生成AIの社内ルールはA4一枚でいい｜ISMSを回してきた編集部のテンプレート【漫画でわかる】
生成AIの最初の社内ルールは、7項目・A4一枚で始められます。決めることは、「使っていいツール」「入れていい情報」「困ったときの相談先」の3つが中心です。長い規程を作るより、全員が読めて守れる1枚を先に作り、3か月ごとに直していくほうが、小さな会社では続きます。
この記事には、そのまま使えるテンプレートの全文を載せています。コピーして、会社名と担当者名を入れれば使えます。書いているのは、IT業界で長く働き、ISMS（情報セキュリティの仕組み）の導入と運用を回してきた編集部です。
この記事で分かること
- 最初に決める3つのことと、テンプレート（全7条）の全文
- 入れていい情報の3区分と、新しいツールの申請の流れ
- すでにISMSがある会社が、どの文書に1行足せばよいか
『ミナト精密のAI係』「社長、来月からAIやるぞ」
漫画の内容を文字で読む
- 1コマ目：事務所。展示会の紙袋を抱えた港社長「森田くん！来月から全社でAIだ！」
- 2コマ目：固まるかおり（心の声）「ぜ、全社で……ルールも何もないのに……」
- 3コマ目：窓辺のホウ先生「禁止より、ルールと道具じゃよ。まずは紙一枚からじゃ」
- 4コマ目：水色のノートを開くかおり「……一枚なら、今日中に作れるかも」
結論：最初のルールは「7項目・A4一枚」でいい
結論：最初から完璧な規程はいりません。「使っていいもの」「入れていいもの」「困ったら誰に」が全員に伝わる1枚があれば、まず始められます。
長い規程は、作った人しか読みません。社員が知りたいのは、「このツールを使っていいのか」「この資料を貼っていいのか」「困ったら誰に聞けばいいのか」の3つです。そこに答える1枚を先に作り、3か月使ってみてから直す前提にすると、作る側も気が楽になります。
ISMSでも、最初から完璧な文書はありません。運用しながら見直して育てていくのが基本の考え方です。AIのルールも同じです。
まず決める3つのこと
結論：①使っていいツール ②入れていい情報 ③困ったときの相談先、の3つを決めれば、ルールの骨組みができます。
『ミナト精密のAI係』「もう使ってました」
漫画の内容を文字で読む
- 1コマ目：事務所。ノートパソコンを抱えた佐野くん「あの……実は、英語の資料の翻訳に、もう無料版を……」
- 2コマ目：一瞬困った顔のかおり（心の声）「……もう使われてたんだ」
- 3コマ目：ほほえむかおり「教えてくれてありがとう。使っていい形を、一緒に決めよう」
- 4コマ目：棚の上のホウ先生「隠れて使うより、言ってくれたほうがずっと安全じゃ」
使っていいツール：会社が認めたものだけ
まず、業務で使ってよいツールを決めます。ポイントは、個人のアカウントや無料版を業務に使うかどうかです。無料版や個人向けのプランは、入力した内容がサービスの改善（学習）に使われる設定が初めからオンになっていることがあります。会社で使うなら、「業務では会社のアカウントだけ」と決めておくと、設定の確認も会社でまとめてできます。
ツールごとの「学習に使わない」設定の場所と「オフにしても残るもの」は、AIに入れていい情報・ダメな情報（早見表）で、2026年10月時点の公式の説明をもとにまとめています。
入れていい情報：3つに分ける
情報は、「出してOK」「条件つき」「出さない」の3つに分けます。名前は難しくしないほうが、現場で使われます。
| 区分 | 製造業の例 | AIに入れてよいか | 条件 |
|---|---|---|---|
| 出してOK | 公開済みのカタログ、自社サイトの文章、一般的な技術用語 | ○ | なし |
| 条件つき | 社内の手順書、日報、不良報告 | △ | 会社が認めたツールで、学習に使わない設定にし、社名・人名・数値を伏せる |
| 出さない | 取引先の図面・仕様書・見積、社員名簿や評価、顧客の個人情報、未公開の新製品、パスワード | × | — |
迷ったら、「名前・数字・図面は伏せる。迷ったら入れない」を合言葉にします。
個人情報保護委員会は、生成AIサービスに個人情報を入力するときの注意を公表しています。事業者が、本人の同意なく個人データを入力し、それが応答の出力以外（機械学習など）に使われる場合は、個人情報保護法に違反するおそれがあるとして、サービスを提供する事業者が機械学習に使わないことなどを十分に確認するよう求めています（令和5年6月2日）。「学習に使わない」設定を、ルールに入れておく理由はここにあります。
