この記事でわかること
- 生成AIの社内ルールは、A4用紙1枚に収まる。長い規程を作る必要はない
- 国のガイドラインが「AIを使う側の企業」に求めているのは、たった7項目だけ
- そのままコピーして使える利用ルールのテンプレート（全7条）
- 2026年はルールの前提が2回変わった年——3月のガイドライン改定と、7月の個人情報保護法改正
- 作ったルールが守られない3つの原因と、その直し方
「自社に合う生成AIのルールと進め方を相談したい」という方はこちら
結論：生成AIの社内ルールは「A4 1枚」で足りる
「生成AIの社内ルールを作りたい」とご相談をいただいたとき、多くの企業がまず想像するのは、数十ページの規程集です。
しかし、実際に社員に守ってもらえるルールは、それとは正反対の形をしています。
生成AIの社内ルールは、A4用紙1枚に収まる分量で十分です。
むしろ、1枚に収まらないルールは読まれず、読まれないルールは守られません。
本記事では、総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」の原文にあたりながら、企業が最低限決めるべき7つの項目を整理し、そのままコピーして使えるテンプレートを掲載します。
※本記事の制度・数値は2026年8月時点の一次情報にもとづいています。
最初に決めるべき5つ（これだけで運用は始まる）
✓ どのツールを使ってよいか（会社が契約・許可したものの一覧）
✓ 何を入力してよくて、何を入力してはいけないか（3段階で分ける）
✓ 出てきたものをどう扱うか（下書き扱い・事実確認・社外提出前の確認）
✓ 迷ったとき誰に聞くか（相談窓口と、報告しても不利益がないこと）
✓ いつ見直すか（技術も法律も動くので、期限を先に書いておく）
なぜ今つくるのか？2026年は「前提が2回変わった年」
使っている企業のほうが、方針を決めている企業より多い
総務省が2026年7月に公表した『令和8年版 情報通信白書』によると、日本企業のうち「自社の何らかの業務で生成AIを利用している」と回答した割合は86.4%に達しました。
一方で、生成AIの活用方針を策定している企業（「積極的に活用する方針」＋「活用する領域を限定して利用する方針」）は68.9%にとどまります（2024年度調査では49.7%）。
この2つの数字を並べると、日本企業の現在地がはっきり見えます。
使っている割合のほうが、方針を決めている割合より高い。つまり「使うのが先、ルールが後」になっています。
悪いことではありません。現場が先に動くのは、むしろ健全な導入の順番です。
ただし、後から追いつくべきルールを放置したままだと、判断が全部現場の個人任せになります。
出典：総務省『令和8年版 情報通信白書（概要）』2026年7月（PDF）
2026年3月：AI事業者ガイドラインが第1.2版に改定
総務省・経済産業省は2026年3月31日に「AI事業者ガイドライン（第1.2版）」を公表しました。
これは日本におけるAIガバナンスの統一的な指針で、2024年4月の初版から2度目の改定になります。
第1.2版で目を引くのは、AIエージェントとフィジカルAIという言葉が、ガイドライン本文の用語として正式に定義された点です。
AIエージェントは「特定の目標を達成するために、環境を感知し自律的に行動するAIシステム」と定義されています。
チャットに質問して答えをもらうだけでなく、AIが自分で調べて・判断して・実行するところまで踏み込む使い方が、想定の範囲に入ったということです。
ガイドライン本文では、AIに単独で判断させず「適切なタイミングで人間の判断を介在させる利用を検討する」ことが繰り返し求められています。
2026年に社内ルールを作るなら、「AIに自動で外部送信・購買・投稿をさせない」という一行が要ります。
1〜2年前のテンプレートには、この観点がまだ入っていません。
2026年7月：改正個人情報保護法が公布された
そしてもう1つ、直近の大きな動きがあります。
「個人情報の保護に関する法律等の一部を改正する法律」が2026年7月10日に国会で成立し、7月17日に公布されました。
