生成AI社内規定の文例｜そのまま使える7項目と条文例

「生成AIを社内で使わせたい。でも、いざ規定を書こうとすると手が止まる」——中小企業の経営者・総務担当の方から、いま最も多くいただく相談です。ネットで探すと「作り方」の解説は見つかるのに、実際に社内に配れる条文そのものはなかなか出てきません。

そして、やっと見つけた雛形をそのまま配っても、現場は動きません。理由ははっきりしています。「機密情報を入力してはならない」と書いても、目の前の見積書が機密なのかどうかを、現場は判断できないからです。禁止事項を並べただけの規定は、読まれず、守られず、隠れて使われます。

本記事では、中小企業のAI導入を支援するAi-Raku（アイラク）の視点で、そのまま社内に配れる規定の文例（全13条）と、入力してよい情報の判断表をお渡しします。掲載する条文は本記事のために新しく書き起こしたもので、根拠は法令と公的指針の原文に置き、すべて出典リンクを付けています。

なお、「そもそも社内ルールをどう作るか」という考え方や進め方は、別記事の社内AIルールの作り方｜情報漏洩を防ぐ生成AIガイドライン8項目にまとめています。本記事はその先、実際の条文を書く段階に絞っています。作り方から知りたい方は先にそちらをご覧ください。

結論｜禁止事項より判断の線

結論から書きます。生成AIの社内規定でいちばん重要なのは、禁止事項の網羅性ではなく、現場が自分で判断できる「線」が引かれているかどうかです。禁止リストを長くしても、線が引かれていなければ規定は機能しません。

禁止リストが機能しない理由

「顧客情報の入力を禁止する」と書いた規定を想像してください。現場の社員は、次のような場面で必ず止まります。取引先の担当者名だけが入ったメール文面は顧客情報でしょうか。名前を伏せた問い合わせ内容はどうでしょうか。すでに会社のホームページに載っている取引先の社名は。

この3つに即答できない規定は、実務では守られません。判断できない社員が取る行動は2つに1つで、使うのをやめるか、自己判断で使うかです。前者だと導入した意味がなくなり、後者だと会社が把握できないところで情報が外に出ます。

IPA（情報処理推進機構）が2026年1月29日に公表した「情報セキュリティ10大脅威 2026」では、組織向けの脅威の第3位に「AIの利用をめぐるサイバーリスク」、第7位に「内部不正による情報漏えい等」が挙げられています（出典：IPA「情報セキュリティ10大脅威 2026」）。悪意ある攻撃だけでなく、社内の人が普通に業務をしている過程で情報が出ていく経路が、脅威として並んでいるということです。規定はここを塞ぐために書きます。

規定に書くべき3つの線

では何を書けば「線」になるのか。実務で効くのは次の3つだけです。この3つが具体的に書かれていれば、残りの条文は形式が整っていれば足ります。

この3つは、後述する規定の文例では第4条・第6条・第7条・第9条に対応させています。逆に言えば、この3つが空欄のまま形式だけ整った規定は、配っても事故は減りません。

規定の作り方は別記事に

本記事は「条文を書く」ことに絞っています。そもそもなぜルールが要るのか、どの順番で社内を巻き込むのか、8項目の考え方については、社内AIルールの作り方で扱っています。技術的な守り方（アカウント管理・学習させない設定・ログの取り方）は生成AIのセキュリティ対策にまとめました。規定と設定はセットで初めて効きます。片方だけでは足りません。

社内規定に必ず入れる7項目

規定に入れる項目は、増やせば増やすほど読まれなくなります。中小企業が最初に作る規定なら、次の7項目で足ります。この7項目は、国が示している事業者向けの指針と対応するように組んでいます。

7項目の一覧表

違反時の扱い（第13条）を8つ目に数える整理もありますが、後述するとおり懲戒の根拠は就業規則側に置くのが実務上は安全なため、ここでは7項目としています。

国の指針との対応関係

この7項目は思いつきで並べたものではありません。総務省と経済産業省が2026年3月31日に公表した「AI事業者ガイドライン（第1.2版）」では、AIに関わる事業者を「AI開発者」「AI提供者」「AI利用者」の3つに大別し、10の共通の指針（人間中心、安全性、公平性、プライバシー保護、セキュリティ確保、透明性、アカウンタビリティ、教育・リテラシー、公正競争確保、イノベーション）を示しています（出典：総務省・経済産業省「AI事業者ガイドライン（第1.2版）概要」）。

生成AIを業務で使う中小企業は、ほぼすべてが「AI利用者」に当たります。同ガイドラインが第5部でAI利用者に求めているのは、大きく次の内容です。

• 安全を考慮した適正利用
• 入力データまたはプロンプトに含まれるバイアスへの配慮
• 個人情報の不適切入力およびプライバシー侵害への対策
• セキュリティ対策の実施
• 関連するステークホルダーへの情報提供と説明
• 提供された文書の活用と規約の遵守

