生成AI導入ガイドラインの作り方｜公開実例と雛形から作る最小セット
「生成AIは、いったん禁止で」。情報システム部門や法務からそう言われて、話が止まった経験はないでしょうか。
安全のために禁止する。判断としては分かります。ただ、現場では別のことが起きます。個人のスマートフォンやアカウントでこっそり使う人が出てきて、会社の目が届かないまま機密情報が入力される。禁止したはずが、かえって管理できない使い方が広がっていきます。
立派な規程を先に作り込むより、最小限のルールから始めて、進めながら整える方が安全です。
そのやり方を、人事・総務・経営企画の担当者が今日から手を動かせる形に整理しました。
まず押さえる4項目（利用範囲・データ・承認・記録）から始めて、無料で使える雛形と、東京都やデジタル庁が公開しているガイドラインの中身を具体的に見ていきます。あわせて、人事の業務を安全度で3段階に仕分けた表と、そのままガイドラインの項目に使える14項目のチェックリストもつけました。
生成AI導入ガイドラインとは
生成AI導入ガイドラインとは、社員が生成AIを業務で使うときに守るべき範囲と手順を定めた社内ルールです。禁止一覧ではなく、安全に使うための約束事を指します。
国が出しているAI事業者ガイドライン（総務省・経済産業省、第1.2版・2026年3月31日）も、利用を止めるのではなく、リスクを管理しながら活用することを前提にしています。
このガイドラインは、AIに関わる立場を開発者・提供者・利用者の3つに分けています。生成AIを買って業務で使う会社は、このうちのAI利用者にあたります。開発する側でなくても、守るべき考え方が示されているということです。
もう一つ押さえておきたいのが、リスクベースアプローチという考え方です。すべての用途に同じ厚さの手当てをするのではなく、外れたときの影響が大きい用途ほど確認を厚くする。この考え方が分かると、なぜ全社一律の禁止が筋の悪い打ち手なのかが見えてきます。
法律の側も動きました。2025年9月に全面施行されたAI推進法（人工知能関連技術の研究開発及び活用の推進に関する法律）は、禁止行為を並べる規制法ではなく、活用を進めるための基本理念と各主体の責務を定めた法律です。ここでいう活用事業者には、AIを業務で使うだけの会社も含まれ、その過程の透明性を確保する努力義務が置かれています。
罰則はありません。ただし、何にどう使っているかを説明できる状態にしておくことが、国の方針としても求められる方向になった、とは言えます。
ガイドラインは守りのためだけのものではありません。AI活用（AX）をどこでどれだけ急ぐかという緊急度と戦略性を見極めながら、その推進を止めないための土台にもなります。人事や総務は社内の運用が集まる場所で、AI活用の旗手になりやすいため、ここでルールを整える意味は大きいものです。
禁止した会社ほど、隠れて使う人が増える
生成AIを全面禁止しても、使いたい人はいなくなりません。会社の管理外にある個人のアカウントへ移るだけです。無料版に社外秘の資料を貼り付けて要約させる、といった使い方が、誰にも見えないところで起きます。
これをシャドーAIと呼びます。会社が把握していないところで、社員が自分の判断でAIを業務に使っている状態のことです。
規模の感覚をつかむのに、Microsoft と LinkedIn の Work Trend Index 2024（31か国・約31,000人の調査）が参考になります。業務でAIを使う人の78%が、会社が用意したものではない自前のAIを持ち込んで使っていました。中堅・中小企業ではこの比率が80%に上ります。
同じ調査では、AIを使う人の52%が、重要な仕事でAIを使ったことを認めたがらないとも答えています。
隠れて使うのは一部の例外ではなく、多数派の行動だということです。ここに禁止を重ねても、さらに水面下へ押し込む力にしかなりません。
この状態が一番危険なのは、何を入力したかの記録が残らず、問題が起きても後から追えないからです。禁止は安全に見えて、実際にはリスクを見えなくしているだけのことがあります。