困ったときの相談先と、入れてしまったときの連絡
最後に、相談先（担当者の名前と連絡方法）を1行で書きます。そして、「入れてはいけないものを入れてしまったら、すぐ知らせる。早く知らせた人を責めない」と書いておきます。報告が遅れるほど、打てる手が減るからです。
テンプレート（全7条・A4一枚）
結論：下の全文をコピーして、○○の部分を自社の言葉に直せば使えます。
生成AIの利用ルール（第1版 20XX年X月X日）株式会社○○
就業規則や取引先との契約との関係は、会社ごとに違います。気になるときは、社会保険労務士や弁護士に確認してください。
各条の書き方のコツ
結論：守られるルールにするコツは、「例を書く」「人が責任を持つと書く」「似せないと書く」の3つです。
第3条（入れていい情報）は、例を書くほど守られる
「機密情報は入力しない」とだけ書くと、何が機密なのか人によって判断が分かれます。上の3区分の表のように、自社でよく扱う書類の名前で例を5つずつ書くと、迷う人が減ります。製造業なら、図面・見積書・取引先の仕様書・不良報告・社員名簿が、まず候補になります。
第5条（出力の確認）は、「人が責任を持つ」と書く
生成AIの答えには、不正確な内容が混ざることがあります。個人情報保護委員会の注意喚起でも、応答に不正確な内容が含まれうることが指摘されています。だから、社外に出す文書や判断に使う前には、人が確認すると書きます。「AIがそう言ったから」は、取引先には通じません。
第6条（著作権）は、「似せない・人が手を入れる」
文化庁は、AIと著作権の関係について「AIと著作権に関する考え方について」や「AIと著作権に関するチェックリスト＆ガイダンス」を公表しています。社内ルールでは細かい法律の話まで書かず、「他人の作品や商標に似せる指示をしない」「人が確認・修正してから使う」の2点を書いておけば、最初の一歩としては十分です。
新しいツールの申請から承認までの流れ
結論：「使いたい人 → 担当者 → 社長」の3段で十分です。担当者が見るのは、データの扱い・保存先・管理機能・料金の4点です。
- 使いたい人が申請する：ツール名、何に使うか、入れる情報の区分（第3条）を書く
- 担当者が4点を確認する：①入力が学習に使われるか（止められるか） ②データがどこに、どのくらいの期間保存されるか ③管理者の機能（退職した人のアカウントを止められるか） ④料金と契約の条件
- 社長が承認する：承認したら、第2条の一覧に足す
- 3か月後に見直す：本当に使われているか、困ったことはないか
「出さない」区分の情報を入れる使い方は、原則として認めない、と決めておくと判断が速くなります。確認の4点は、各社の公式ページ（プライバシーポリシー・ヘルプ・法人向けプランの説明）で確かめ、確認した日を一覧に書いておきます。仕様はよく変わるからです。
すでにISMSがある会社は「ここに1行足す」だけ
結論：AI専用の規程を一から作らなくても、今あるISMSの文書に、AIのことを1行ずつ足せば回せます。
| 今あるISMSの仕組み | AIのために足すこと |
|---|---|
| 情報資産の台帳 | 使っているAIツールと、入れる情報の区分を1行ずつ |
| 情報の分類と取扱い | 3区分と、AIへの入力の可否 |
| 利用規程（許される使い方） | テンプレートの第2〜5条 |
| クラウドサービス・外部の委託先の管理 | 申請のときの確認4点 |
| 教育・意識向上 | 年1回の確認テストに3問足す |
| インシデントへの対応手順 | 「入れてしまった」ときの連絡 |
編集部がISMSを運用してきた経験では、新しい規程を増やすほど、更新の手間と「どれが最新か分からない」問題が増えます。今ある仕組みに足すほうが、監査のときも説明しやすく、続きます。 AIツールも、ほかのクラウドサービスと同じ「外部のサービス」として扱えばよいのです。
国のガイドラインとの関係
結論：国のガイドラインは「何に気をつけるか」の考え方を示したもので、そのまま社内ルールの文面になるものではありません。テンプレートは、その考え方のうち「AIを使う側」として最低限のところを1枚にしたものです。