上の7項目は、この求められている内容を中小企業が書ける粒度に落としたものです。ガイドラインの全体像はAI事業者ガイドラインの解説記事にまとめています。ガイドライン本体と改定の経緯は経済産業省「AI事業者ガイドライン検討会」のページで確認できます。

もう一つ土台になるのがIPAの「テキスト生成AIの導入・運用ガイドライン」（2024年7月・産業サイバーセキュリティセンター中核人材育成プログラム）です。同ガイドラインは利活用ガイドラインに記載すべき項目として、入力制限に関する項目（著作権保護情報・個人情報・組織の機密情報）と、生成物の解釈に関する注意（誤りの確認・偏りの確認）を挙げています（出典：IPA「テキスト生成AIの導入・運用ガイドライン」）。文例の第6条と第9条は、この整理に沿っています。

削ってよい項目とだめな項目

「他社の規定を見ると20条以上ある。うちも同じだけ要るのか」という質問をよくいただきます。答えは要りません。中小企業が最初に作る規定では、次のように割り切って構いません。

そのまま使える規定の文例

ここからが本題です。下の文例は、本記事のために新しく書き起こしたものです。社名と部署名・氏名を入れ替えれば、そのまま社内に配れる状態にしてあります。分量はA4で1枚程度に収めました。

使い方と3つの注意

使う前に、次の3点だけ確認してください。

1. 別表を必ず自社の言葉で埋めること。第6条・第7条の別表が空欄のままだと、この規定は「判断できない規定」に戻ります。
2. 相談先を実在の役職名で書くこと。「情報管理責任者」とだけ書いて誰も任命していない例が非常に多く見られます。
3. そのまま使って法的に問題がない、とは考えないこと。本文例は一般的な中小企業を想定した出発点です。業種によっては業法上の制約があり、懲戒に関わる部分は就業規則との整合が必要です。最終的な整備は社会保険労務士・弁護士など専門家の確認を受けてください。

規定の文例（全13条）

生成AI利用規程（例）

第1条（目的）
 本規程は、○○株式会社（以下「当社」という。）における生成AIの業務利用について
 必要な事項を定め、情報の保護と業務の効率化を両立させることを目的とする。

第2条（適用範囲）
 本規程は、当社の役員および従業員（パートタイム従業員、契約社員、派遣従業員を含む。
 以下「従業員等」という。）が、業務のために生成AIを利用するすべての場合に適用する。
 2 業務委託先に当社の情報を扱わせる場合は、本規程と同等の取扱いを契約で求めるものとする。

第3条（定義）
 本規程において「生成AI」とは、入力された指示または情報に応じて、文章、画像、音声、
 プログラムその他の成果物を生成する情報処理サービスをいう。
 2 本規程において「入力」とは、生成AIに対して指示または情報を送信する行為をいい、
 ファイルの添付および画面の共有を含む。

第4条（利用を認めるサービス）
 従業員等が業務に利用できる生成AIは、当社が別に定める「利用許可サービス一覧」
 （別表2）に掲げるものに限る。
 2 一覧にないサービスを業務に利用しようとする場合は、あらかじめ情報管理責任者に
 申請し、承認を得なければならない。
 3 従業員等は、個人で契約したアカウントを業務に用いてはならない。

第5条（利用してよい業務）
 生成AIは、次の各号に掲げる業務に利用することができる。
 一 文章の要約、下書きの作成、言い換え、誤字脱字の点検
 二 社内資料の構成案の作成、会議の議事メモの整理
 三 表計算の数式、定型的なプログラムの作成の補助
 四 調査の手がかりの収集（事実の確認は第9条による）
 2 前項に掲げる業務であっても、第6条に定める情報を入力してはならない。

第6条（入力してはならない情報）
 従業員等は、生成AIに対し、次の各号に掲げる情報を入力してはならない。
 一 顧客、取引先または従業員等の氏名、連絡先その他の個人を特定できる情報
 二 別表1において「禁止」と区分された情報
 三 秘密保持契約により第三者から開示を受けた情報
 四 当社が秘密として管理している技術上または営業上の情報
 五 他人の著作物のうち、権利者の許諾を得ていないもの

第7条（条件付きで入力できる情報）
 別表1において「条件付き」と区分された情報は、次の各号のすべてを満たす場合に限り
 入力することができる。
 一 個人を特定できる部分および取引先を特定できる部分を削除または置き換えたこと
 二 利用するサービスが、入力内容を学習に利用しない設定であること
 三 所属長の承認を得たこと
 2 前項第1号の置き換えは、氏名を「A氏」、社名を「A社」のように、元の情報に
 戻せない形で行わなければならない。

第8条（判断に迷った場合の取扱い）
 従業員等は、入力しようとする情報が第6条または第7条のいずれに当たるか判断できない
 場合は、入力を行わず、情報管理責任者に確認しなければならない。
 2 当社は、前項の確認を行ったことを理由として、当該従業員等を不利に取り扱わない。
 3 情報管理責任者は、確認の内容および回答を記録し、必要に応じて別表1に反映する。

