AIを社内で使うルールの作り方｜入力してよい情報の線引きとサンプル・浸透の進め方【2026年版】

「社員がAIを使い始めているらしいが、会社として何も決めていない」

AIを社内で使う話になると、いちばん多いのがこの状態です。総務省『令和8年版 情報通信白書』によると、2025年度の企業向け調査で、自社の何らかの業務で生成AIを利用していると回答した企業は日本で86.4%でした。一方、同じ白書でリスク対策として「全社的な指針やガイドラインを整備している」と回答した日本企業は41.1%です。使っている会社の数に、ルールのある会社の数が追いついていません。

ルールがないまま使われている会社では、2つのことが同時に起きます。慎重な社員は「怒られそうだから使わない」と手を止め、積極的な社員は個人のアカウントで黙って使います。会社が契約したAIは使われず、会社が把握していないAIに社内の情報が入っていく。これがいちばん避けたい形です。

この記事では、AIを社内で使うためのルールを、従業員数名から数十名の会社でも1週間で形にできる手順としてまとめます。扱うのは、ルールに入れる7項目、入力してよい情報の線引き、A4一枚のルールのサンプル、社内の文書をAIにつなぐときに増える注意点、そして作ったルールを現場に根づかせる進め方です。なお、AIをどの業務から入れるかという導入計画そのものは生成AI導入が失敗する理由と成功ステップをまとめた記事で扱っているので、導入の検討段階の方はそちらを先にご覧ください。

AIの社内利用で最初に決めるのは「使ってよい範囲」

社内ルールというと「入力禁止の情報を並べる文書」を想像しがちですが、禁止事項から書き始めたルールは、たいてい使われません。先に決めるのは、どのAIを、どの業務に、どこまで使ってよいかです。

ルールがない会社で起きていること

独立行政法人情報処理推進機構（IPA）が2026年1月29日に公表した「情報セキュリティ10大脅威 2026」では、組織向けの脅威の3位に「AIの利用をめぐるサイバーリスク」が初めて選ばれました。IPAはこの中で、従業員が会社に無断で個人のAIサービスを業務に使う問題にも触れ、対策としてAIの利用規定の整備や、未承認のAIサービスの利用を防ぐ取り組みを挙げています。

会社が把握していないAI利用は「シャドーAI」と呼ばれます。問題は、悪意のある社員がいることではありません。仕事を早く終わらせたい真面目な社員ほど、手元にある道具を使うことです。議事録をまとめたい、取引先へのメールを整えたい、見積の計算を確かめたい。その場で使える個人のアカウントに、会議の内容や取引先の名前がそのまま入っていきます。

先ほどの白書でも、生成AIの活用で日本企業が懸念するリスクとして最も多く挙がったのは、社内の機密情報の漏えいなどのセキュリティ面でした（2025年度調査）。心配している会社は多いのに、指針を整えた会社は41.1%。心配はしているが、決めてはいない。ここがいまの中心的な課題です。

全面禁止がいちばん危ない理由

「決まるまでは全面禁止」という対応は、安全に見えて逆の結果を生みます。

書いてある禁止事項が同じでも、書く順番で結果が変わります。禁止から書かれたルールは「使うな」と読まれ、使える範囲から書かれたルールは「ここまでは使ってよい」と読まれます。

社内ルールの役割は、社員を縛ることではなく、安心して使える場所を会社が用意することです。会社が契約したAIという「安全な入口」を先に示せば、個人のアカウントに流れる理由がなくなります。禁止事項は、その入口の中での注意書きとして置きます。

社内ルールに入れる7項目

何を書けばよいのかを先に示します。小さな会社であれば、次の7項目がA4一枚に収まっていれば十分に機能します。

7項目の一覧

この中で作るのにいちばん時間がかかり、いちばん効くのは4番目の「入力する情報の区分」です。次の章で詳しく扱います。

1番目と2番目を先頭に置いているのは、先ほどの理由からです。読む人が最初に目にするのが「使ってよいAI」と「使ってよい業務」であれば、ルール全体が「使うための文書」として受け取られます。