日本の会社が置かれた状況も、この流れを後押ししています。令和7年版情報通信白書（総務省）によれば、生成AIの活用方針を定めている日本企業は49.7%で、約9割の米国・中国・ドイツと大きな差がありました。半数の会社には、社員が判断のよりどころにできるルールがありません。
大切なのは、使わせないことではなく、見える形で使ってもらうことです。ルールがあれば、危ない使い方は減り、良い使い方は社内に共有されていきます。
最小限そろえる4項目
最初から分厚い規程は要りません。まず次の4つを決めれば、現場は安心して動き出せます。
利用範囲は、どの業務でどこまで使ってよいかです。議事録の要約や文章の下書きはよい、といった許可の線を引きます。
データは、何を入力してはいけないかです。個人情報や未公開の経営情報、顧客の機密は入れない、と具体的に挙げます。
ここで一緒に確認したいのが、契約しているサービスの学習設定です。入力した内容がAIの学習に使われない設定になっているかどうかで、同じ文章を貼り付けても意味が変わります。法人向けの契約では学習に使わない扱いが既定になっていることが多く、無料版との差はここに出ます。設定の名前は製品ごとに違いますが、学習への利用をオフにする、いわゆるオプトアウトができているかを一度見ておくと、データの線引きが具体的になります。
承認は、新しい使い方を始めるときに誰へ相談するかです。上長かAIの担当窓口を決めておけば、判断が属人化しません。
記録は、どんな用途で使ったかを残す仕組みです。簡単な申請フォームや一覧で十分で、後から振り返れる形を作ります。
この4つは、思いつきで並べたものではありません。AIのリスク管理の国際的な枠組みであるNIST AI RMF（米国国立標準技術研究所のAIリスクマネジメントフレームワーク）は、体制を決める・用途と影響を把握する・実際を測る・対処するの4つの働きでリスクを回します。承認と窓口が体制、利用範囲とデータが用途の把握、記録が測るための土台にあたります。
枠組みを一から作る必要はなく、すでにある型の最小構成を自社の言葉で書き写せば足ります。
公開されているガイドラインの実例を、下敷きにする
白紙から書き始める必要はありません。無料で公開され、自社向けに書き換えて使ってよい実物が、すでにいくつもあります。実際に開いてみると、何をどこまで書けばよいかの感覚がつかめます。
雛形をそのまま使う：JDLAの利用ガイドライン
一番早い出発点は、日本ディープラーニング協会（JDLA）が公開している生成AIの利用ガイドライン（第1.1版）です。社内規程の条文の形で書かれた雛形で、誰でも無料でダウンロードでき、自社の目的に合わせて追加や修正を加えて使ってよいと明示されています。
条項だけの版と、条項に簡易な解説がついた版の2種類があります。まず解説付きを読み、条項のみの版を自社の文書に貼って直す、という進め方が現実的です。
ただし、雛形をそのまま配ると現場は動きません。書かれているのは一般論で、自社のどの業務を指しているかが分からないためです。業務名を自社の言葉に置き換え、使ってよい例と使わない例を自社の実務から2つずつ書き足す。この一手間で、読まれる文書になります。
分量の置き方を学ぶ：東京都の初版ガイドライン
東京都デジタルサービス局が2023年8月に出した文章生成AI利活用ガイドラインは、分量の配り方が参考になります。
全体69ページのうち、職員が守るべきルールとして掲げられているのは、次の4つだけです。
- 個人情報等、機密性の高い情報は入力しないこと
- 著作権保護の観点から、既存の著作物に類似する文章の生成につながるプロンプトを入力せず、公開する場合は類似しないか入念に確認すること
- 生成された回答の根拠や裏付けを、必ず自ら確認すること
- 回答を対外的にそのまま使用する場合は、その旨を明記すること
一方、効果的な活用方法と具体的なプロンプト例には、約19ページが割かれています。
守るべきルールは4つ、使い方の解説は約19ページ。この配分そのものが、ガイドラインを何のために作るのかを表しています。自社の草案ができたら、禁止に割いた分量と、活用に割いた分量を数えてみてください。
なお、利用開始前の申請フォームでの申請と、eラーニングの受講も条件として定められています。ルールを絞る代わりに、入口で一度だけ手続きを通す。この組み合わせも、そのまま真似できます。
