方針で講じた措置も、まさにこの発想です。同方針は本格運用に向けた安全確保策として「アカウントの設定により入力情報を学習されないよう対策する」ことを明記しています。契約と設定で守れる範囲を確定させ、そのうえで残るリスクを人のルールで塞ぐ、という順序です。

なお、設定で学習利用を止められた場合でも、取扱注意の情報を入力してよいことにはなりません。宇都宮市のガイドラインも、市の環境が学習に利用されない設定であることを説明したうえで、なお「万が一に備え、個人情報等の機密性の高い情報の入力は禁止します」としています。二重に守る構えを真似てください。

現場に定着させる運用｜全社周知・相談窓口・年2回の見直し

作って終わりにすると、半年後には「そんなものありましたね」になります。定着に必要なのは次の4点です。

• 全社周知: メール添付で配って終わりにしない。朝礼や全体会議で5分の説明枠を取り、「読んだ」ことを名簿で確認します。A4で1〜2枚に抑えるのは、この5分に収めるためでもあります。
• 相談窓口: 「情報システム担当」ではなく、氏名か役職と内線・メールまで書きます。窓口が1人だと不在時に止まるため、代理を1名決めておきます。
• 年2回の見直し: 4月と10月など固定の月を決めます。見直すのは、利用可能ツール一覧の確認日、規約改定の有無、この半年で出た相談と事故、追加すべき禁止例の4点です。
• 事故時の報告経路: 入力してはいけない情報を入れてしまった場合に、誰へ何分以内に伝えるかを書きます。文化庁の「AIと著作権に関するチェックリスト＆ガイダンス」も、侵害が生じた場合に講じるべき対応として、情報共有、サービスの停止・復旧、権利者への対応、原因解明、再発防止措置をあらかじめ想定し検討しておくことが望ましいとしています。

運用で最も効くのは、報告した人を責めないと明記することです。「懲戒」だけを書いたガイドラインは、事故を隠す動機を作ります。故意の持ち出しと、うっかりの入力を分けて扱うと決め、その旨を1行入れてください。

周知の場は研修と兼ねると効率的です。ルール説明だけの会は退屈で記憶に残らないため、実際に自社の文書を触る時間とセットにします。進め方は「中小企業の生成AI研修設計5ステップ」を参照してください。社内に判断できる人がいない場合は、県の支援拠点である「とちぎビジネスAIセンター」の個別相談も入口になります。

そのまま使える雛形の骨子

見出しと、書く内容と、1文の記載例を並べました。〇の部分を自社の実情に置き換えれば、A4で1〜2枚の初版になります。6項目に加えて、施行日と見直し時期の1行は必ず入れてください。

ゼロから文章を起こすのが負担であれば、たたき台の作成自体に生成AIを使って構いません。ただし出す情報は公開情報の範囲にとどめ、出てきた文章は必ず自社の実態に合わせて書き換えてください。指示の例は次のとおりです。

• 例：「あなたは中小企業の総務担当者です。従業員〇名の製造業向けに、生成AI利用ガイドラインの草案を作成してください。#構成：①適用範囲と対象者 ②使ってよいツールと契約形態 ③入力してよい情報 ④出力の扱いと確認義務 ⑤著作権・第三者権利への配慮 ⑥相談先とエスカレーション先 ⑦施行日と見直し #条件：A4で2枚以内、箇条書き中心、専門用語を使う場合は括弧で言い換えを添える、社名やツール名は〇〇と伏せる」
• 例：「次の草案について、現場の社員が読んだときに判断に迷いそうな箇所を5つ挙げ、それぞれ具体例を1つ足す形で書き直してください。（草案を貼る）」

公開前のチェックとして、次の5点を確認してください。①A4で2枚以内に収まっているか ②禁止情報に自社の実例が3つ以上入っているか ③相談窓口に連絡先が書いてあるか ④見直し月が固定で決まっているか ⑤ツール名が本文でなく別紙にあるか。

よくある質問

Q1. 生成AIのルールは就業規則に入れるべきですか？

まずはガイドラインとして独立させ、運用が安定してから就業規則や情報セキュリティ規程との関係を整理するほうが現実的です。就業規則の変更には手続きが必要で、そこから始めると施行が遅れます。ただし懲戒に関わる内容を書く場合や、既存の秘密保持誓約書との整合が必要な場合は、社会保険労務士や顧問弁護士に確認してください。

Q2. まだ一部の社員しか使っていませんが、今作る必要がありますか？

その段階が最も作りやすいタイミングです。全社に広がってから禁止事項を後出しすると、すでに定着した使い方を取り上げることになり、反発を招きます。人数が少ないうちなら、実際に使っている社員に「どんな場面で使い、何を入力しているか」を聞き取れるため、禁止情報の具体例が自社の実態に即したものになります。

Q3. 無料版を禁止して法人プランに一本化すべきですか？

一本化できるなら管理は楽になりますが、費用と業務範囲を見てから判断してください。判断材料は、扱う情報の分類（取扱注意の情報を業務で頻繁に扱うか）、管理者による設定・利用状況の把握が必要か、契約書で条件を詰める必要があるか、の3点です。契約形態によってデータの取り扱いや管理者機能が異なる場合があるため、前述の4手順で自社の契約と設定を確認したうえで決めてください。本記事では特定サービスの可否を判断していません。

Q4. 実際に機密情報を入力してしまったら、何をすればよいですか？

ガイドラインに手順を書いておき、そのとおりに動きます。最低限、①窓口への即時連絡 ②入力内容と日時・使用サービスの記録 ③会話履歴の削除や当該アカウントの利用停止など、可能な範囲の対応 ④影響範囲の確認（取引先や個人の情報が含まれるか）⑤再発防止として禁止例への追記、の5段階を決めておきます。取引先や個人の情報が含まれる場合は、報告や通知の要否について顧問弁護士に相談してください。判断に時間をかけるほど選択肢が減るため、初動の連絡先を1枚目に書いておくことが重要です。

Q5. 誰が作るのが適任ですか？

総務または情報システムの兼任担当者が原案を作り、実際に使っている社員2〜3名で読み合わせるのが現実的です。使っていない人だけで作ると、現場が守れない禁止事項が並びます。最後に経営者が施行を宣言し、施行日を入れてください。誰も名前を出さないガイドラインは運用されません。

まとめ｜6項目をA4 2枚にして、半年ごとに直す

生成AIの社内ガイドラインは、①適用範囲と対象者、②使ってよいツールと契約形態、③入力してよい情報、④出力の扱いと確認義務、⑤著作権・第三者権利への配慮、⑥相談先とエスカレーション先、の6項目をA4で1〜2枚にまとめ、施行日と見直し月を1行足せば初版として機能します。ツール名と規約の確認結果は本文ではなく別紙に置き、年2回の見直しで更新してください。完璧な規程を待つより、今週施行できる2枚のほうが会社を守ります。栃木県内でのガイドライン整備や社内周知の進め方について相談したい場合は、お問い合わせからご連絡ください。