施行は「原則として公布の日から起算して2年を超えない範囲内」とされており、個人情報保護委員会は7月31日に、政令・規則・ガイドライン整備のロードマップを含む今後の取組を決定しています。
改正内容のうち、生成AIを業務で使う一般企業に関係が深いのは次の点です。
| 改正のポイント | 社内ルールへの影響 |
|---|---|
| 統計情報等の作成にのみ利用される場合、第三者提供等について本人同意を不要とする（※統計作成等であると整理できるAI開発等を含む） | データ利活用は広がる方向。ただし「AIに使うなら何でも同意不要」ではないので、自社が該当するかは個別に確認が要る |
| 重大な違反行為で個人の権利利益が侵害された場合等について、課徴金納付命令を導入 | 個人情報の取扱いを誤ったときの金銭的なリスクが上がる。「AIに入れてよい情報」の線引きを曖昧にしておく理由がなくなった |
| 顔特徴データ等について、取扱いに関する一定事項の周知を義務化し、オプトアウト制度による第三者提供を禁止 | 画像・映像をAIに扱わせる業務がある場合は、別枠で扱いを決める必要がある |
| 16歳未満の個人情報について、法定代理人を対象とすることを明文化し、本人の最善の利益を優先する責務規定を新設 | 教育・小売・医療など未成年の情報を扱う業種は、AI利用の前に取扱い方針の見直しが要る |
出典：個人情報保護委員会『個人情報保護法等の一部を改正する法律について』2026年7月（PDF）／令和8年 改正個人情報保護法
💡 なるほどポイント
2026年は、3月にガイドラインが改定され、7月に個人情報保護法が改正された年です。
つまり、2025年以前に作った社内ルールは、前提が2回動いた状態のまま置かれています。
いま新しく作る企業は「出遅れた」のではなく、むしろ作り直しの必要がないタイミングで作れるということです。
国が「AIを使う側の企業」に求めているのは7項目だけ
AI事業者ガイドラインは本文だけで42ページ、付属資料を含めると200ページを超えます。
これを最初から読むと、まず間違いなく心が折れます。
ただし、ここに大事な構造があります。
ガイドラインは、AIに関わる企業を「AI開発者」「AI提供者」「AI利用者」の3つに分けています。
AIモデルを自社で開発したり、AIを組み込んだサービスを外部に提供したりしていない一般の事業会社は、このうち「AI利用者」だけに該当します。
そして「第5部 AI利用者に関する事項」に書かれている項目は、たった7つしかありません。
| ガイドラインの項目 | 求められていること（要約） | 後述テンプレの該当条 |
|---|---|---|
| U-2）i 安全を考慮した適正利用 |
提供者が定めた利用上の留意点を守り、設計上想定された範囲内で使う。正確なデータを入力し、出力の精度とリスクを理解したうえで利用する | 第2条・第4条 |
| U-3）i 入力データ・プロンプトのバイアスへの配慮 |
公平性を欠くことがないようデータを入力し、プロンプトに含まれる偏りに留意して、出力を事業判断に使うかどうかを責任をもって決める | 第5条 |
| U-4）i 個人情報の不適切入力への対策 |
AIサービスへ個人情報を不適切に入力しない。プライバシー侵害について情報収集し、防止を検討する | 第3条 |
| U-5）i セキュリティ対策の実施 |
提供者が示すセキュリティ上の留意点を守る。機密情報等を不適切に入力しない | 第2条・第3条 |
| U-6）i ステークホルダーへの情報提供 |
出力結果を事業判断に活用した際は、その結果を関係者に合理的な範囲で情報提供する | 第4条 |
| U-7）i ステークホルダーへの説明 |
適正な利用方法を平易な形で情報提供する。特定の個人・集団の評価にAIを使う場合は本人に通知し説明責任を果たす。問合せ窓口を設置する | 第5条・第6条 |
| U-7）ii 提供文書の活用・規約の遵守 |
提供者から渡された文書を適切に保管・活用し、サービス規約を守る | 第2条 |