用途の重さで仕分ける：東京都とデジタル庁の判定の型
リスクベースアプローチを実際にどう運用するかは、行政側の資料が具体的です。
東京都が2026年3月に策定したAI導入・活用ガイドラインは、業務を3つの領域（都民サービス、都民サービス関連業務、職員内部業務）と5つの利活用の分類に整理したうえで、それぞれを青・黄・赤の3段階に色分けしています。青は比較的リスクが低く積極的に使う、黄はリスクに十分配慮したうえで積極的に使う、赤は技術動向や法制度の整備を注視する、という区分です。
デジタル庁の生成AIの調達・利活用に係るガイドラインは、さらに踏み込んで高リスク判定シートを用意しています。判定の軸は、利用者の範囲と種別、業務の性格、機密情報や個人情報を学習させるかどうか、そして出力結果を人の判断を経て使うかどうかの4つです。
この4つは、そのまま民間企業の判断軸になります。誰が使うのか。何に使うのか。何を入れるのか。出力を人が確認してから使うのか。この4問に答えれば、どの用途を厚く見るべきかが決まります。
人事業務を青・黄・赤に仕分けてみる
考え方が分かっても、自社の業務に当てはめる段で手が止まります。人事の実務に落とすと、たとえば次のようになります。自社の業務名に置き換えて、たたき台としてお使いください。
| 人事の業務 | 区分 | 判断の理由 |
|---|---|---|
| 議事録の要約、社内向け通知文の下書き | 青 | 読み手が社内で、人が直してから出す前提の作業 |
| 規程にもとづく問い合わせへの回答案づくり | 青 | 案を作るだけで、返信内容は担当者が確定させる |
| 求人票、スカウト文、社外向け説明資料の下書き | 黄 | 社外に出る文章。事実確認と表現の点検を必ず挟む |
| 従業員データの集計、傾向の整理 | 黄 | 個人が特定できない形に加工してから渡す |
| 採用の合否判定、評価の決定、昇降格の判断 | 赤 | 外れたときに個人の不利益へ直結する。AIに判断させない |
| 健康情報、障害、信条など要配慮個人情報の取り扱い | 赤 | 入力そのものを行わない |
黄と赤の違いは、AIに何をさせるかにあります。黄は、AIに材料を作らせて人が仕上げる領域です。赤は、そもそも判断をAIに預けない領域を指します。
この表を1枚作れば、利用範囲とデータの2項目は、ほぼ書き終わったことになります。
進めながら整える3ステップ
完璧なルールを待つより、小さく始めて回しながら直す方が、結果的に速く安全になります。
- 小さく試す。1〜2部署と数個の業務に絞って使い、実際の使われ方を観察します。
- 起きたことを見て直す。困りごとや危ない場面を拾い、4項目のルールに反映します。
- 広げる。整ったルールを他部署へ展開し、良い使い方を横に共有します。
この回し方は、AI Ready（AIを使える状態に組織を整える）という考え方とも重なります。制度を先に固めるのではなく、使いながら組織を慣らしていきます。
同じ発想を、国のガイドラインはアジャイル・ガバナンスと呼んでいます。技術と使われ方が動き続ける以上、ルールも一度決めて終わりにせず、事実を見ながら改訂し続けるという考え方です。
これは建前の話ではありません。AI事業者ガイドライン自体が、更新し続ける文書として位置づけられ、2024年4月の第1.0版から翌年の第1.1版、2026年3月の第1.2版へと改訂を重ねてきました。第1.2版では、自律的に手順を進めるAIエージェントや、実世界で動くフィジカルAIの定義が新たに加えられています。
国が2年で3回書き直している領域で、自社だけが完成した規程を先に作ろうとするのは、そもそも無理があります。最初の1周は小さくてかまいません。使われ方の事実が集まるほど、どこに線を引くべきかが具体的に見えてきます。
罰則より先に、報告してもらう仕組みを置く
ガイドラインの雛形には、たいてい違反時の罰則規定が入っています。就業規則にもとづく処分の対象になり得る、という一文です。
必要な条文ではあります。ただ、罰則だけを整えて運用を始めると、この記事の冒頭で見た問題がそのまま戻ってきます。叱られる仕組みしかない場所では、人はミスを報告せず、隠れて使う側に回ります。
