生成AIの社内利用ルールはどう作る？中小企業のガイドライン整備チェックリスト

営業担当者が、商談前に見積書の金額や取引先の担当者名をそのままChatGPTに貼り付けて「この提案どう思う？」と相談する。隣の席の同僚に聞くのと同じ感覚で、本人に情報を漏らしている意識はない。

一方で総務はA社のAIツールを法人契約し、開発チームは別のAIサービスを個人契約で使い、営業は自分のスマホの無料アプリで済ませている。部署ごとに使うツールがバラバラで、誰が何をどこまで入力しているのか、会社として把握できている人は誰もいない。

どちらも「ルールが無いから起きる」場面だ。線引きを決めておけば防げるにもかかわらず、多くの中小企業では手つかずのままになっている。

生成AI利用ガイドラインとは（定義）

生成AI利用ガイドラインとは、業務でChatGPTなどの生成AIを使う際に、入力してよい情報の範囲・禁止事項・承認が必要な用途・相談窓口などを定めた社内ルールを指す。個人の裁量に任せきる状態でも、リスクを恐れて一律で使用を禁止する状態でもなく、「どこまでなら安心して使えるか」をあらかじめ線引きしておく点が特徴だ。

冒頭の2つの場面のように、ルールが整わないまま利用が広がると、担当者の知識量にかかわらず問題は起こり得る。放置が起きるパターンは実務上おおむね3つに整理できる。①誰も使い方を教えていないまま現場任せにしている、②「禁止」はしたが私物端末での利用までは把握していない、③利用ツールの契約・管理が部署ごとに分散している——のいずれかだ。総務省・経済産業省も2026年3月に「AI事業者ガイドライン（第1.2版）」を公表しており、事業者が自主的に取り組むべき考え方が国レベルでも整理されつつある（詳しくは後述）。

なぜ今、生成AI利用ルールの整備が必要なのか

「危ないと分かってはいるが対応が追いついていない」というギャップは、規模の小さい企業ほど大きい。次の章では、ルールを決めずに使う場合・一律禁止する場合・ガイドラインを整備する場合の違いを具体的に比較する。

ルールなし・一律禁止・ガイドライン整備を比較

← 横にスクロールできます →

実務では、上の表の「情報漏洩リスク」の欄を、もう一段具体的な線引きに落とし込む必要がある。典型的には次のように分けられる。

• 入力してはいけない例 — 顧客の氏名・連絡先・契約金額、取引先の非公開情報、人事評価や給与などの人事情報、未公開の決算・経営数値
• 比較的使いやすい例 — 社内文書のたたき台作成、アイデア出し・ブレインストーミング、公開情報をもとにした市場調査の要約、顧客固有のロジックを含まない一般的なプログラムコードの相談

「一律禁止」が魅力的に見えるのは、この線引き作業を省略できるからだ。しかしその分だけ、会社が把握できない私物端末や個人契約のアプリで使われる、いわゆる「シャドーAI」のリスクが残り続け、業務効率化の機会も失われる。ガイドラインを整備するコストは、この線引きを一度言語化して共有する手間とほぼ等しい。

ガイドライン整備を検討したい活用シーン

1. 部署ごとに使うツールがバラバラで、統制が取れていないとき — 冒頭の場面のように、総務・開発・営業がそれぞれ別のAIサービスを契約・利用している状態を洗い出し、共通のルールに整理する
2. 顧客情報や取引先の情報を扱う部署で、入力してよい範囲を明確にしたいとき — 商談中に見積金額や担当者名を貼り付けて相談してしまうような場面を想定し、個人情報・機密情報の取り扱い基準を先に決める
3. 生成AIの出力をそのまま資料や対外的な文章に使いたいとき — 著作権・事実確認のチェック体制を用意する
4. 新入社員や中途社員に、生成AIの使い方を統一して伝えたいとき — ガイドラインを研修・オンボーディングの材料にする