第9条（出力物の確認）
 従業員等は、生成AIの出力をそのまま最終成果物としてはならず、内容の正確性を
 自ら確認したうえで用いなければならない。
 2 次の各号に掲げる用途に用いる場合は、作成者以外の者による確認を経なければならない。
 一 社外に提出する文書または公開する文書
 二 金額、数量、期日その他の数値を含む文書
 三 法令、契約または規格の解釈を含む文書
 3 生成AIの出力を用いて作成した成果物の責任は、当該成果物を用いた従業員等および
 その所属長が負う。

第10条（権利の取扱い）
 従業員等は、生成AIの出力が第三者の著作物と同一または類似となっていないかを
 確認しなければならない。
 2 生成AIの出力を社外に公表する場合において、生成AIを用いた旨の表示が必要かどうかは、
 情報管理責任者が判断する。
 3 従業員等は、利用するサービスの利用規約に定められた出力物の取扱いに従うものとする。

第11条（事故発生時の報告）
 従業員等は、次の各号のいずれかに該当する事態が生じたとき、または生じたおそれが
 あるときは、直ちに情報管理責任者に報告しなければならない。
 一 第6条に定める情報を入力したこと
 二 生成AIの出力に誤りがあるまま社外に提出したこと
 三 利用中のアカウントが第三者に使用されたおそれがあること
 2 前項の報告は、事実を知った時点から起算して1営業日以内に行うものとする。
 3 当社は、自ら報告を行った従業員等について、その報告を行ったことのみを理由として
 不利に取り扱わない。
 4 情報管理責任者は、報告を受けた場合、法令に基づく届出および本人への通知の要否を
 直ちに確認する。

第12条（教育および見直し）
 当社は、従業員等に対し、本規程および別表の内容について、採用時および年1回以上の
 教育を行う。
 2 情報管理責任者は、本規程および別表を少なくとも年1回見直す。
 3 前項にかかわらず、利用許可サービスの仕様の変更、法令の改正または第11条の報告が
 あったときは、その都度見直しを行う。

第13条（違反時の取扱い）
 本規程に違反した従業員等に対しては、情報管理責任者が事実関係を確認のうえ、
 必要な指導および再教育を行う。
 2 故意または重大な過失により当社または第三者に損害を与えた場合の懲戒については、
 就業規則の定めるところによる。

附則
 本規程は、○年○月○日から施行する。

条文の内容そのものは、後述する各章で根拠を示しています。第6条は個人情報保護法と不正競争防止法、第9条と第10条は著作権法と文化庁の整理、第11条は個人情報保護法第26条、第13条は労働基準法にそれぞれ対応させています。

別表1｜入力可否の一覧

第6条・第7条が参照する別表です。ここが規定の心臓部で、ここを自社の言葉で埋められるかどうかで規定の実効性が決まります。以下は卸売・小売業を想定した記入例です。

この表は12行で十分です。網羅しようとして50行にすると誰も読みません。実務では「迷った相談が来るたびに1行足す」運用（第8条第3項）のほうが、机上で網羅するより早く現実に追いつきます。

別表2｜利用を認めるサービス

第4条が参照する別表です。サービス名を書くこと自体が目的ではなく、「その契約形態では入力内容が学習に使われないこと」を会社が確認した記録を残すことが目的です。

個人情報保護委員会は、個人データを含むプロンプトを入力する場合について、当該サービスを提供する事業者が「当該個人データを機械学習に利用しないこと等」を十分に確認することを求めています（出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」令和5年6月2日、掲載ページはこちら）。別表2の「学習利用の有無」欄は、この確認を果たした証拠になります。設定の具体的な手順は生成AIのセキュリティ対策で解説しています。

自社に合わせて直す箇所

文例をコピーしたあと、最低限直す箇所は次の6か所です。ここだけ直せば形になります。

• 第1条・附則：社名と施行日
• 第2条第1項：適用する人の範囲（業務委託先を含めるかどうか）
• 第4条・別表2：会社が認めるサービス名
• 第6条・第7条・別表1：自社の情報の種類に置き換える
• 第8条：情報管理責任者を実在の役職名にする
• 第11条第2項：報告の期限（1営業日でよいか）

入力してよい情報の線引き

別表1をどう埋めるか、その判断の根拠をここで示します。結論としては、法律が線を引いている部分と、会社が自分で線を引く部分の2つに分けて考えると迷いません。

3段階に分ける

「入力可」と「禁止」の2段階にすると、判断に困る情報がすべて禁止側に寄り、結果として現場が使えなくなります。「条件付き」という中間の段を必ず作ってください。条件付きとは「加工すれば入れてよい」という意味です。

個人情報は何が問題か

個人情報を入力してはいけない理由は、漠然とした「危ないから」ではありません。法律の条文が具体的に問題にしている点が2つあります。

1つ目は利用目的の範囲です。個人情報保護法第17条は利用目的をできる限り特定することを求め、第18条は「あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない」と定めています（出典：e-Gov法令検索「個人情報の保護に関する法律」）。個人情報保護委員会も、生成AIに個人情報を含むプロンプトを入力する場合は「特定された当該個人情報の利用目的を達成するために必要な範囲内であることを十分に確認すること」を求めています。

