社内利用ルールの作り方：A4一枚で配れる生成AI規程の雛形と運用サイクル

生成AI（Generative AI）の社内利用規程を「正しく作らなければ」と考えるほど、手が止まる。

法務確認、情報セキュリティ委員会への上程、全社説明会——こう並べると、規程が完成するのは半年後になる。その間、社員は個人アカウントで業務データをAIに貼り付け続ける。いわゆるシャドーAI（Shadow AI：社員が無断でAIツールを業務利用する状態）のリスクは、完璧な規程を待っている間にむしろ積み上がる。

本記事では、「今週中に配れる規程」をA4一枚で作るための5要素と、そのままコピペして使える雛形テキストを提供する。月次更新サイクルを組み込むことで、規程は使い続けるうちに育てていく設計にする。読了後、雛形を手元で開き、自社名と禁止情報リストを差し替えれば配布可能な状態——そこをゴールとして本記事は書かれている。

なお、本記事はガバナンス設計の理論的な解説よりも「作って配る」実務に集中している。ガバナンス全体の設計については生成AI ビジネス活用大全に整理しているので、あわせて参照してほしい。

A4一枚から始める：完璧な規程より「今週配れる規程」が機能する

規程には「機能する規程」と「存在するが機能しない規程」がある。

後者は珍しくない。大企業の情報セキュリティ規程は数十ページに及ぶことがある。それは管理台帳として必要なのかもしれないが、現場の社員が「迷ったとき」に参照するには重すぎる。

規程が機能しない3つのパターン

パターン1：厚すぎて読まれない

規程が20ページあっても、社員が参照できるのは「禁止事項リスト1枚」程度だ。使いたいときに検索できなければ、規程は存在しないに等しい。

パターン2：禁止事項しか書かれていない

「AIツールの業務利用を原則禁止する」——これは規程として機能しない。禁止されていないことへの問い合わせが増え、管理部門の工数が上がり、現場は判断できずに止まる。「何を使ってよいか」が書かれていて初めて、規程は動く。

パターン3：更新されていない

生成AIの新ツールは月単位で登場する。1年前の規程で「未承認ツール」に分類されているサービスが、今は企業向け安全プランを提供していることもある。更新日付のない規程は信頼されない。

A4一枚に絞る理由

ここで一度、問いを置きたい。

現場の担当者が「これはルール違反になるのか」と迷ったとき、規程の何ページ目を開くだろうか。

答えは「開かない」ことが多い。迷った結果、自分で判断して動く。だからこそ、判断の基準が一目で見えるA4一枚が機能する。

A4一枚に入れるのは5要素だけでいい。承認ツールリスト・入力禁止情報・出力レビュー義務・ログと監査ルール・相談窓口。この5つが揃っていれば、現場の多くのケースで迷わずに判断できる。

ここからは、各要素に何を書くかを解説する。

規程に書く5要素とその理由

5要素の解説に入る前に、一点確認したい。これから紹介する項目は「最低限」である。会社の規模・業種・扱うデータの機密度によって、追加すべき要素は変わる。A4一枚はあくまで出発点だ。

1. 承認ツールリスト

「使ってよいAIサービスを列挙する」——これが規程の骨格になる。

禁止から始めると管理が難しくなる。承認ツールを明示する形にすると、「リストにないものは申請する」という運用が自然に成立する。

承認の基準として確認すべき主な観点は次の3点だ。入力データをAI学習に使用しないか（ZDR：Zero Data Retention、入力データを学習・保持しない契約オプション）、企業向けプランでのデータ分離が保証されているか、日本国内のデータ処理規定が明確かどうかだ。

具体的なツールごとのデータポリシー比較については、ChatGPT・Claude・Gemini・Copilotの選び方で詳しく整理している。

2. 入力禁止情報の範囲

「何を入力してはいけないか」のリストは、思い切って具体的に書く必要がある。「機密情報」だけでは判断できない。社員が迷う場面で「これは機密か？」を考えさせると、保守的になりすぎるか楽観的になりすぎるかのどちらかになる。

入力禁止リストの典型例：

氏名・住所・マイナンバーなど個人を特定できる情報（個人情報保護法の対象）
未公表の売上・利益・計画数値
取引先との契約書・単価情報
社内の人事評価・給与情報
特許出願前の技術情報