6番目の連絡先は軽く見られがちですが、実務ではここが効きます。人は間違えます。取引先の名前を消し忘れて入力してしまうことは、どれだけ教育しても起きます。そのときに「誰に、いつまでに知らせるか」が書いてあり、早く知らせた人を責めないと明記されていれば、会社は当日のうちに履歴の削除や取引先への確認に動けます。

拠り所にできる公的な資料

ルールを一から考える必要はありません。公的機関や業界団体が、下敷きにできる資料を公開しています。ただし資料ごとに役割が違うため、目的に合わせて使い分けます。

AI事業者ガイドラインは、総務省と経済産業省が2024年4月に第1.0版を公表して以降、改訂を重ねており、2026年10月時点の最新は第1.2版です（経済産業省の掲載ページ）。条文のひな形がほしい場合は、日本ディープラーニング協会が公開している「生成AIの利用ガイドライン」が出発点になります。同協会は、各組織の活用目的に応じて追加や修正を加えて使うよう案内しています。

国の制度としては、2025年6月4日に公布され、同年9月1日に全面施行された「人工知能関連技術の研究開発及び活用の推進に関する法律」（AI法）があります（内閣府の公表資料）。制度の整備は続いているため、ルールを見直すときには公的な資料が更新されていないかを確かめてください。

注意したいのは、ひな形をそのまま社内に配っても機能しないことです。ひな形は、どの業種のどの会社でも使えるように書かれています。そのぶん「取引先から預かった図面はどう扱うのか」「応募者の履歴書は入力してよいのか」といった、自社で実際に起きる場面には答えてくれません。ひな形は骨組みとして使い、自社の業務の言葉に書き換える作業が要ります。

無料資料のご案内

生成AI 社内活用スタートキット

AIを社内で使い始めるための1冊。社内展開の進め方をまとめています。

資料を見る（無料）

AIの社内ルールづくりでお困りですか

初回ヒアリング・ご提案まで完全無料

無料で相談する

入力してよい情報の線引き｜3つの区分で決める

社内ルールでいちばん質問が出るのが「この情報は入力してよいのか」です。ここを「機密情報は入力禁止」の1行で済ませると、社員は何が機密情報なのかを自分で判断することになり、線引きが人によって変わります。

情報を3つの区分に分ける

おすすめは、情報を3つの区分に分け、区分ごとに扱いを決めておく方法です。

3つの区分の境目は、「誰の情報か」で考えると判断しやすくなります。

入力してよい情報は、すでに社外に出ているか、誰が見ても困らない情報です。自社のWebサイトに載せた文章、公開済みの会社案内、一般的な業務知識への質問がこれにあたります。

条件つきで入力する情報は、自社のものだが社外には出していない情報です。会議の議事録、社内の企画書、見積や原価の数字など。この区分は、会社が法人として契約したAIに限り、取引先の社名や個人の名前を伏せたうえで入力します。

入力しない情報は、他人から預かっている情報です。お客様や応募者の個人情報、取引先との契約で守秘義務を負っている資料、そしてパスワードなどの認証情報。自社の判断だけでは扱いを決められないものがここに入ります。

「他人から預かっている情報」という基準は、建設業のように発注者・元請・協力会社のあいだで図面や仕様書をやり取りする業種で特に効きます。図面は自社のパソコンに入っていても、発注者との契約で守秘の対象になっていれば自社の情報ではありません。手元にあることと、自由に使えることは別です。

個人情報については、個人情報保護委員会が2023年6月2日に公表した「生成AIサービスの利用に関する注意喚起等」が基準になります。この中で事業者に求められているのは、個人情報を含む内容を入力するときは、特定された利用目的を達成するために必要な範囲内であるかを十分に確認すること。そして、本人の同意を得ずに個人データを入力し、それが応答の出力以外の目的で扱われると個人情報保護法に違反する可能性があるため、サービスの提供元がその個人データを機械学習に利用しないこと等を十分に確認することです（個人情報保護委員会の公表ページ）。小さな会社がこの確認を1件ずつ行うのは現実的ではないため、「個人情報は入力しない」を原則とし、必要になったら責任者が環境を整えてから例外を認める、という順番が安全です。

同じ情報でも「どの契約のAIか」で扱いが変わる

情報の区分とあわせて決めておくのが、AIの契約の形です。同じ名前のAIでも、個人で登録したものと会社が法人として契約したものでは、入力した内容の扱われ方が違います。