2つ目は応答結果の出力以外の目的で扱われる場合です。同委員会の注意喚起は、本人の同意なく個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法の規定に違反することとなる可能性があると明記しています。つまり「学習に使われるかどうか」が分かれ目であり、だからこそ別表2の確認欄が要るのです。ガイドラインの本文は個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」で確認できます。

営業秘密の3要件で判定

顧客名簿や原価表を禁止に置く根拠は、個人情報保護法ではなく不正競争防止法です。同法第2条第6項は営業秘密を「秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないもの」と定義しています（出典：e-Gov法令検索「不正競争防止法」）。経済産業省もこれを「有用性」「秘密管理性」「非公知性」の3つの要件として整理しています（出典：経済産業省「営業秘密」）。

ここで実務上とても重要な点があります。秘密管理性は、会社が実際に秘密として管理していて初めて認められます。「生成AIに自由に入れてよい」という運用を放置していた情報は、後から営業秘密だと主張しても認められにくくなります。規定を作ること自体が、秘密管理性を示す材料になるという側面があります。管理の具体的な水準は経済産業省の「営業秘密管理指針」と「秘密情報の保護ハンドブック」が詳しく、いずれも同ページからダウンロードできます。

迷ったら人に確認する設計

ここが本記事でいちばん伝えたい設計です。どれだけ丁寧に別表を作っても、必ず表に載っていない情報が現れます。そのときに規定が機能するかどうかは、「迷ったときの行き先」が書かれているかで決まります。

文例の第8条は、そのために3つの仕掛けを入れています。

1. 入力を止めて確認する義務（第1項）。判断できない状態で入力させない。
2. 確認したことを不利に扱わない（第2項）。ここがないと、聞いたら怒られると思われて誰も聞かなくなります。
3. 回答を記録して別表に反映する（第3項）。同じ質問が二度来ないようにし、規定が自動的に育つ仕組みにします。

AIに任せる範囲と人が決める範囲の線は、次のように整理すると社内で共有しやすくなります。

この表を規定の別表3として付ける会社もありますが、まずは第9条第2項の3号（社外文書・数値・法令解釈）だけ守れば、事故の大半は防げます。欲張らず、最初はここに絞ってください。

3秒で判定する社内の合言葉

現場で覚えてもらうには、表よりも短い言葉のほうが効きます。Ai-Rakuが導入支援の現場で使っているのは、次の3つの問いです。

1. その情報は、会社のホームページに載せられますか。載せられるなら入力可です。
2. 載せられないなら、名前と社名を消せば載せられますか。消せば載せられるなら条件付きです。
3. 消しても載せられないなら、入力しないで相談してください。

この3問は、別表1の3区分とそのまま対応しています。朝礼で1分あれば伝えられる長さにまとめることが、規定を配るより先に効きます。

出力物の扱いと著作権

入力の話に比べて手薄になりがちなのが、出力の扱いです。実際に会社が損害を受けるのは、出力をそのまま社外に出したときです。ここは2つの論点に分けて整理します。

出力は下書きとして扱う

生成AIの出力には事実と異なる内容が含まれることがあります。IPAのガイドラインも、生成物の解釈に関する注意として誤りの確認（ハルシネーション）と偏りの確認（バイアス）の2点を挙げ、RAGなどの軽減策があっても完全に解消することはできないと述べています（出典：IPA「テキスト生成AIの導入・運用ガイドライン」）。

だからこそ、規定には「出力をそのまま最終成果物としない」と書きます。禁止ではなく、位置づけを決める書き方です。文例の第9条第1項がこれに当たります。社内では「AIの出力は新人が書いた下書き」と説明すると、いちばん早く伝わります。

著作権侵害になる2条件

「AIが作った文章を使ったら著作権侵害になるのでは」という不安は非常に多く聞かれます。判断の枠組みは、人が書いた場合と同じです。

文化審議会著作権分科会法制度小委員会の「AIと著作権に関する考え方について」（令和6年3月15日）は、既存の判例ではある作品に既存の著作物との類似性と依拠性の両者が認められる際に著作権侵害となるとされており、生成AIによる生成物についても、生成・利用段階で類似性および依拠性が認められれば著作権者は差止請求や損害賠償請求をなし得ると整理しています（出典：文化審議会著作権分科会法制度小委員会「AIと著作権に関する考え方について」、関連資料は文化庁「AIと著作権について」）。

一方で同資料は、作風や画風といったアイデア等が類似するにとどまり、既存の著作物との類似性が認められない生成物は、生成・利用しても著作権侵害とはならないとも整理しています。つまり「AIを使ったから侵害」ではなく、「出てきたものが既存の作品に似ているか」で判断されます。文例の第10条第1項が求めているのは、この確認です。

