生成AIの社内ルール・ガイドラインの作り方｜決める項目と進め方

生成AIの社内ルール・ガイドラインは、①自社の情報資産の棚卸し、②業務・部署ごとの利用範囲の決定、③出力内容の確認体制、④例外利用の申請・承認、⑤見直しサイクルの順に決めると、手戻りが少なくまとまります。決める項目は大きく「利用範囲」「確認・承認」「運用・見直し」の3種類です。最初から完璧な規程を目指さず、A4で1〜2枚の「やってよいこと・いけないこと」から始め、運用しながら追記していく形なら、中小企業でも無理なく続きます。

文書のひな形は日本ディープラーニング協会（JDLA）などが無料で公開しているため、項目を一から考える必要はありません。時間をかけるのは、自社のどの情報を生成AIに入力させないか、どの業務で使ってよいかという線引きです。

社内ルールが必要になる理由

生成AI（LLM＝大規模言語モデル。文章を人のように理解して処理できる生成AIの中核技術）の業務利用が広がる中で、使ってよい範囲を各部署の判断に任せたままにすると、部署ごとに判断がばらつきます。機密情報をそのまま入力する、出力内容を十分に確かめずに社外向け資料へ使う、といった事態も起きます。セキュリティ面の論点（入力データの扱い・出力内容の確認・権限設計）は生成AIのセキュリティ対策とはで詳しく説明していますが、論点を知っているだけでは日々の業務は変わりません。論点を実際の判断基準と手順に落とし込んだものが、社内ルール・ガイドラインです。

何を決めるべきか（全体像）

決める事柄は、大きく次の3種類に分かれます。

• 利用範囲のルール：どの業務・どの情報について、生成AIの利用を認める／認めないか
• 確認・承認のルール：出力内容を業務で使う前に、誰がどのような形で確認するか
• 運用・見直しのルール：ルール自体を誰がいつ見直すか、例外的な利用をどう申請・承認するか

3種類のうち、最初に手をつけるのは利用範囲のルールです。確認・承認や運用の設計は、どこまでの利用を認めるかが固まって初めて具体化できます。

細部のルール（禁止用語リストや承認フォームの様式等）から議論を始めると、全体像がまとまらないまま作業が長引きます。進める手順は次の5段階です。

• ① 自社の情報資産を棚卸しする（顧客情報・取引先の非公開情報・自社の未公開情報等、生成AIに触れさせたくない情報の範囲を洗い出す）
• ② 業務・部署ごとに、生成AIをどこまで利用してよいかの大枠を決める
• ③ 出力内容の確認体制（誰が・どの粒度で確認するか）を決める
• ④ 例外的な利用の申請・承認フローを決める
• ⑤ 運用開始後の見直しサイクル（頻度・見直しの担当者）を決める

前の段階で決めたことを土台に次のルールを組み立てられるため、途中での手戻りが減ります。

項目ごとの検討視点

• 利用範囲：業種や扱う情報の性質によって適切な線引きは異なる。他社の公開事例をそのまま使わず、自社の情報資産の棚卸しから決める
• 確認体制：生成AIは事実と異なる内容をもっともらしく生成することがある（いわゆるハルシネーション）。出力を社外に出す前の確認を、業務の重要度に応じた粒度で設計する
• 例外対応：想定していない利用場面は後から出てくる。都度の申請・承認で対応できる窓口を用意し、ルールの形骸化を防ぐ
• 見直しサイクル：生成AIのサービスは短期間で更新されるため、一度決めたルールを固定せず、定期的に見直す

ガイドラインに載せる項目の例

文書にまとめるときは、次の項目を見出しにすると抜け漏れを防げます。JDLAが2023年5月に公開した「生成AIの利用ガイドライン」のひな形や、総務省・経済産業省の「AI事業者ガイドライン」も、項目を洗い出す際の参考になります。

• 目的と適用範囲：誰が、どの業務で使う場合に適用するか
• 利用してよいサービス：会社として認めるサービス名、契約形態（個人アカウントか法人契約か）、入力したデータをAIの学習に使わせない設定にしているか
• 入力してはいけない情報：顧客の個人情報、取引先から預かった非公開情報、未発表の自社情報など
• 出力の扱い：社外に出す前の確認者、事実確認の方法、著作権や商標を侵害していないかの確認
• 記録と報告：利用した業務の記録を残すか、問題が起きたときに誰へ報告するか
• 相談窓口と見直し：判断に迷ったときの問い合わせ先と、ルールを見直す時期・担当者

策定後の運用で意識すべきこと

ルールを文書化しても、それだけで実際の利用場面で守られるわけではありません。運用に乗せるときは、次の3点を決めます。

• 周知の方法：一度説明して終わりにせず、業務でAIを使う場面に近い時期に繰り返し周知する
• 相談窓口：判断に迷ったときにすぐ相談できる担当者・窓口を明確にする
• 過度な制限の回避：制限を厳しくするほど良いと考えると、業務効率化の効果まで失われる。情報資産の重要度に応じて、制限に濃淡をつける

よくある誤解

①一度作れば終わりだと考える：生成AIのサービスや自社の利用場面は変化するため、見直しサイクルを組み込まないルールは早い段階で形骸化します。

②細かいルールを積み上げるほど安全だと考える：ルールが複雑になりすぎると守りきれなくなり、かえって形骸化を招きます。大枠の判断基準を固め、細部は運用しながら調整します。

③他社のガイドラインを流用すれば十分だと考える：扱う情報の性質や業務内容は企業ごとに異なるため、他社事例は参考にとどめ、自社の情報資産の棚卸しから組み立てます。

外部に依頼する場合の進め方

外部に頼む場合も、現状の把握・策定・運用の3段階で進みます。

①現状の把握では、自社の情報資産と業務ごとの生成AIの利用状況を洗い出し、利用範囲・確認体制・見直しサイクルの大枠を決めます。AIエージェント（自律的に判断し社内システムを操作するAIの仕組み。詳しくはAIエージェントとはを参照）を導入する場合は、権限設計の考え方もこの段階で確かめます。

②策定では、決めた大枠をもとにガイドライン本文と、確認体制・例外申請の窓口といった運用の手順を文書にします。

③運用では、生成AIサービスの更新や利用場面の変化に応じて、ルールを継続的に見直します。依頼前に、利用中のサービス名と、すでに起きている判断に迷った事例を数件まとめておくと、打ち合わせが短く済みます。

費用の目安

費用は情報資産の複雑さや対象業務の範囲によって変わります。次の表は市場相場の目安で、特定サービスの確定価格ではありません。

ルールは、作ることより運用を続けることのほうが難しい領域です。最初の1〜2枚を配ったあとは、実際に出てきた質問をもとに四半期ごとに追記します。

まとめ：ルールは運用して初めて機能する

生成AIの社内ルール・ガイドラインは、情報資産の棚卸し→利用範囲→確認体制→例外対応→見直しサイクルの流れで組み立てると、手戻りの少ない形でまとまります。文書化したあとは、周知・相談窓口・定期的な見直しを組み込むことで、日々の業務で使われるルールになります。導入前に確かめたいセキュリティの論点は生成AIのセキュリティ対策とは、AIエージェントの全体像はAIエージェントとはも参考になります。

生成AI導入に関するよくあるご質問はよくあるご質問でも回答しています。

手順の①情報資産の棚卸しと②業務ごとの利用範囲の線引きは、社内で使っている生成AIサービスと判断に迷った事例をもとに、awaiがたたき台づくりから手伝えます。