出典：総務省・経済産業省『AI事業者ガイドライン（第1.2版）』令和8年3月31日「第5部 AI利用者に関する事項」（PDF）を要約
7項目を眺めると、性質が2種類に分かれていることに気づきます。
U-2からU-5までは「入れるとき」の話、U-6とU-7は「出したあと」の話です。
社内ルールが薄くなりがちなのは、決まって後者です。
入力の禁止事項だけを書いて、出てきたものをどう扱うかを書いていないルールは、実務では半分しか機能しません。
【テンプレート】そのまま使える生成AI利用ルール（全7条・A4 1枚）
以下をコピーして、●●の部分を自社の部署名・担当者名に置き換えれば、そのまま第1版として配布できます。
すべての条文が、前章の7項目のいずれかに対応しています。
生成AI利用ルール（第1版）
制定日：2026年●月●日／所管：●●／次回見直し：制定から3か月後
第1条（目的）
本ルールは、当社における生成AIの業務利用について、安全に使うための最低限の約束事を定めるものです。
使うことを制限するためではなく、迷わず使えるようにするために定めます。
第2条（使ってよいツール）
業務で使用できる生成AIは、会社が契約または利用を許可したツールに限ります（対象：●●）。
各ツールの利用規約およびサービス提供元が示す注意事項に従って使用します。
許可されていないツールを業務で使いたい場合は、事前に●●へ申請してください。
第3条（入力してよい情報・いけない情報）
そのまま入力してよい
公開されている情報／社内の一般的な業務文章／自分が書いた文章の下書き／固有名詞を含まない相談
加工すれば入力してよい
社名・氏名・住所・連絡先を伏せ字にした資料／金額や件数を丸めた実績データ／固有名詞を置き換えた議事録
入力しない
個人情報（氏名・連絡先・履歴書・顔写真・マイナンバー等）／顧客から預かった資料そのもの／未公開の財務情報／ID・パスワード等の認証情報／秘密保持契約の対象となる情報
第4条（出力の扱い）
生成された文章・画像・数値は、完成品ではなく下書きとして扱います。
事実・数値・固有名詞・法令の記述は、必ず一次情報で確認してから使用します。
社外に提出する成果物に生成AIを使用した場合は、●●の確認を受けてから提出します。
第5条（やってはいけないこと）
他者の著作物をそのまま生成させ、社外に公開すること。
採用の合否・人事評価など、人に関する最終判断を生成AIの出力のみを根拠に行うこと。
AIエージェント等に、人の承認を経ずに外部への送信・購買・投稿を実行させること。
第6条（相談と報告）
入力してよいか迷った場合は、入力する前に●●へ相談してください。相談したことで不利益な取扱いを受けることはありません。
入力してはいけない情報を入れてしまった場合は、速やかに●●へ報告してください。報告が遅れることのほうが、入れてしまったことより重大です。
第7条（見直し）
本ルールは3か月ごとに見直します。ツールの追加、法令・ガイドラインの改定、現場からの改善提案を反映します。
改善提案は●●で随時受け付けます。
このテンプレートで、意識的にそうしている点が3つあります。
1つ目は、第1条で「制限するためではない」と最初に書いていること。
ルールの1行目が禁止から始まると、読み手は「使うなということか」と受け取ります。
実際には、ルールがないほうが個人アカウントでの隠れた利用が増えます。
2つ目は、第3条を「◯／✕」の2分類ではなく3分類にしていること。
2分類にすると、実務で最も多い「顧客名が入った議事録を要約したい」というケースが✕に落ちてしまい、結果としてルールごと無視されます。
現場が本当に知りたいのは「だめ」ではなく「どう加工すれば使えるか」です。
3つ目は、第6条で「報告が遅れるほうが重大」と明記していること。
情報を入れてしまった事故は、報告さえ早ければ多くの場合まだ手が打てます。
叱られる空気があると報告が上がらず、気づいたときには対応の時間がなくなっています。