なお学習段階については、著作権法第30条の4が「当該著作物に表現された思想又は感情を自ら享受し又は他人に享受させることを目的としない場合」に、必要と認められる限度で利用できると定めています。ただし「著作権者の利益を不当に害することとなる場合は、この限りでない」というただし書があります（出典：e-Gov法令検索「著作権法」）。この条文は主に学習させる側の話であり、社内規定で扱うべきなのは生成・利用段階のほうです。ここを混同した規定をよく見かけます。

生成物に著作権はつくか

「AIに作らせた資料に自社の著作権はあるのか」という質問もよくあります。前述の「AIと著作権に関する考え方について」は、生成AIに対する指示が表現に至らないアイデアにとどまるような場合には、当該AI生成物に著作物性は認められないと整理しています。判断にあたっては、指示（プロンプト）の分量・内容、生成の試行回数、複数の生成物からの選択といった要素を総合的に考慮するとされ、人が創作的表現といえる加筆・修正を加えた部分については、通常、著作物性が認められるとも述べられています。

実務への落とし込みは単純です。社外に出す資料は、必ず人が手を入れる。これで、品質の確保と権利の確保が同時に進みます。文例の第9条第2項と重なる部分です。

社外に出す前のチェック

出力を社外に出す前に確認する項目を、5つに絞りました。この5つを印刷して各自の手元に置くだけでも、事故率は目に見えて下がります。

1. 数値：金額、数量、期日を元資料と突き合わせたか
2. 固有名詞：社名、人名、製品名が実在し、正しいか
3. 出典：引用した法令名・条番号・統計を原典で確認したか
4. 類似：特徴的な言い回しを検索して、既存の文章と一致していないか
5. 確認者：作成者以外の人が目を通したか

4番目の「検索して一致を確かめる」は地味ですが有効です。特徴的な一文をそのまま検索窓に入れるだけで、依拠が疑われる状態かどうかの当たりが付きます。

違反時の扱いをどう書くか

ここを書くのが怖くて規定が完成しない、という相談をよくいただきます。結論は、規定側に懲戒の内容を細かく書かないことです。理由は法律の構造にあります。

いきなり懲戒と書かない

生成AI規程に「違反した者は懲戒解雇とする」と書いても、その規定だけを根拠に懲戒処分を行うのは実務上きわめて危うい書き方です。懲戒の根拠は就業規則に置くのが原則だからです。労働基準法第89条は、常時10人以上の労働者を使用する使用者に就業規則の作成・届出を義務づけ、その第9号で「表彰及び制裁の定めをする場合においては、その種類及び程度に関する事項」を記載事項としています（出典：e-Gov法令検索「労働基準法」）。

したがって文例の第13条は、指導と再教育を規定側に置き、懲戒は就業規則に委ねる形にしています。この書き方なら、規定を先に作り、就業規則の改定は後から落ち着いて進められます。

減給には法律の上限がある

制裁として減給を定める場合、金額には法律上の上限があります。労働基準法第91条は、就業規則で減給の制裁を定める場合、その減給は1回の額が平均賃金の1日分の半額を超え、総額が一賃金支払期における賃金の総額の10分の1を超えてはならないと定めています（出典：e-Gov法令検索「労働基準法」第91条）。この上限を知らずに独自の制裁額を書いてしまう例があります。金額を書くなら必ず条文を確認してください。

申告しやすくする一文

違反時の条文で本当に大事なのは、罰の重さではありません。事故が起きたときに、すぐ言い出せるかどうかです。報告が半日遅れるだけで、対応の選択肢は目に見えて減ります。

文例では第11条第3項に「自ら報告を行った従業員等について、その報告を行ったことのみを理由として不利に取り扱わない」という一文を入れました。この一文があるかないかで、初動の速さが変わります。厳しく書けば守られるという発想を捨てて、言い出せる規定にしてください。

漏えい時の報告義務

社内の話だけで済まない場合があります。個人情報保護法第26条は、個人データの漏えい等であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、委員会への報告と本人への通知を義務づけています（出典：e-Gov法令検索「個人情報の保護に関する法律」第26条）。

報告が必要になる事態には、要配慮個人情報が含まれる漏えい等、財産的被害のおそれがある漏えい等、不正の目的をもって行われたおそれがある行為による漏えい等、本人の数が1,000人を超える漏えい等が含まれます。報告の期限は速報が発覚日から3〜5日以内、確報が30日以内（不正目的の行為の場合は60日以内）とされています（出典：個人情報保護委員会「漏えい等の対応と個人の権利利益の保護」）。

この日数は、社内の報告が遅れると簡単に食い潰されます。文例の第11条第2項で「1営業日以内」としているのは、外部への報告期限から逆算した数字です。実際の判断は個別の事案によるため、該当しそうな事態が起きたら速やかに専門家に相談してください。情報漏えいの経路と対策の全体像は中小企業のセキュリティ対策、議事録データ特有の注意点は議事録AIと情報漏洩にまとめています。

