- 生成AI
- 社内ルール
- 中小企業
著者 原駿介（ゼネラリスト）
読了 約11分
中小企業の生成AI社内ガイドラインの作り方
この記事でできるようになること読み終えると、中小企業が生成AI利用ガイドラインを自社で作るための手順と、雛形の使い方が分かります。
生成AIの社内ガイドラインは「禁止リスト」ではなく、社員が安心して使うための“地図”です。中小企業なら、最小で7つの必須項目（目的・対象ツール・使ってよい業務・入力禁止情報・出力物の扱い・インシデント報告・教育と見直し）を押さえ、運用に乗せれば十分機能します。ゼロから書く必要はなく、公的なひな形（経産省・総務省「AI事業者ガイドライン」やJDLAの雛形）をベースに、自社の言葉へ書き換えるのが近道。この記事のそのまま使えるひな形からコピーして始められます。7項目のうち自社向けの書き換えが要るのは、実質「誰が決めるか」と「何を入れてはいけないか」の2つだけで、ここは従業員規模と業種で答えが変わります（うちの場合はどう書き分けるか）。
「社員に生成AIを使わせたいが、情報漏えいやトラブルが不安」——そんな中小企業に向けて、ガイドラインに盛り込むべき必須項目、作り方の手順、そのままコピーして使えるひな形まで、現場目線でまとめました。
01 · Why
なぜ中小企業こそガイドラインが要るのか
「ルールはまだ早い」と感じるかもしれません。ですが実際は逆で、専任の情報システム部門を持ちにくい中小企業ほど、判断が社員一人ひとりに委ねられます。明文化されたよりどころがないと、「この情報は入れていいのか」をその場の感覚で判断することになり、事故のリスクが上がります。
研修の現場でいちばん多い質問も、まさにこれです。「顧客名や見積もりをChatGPTに貼っていいんですか？」——ガイドラインがあれば、この迷いに即答でき、安心して使える範囲が広がります。ガイドラインは利用を縛るためではなく、安心して踏み込むために作る、と捉えるのが実務的です。
02 · Checklist
盛り込むべき必須項目
網羅性より「現場が読んで動けること」を優先します。中小企業なら、まず次の7項目を押さえれば実用に足ります。下のチェックリストをそのまま要件定義に使ってください。
表：生成AIガイドラインの必須項目（最小セット）
| # | 項目 | 書くこと（例） |
|---|---|---|
| 1 | 目的・適用範囲 | なぜ作るか／誰に適用するか（雇用形態を問わず全員 など） |
| 2 | 利用してよいツール | 会社が許可したツールのみ。無償版・個人アカウントの業務利用の可否 |
| 3 | 使ってよい業務 | 下書き・要約・アイデア出しは可、最終判断は人 など“OKの範囲”を明示 |
| 4 | 入力禁止情報 | 個人情報・顧客/取引先の機密・未公開の経営情報・認証情報など（最重要） |
| 5 | 出力物の取り扱い | 必ず人が確認（ファクトチェック義務）／著作権・権利侵害の確認／最終責任の所在 |
| 6 | インシデント報告 | 誤入力・漏えいの懸念が出たときの連絡先と初動 |
| 7 | 教育と見直し | 新任時の周知／半年に1回など定期見直しのサイクル |
※ ④の「入力禁止情報」が事故防止の要。ツールの設定で入力内容が学習に使われ得る場合は特に厳格に。
03 · Your Case
「うちの場合」はどう書き分けるか
必須7項目は、どの会社でも同じです。会社ごとに書き換えが要るのは、そのうち②③（誰がどこまで決めるか）と④（何を入れてはいけないか）の2つに集中します。ここが自社の実態とずれていると、ガイドラインは「読まれたけど守られない紙」になります。
逆に言えば、残りの5項目はひな形のままでほぼ通ります。書き分けに時間をかけるのはこの2つだけで足ります。
従業員規模で変わるのは「承認者」と「窓口」
規模が変われば、変えるべきは文章量ではなく意思決定の置き場所です。小さい会社に大企業の承認フローを移植すると回らず、逆に人数が増えた会社で「迷ったら相談」とだけ書くと、相談先が分からず止まります。
表：従業員規模別・ガイドラインの書き分け
| 規模の目安 | 誰が可否を決めるか | 相談・報告の窓口 | 文書の厚み |
|---|---|---|---|