たとえばOpenAIは、法人向けのプライバシー説明ページ（2026年10月時点）で、ChatGPT Business、ChatGPT Enterprise、APIのデータについて、利用者が明示的に共有を選ばない限りモデルの学習に使わないと記載しています。Microsoftも公式ドキュメント（2026年7月9日更新版）で、Copilotに入力したプロンプトや応答、参照された組織のデータは基盤となる言語モデルの学習に使わないと明記しています。

ここから言えるのは、「学習に使われるかどうか」はAIの種類ではなく契約と設定で決まるということです。そして契約の条件は提供元によって、また時期によって変わります。ルールには「このAIは安全」と書くのではなく、「会社が契約したAIを使う。契約の条件は担当者が年に1回確かめる」と書いておくほうが長持ちします。

もう一つ、法人契約にする理由は学習の話だけではありません。個人のアカウントは、その社員が退職したときに会社から切り離せません。過去のやり取りが、退職した人の手元に残ります。法人契約であれば、利用者を会社が追加・削除でき、誰がどの程度使っているかも分かります。AIのランニングコストを読める状態にするうえでも、契約を会社に集める意味は大きく、費用の考え方はAIコストが膨らむ仕組みと抑え方をまとめた記事で解説しています。

迷いやすい場面の判定例

区分を決めても、現場では「これはどっちだ」という場面が出ます。よく聞かれるものを先に判定しておくと、ルールが実際に使われるようになります。

取引先へのメールの例を、もう少し具体的に見ます。ポイントは、AIに渡すのは「状況」であって「固有名詞」ではないことです。

出てくるメールの質は、どちらもほとんど変わりません。AIが文面をつくるのに必要なのは「誰に」「何を」「どんな事情で」伝えるかであり、相手の本名や金額の実数は要らないからです。伏せ方を1つ覚えるだけで、条件つきの情報の大半は安全に扱えるようになります。

そのまま使える社内ルールのサンプル（A4一枚）

ここまでの内容を、1枚のルールにまとめたサンプルを載せます。自社の業務の言葉に書き換えて使ってください。

このサンプルで意識しているのは3点です。

1点目は、「〜しない」より「〜してよい」を先に書くこと。2番と3番で使える範囲を示してから、4番以降で注意点を置いています。

2点目は、別表に逃がすこと。契約しているAIの名前や、3区分の具体例は、本文ではなく別表にします。AIの入れ替えや区分の追加は頻繁に起きるため、別表だけ差し替えれば済む形にしておくと、見直しの手間が小さくなります。

3点目は、担当者の名前を書くこと。「情報システム部門に相談」ではなく、個人の名前と連絡先を書きます。小さな会社では社長や総務の担当者で構いません。相談先が人の名前で書いてあるだけで、自己判断で進める人が減ります。

7番の権利の確認について補足します。生成AIと著作権の関係は、文化庁が2024年3月に「AIと著作権に関する考え方について」を取りまとめており、文化庁の特設ページで資料が公開されています。社内向けの下書きに使う範囲であれば問題になる場面は限られますが、広告、Webサイト、提案書など社外に出すものにAIの生成物を使うときは、既存の作品に似ていないかを人が確かめる手順を入れておきます。

なお、就業規則のような「規程」として定めるか、運用の手引きである「ガイドライン」として定めるかは、会社の規模で決めて構いません。数十名までの会社であれば、まずガイドラインとして1枚で始め、運用が落ち着いた段階で規程に組み込む進め方が現実的です。最初から条文を整えようとして数か月かかり、その間ずっとルールがない状態が続くことのほうが問題です。

社内の文書をAIにつなぐときに増える注意点

ここまでは、社員がAIに文章を入力する使い方の話でした。活用が進むと、次に出てくるのが「社内の規程やマニュアルをAIに読ませて、質問に答えさせたい」という使い方です。社内の問い合わせに答えるチャットボットや、社内文書の検索がこれにあたります。この段階では、ルールに足すことがあります。

