生成AIガイドラインの作り方｜ひな形と決めるべき12項目 (2026年版)

生成AIガイドラインとは、従業員が業務で生成AIを使うときの利用可否・入力してよい情報・出力の検証責任を定めた社内文書です。就業規則や情報セキュリティ規程のひとつ下に置き、A4で2枚に収めるのが実務的です。

「うちもガイドラインを作らないとまずいよね」と言われて、白紙のWordを開いたまま3日経っていませんか。

ゴールは薄い1枚です。分厚い規程集ではありません。従業員が朝いちで開いて、30秒で「この資料をAIに貼っていいか」が判断できる。それができれば合格点です。

実際、社内で生成AIが問題を起こすパターンはほぼ決まっています。禁止していたから起きたのではなく、何も決めていなかったから起きています。

生成AIガイドラインとは何か？

生成AIガイドラインとは、従業員が仕事でChatGPTなどのAIを使うときに「どのツールを使ってよいか」「何を入力してはいけないか」「出てきた文章の責任は誰が持つか」を決めた社内文書です。就業規則や情報セキュリティ規程のひとつ下に置くのが一般的です。

似た言葉が3つあって、そこで手が止まる人が多いです。整理しておきます。

つまり、いま急いで必要なのは真ん中のガイドラインです。従業員100人以下なら3つを1本にまとめて構いません。分けるのは、監査や取引先審査で規程の提出を求められるようになってからで間に合います。

分厚さより、読まれる薄さ。ここが最初の分かれ道です。

なぜ今、社内ルールが必要なのか？

ルールがない状態の生成AI利用は、情報漏えい・権利侵害・誤情報の3つを同時に抱えます。しかも漏えいは、起きた瞬間には誰も気づきません。

危ないのは「禁止している会社」ではなく「黙認している会社」です。黙認は、会社が把握できない利用が社内に広がっている状態を意味します。無断で使われているツールのことを、シャドーAI (会社が知らないAI利用) と呼びます。

具体的なリスクを4つに絞ります。

• 機密情報の流出: 顧客リストや未発表の決算資料を無料版に貼ると、入力が学習に使われる設定のまま外部に残る余地がある
• 権利侵害: 生成された画像や文章をそのまま商品・広告に使い、第三者の権利とぶつかる
• 誤情報の混入: AIがそれっぽい嘘をつくこと (ハルシネーション) を検証せず、顧客向け資料に載せてしまう
• 責任の空白: 問題が起きたとき「AIが出した」で終わる文化が根づく

「気をつけよう」では止まりません。止まるのは、文書で線を引いたときだけ。

そしてこれは制約の話ではありません。線が引かれて初めて、現場は安心してアクセルを踏めます。ガイドラインはブレーキではなく、アクセルを踏ませるための装置です。

2026年の前提：AI事業者ガイドライン第1.2版

国内で参照すべき土台は、総務省・経済産業省が2026年3月31日に公表した「AI事業者ガイドライン（第1.2版）」です。ここを見ずに作ると、初日から古い設計になります。同じ時期に総務省から「AIのセキュリティ確保のための技術的対策に係るガイドライン」（2026年3月27日）も出ており、技術面の実装例はそちらに寄せられています。

第1.2版で社内ルールに直結する論点は3つ。

つまり、旧版を見ながら「入力禁止情報リスト」だけ作った会社は、検証責任とログの2項目が丸ごと抜けている公算が大きいです。この記事の12項目には、その2つを最初から独立させて入れてあります。

同ガイドラインは対象者を開発者・提供者・利用者の3つに分けています。一般企業のほとんどは「利用者」です。自社文書の末尾に参照した公的文書名と版数を書いておくと、取引先の審査シートを埋めるときに効きます。地味ですが、ここは重宝します。

許可リスト型と禁止リスト型、どちらで作るべき？

許可リスト型＋例外申請の一択です。 禁止リスト型は必ず形骸化します。

禁止リスト型は「これはダメ、あれもダメ」を並べる方式。作るのは速いです。ただし、書かれていない新しいツールが出た瞬間に穴が開きます。現場は「書いてないからOK」と読みます。悪気はありません。文書がそう読めるだけです。

許可リスト型は「この3つは使ってよい、それ以外は申請」とする方式。新しいツールはいったん保留になり、申請を通って初めて追加されます。安全側に転ぶ設計です。

比べるとこうなります。

つまり勝負どころは申請の軽さです。フォーム1枚、承認者1人、返答は3営業日以内。ここを重くした瞬間、許可リスト型も死にます。

決めるべき12項目の全体像

ここがこの記事の中心です。公的なひな形は10項目前後が多いのですが、第1.2版に合わせて検証責任とログ管理を独立させ、12項目にしました。

まず一覧で形をつかんでください。

12項目のうち、初版で妥協してよいのは11と12です。逆に1・3・6は妥協すると文書として機能しません。

以下、判断が割れやすい項目だけ掘り下げます。

入力してよい情報はどう線引きすればいい？

入力可否は「機密かどうか」の2択にすると、現場が全部グレーだと感じて手が止まります。3段階にすると迷いが消えます。

区分Cを禁止するだけでは足りません。加工すれば区分Bに落とせると書いてください。顧客名を「A社」に置き換える、金額を丸める、固有名詞を消す。この一文があるかどうかで、現場の使える幅が倍くらい変わります。