先に置くべきは、報告のしやすさです。次の3つを決めておくと、事故が起きたときの初動が変わります。
- 報告先を1つに絞る。情報システム部門か、AIの担当窓口か。迷わせないことが速さにつながります。
- 何を報告するかを短く決める。使ったサービス名、入力した内容の種類、いつ、という3点で十分です。
- 速やかに報告した場合の扱いを、あらかじめ書いておく。隠していた場合と同じ扱いにしない、と明記します。
入力してはいけない情報を入れてしまったときの手当ても、事前に調べておいてください。会話履歴の削除申請ができるか、学習への利用を止める手続きがあるかは、契約しているサービスによって違います。事故が起きてから調べ始めると、対応が半日遅れます。
罰則は最後の手段として残す。ふだんの運用は報告で回す。この順番にしておくと、危ない使い方が窓口に集まり、次の改訂の材料になります。
AI利用ガイドライン最小セットのチェックリスト
そのままガイドラインの項目に使える形でまとめました。自社の言葉に置き換えてお使いください。
- 対象者：正社員のほか、契約社員・派遣社員・業務委託先を含めるかを決めたか
- 利用範囲：使ってよい業務と、使わない業務を1行ずつ書き出したか
- 利用範囲：使ってよいサービスを名指しで挙げ、それ以外は申請制にしたか
- 利用範囲：無料版と会社契約版の、どちらを使うかを決めたか
- 利用範囲：外れたときの影響が大きい用途（採用の合否・評価・懲戒など）を、別扱いにしたか
- データ：入力してはいけない情報（個人情報・未公開情報・顧客機密）を列挙したか
- データ：入力内容が学習に使われない設定になっているかを確認したか
- 出力：そのまま使わず、人が確認して確定させる手順を決めたか
- 出力：社外に出す文章について、著作権の観点で確認する手順を決めたか
- 出力：AIを使ったことを明記する場合の基準を決めたか
- 承認：新しい用途を始めるときの相談先を1つ決めたか
- 報告：やってしまったときの報告先と、報告した場合の扱いを書いたか
- 記録：誰が何に使ったかを残す簡単な仕組みを用意したか
- 全体：困ったときの問い合わせ窓口を明示したか
出力を人が確認して確定させるという項目は、ヒューマン・イン・ザ・ループと呼ばれる考え方です。AIに判断そのものを委ねず、人が確認する工程を業務の流れに組み込んでおく。人が最後に判断できる状態を保つという意味で、AI事業者ガイドラインが掲げる10の共通指針の筆頭にある人間中心の考え方に、そのままつながります。
特に人事の領域では、この項目の重みが違います。採用の合否や評価は、外れたときに個人の不利益に直結する用途です。だからこそ、そこだけは確認を厚くする、と先に決めておきます。
まずはこの14項目を埋めるだけで、最小限のガイドラインが1枚できます。細かい規程はそのあとで足せば十分です。
利用範囲や承認・記録の設計を、AI活用（AX）の全体像（緊急度と戦略性から投資配分・再投資まで）の中に位置づけて整理したのが、資料『AX戦略を考えるときに抑えるべき6つの考え方』です。
資料をダウンロード ↗
ルールを定着させ、浮いた力を成長へ回す
ガイドラインは、配って終わりでは根づきません。定着のコツは、良い使い方を見える場所に集めることです。うまくいった事例を社内で共有すると、他の人が真似しやすくなり、自然と使い方の水準が上がります。
大企業ほど、立派な規程を作った時点で満足し、現場が動かないまま止まりがちです。
人事制度の設計やAX推進支援を行うリデザインワーク社が現場で見てきたのは、ルールづくりと同じくらい、実際に業務で回るところまで見届けることが効くという点です。
効率化そのものが目的ではありません。生成AIで日々の作業を軽くし、そこで浮いた時間と力を、事業を前に進める仕事へ再投資する。それが、ガイドラインの先にある狙いです。
禁止か解禁かで身構えるほど、話は止まります。小さく使わせて、起きたことを見て直す。この順番に切り替えるだけで、リスクは見える場所に集まり、良い使い方は社内に広がります。
ルールをどこに引くかで迷ったら、まず自社の業務を洗い出すところから始めると、どこに危ない使い方が潜み、どこに線が要るかが見えてきます。手順は業務棚卸しの記事にまとめました。