生成AIガイドラインに入れておきたいチェックポイント

ここが実務にいちばん効く部分だ。最低限、次の5項目が入っていれば「使えるガイドライン」になる。

• ①入力してよい情報・NGな情報の線引き — 個人情報・取引先の機密情報・未公開の経営情報などを具体的に列挙する。「機密情報はNG」とだけ書いても判断基準にならないため、前章のような具体例を添えると現場が迷わない
• ②利用してよいツール・サービスの範囲 — 無料版か、法人向けに契約済みの有料版か、社内で許可したサービス名まで明示する。個人契約のアプリを黙認すると、冒頭のようなツール乱立の状態に逆戻りする
• ③出力結果のチェック体制 — 著作権侵害や事実誤認（いわゆるハルシネーション）がないか、対外的に使う前に人が確認する工程を組み込む。特に数字や固有名詞は生成AIが誤って出力しやすいため、原典と突き合わせる運用にする
• ④承認が必要な用途と相談窓口 — 対外的な文章・顧客対応・契約に関わる用途など、事前に誰の承認を得ればよいかを決める。相談窓口が曖昧だと、判断に迷った社員がルールを無視して自己判断してしまう
• ⑤定期的な見直し — 生成AIの進化やルール違反の発生に応じて、ガイドラインを更新する頻度（半年に一度など）をあらかじめ決めておく。作って終わりにすると、現場の実態とルールがすぐに乖離する

すべてを一度に完璧に決める必要はない。まずは①の「入力してはいけない情報」だけでも明文化し、運用しながら②〜⑤を追加していく形で十分だ。総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」（2026年3月31日公表）も、社内ルールを検討する際の参考になる。

よくある質問（FAQ）

Q. 生成AIの利用を一律禁止にするのは、対策として間違っていますか？
A. 間違いとは言い切れないが、リスクが完全になくなるわけではない。禁止しても、会社が把握できない私物端末や個人契約のアプリでの利用（シャドーAI）は残りやすく、業務効率化の機会も失われる。「使ってよい範囲」を線引きして示すほうが、結果的に統制が効きやすい。

Q. 情報システム部門がない会社でも、ガイドラインは作れますか？
A. 作れる。総務省の調査でも規模が小さいほど方針の明確化が遅れている実情があるが、専任担当がいなくても総務や経営者が中心になり、まずは「入力してはいけない情報」の線引きから始めれば十分機能する。全項目を一度に整える必要はない。

Q. すでに部署ごとに違うツールを使ってしまっています。何から手をつければいいですか？
A. まず利用実態の洗い出しから始める。どの部署が、どのツールを、どんな用途で使っているかを一覧化すると、統一すべきツールと個別に許可してよいツールの線引きがしやすくなる。実態を把握しないままルールだけ作ると、現場の運用と乖離しやすい。

Q. ガイドラインを作って社員に一度説明すれば、それで終わりですか？
A. 終わらない。生成AIのサービスや機能は数か月単位で変わるうえ、ルール違反や運用上の疑問は実際に使いながら見つかることが多い。半年に一度など見直しの頻度をあらかじめ決めておき、研修や新入社員のオンボーディングでも繰り返し伝える必要がある。

まとめ: 「禁止」ではなく「線引き」で活用を広げる

冒頭で挙げた「顧客情報をそのままAIに貼り付けてしまう場面」も「部署ごとにツールがバラバラな場面」も、線引きさえあれば防げる。生成AIの活用方針を明確に定めている企業は、大企業55.7%に対し中小企業は34.3%。ガイドラインを「策定している」企業も19.5%にとどまり、多くの現場が個人任せか一律禁止のどちらかで様子見をしているのが実情だ。まずは「入力してはいけない情報」の線引きだけでも決めておけば、リスクを抑えながら安心して活用を広げられる。

liensでは、AI導入支援として業務の棚卸しから生成AIの利用ルール整備までご相談を承っています。何から手をつければよいか分からない場合も、一緒に整理します。

AI導入について相談してみる →

関連記事: AI導入支援とは？中小企業がツール選定・定着で失敗しないための伴走支援ガイド ／ AI導入の進め方——中小企業が失敗しないための5ステップ ／ AI導入に使える補助金ガイド

出典一覧

• 総務省「令和7年版情報通信白書」第I部第2節
• 株式会社帝国データバンク「生成AIの活用状況調査」（2024年8月1日公表）
• 独立行政法人情報処理推進機構（IPA）「AI利用時の脅威、リスク調査報告書」（2024年7月4日公表）
• 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（令和8年3月31日）