既存の就業規則との関係

「就業規則を作り直さないと生成AIは使えないのか」という質問への答えは、いいえ、まず規程を単体で作って構いませんです。ただし役割分担を理解しておかないと、後で辻褄が合わなくなります。

規程と就業規則の役割分担

実務上のおすすめは、就業規則に「会社は、業務に関し必要な事項について別に規程を定めることができる。従業員はこれを遵守しなければならない」という趣旨の委任規定を1条置いておくことです。この1条があれば、以後の規程づくりがずっと軽くなります。この改定は社会保険労務士に相談して進めてください。

懲戒は就業規則に根拠が要る

前章と重なりますが、重要なので繰り返します。懲戒処分を行うには、就業規則にその種類と程度が定められていることが前提になります。厚生労働省が公開しているモデル就業規則にも、服務規律と懲戒の条文が置かれています。自社の就業規則にこの部分がない場合、生成AI規程だけを強くしても実効性はありません。

秘密保持義務との重なり

多くの会社の就業規則には、すでに秘密保持義務の条文があります。生成AIへの入力は、この既存の義務の適用場面が1つ増えただけと整理すると、社内の説明が楽になります。「新しい禁止事項が増えた」ではなく「これまで守ってきたことを、AIでも守る」という伝え方です。

この整理には副次的な効果があります。秘密として管理していることを社内に示す材料が増えるため、前述した営業秘密の秘密管理性の観点でも有利に働きます。

届出と意見聴取の実務

就業規則を変更する場合は手続が要ります。労働基準法第90条は、就業規則の作成または変更について、労働者の過半数で組織する労働組合があるときはその労働組合、ないときは労働者の過半数を代表する者の意見を聴かなければならないと定め、届出の際に意見を記した書面を添付することを求めています（出典：e-Gov法令検索「労働基準法」第90条）。

一方、生成AI利用規程を単体で作る場合、この手続がただちに必要になるわけではありません。ただし就業規則の一部として位置づける場合は同じ扱いになります。どちらの建て付けにするかは、最初に決めて社労士に確認してください。後から変えると社内への説明がやり直しになります。

作ったあとに必要なこと

規定は作った日が完成日ではありません。配って、覚えてもらって、使われて、直されて初めて機能します。ここでは公開後にやることを4つに絞ります。

周知しないと効力が弱い

作った規定をファイルサーバーに置いただけ、という会社は非常に多いです。周知していない規定は、違反を問うときに「知らなかった」と言われて終わります。最低限、次の3つはやってください。

• 配布の記録を残す：メール送付日、朝礼で説明した日、受領の確認
• 1枚に要約したものを配る：全文は読まれません。別表1と3秒判定だけの1枚を作る
• 新しく入った人に渡す仕組み：入社時の書類一式に入れる（文例第12条第1項）

運用チェック項目12個

四半期に1回、次の12項目を確認してください。そのまま議事録に貼れる形にしてあります。

とくに5番の「確認が0件」は危険な兆候です。判断に迷う場面が本当に一度もなかったのか、それとも聞かずに使っているのか。0件が2期続いたら、周知のやり方を変えてください。

見直しの頻度と引き金

年1回の定期見直しに加えて、次の出来事が起きたらその都度見直します（文例第12条第3項）。

• 利用しているサービスの仕様・規約が変わったとき
• 個人情報保護法・著作権法など関係する法令が改正されたとき
• AI事業者ガイドラインなど公的指針が改定されたとき（第1.2版は2026年3月31日公表）
• 第11条の報告があったとき
• 新しい業務にAIを使い始めるとき

専門家に渡す線

本記事の文例は出発点であり、これで法的に問題がないと断定するものではありません。次の場面に当たったら、自社で判断せず専門家に渡してください。

よくある失敗5つ

規定づくりで実際に起きている失敗を、対策とセットで5つ挙げます。いずれも規定の文言を少し変えるだけで防げます。

失敗1｜禁止一色で隠れて使う

何が起きるか：「業務での生成AI利用を禁止する」とだけ通達した結果、社員が個人のスマートフォンで無料版を使い始める。会社は使用実態を把握できず、ログも残りません。禁止したはずが、最も危険な形での利用だけが残ります。

対策：禁止から入らず、使ってよいサービスと業務を先に決めます（文例第4条・第5条）。「認めたものは自由に使ってよい」と示すほうが、結果的に外部に出る情報は減ります。

失敗2｜機密の定義がない

何が起きるか：「機密情報の入力を禁止する」とだけ書かれた規定を配ったが、何が機密かの定義がない。慎重な社員は一切使わず、大胆な社員は原価表まで入力する。同じ規定の下で、正反対の運用が並存します。

対策：別表1で情報の種類ごとに区分を書きます。12行で構いません。足りない分は第8条の確認記録で足していきます。

失敗3｜承認ツールを決めない

何が起きるか：規定は作ったがサービス名を書かなかったため、部署ごとにバラバラのサービスを個人契約で使う状態になる。学習利用の設定を誰も確認しておらず、退職者のアカウントも生きたままになります。