つまり線引きの目的は、入力を減らすことではなく、安全に入力できる形に変換させることです。

個人情報の扱いをもう一段深く決めたい場合は、AIと個人情報の注意点をまとめた記事を先に読むと、区分Cの書き方で迷わなくなります。

検証責任とHITL：ここを空欄にすると事故る

生成AIの出力は下書きであって、成果物ではありません。ここを文書で確定させます。

書き方はシンプルで、「AIの出力をそのまま社外に出してはならない。最終責任は出力を利用した従業員が負う」の2文で足ります。あとは確認の濃さを用途別に分けます。

数字と固有名詞は必ず一次ソースで確認する。この1行があるかどうかで、社外に出てからの訂正がぐっと減ります。

AIは「もっともらしい嘘」を、正しい答えと同じ自信で書きます。見分けはつきません。だから確認する人を決めるしかない。

社内資料をAIに読ませて答えさせる仕組み (RAG) を入れると誤りは減りますが、ゼロにはなりません。仕組みの理解は社内資料をAIに読ませる仕組みの解説が早いです。

ログとアカウント：会社が把握できる状態を作る

第1.2版で追加を迫られるのがここです。個人アカウントで使われている限り、会社は何も把握できません。

決めることは3つだけ。

• 契約主体: 業務利用は会社契約のアカウントに限る。個人の無料アカウントでの業務利用は禁止
• 保存対象: 誰が・いつ・どのツールを使ったかの記録。入出力そのものを残すかは、管理コンソールの機能と保存コストで判断
• 保存期間: 6か月から1年が目安。就業規則や他の情報システム規程の保存期間に揃える

退職・異動時のアカウント停止を、既存の入退社チェックリストに1行足してください。ここを別文書にすると運用されません。

法人プランなら管理画面から利用状況を見られます。プラン差の確認はChatGPTの法人向けプラン比較が実務的です。

つまりログ管理は、監視のためではなく「何が起きたか後から辿れる」ための保険です。

ここまでの整理 12項目のうち、最初に埋めるべきは適用範囲・データ区分の3段階・検証責任・ログの4つ。この4つが埋まっていれば、残り8項目が空欄でも文書として機能します。逆にこの4つのどれかが空欄なら、他が完璧でも実務では止まりません。

そのまま使えるひな形

以下をコピーして、社名と部署名を入れ替えれば初版になります。A4で2枚を超えないよう、意識して削ってあります。

■ 生成AI利用ガイドライン（第1版・◯◯株式会社）

第1条（目的）
本ガイドラインは、当社従業員が業務で生成AIを安全に活用するための
遵守事項を定める。参照：AI事業者ガイドライン第1.2版
（総務省・経済産業省、2026年3月31日公表）

第2条（適用範囲）
正社員、契約社員、派遣社員、業務委託先を含む全就業者に適用する。
対象は文章・画像・音声・動画・コードを生成する全てのAIサービスとする。

第3条（利用できるツール）
別表1の「利用可ツール一覧」に記載されたものに限る。
記載のないツールを使用したい場合は、第9条の申請を行うこと。

第4条（入力してよい情報）
区分A（公開情報）：制限なし
区分B（社内情報）：会社契約の法人アカウントに限り入力可
区分C（要保護情報）：入力禁止。加工により区分Bに相当する状態と
なった場合はこの限りでない

第5条（生成物の検証）
生成物は下書きであり、成果物ではない。社外に提出する文書に含める
場合は、数字・固有名詞・引用元を一次情報で確認すること。
最終的な責任は、生成物を利用した従業員が負う。

第6条（生成物の利用範囲）
社外公開・商用利用を行う場合は、利用するAIサービスの利用規約に
おいて商用利用が認められていることを確認すること。

第7条（アカウント）
業務利用は会社が契約したアカウントに限る。個人アカウントによる
業務利用を禁止する。退職・異動時は速やかに利用を停止する。

第8条（記録）
利用記録は◯か月間保存する。保存対象は別表2に定める。

第9条（例外申請）
新規ツールの利用、区分C情報の入力は、所定のフォームにより
情報システム部門へ申請し、承認を得ること。

第10条（違反時の対応）
違反または違反のおそれを認めた場合、直ちに◯◯部へ報告する。
報告者に不利益な取り扱いは行わない。

第11条（改定）
本ガイドラインは半期に一度見直す。次回見直し：◯年◯月

別表1：利用可ツール一覧（サービス名／プラン／用途／承認日）
別表2：記録の保存対象

貼り付けたあとは、社名・部署名・保存期間の伏せ字を埋めたうえで必ず一読してください。別表1を最初は3行だけにするのがコツです。増やすのは運用しながらで構いません。3行の中身は、ChatGPT・Claude・Geminiのように、実際に社内で使われていて法人プランのあるサービス名を具体的に書きます。