| 〜10名 | 代表がその場で決める。承認フローは書かない | 代表本人。名前で書く | A4・1枚。ひな形のままで足りる |
| 10〜50名 | 部門長が一次判断、代表が最終。「判断に迷う例」を2〜3個本文に書く | 総務・管理部門の兼任1名を指名 | A4・1〜2枚＋許可ツール一覧を別紙に |
| 50〜300名 | ツール追加は申請制にする（申請→部門長→管理部門） | 個人名ではなく「係・窓口」として明記 | 本体2枚＋別紙（ツール一覧・申請書式・改定履歴） |
※ 分岐点は人数そのものより、「代表が全員の業務を把握できているか」。把握できているうちは、承認フローを書かない方が速く回ります。
業種で変わるのは④「入力してはいけない情報」の一行だけ
ここが最大の落とし穴です。ひな形の④には「顧客／取引先の機密情報」と書いてありますが、この抽象度のままだと現場は判断できません。「この見積書は機密なのか？」で手が止まります。
効くのは、自社で実際に飛び交っている固有名詞に置き換えること。業種ごとに、④へ足すべき具体名は次のように変わります。
表：業種別・④「入力禁止情報」に足す具体名
| 業種 | ④に足す具体名（例） | なぜ特に厳しくするか |
|---|---|---|
| 士業（税理士・社労士・行政書士など） | 関与先名・申告内容・給与データ・相談内容そのもの | 職種ごとに守秘義務が課されており、社内規程より外側の縛りがある |
| 医療・介護 | 患者・利用者の氏名／病名・要介護度・障害の内容などの健康情報 | 健康に関する情報は要配慮個人情報にあたり、扱いに慎重さが求められる |
| 製造 | 図面・仕様書・原価・歩留まり・取引先の指定条件 | 取引先とのNDAの対象になりやすく、違反が契約問題に直結する |
| 建設・工事 | 発注元の契約金額・工程表・現場担当者の個人名 | 元請・下請の関係上、他社の情報を預かっている場面が多い |
| 小売・EC | 会員情報・購買履歴・クレームの本文 | 個人情報を大量に持ち、コピペで入りやすい形式で保管されている |
| 人材・派遣 | 候補者の職務経歴書・面談メモ・紹介先企業名 | 本人の同意の範囲を超えた利用になりやすい |
※ 自社の業種が表にない場合は、「社外に出たら謝りに行くことになる情報は何か」を3つ挙げて、その名前をそのまま④に書いてください。判断基準はそれで十分です。
「うちは対象になるのか」——先に決めておく5つの分岐
ガイドラインが止まる原因の多くは、書きぶりではなくこの5つを決めていないことです。可否そのものに正解はなく、会社として決めて明文化してあることが要点です。
- ①無償版・個人アカウントの業務利用を許すか。許すなら「④の情報は一切入れない」を条件に付ける。禁止するなら、代わりに使える会社アカウントを先に用意する（用意せずに禁止すると、隠れて使われます）。
- ②私物のPC・スマホからの利用を許すか。営業や現場職が多い会社ほど、ここを曖昧にすると実態が先に走ります。
- ③協力会社・派遣・アルバイト・インターンにも適用するか。ひな形の②は「全役職員」ですが、常駐の協力会社スタッフは含まれません。含めるなら適用範囲を書き換え、契約書側とも整合させる必要があります。
- ④顧客に納品する成果物にAIの出力を含めてよいか。含めてよい場合、顧客に伝えるかどうかまで決めておきます。ここは会社の姿勢が出るところです。
- ⑤顧客・取引先から「AIは使わないでほしい」と言われた場合どうするか。実際に起こります。「案件単位で個別対応し、担当者判断にしない」とだけ決めておけば、現場は迷いません。
1枚の「ガイドライン」で足りるか、「規程」にすべきか
もう一つよく迷うのが、社内文書としての格をどうするかです。判断軸は3つだけです。
表：ガイドライン（最小版）と規程化の分かれ目
| 判断軸 | ガイドライン（1〜2枚）で足りる | 規程化を検討する |
|---|---|---|
| 違反時にどうするか | まず指導・再教育で足りると考えている | 懲戒処分の根拠にしたい |
| 社外から求められるか | 特に求められていない | 親会社・元請・顧客から提出を求められている |
| 認証を持っているか | なし | ISMS・Pマークを取得済み／取得予定で、審査対象になる |