ChatGPTのデータ学習と安全設定についてはChatGPTのデータ学習と安全性設定ガイドで詳述しているので、承認ツール選定の参考にしてほしい。

3. 出力のレビュー義務

「AIが出した回答をそのまま使わない」という原則は明文化する必要がある。

なぜ明文化が必要か。現場では「AIが言ったから正確だろう」という認知が起きやすいからだ。特に生成AIは、自信を持った語調で事実でない情報を出力することがある（ハルシネーション）。法律的な解釈・数値・固有名詞・引用元は、人間が確認する義務を規程に書く。

チェックが義務になる出力の例として、社外に送る文書・顧客への提案内容・数値が含まれるレポートなどを明記すると、現場の判断基準が明確になる。

4. 利用ログと監査ルール

「何を記録するか」を決めておくことは、後になって役立つ。問題が起きたときに調査できるだけでなく、どの業務にAIが使われているかの実態把握にも使える。

記録する項目は重くしない。利用者・利用ツール・業務用途・入力データのカテゴリ（個人情報を含まないか）の4点があれば、初期の監査には十分だ。記録方法は月次の自己申告でも構わない。完璧なログ管理より「何かあったときに確認できる状態」があることが重要だ。

5. 相談・報告窓口

「迷ったときの行き先」を明示する。これが抜けると、社員は迷ったまま動く。

窓口はメールアドレス1本でいい。「AIの利用でこれはよいか？」「違反かもしれないが、どうすればよいか」という相談を受け付ける。窓口があるだけで、シャドーAIのリスクが下がる。問い合わせには48時間以内に回答するというSLA（Service Level Agreement：サービスレベル合意）を設定すると信頼感が上がる。

5要素の解説はここまでだ。次のセクションでは、これを実際の規程文書として書き起こした雛形テキストを提供する。

コピペで使える雛形テキスト（全文サンプル）

雛形テキスト：生成AI社内利用規程（第1版）

生成AIサービス社内利用規程

制定日：〔YYYY〕年〔MM〕月〔DD〕日　　版：第1版所管部署：〔担当部署名〕

第1条　目的

本規程は、〔会社名〕（以下「当社」）における生成AIサービスの業務利用にあたり、情報セキュリティリスクを管理し、適正な利用を確保することを目的とする。

第2条　利用が承認されているサービス（承認ツールリスト）

業務利用が承認されているAIサービスは以下のとおりとする。サービスの追加・削除は〔担当部署〕が行う。

サービス名	対象プラン	承認業務	承認日
〔サービス名〕	〔プラン名〕	〔用途〕	〔日付〕
〔サービス名〕	〔プラン名〕	〔用途〕	〔日付〕

リストにないサービスを業務で使用する場合は、事前に〔担当部署〕へ申請し、承認を受けること。

第3条　入力禁止情報

以下の情報は、承認されたAIサービスへの入力を禁止する。

個人情報（氏名・住所・電話番号・マイナンバー・メールアドレス等、個人を特定できる情報）
当社の未公表の財務情報（売上・利益・計画数値等）
取引先との契約書・見積書・単価情報
社員の人事評価・給与・査定に関する情報
特許出願前または出願中の技術情報・発明の詳細
取引先・顧客から「機密」として受け取った情報
当社が定める機密情報として分類された内部情報

上記に該当するか判断に迷う場合は、入力前に〔担当部署〕へ確認すること。

第4条　出力のレビュー義務

AIの出力結果は、そのまま社外へ送付・提出することを禁止する。以下の確認を人間が行ってから使用すること。

社外送付文書：事実確認・誤情報・不適切表現の有無を確認する
数値を含む資料：引用元・計算根拠を人間が再確認する
法律・契約・規制に関する内容：法務担当者またはその確認を経た判断を使用する
顧客への提案内容：ブランド表現・約束事項・数値の正確性を確認する

第5条　利用ログの記録

業務でAIサービスを利用した場合、〔記録方法：月次申告フォーム等〕で以下を記録する。

利用者氏名（または社員番号）
利用したサービス名・プラン
業務用途（例：メール草案、議事録要約、コード補助）
入力データの種別（例：公開情報のみ／社内情報を含む等）