策定から運用までの5ステップ

作る作業そのものは1日で終わります。時間がかかるのは合意形成のほうです。

ステップ1を飛ばすと、現場が実際に使っているツールが別表1に入らず、初日から違反者を量産します。匿名で聞くこと。名前を書かせた瞬間、正直な回答は返ってきません。

ステップ4では、条文そのものではなく1枚要約を配ってください。読まれるのは要約だけです。研修の設計まで踏み込むならAIリテラシー研修の作り方が参考になります。

中小企業やスタートアップはどこまで削ってよい？

従業員30人の会社が大企業のひな形をそのまま使うと、まず運用が止まります。削れる項目を明示しておきます。

• 初版で削ってよい: 第8条の記録 (管理コンソールの標準機能に任せる)、第11条の見直し頻度 (年1回で可)
• 削ってはいけない: 第4条のデータ区分、第5条の検証責任、第7条のアカウント
• 後から足す: 別表2、違反時の処分規定、AIエージェントの取り扱い

生成AI関連ツールの候補を眺めるならAIセキュリティ関連のカテゴリから見ていくと、法人向けの管理機能があるものを絞り込めます。

つまり小さい会社ほど、条文の数ではなく別表1の運用にリソースを寄せるべきです。使ってよいツールが3つ書いてある紙のほうが、10条ある規程より事故を防ぎます。

編集部の評価

公開されている各社のひな形と公的ガイドラインを読み比べた率直な評価を書きます。

公的ひな形をそのまま使うのは正直イマイチです。 網羅性は高いのですが、対象がAI開発者・提供者・利用者の3者すべてに向いているため、一般企業には読み飛ばす箇所が多すぎます。使うなら「利用者」向けの記述だけを抜き出す作業が必須です。

ベンダー配布のひな形は無料な割に完成度が高く、破格です。 ただし自社製品を前提にした条文が混ざります。ツール名が固有名詞で入っている条文は、必ず一般名詞に書き換えてください。

最も効くのは、条文ではなく別表1です。 圧倒的にここ。使ってよいツールが具体名で3つ書いてあるだけで、現場の判断コストがほぼゼロになります。逆に別表1が空欄のガイドラインは、何も決めていないのと同じです。

AIエージェントの条文化はまだ様子見でよいと考えます。 第1.2版で論点としては整理されましたが、実務で自律的に動くAIを全社導入している企業はまだ少数です。いま条文を作り込んでも、半年で書き直しになります。

よくある質問（FAQ）

Q. 生成AIガイドラインは何ページくらいが適切ですか

A4で2枚が上限です。それを超えると、条文ではなく1枚要約しか読まれなくなります。詳細は別表と申請フォームに逃がしてください。

Q. 就業規則の変更は必要ですか

ガイドラインを社内文書として運用するだけなら、多くの場合は不要です。違反時の懲戒処分まで定める場合は、就業規則との整合が必要になるので社労士か弁護士に相談してください。

Q. 無料版の利用を全面禁止すべきですか

禁止は不要です。区分A (公開情報) の入力に限れば無料版でも実害は出にくいです。全面禁止にすると、隠れて使われるだけで把握できなくなります。

Q. AI事業者ガイドラインに法的な強制力はありますか

第1.2版は法令ではなく指針です。ただし取引先の審査シートやセキュリティチェックで参照されることが増えているため、準拠している旨を書けると有利になります。

Q. 生成物に著作権は発生しますか

人が創作的に関与した部分については権利が認められる余地があります。ただし判断は個別事案ごとに分かれるため、商用利用する画像は特に慎重に扱ってください。詳しくはAI画像の著作権をまとめた記事で整理しています。

次に読むならこれ

ガイドラインの初版が書けたら、次は入力される情報そのものの守り方に進むのが順番です。生成AIのセキュリティとプライバシーの実務ガイドを読むと、第4条のデータ区分をどこまで厳しくすべきかの判断が固まります。

各ツールの公式サイト（一次情報）

料金・機能・対応範囲は各社公式が一次情報です。本記事は公開時点の検証に基づきますが、最新かつ正確な条件は必ず各公式ページで確認してください。

• ChatGPT — 公式サイト（AI PICKSの詳細）
• Claude — 公式サイト（AI PICKSの詳細）
• Gemini — 公式サイト（AI PICKSの詳細）