※ 懲戒の根拠にしたい場合、ガイドライン単体では根拠として弱く、就業規則側の定めとの紐づけが要ることがあります。ここは社会保険労務士に確認してください（この記事は法的助言ではありません）。3つとも「左」なら、規程化は不要です。まず1枚で始めてください。
04 · How to Make
作り方 5ステップ
完璧な大作を目指すと、いつまでも公開できません。A4で1〜2枚の“動く最小版”をまず出し、運用しながら育てるのがコツです。
ひな形を用意
下記ひな形や公的雛形をコピーし、たたき台にする。ゼロから書かない。
ツールと範囲を決める
許可ツールと「使ってよい業務」を自社に合わせて記入する。
禁止情報を明確化
自社で特に守るべき情報（顧客名・原価など）を具体名で列挙。
運用体制を決める
相談・報告の窓口、見直しの頻度と担当を決める。
周知して運用開始
短い説明会で共有し、まず始める。実態に合わせて改定する。
05 · Copy & Use
そのまま使えるひな形
下記をコピーして、〇〇や空欄を自社の内容に置き換えてください。まずはこの最小版で十分に機能します。
生成AI利用ガイドライン（ひな形・最小版）
コピーして、自社の言葉に書き換えてお使いください。
【生成AI利用ガイドライン】 〇〇（会社名） 1. 目的 本ガイドラインは、〇〇における生成AIの安全で効果的な利用を目的とする。 2. 適用範囲 全役職員（雇用形態を問わない）。業務での生成AI利用全般に適用する。 3. 利用してよいツール 会社が許可したツールのみ利用する（例： ）。 無償版・個人アカウントの業務利用：可 ／ 不可（いずれかに〇）。 4. 入力してはいけない情報（最重要） ・個人情報（氏名・連絡先・マイナンバー 等） ・顧客／取引先の機密情報、未公開の経営情報 ・パスワード等の認証情報、ソースコード（該当する場合） ※入力内容が学習に使われ得る設定では特に厳守する。 5. 出力物の取り扱い ・内容は必ず人が確認する（ファクトチェック義務）。 ・著作権・権利侵害がないかを確認する。 ・利用・公開の最終責任は利用者（および承認者）にある。 6. 禁止事項 ・上記「入力禁止情報」の入力。 ・違法・差別的・誹謗中傷など不適切な利用。 7. インシデント時の対応 ・誤入力や情報漏えいの懸念が生じたら、ただちに （窓口）へ報告する。 8. 教育と見直し ・新任時に周知する。 ・半年に1回、および技術変化・事故発生時に見直す。 制定日： ／ 改定日： ／ 管理担当：
06 · Make It Stick
形骸化させないコツ
作って配って終わり、では読まれません。研修・顧問で実際に伴走してきた経験から、効くのは次の3つです。
- 「禁止」より「推奨例」を見せる。使ってよい業務の具体例（議事録の下書き、メール文面の整え など）を載せると、現場がすぐ動けます。
- 短く・1〜2枚に。長い規程は読まれない。詳細は別紙にし、本体は要点だけにします。
- 半年ごとに見直す。ツールも法令の整理も動き続けます。見直し日を最初から決めておくと、形骸化を防げます。
研修とセットで配ると定着が一気に進みます。ルールの理解と実際の使い方を同時に学べるからです（詳しくは生成AI研修の頼み方もどうぞ）。
07 · References
参考：公的ガイドライン
自社版を作るときは、次の公的資料を“上位の考え方”として参照すると、信頼性と整合性が高まります（いずれも2026年6月時点）。
- AI事業者ガイドライン（総務省・経済産業省）：最新は第1.2版（2026年3月31日公表）。事業者が自主的に取り組むべき考え方を整理。第1.2版ではAIエージェントやHuman-in-the-Loop等が明確化されました。経済産業省の案内ページ
- JDLA「生成AIの利用ガイドライン」：日本ディープラーニング協会が公開する雛形。自社用に書き換えて使えます。JDLA 資料室
08 · FAQ
よくある質問
小さな会社でもガイドラインは必要ですか？+
ChatGPTの無料版を業務で使ってもいいですか？+
ゼロから作らないといけませんか？+
協力会社や派遣社員、アルバイトにも適用すべきですか？+
顧客から「AIは使わないでほしい」と言われたらどうすればいいですか？+
ガイドラインと「規程」はどう違いますか。規程にすべきですか？+
どのくらいの頻度で見直すべきですか？+
作成や社内浸透を手伝ってもらえますか？+