記録は〔保存期間〕保持し、必要に応じて〔担当部署〕が監査を行う。

第6条　相談・報告窓口

迷ったとき・違反かもしれないと感じたときは、以下の窓口へ連絡すること。違反の可能性がある事象は、自己判断で対処せず、まず報告する。

相談窓口：〔担当部署〕
連絡先：〔メールアドレス〕
回答目安：受信から48時間以内

善意に基づく相談・報告をした者が、その報告を理由に不利益を受けることはない。

第7条　規程の見直し

本規程は〔3か月ごと・年2回等〕に定期的に見直す。AIサービスの主要な変更・新たなリスクの発覚があった場合は、臨時改定を行う。最新版は〔保存場所：社内共有フォルダ等〕で確認できる。

制定：〔会社名〕　〔担当部署〕

法的助言に関する注記

上記の雛形テキストは、実務上の出発点として設計されている。

ここで一点、立ち止まってほしい。「規程を配った」ことと「規程が機能している」ことは別だ。雛形を配布した後に最も大切なのは、第3条の禁止情報リストを自社の実情に合わせて補完することと、第7条の見直しサイクルを実際に実行することだ。

月次更新サイクルで規程を育てる

規程は「配って終わり」ではなく、現場で使われることで育つ。

生成AIの利用環境は月単位で変化する。昨年承認したサービスがプランを改定し、データポリシーが変わることもある。月次で「規程に追いつかない現実」を確認し、必要な修正を入れ続けることが、規程を生きたものにする。

月次レビューの4つのチェックポイント

チェック1：承認ツールリストの更新

承認サービスに新プラン・新機能が追加されていないか確認する。サービス側のデータポリシーに変更があった場合は、承認の継続可否を判断する。新サービスの申請が来ていた場合は、この月次レビューで審査・承認を行う。

チェック2：相談窓口への問い合わせ内容の分析

前月に届いた相談内容を分類する。同じ質問が複数来ていたなら、規程の説明が不十分だということだ。FAQ（よくある質問）を追加する、または禁止情報リストの言い回しを変える判断材料になる。

チェック3：違反・ヒヤリハットの記録

違反や「危なかった」事例を記録する。叱責の目的ではなく、規程の改善材料として使う。同じパターンの違反が起きているなら、規程ではなく業務フロー自体を見直す必要があるサインだ。

チェック4：PoC結果との接続

PoC（Proof of Concept：概念実証）で試した業務をAI活用として本格採用する場合、承認ツールリストへの追加と、入力データの分類確認が必要になる。PoCの成果を規程に反映するこのサイクルが、規程と現場の乖離を防ぐ。

PoCとの接続：雛形を現場で鍛える

規程の雛形は「禁止情報をどう区別するか」が最も難しい部分だ。

PoCを回すことで、この難しさが解決することがある。実際に試してみると「この情報は社外秘か社内情報か」「このAIの出力に人間のレビューが必要なのかどうか」という判断が、経験から積み上がる。

2週間PoCの設計方法で解説している「1業務・3〜5人・2週間・指標2つ」の検証を先に回し、出てきた問いを月次レビューで規程に反映する——このサイクルが、規程を机上の文書から現場の道具に変える。

シャドーAIのリスクを防ぐガバナンス設計の詳細については、シャドーAIの実態2026で統計データとともに整理している。

「配って終わり」にしないために：規程は現場で読まれて更新される

本記事の冒頭で述べた「完璧な規程より今週配れる規程が機能する」の意味はこうだ。規程は完成品として配るものではなく、現場との対話を通じて育てるものだ。A4一枚で始め、問い合わせが来るたびに文言を直し、PoCの経験が蓄積するたびに禁止情報リストを更新し、3か月ごとに見直す——このサイクルを持てた組織の規程は、半年後には自社の業務実態にフィットした実用文書になっている。

次の一手は、雛形テキストを開き、〔会社名〕と〔担当部署〕を書き換えることだ。完璧でなくていい。禁止情報リストの3〜5項目が埋まれば、今週中に配布できる第1版ができあがる。

生成AIガバナンスの全体設計（部門別ユースケース・ツール選定・ROI指標・PoCロードマップ）については生成AI ビジネス活用大全で体系的に整理している。規程の整備が一段落したら、次のステップとしてガバナンス設計全体を確認することを推奨する。

生成AIガバナンスの全体設計を確認する

規程の雛形を作ったら、次はPoC設計・ツール選定・ROI設計を含むガバナンス全体像を確認する。生成AI ビジネス活用大全が出発点になる。

生成AI ビジネス活用大全を読む PoCの設計方法を確認する