※自社の業種・扱う情報に合わせた線引き（第3条の具体例）は、無料相談で個別にお答えしています。「うちの場合この資料はどちらに入るか」という粒度でご相談いただけます。
作ったルールが守られない3つの原因
ルールを作ること自体は、1日あれば終わります。
難しいのはその後です。当社が企業研修の現場で受ける質問から見ると、守られないルールには共通する原因があります。
長すぎて、読まれていない
対処：A4 1枚に削る／別紙に逃がす
網羅性を上げるほど、読了率は下がります。
詳細な解説や法令の逐条説明は、ルール本体から外して別紙にしてください。
本体に残すのは「行動が変わる記述」だけです。
判断を現場に丸投げしている
対処：抽象語を、実際の書類名に置き換える
「機密情報は適切に取り扱うこと」と書かれていても、目の前の見積書がそれに当たるのかは分かりません。
「適切に」「必要に応じて」「慎重に」という言葉が出てきたら、そこは判断を現場に押し付けているサインです。
自社で実際に飛び交っている書類名（見積書・履歴書・議事録・請求書）で書き直してください。
禁止だけを書いて、使い方を教えていない
対処：ルール配布と研修をセットにする
AI事業者ガイドラインは「共通の指針」の8番目に「教育・リテラシー」を挙げ、AIに関わる者が正しい理解をもつために必要な教育を行うことを求めています。
ルールを配るだけでは、この項目は満たせません。
当社の研修後アンケートでも、受講者が「業務で使えそう」と答えた項目の上位には、毎回「安全の線引き」が入ります。
線引きは、禁止されたい項目ではなく、知りたい項目です。
関連して、そもそも生成AIに入力した情報が学習に使われるのか、どこまでが本当のリスクなのかを整理したい方は、AIは情報を外に出す？会社で使う前に知る生成AIセキュリティ超入門もあわせてご覧ください。
どのツールを許可対象にするか（第2条）を決める段階では、組織がAIツール・モデルを選ぶ軸とは？7つの視点が参考になります。
作ったあとの運用——3か月で1回見直す
テンプレートの第7条に「3か月ごとに見直す」と入れているのには理由があります。
本記事で挙げただけでも、2026年は3月にガイドラインが改定され、7月に個人情報保護法が改正されました。
さらに改正法の施行に向けて、政令・規則・ガイドラインの整備がこれから進みます。
年1回の見直しでは、制度の動きに追いつきません。
見直しの場で確認するのは、次の4点で足ります。
| 確認すること | 見るポイント |
|---|---|
| 許可ツールは増えたか | 現場が申請せずに使い始めているツールがないか。あるなら、禁止より先に「なぜそれを使いたいのか」を聞く |
| 相談・報告は上がってきたか | 3か月でゼロ件なら、守られているのではなく相談窓口が機能していないと考える |
| 第3条の分類で迷った例はあったか | 迷った実例をそのまま条文の具体例に追加していく。これがルールを自社仕様にする唯一の方法 |
| 法令・ガイドラインの改定はあったか | 個人情報保護委員会・総務省・経済産業省の公表物を確認する |
とくに2つ目は重要です。
相談件数がゼロの状態は、ルールが完璧なのではなく、誰も見ていない可能性のほうが高い状態です。
まとめ：今日やることは3つだけ
この記事のポイント
✓ 社内ルールはA4 1枚。読まれない分量にした時点で、目的を外している
✓ 国が「使う側の企業」に求めているのは7項目（AI事業者ガイドライン第1.2版・第5部）
✓ 入力の線引きは3分類で書く。「加工すれば使える」を必ず用意する
✓ 報告が遅れるほうが重大と明記する。叱る運用は事故を隠す
✓ 配布して終わりにせず、教育とセットにする（ガイドライン「教育・リテラシー」）
✓ 3か月ごとに見直す。2026年は制度の前提が2回動いた
今日から着手するなら、順番はこうです。
① 本記事のテンプレートをコピーし、●●を自社の部署名に置き換える。
② 第3条の3分類に、自社で実際に飛び交っている書類名を5つずつ書き足す。
③ 配布する日と、最初の説明の場（30分で足ります）を決める。
③まで決まって初めて、ルールは運用に乗ります。