対策：別表2を作り、製品名とプラン名まで書きます。「学習利用の有無」と「確認日」の2欄が、個人情報保護委員会が求める確認の記録になります。

失敗4｜出力の責任者が不明

何が起きるか：AIが作った提案書の数値が誤ったまま取引先に提出された。社内で「AIが間違えた」という話になり、誰の責任なのかが決まらない。再発防止の議論に入れないまま時間が過ぎます。

対策：文例第9条第3項のように、成果物の責任は使った人とその所属長が負うと明記します。あわせて第2項で、社外文書・数値・法令解釈の3つは作成者以外の確認を必須にします。

失敗5｜作って配って終わり

何が起きるか：規定を作った半年後、使っているサービスが値上げされてプランが変わり、無料枠に切り替えた部署が現れる。別表2は更新されておらず、規定と実態がずれたまま放置されます。

対策：四半期に1回、前掲の運用チェック12項目を回します。担当者を1名決め、確認結果を1枚残すだけで十分です。完璧な運用より、続く運用を選んでください。

モデルケース｜40名の卸売業

ここからはモデルケース（試算）です。実在の企業の実績ではなく、Ai-Rakuが支援の現場で見てきた進み方をもとに構成した想定例であることを、先にお断りしておきます。

会社の前提と困りごと

従業員40名、地方の食品卸売業A社。営業12名、内勤事務8名、倉庫15名、管理部門5名という構成です。1年前から一部の営業社員が個人の判断でChatGPTを使い始めており、経営者はそれを黙認していました。きっかけは、ある営業社員が「取引先へのお詫び文をAIに作らせた」と会議で発言したことでした。

経営者が感じた不安は3つです。取引先の名前を入力していないか。作った文書をそのまま送っていないか。そして、止めるべきか進めるべきかを判断できない。この3つ目が最大の悩みでした。

規定づくりの4週間

ポイントは1週目を「規定を書く」ではなく「実態を聞く」に使ったことです。匿名で聞いたところ、営業社員の半数が既に使っており、うち数名は取引先名を入力していたことが分かりました。実態を知らずに書いた規定は、必ず現実とずれます。

試算｜削減時間と金額

規定を整えたことで「使ってよい範囲」が明確になり、これまで様子を見ていた内勤事務にも利用が広がりました。以下はすべて試算であり、前提は時給2,500円・月20営業日です。金額は削減できた時間に時給を掛けた計算上の数値であり、実際の人件費が同額減ることを意味するものではありません。

注目していただきたいのは、この削減の多くが「今まで怖くて使えなかった人」が使えるようになったことで生まれている点です。規定は制限のためだけの文書ではありません。使ってよい範囲を明示した瞬間に、使える人の数が増えます。議事メモの整理については議事録作成のソリューション、業務ごとの取り組み方は業務別ソリューション一覧にまとめています。

つまずいた2点

うまくいった話だけでは参考になりません。A社が実際につまずいた点を2つ挙げます。

1つ目は、別表1を作り込みすぎたこと。最初の版は40行あり、誰も読みませんでした。12行に減らし、残りは第8条の確認に回す形に変えたところ、ようやく現場で参照されるようになりました。網羅性より、読まれることを優先してください。

2つ目は、情報管理責任者を総務担当1名に集中させたこと。質問が集中し、その担当者が通常業務を回せなくなりました。各部署に1名ずつ「一次窓口」を置き、判断がつかないものだけ総務に上げる二段構えにして解決しています。相談先は1人にしないほうが続きます。AI導入全体の進め方は中小企業のAI導入は何から始める？もあわせてご覧ください。

よくある質問

Q. 社内規定は法律上の義務ですか

A. 生成AIの利用規程そのものを直接義務づける法律は、2026年8月時点ではありません。ただし個人情報を扱う場合は個人情報保護法上の安全管理措置が求められ、常時10人以上の労働者を使用する事業場には就業規則の作成義務があります。義務がないから作らなくてよい、という話ではありません。

Q. 10人未満でも規定は要りますか

A. 必要です。労働基準法第89条の届出義務は常時10人以上が対象ですが、情報が外に出るリスクは人数と関係ありません。10人未満の会社なら、本記事の文例と別表1だけで十分に機能します。就業規則がない場合は、雇用契約書や誓約書で秘密保持義務を確認しておいてください。

Q. 文例をそのまま使えますか

A. そのまま使って問題がない、とは申し上げられません。本記事の文例は一般的な中小企業を想定した出発点です。業種による業法上の制約、既存の就業規則との整合、取引先との契約内容によって必要な修正は変わります。最終的な整備は社会保険労務士や弁護士の確認を受けてください。