「学習させる」と「参照させる」は別のこと

最初に言葉を整理します。「社内データをAIに学習させる」という言い方がよく使われますが、いま普及している社内向けのAIの多くは、学習ではなく参照で動いています。

参照とは、質問が来るたびに、あらかじめ登録しておいた社内文書の中から関係する箇所を探し、その内容をもとに答えを組み立てる動きです。AIそのものが社内の情報を覚えるわけではありません。文書を差し替えれば、その時点から答えも変わります。

この違いが分かると、気をつける場所が変わります。心配すべきは「AIが社内情報を覚えて外に漏らす」ことより、「AIが社内の誰に何を見せるか」です。

聞けば答えるAIは、見えてはいけないものも答える

社内の文書をつないだAIは、質問した人に見せてよい文書かどうかを、文書につけられた閲覧権限で判断します。Microsoftの公式ドキュメント（2026年7月9日更新版）には、Copilotは個々のユーザーが少なくとも表示のアクセス許可を持っている組織データのみを表示すること、そのため適切なユーザーやグループが適切なコンテンツにアクセスできるよう、アクセス許可の仕組みを使うことが重要であることが書かれています。

裏を返すと、権限の設定が緩い会社では、AIがその緩さをそのまま表に出します。これまでは、共有フォルダの奥に給与の一覧や人事評価のファイルが「全員が閲覧可能」の設定で置かれていても、わざわざ探す人がいないので問題になりませんでした。AIは探します。「部長の評価を教えて」と聞かれれば、見える場所にあるファイルから答えを組み立てます。

AIが情報を漏らしたのではなく、もともと見える状態だったものが、探しやすくなっただけです。だからこそ、つなぐ前の点検が要ります。

最初につなぐのは「全員が見てよい文書」から

安全な始め方は、全社員に見せてよい文書だけを集めた場所を1つ作り、そこだけをAIにつなぐことです。就業規則、経費精算の手順、休暇の申請方法、社内システムの使い方。総務や経理に毎日のように届く質問は、たいていこの範囲に収まります。

この始め方には利点が3つあります。権限の事故が起きないこと。問い合わせ対応の時間が減り、効果が見えやすいこと。そして、文書を整える過程で「規程の最新版がどれか誰も知らない」といった、AI以前の問題が見つかることです。

この段階になったら、ルールには次の3点を足します。AIにつなぐ文書を追加するときは担当者の承認を受けること。AIの答えは根拠の文書を開いて確かめること。古くなった文書を見つけたら担当者に知らせること。A4一枚のルールに3行足すだけで足ります。

ルールを社内に根づかせる進め方｜PlanTiveの考え方

ルールは、作っただけでは使われません。よくあるのは、文書を全員にメールで送り、誰も読まないまま半年が過ぎる形です。ここからは、作ったルールを現場に根づかせる進め方を、PlanTiveがAI活用支援で実際に置いている順番で共有します。

ステップ1｜担当者が決まらない会社はルールも決まらない

AIの社内活用でよく起きるのが、「ガイドラインを整備しないと本格的に使えない」と言いながら、誰がいつ作るのかが決まっていない状態です。担当が決まっていない仕事は、誰の仕事でもないので進みません。

担当者に必要なのは、ITの専門知識よりも、社内の業務を知っていて、聞かれたら答える役目を引き受けることです。小さな会社なら社長自身や総務の責任者で構いません。専任である必要もありません。通常業務の一部の時間を充てる兼務の形でも、名前が決まっていれば回ります。

あわせて効くのが、経営者自身の発信です。社長が「会社としてAIを使っていく。そのための安全な場所を用意した」と口に出すかどうかで、社員が受け取るルールの意味が変わります。同じ文書でも、黙って配られれば「締めつけ」に、言葉を添えて渡されれば「後押し」になります。

ステップ2｜「何に困っているか」から聞く

実態を聞くときは、「AIを使っていますか」と聞くより、「毎日の仕事で、時間がかかって嫌だと感じる作業は何ですか」と聞くほうが、役に立つ答えが返ってきます。

AIに何ができるかを知らない人に「AIを何に使いたいか」と聞いても答えは出ません。けれども、困っていることは誰でも言えます。議事録に毎回1時間かかる、同じ質問に何度も答えている、日報を書くのが苦痛だ。こうした声を集めると、「使ってよい業務」の欄に書くべきことが自然に決まります。ルールの「使ってよい業務」は、会社が考えるのではなく、現場の困りごとから拾うのがコツです。