研修を外部に依頼する場合の選び方は社員に”使われるAI研修”の選び方——失敗しない3つの基準、費用感はAI研修の費用相場は？形式別の料金目安、費用を抑える方法はAI研修に使える助成金とは？【2026年度版】でそれぞれ整理しています。
ルールを作ったあと、実際に業務へ落とし込むところまで支援を受けたい場合は伴走型AIコンサルとは？支援範囲・費用相場・見分け方もご覧ください。
業種別の具体例としては、人材・SES業界の生成AI活用——CA/RA業務を変える4つの型で、個人情報を扱う業務での線引きを具体的に扱っています。
よくある質問（FAQ）
Q. 生成AIの社内ガイドラインを作ることは、法律で義務づけられていますか？
A. 2026年8月時点で、生成AIの社内ガイドライン策定そのものを直接義務づける法律はありません。
ただし、個人情報保護法・著作権法・不正競争防止法といった既存の法令は当然に適用されます。
また「人工知能関連技術の研究開発及び活用の推進に関する法律」（令和7年法律第53号）が2025年6月に公布・9月に全面施行されており、AI事業者ガイドラインは事業者が自主的に取り組むべき指針を示しています。
義務ではありませんが、事故が起きたときに「何も定めていなかった」状態は不利に働きます。
Q. 何ページくらいのガイドラインが適切ですか？
A. 全社員に配布する本体はA4で1枚を目安にしてください。
詳細な解説・法令の背景・ツールごとの設定手順は別紙に分け、必要な人だけが読める場所に置きます。
本体と別紙を分けないと、読了率が落ちて結局どちらも参照されなくなります。
Q. 個人情報は生成AIに一切入力してはいけないのですか？
A. 「一切だめ」ではなく、不適切な入力をしないというのがAI事業者ガイドラインの書き方です（U-4）i）。
実務では、氏名・連絡先などを伏せ字にする、固有名詞を記号に置き換えるといった加工で扱える場面が多くあります。
また、法人向けプランでは入力内容を学習に使わない設定が標準になっているサービスもあります。
自社が契約しているプランの規約を確認したうえで、社内ルールの第3条に反映してください。
Q. 2026年7月の個人情報保護法改正で、社内ルールはすぐ書き換えが必要ですか？
A. 改正法の施行は「公布の日から起算して2年を超えない範囲内」とされており、2026年8月時点で直ちに全面的な書き換えが必要になるわけではありません。
一方で、課徴金制度の導入や顔特徴データの規律強化など、方向性は明確です。
いま第1版を作る場合は、本記事のテンプレート程度の内容で問題ありません。
今後、政令・規則・ガイドラインが整備されるタイミングで見直せるよう、第7条のような見直し条項を最初から入れておくことをおすすめします。
Q. AIエージェントを使う場合、ルールに何を追加すべきですか？
A. AI事業者ガイドライン第1.2版では、AIエージェントが「環境を感知し自律的に行動するAIシステム」として定義され、AIに単独で判断させず適切なタイミングで人間の判断を介在させることが求められています。
社内ルールとしては、外部への送信・購買・投稿・データの削除といった取り返しのつかない操作は、実行前に人の承認を必須にするという一文を入れてください。
テンプレートでは第5条がこれに当たります。
Q. ルールを作っても社員が使ってくれません。どうすればいいですか？
A. ルールの問題ではなく、使い方が分からない状態である場合がほとんどです。
禁止事項を配るだけでは、AI事業者ガイドラインが求める「教育・リテラシー」の項目は満たせません。
配布と同じ日に30分でよいので説明の場を設け、実際に自分の業務で1回動かしてもらうところまでを1セットにしてください。
社内ルールを「作る」から「使われる」に進めたい方へ
株式会社Orcaは中小企業向けに、完全カスタムのAI研修と伴走型のAI活用支援を提供しています。
「テンプレートは作ったが、うちの業務ではどこが線引きになるのか分からない」という段階で構いません。お気軽にご相談ください。
コメント