Q. 何条くらいが適切ですか

A. 最初の版はA4で1枚、条数でいえば10条から15条程度が現実的です。読まれない規定は存在しないのと同じです。分量を増やすより、別表1を自社の言葉で埋めるほうに時間を使ってください。

Q. 「機密情報」とだけ書いては駄目？

A. 書いても構いませんが、それだけでは現場が判断できません。不正競争防止法上の営業秘密は有用性・秘密管理性・非公知性の3要件で判断されます（経済産業省「営業秘密」）。抽象的な語のあとに、必ず具体例の一覧を付けてください。

Q. 無料版を業務で使わせてよい？

A. 推奨しません。個人情報保護委員会は、個人データを含むプロンプトを入力する場合、その事業者が当該個人データを機械学習に利用しないこと等を十分に確認することを求めています（個人情報保護委員会・令和5年6月2日）。確認できない契約形態を業務に使うのは避けてください。

Q. 個人アカウントは使えますか

A. 規定では禁止すべきです（文例第4条第3項）。会社が設定を確認できず、退職時にアカウントを停止できず、何を入力したかの記録も残らないためです。禁止するなら、代わりに使える会社のアカウントを同時に用意してください。代替なしの禁止は守られません。

Q. AIの文章の著作権は誰のもの？

A. 文化審議会の整理では、生成AIへの指示が表現に至らないアイデアにとどまる場合、その生成物に著作物性は認められないとされています。一方、人が創作的表現といえる加筆・修正を加えた部分には通常、著作物性が認められるとされています（文化庁「AIと著作権について」）。社外資料は必ず人が手を入れてください。

Q. AI利用の表示義務はありますか

A. 一律の法的義務があるわけではありませんが、IPAのガイドラインは生成物を引用する場合に生成AIにより生成した事実を明示することが求められると整理しています。用途によって判断が分かれるため、文例第10条第2項のように判断する人を決めておくのが実務的です。

Q. 懲戒解雇と書いてよいですか

A. 生成AI規程だけを根拠にするのは避けてください。懲戒の種類と程度は、労働基準法第89条第9号により就業規則の記載事項とされています。規程側には指導と再教育を書き、懲戒は就業規則に委ねる書き方が安全です。減給を定める場合は同法第91条の上限に注意してください。

Q. 入力してしまったらどうする？

A. まず入力した内容と日時を記録し、責任者に報告してください。個人データが含まれる場合、個人情報保護委員会への報告が必要な事態かどうかの判断が要ります。速報は発覚日から3〜5日以内とされているため、社内の初動は1営業日以内を目安にしてください（個人情報保護委員会）。

Q. パートや委託先にも適用する？

A. パート・契約社員・派遣社員は、文例第2条第1項で適用対象に含めています。業務委託先は雇用関係がないため規程を直接適用できず、同等の取扱いを契約で求める形にします（同条第2項）。業務委託契約や秘密保持契約の見直しとあわせて進めてください。

Q. 見直しの頻度はどれくらい？

A. 定期は年1回で十分です。それに加えて、利用サービスの仕様変更、関係法令の改正、公的指針の改定、事故報告があったときに都度見直します。AI事業者ガイドラインは第1.2版が2026年3月31日に公表されており、更新される前提の文書です（総務省・経済産業省）。

Q. 詳しい人がいなくても作れる？

A. 作れます。本記事の文例と別表1・別表2を埋める作業は、社内の情報を知っている人であれば進められます。難しいのは条文を書くことではなく、自社の情報を仕分けることです。ここで止まる場合は、外部の伴走を入れるほうが早く終わります。

まとめ

• 社内規定の価値は禁止事項の網羅性ではなく、現場が自分で判断できる「線」が引かれているかで決まる
• 必ず入れる項目は7つ。目的と範囲、認めるサービス、入力の線、迷ったときの行き先、出力の確認、事故の報告、教育と見直し
• 規定の心臓部は別表1。情報の種類を「入力可・条件付き・禁止」の3段階に分け、12行程度で始める
• 入力の根拠は個人情報保護法と不正競争防止法、出力の根拠は著作権法と文化庁の整理にある
• 懲戒の根拠は就業規則に置き、規程側には指導・再教育と報告義務を書く
• 事故を減らすのは罰則の重さではなく、報告した人を不利に扱わないという一文
• 作ったあとは四半期に1回、運用チェック12項目を回す。確認件数0件は危険な兆候

規定づくりでいちばん時間がかかるのは、条文を書くことではありません。自社の情報を「入力可・条件付き・禁止」に仕分ける作業です。ここさえ終われば、あとは本記事の文例に流し込むだけで形になります。

なお、Ai-Raku代表の前田は、中小企業でのAI定着をテーマにした書籍『中小企業のAI定着の教科書』を出版しています。関心のある方は書籍の紹介ページをご覧ください。

Ai-Rakuでは、初期費用0円・月額5万円〜で、規定の骨子づくりから、別表の仕分け、社員への周知、ツールの設定、その後の運用までを伴走しています。「規定を作りたいが、どの情報が条件付きか分からない」という段階でも構いません。まずは無料相談をご利用ください。あわせて、ルールの考え方は社内AIルールの作り方、技術面の守り方は生成AIのセキュリティ対策、公的指針の全体像はAI事業者ガイドラインもご覧ください。