このとき、すでに個人のアカウントで使っている人が見つかることがあります。責めないでください。その人は、会社でいちばんAIの使いどころを知っている人です。ルールづくりに加わってもらえば、実態に合った判定例が早く揃います。

ステップ4｜禁止事項だけを教えない

ルールの説明会で禁止事項だけを読み上げると、参加者は「面倒だから使わない」という結論を持って帰ります。ルールの説明は、実際の業務での使い方とセットで行うのが原則です。

おすすめの構成は、前半で「この業務はこう頼むと5分で終わる」という実演を見せ、後半で「そのとき、この情報は伏せる」という形でルールを添える流れです。先ほどのお詫びメールの例のように、良い使い方の中にルールが埋め込まれていれば、覚えることは増えません。

何をどの順番で教えるかについては、生成AI研修の内容とカリキュラム設計をまとめた記事で職種別・レベル別に整理しています。

ステップ5｜質問が多い箇所を直し続ける

AIの道具は数か月で入れ替わります。新しい機能が出れば、ルールが想定していない使い方が生まれます。見直しの間隔は3か月を目安にし、次の3つを材料にします。

担当者に届いた質問。同じ質問が3回来たら、それは判定例に足すべき項目です。次に、実際に起きた出来事。誤って入力した、誤った内容を社外に出しかけた、といった報告は、ルールのどこが足りなかったかを教えてくれます。最後に、契約しているAIの条件の変更。入力した内容の扱いが変わっていないかを、提供元の公式ページで確かめます。

見直しは大がかりにしないことです。別表の判定例を2〜3行足す、連絡先を更新する。その程度の更新を定期的に続けるほうが、年に1回の全面改訂より効きます。

PlanTiveが支援するときに置いている順番

PlanTiveは、採用代行で培った「先に設計してから動く」進め方を、AI活用支援にも適用しています。ルールづくりの支援でも、文書を作る前に、どの業務で使うのか、誰が担当するのか、どの情報を扱うのかを一緒に整理するところから始めます。ひな形を渡して終わりにしないのは、ルールが機能するかどうかが、自社の業務の言葉で書かれているかどうかで決まるからです。

代表の加地は、鹿島建設の現場で勤務し、施工管理と営業を経験しています。図面・見積・協力会社とのやり取りといった建設業の情報の流れを前提に、3区分の線引きや判定例を一緒に整理できます。ご支援全体での契約継続率は98%、最短5日で支援を開始でき、初回のヒアリング・現状分析・提案までは無料です。

無料資料のご案内

生成AI 社内活用スタートキット

AIを社内で使い始めるための1冊。社内展開の進め方をまとめています。

資料を見る（無料）

AIの社内ルールづくりでお困りですか

初回ヒアリング・ご提案まで完全無料

無料で相談する

AI社内ルールのチェックリスト

自社の状態を確かめるための項目です。空欄がある項目が、次に決めることです。

まとめ｜AIの社内ルールは「使うための文書」として作る

AIを社内で使うためのルールは、社員を縛る文書ではなく、会社が安心して使える場所を用意したことを伝える文書です。この記事の要点を整理します。

最初から整った規程を目指す必要はありません。A4一枚のルールと、相談できる担当者の名前。この2つが揃えば、慎重な社員は使い始め、黙って使っていた社員は会社のAIに戻ってきます。

無料資料のご案内

生成AI 社内活用スタートキット

AIを社内で使い始めるための1冊。社内展開の進め方をまとめています。

資料を見る（無料）

AIの社内ルールづくりでお困りですか

初回ヒアリング・ご提案まで完全無料

無料で相談する

よくある質問

無料資料

生成AI 社内活用スタートキット

AIを社内で使い始めるための1冊。社内展開の進め方をまとめています。

社内活用の進め方はじめての方向け完全無料

資料を見る（無料）

AIの社内ルールづくりでお困りですか

初回ヒアリング・ご提案まで完全無料

無料で相談する

＼ 最新情報をチェック ／

@vektor_inc