AI利用ガイドライン策定の進め方 - サンプル規定付き

この記事で分かること

• AI利用ガイドラインが必要な理由と背景
• ガイドライン策定の5ステップ
• そのまま使える サンプル規定 の雛形
• 運用開始後のよくある課題と対策

1. なぜAI利用ガイドラインが必要なのか

「ChatGPTを業務で使っていいですか？」

この質問に、あなたの会社は明確に回答できますか？

多くの企業で、生成AIの利用が 「グレーゾーン」 のまま放置されています。使いたい社員は自己判断で使い、慎重な社員は「禁止されていないけど怖いから使わない」という状態。これは組織として健全ではありません。

ガイドラインがないことのリスク

ガイドラインがあることのメリット

1. 社員が安心して使える → 生産性向上
2. リスクを組織としてコントロール → 情報漏洩防止
3. 利用状況を把握できる → 投資判断の材料に
4. 対外的な説明責任を果たせる → 取引先・監査対応

2. ガイドライン策定の5ステップ

全体の流れ

flowchart LR
    A[1. 現状把握] --> B[2. リスク評価]
    B --> C[3. 方針決定]
    C --> D[4. 規定作成]
    D --> E[5. 周知・運用]
    E --> A

ステップ1: 現状把握（1〜2週間）

まず、自社の現状を把握します。

確認項目:

• すでにAIを使っている社員はいるか？
• どのツールを、どの業務で使っているか？
• 情報システム部門は把握しているか？
• 取引先や業界団体からの要請はあるか？

調査方法:

• 全社アンケート（匿名推奨）
• 部門長へのヒアリング
• 情報システム部門のログ確認

ステップ2: リスク評価（1〜2週間）

自社にとってのリスクを洗い出します。

ポイント: 全てのリスクを排除しようとすると「全面禁止」になってしまいます。リスクを許容できる範囲で利用を認めるバランス感覚が重要です。

ステップ3: 方針決定（経営判断）

リスク評価を踏まえ、会社としての方針を決めます。

多くの企業では 「届出制」または「ルールを守れば原則自由」 が現実的です。

ステップ4: 規定作成（1〜2週間）

方針を具体的な規定に落とし込みます。

後述のサンプル規定をベースに、自社の状況に合わせてカスタマイズしてください。

ステップ5: 周知・運用（継続）

規定を作って終わりではありません。

周知施策:

• 全社メールでの告知
• 社内ポータルへの掲載
• 部門ごとの説明会
• FAQ の整備

運用サイクル:

• 四半期ごとに利用状況をレビュー
• 問い合わせ・インシデントを記録
• 半年〜1年ごとに規定を見直し

3. サンプル規定（雛形）

以下は、一般的な企業向けのAI利用ガイドラインのサンプルです。自社の状況に合わせて修正してご利用ください。

【サンプル】生成AI利用ガイドライン

第1条（目的）

本ガイドラインは、当社における生成AI（ChatGPT、Claude、Copilot等の大規模言語モデルを活用したサービス）の利用に関するルールを定め、業務効率化と情報セキュリティの両立を図ることを目的とする。

第2条（適用範囲）

本ガイドラインは、当社の役員および従業員（派遣社員、業務委託を含む）が業務において生成AIを利用する場合に適用する。

第3条（利用可能なサービス）

1. 業務での利用が認められる生成AIサービスは、情報システム部門が承認したものに限る。
2. 承認済みサービスのリストは社内ポータルに掲載する。
3. 新たなサービスの利用を希望する場合は、所定の申請フォームから申請すること。

参考: サービス選定の際は、セキュリティ・コンプライアンスの観点からの比較が重要です。 → 法人向けLLM API比較 - コスト・性能・セキュリティ観点での選び方

第4条（入力してはならない情報）

以下の情報を生成AIに入力することを禁止する。

1. 個人情報（氏名、住所、電話番号、メールアドレス等）
2. 機密情報（未公開の財務情報、事業計画、技術情報等）
3. 取引先から秘密保持義務を課されている情報
4. ソースコード（社内システム、製品のコード）
5. パスワード、APIキー等の認証情報

第5条（出力の取り扱い）

1. 生成AIの出力は必ず人間が確認し、正確性を検証すること。
2. 生成AIの出力をそのまま社外に公開する場合は、著作権侵害がないか確認すること。
3. 重要な意思決定の根拠として生成AIの出力のみを用いないこと。

第6条（利用記録）

1. 生成AIの利用状況は、業務上必要な範囲で記録・保管する。
2. 情報セキュリティインシデントが発生した場合の調査に協力すること。

第7条（禁止行為）

以下の行為を禁止する。

1. 本ガイドラインで禁止された情報の入力
2. 承認されていないサービスの業務利用
3. 生成AIを用いた違法行為、ハラスメント、差別的コンテンツの作成
4. 他者を欺く目的での生成AIの利用

第8条（違反時の対応）

本ガイドラインに違反した場合、就業規則に基づき懲戒処分の対象となることがある。

第9条（問い合わせ先）

本ガイドラインに関する問い合わせは、情報システム部門または法務部門へ連絡すること。

第10条（改定）

本ガイドラインは、技術動向や社会情勢の変化に応じて適宜改定する。

付則

• 制定日: 20XX年XX月XX日
• 最終改定日: 20XX年XX月XX日

4. よくある課題と対策

課題1: 「ルールが厳しすぎて使えない」という声

対策:

• 許可されている用途を具体的に例示する
• 「〇〇はOK」というポジティブリストを作る
• 成功事例を社内で共有する

課題2: ルールを知らない社員がいる

対策:

• 入社時研修に組み込む
• 定期的なリマインドメール
• 利用開始時にガイドラインへの同意を必須化

課題3: 新しいサービスが次々登場する

対策:

• 「承認済みサービスリスト」を定期更新
• 申請から承認までの期間を短縮（目標: 1週間以内）
• 暫定利用の仕組みを設ける
• 新サービス評価の基準を事前に明確化（LLM API比較記事を参考に）

課題4: インシデントが発生したときの対応

対策:

• インシデント報告フローを事前に整備
• 「報告しても罰しない」文化の醸成（正直に報告した方が被害を最小化できる）
• 定期的なインシデント想定訓練

まとめ

AI利用ガイドライン策定のポイントをおさらいします。

1. 現状把握から始める → すでに使っている人がいるかもしれない
2. リスクと利便性のバランス → 全面禁止は現実的ではない
3. サンプル規定をカスタマイズ → ゼロから作る必要はない
4. 作って終わりではなく運用 → 定期的な見直しが重要

ガイドラインは「AIを使わせないため」ではなく、「安心して使うため」のものです。社員が生産性を上げながら、リスクを適切にコントロールできる環境を整えましょう。

更新履歴

ご注意: 本記事のサンプル規定は一般的な例であり、法的助言ではありません。自社への適用にあたっては、法務部門や専門家にご相談ください。