- AI事業者ガイドライン（第1.2版）：総務省と経済産業省が令和8年3月31日に公表しました。AIを開発する人・提供する人・使う人のそれぞれが取り組むことを整理していて、チェックリストとワークシート（別添7）もあります。法律ではなく、事業者が自主的に取り組むための指針です。ルールを作ったあと、チェックリストで抜けがないかを見直すのに使えます。
- 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（令和5年6月2日）：上で書いたとおり、個人データを入力するときの注意です。テンプレートの第3条・第4条がこれに当たります。
- 個人情報保護法の改正：「個人情報の保護に関する法律等の一部を改正する法律」が令和8年7月17日に公布されました。一部を除き、公布から2年以内に政令で定める日に施行されます。公布済みで、施行はこれからです。施行の日が決まったら、ルールの見直しのときに確認します。
- IPA「テキスト生成AIの導入・運用ガイドライン」（2024年7月31日公開）：IPAの人材育成プログラムの受講者がまとめた成果物です。IPAとしての公式な見解ではありませんが、導入の手順や確認項目の参考になります。
作っても守られない3つの理由と、その手当て
結論：守られないルールの多くは、①禁止が多すぎる ②例がない ③作った人しか知らない、のどれかです。
『ミナト精密のAI係』「一枚なら読む」
漫画の内容を文字で読む
- 1コマ目：工場の休憩スペース。A4の紙を差し出すかおり「AIの使い方のルールです。一枚だけです」
- 2コマ目：腕を組む大石さん「長いのは読まんが……一枚なら読む」
- 3コマ目：紙を見る佐野くん「例が書いてあると、迷わなくていいですね」
- 4コマ目：窓辺のホウ先生「3か月したら、また皆で見直すのじゃ」
- 禁止が多すぎて、隠れて使われる：全部禁止にすると、便利さを知っている人ほど、こっそり個人の無料版を使います。会社から見えないところで使われるのが、いちばん危ない状態です。「この形なら使っていい」を先に示しましょう。
- 例がなく、判断できない：第3条に、自社の書類の名前で例を書きます。
- 作った人しか知らない：朝礼で5分説明し、紙を1枚配るだけでも違います。パートさんや派遣の方にも同じルールを当てはめ、口頭と1枚の紙で伝えます。年1回、3問ほどの確認テストをすると、教育の記録にもなります。
3か月ごとの見直しチェック
結論：見直しは、5つの項目を15分で確かめるだけで十分です。
| 見直す項目 | 見るもの | 担当 |
|---|---|---|
| 使っているツールの一覧 | 第2条の一覧と、実際に使われているもの | 担当者 |
| 3区分の例 | 新しく出てきた書類や、迷った例 | 担当者・各部署 |
| 相談の件数と中身 | 相談のメモ | 担当者 |
| 入れてしまった件数 | 報告の記録（責めずに、原因だけ見る） | 担当者・社長 |
| ツールの規約・設定の変更 | 各社の公式ページ（確認日を更新） | 担当者 |
まとめ：今日やることは3つ
- 使っていいツールを1つ決める（会社のアカウントで）
- 3区分の例を、自社の書類の名前で5つずつ書く
- 相談先を決めて、朝礼で伝える
この3つができたら、テンプレートの○○を埋めて、配るだけです。3か月後に、使ってみて困ったところを直しましょう。
よくある質問
Q1. 社員が、もう無料版を使っていました。どうしたらいいですか？
まず責めずに、何に、どのツールを使っていたかを教えてもらいましょう。使いたくなる理由があったはずです。そのうえで、「この使い方なら会社のアカウントで」と、使っていい形を一緒に決めます。入れてはいけない情報を入れていた場合は、第7条の連絡と同じ流れで対応します。
入れてしまったときの初動は、AIに入れていい情報・ダメな情報（早見表）で説明しています。
Q2. 取引先から「AIを使わないで」「確認書を出して」と言われました。
取引先との契約や指示は、社内ルールより優先します。テンプレートの第3条にも、そのことを書いています。取引先ごとの約束は、担当者が一覧にしておくと、現場で迷いません。確認書の中身に契約上の判断が含まれるときは、専門家に相談してください。
Q3. スマホのAIアプリや、翻訳ツールはどうしますか？
同じ3区分で判断します。翻訳ツールも、入れた文章がサービス会社に送られる点は同じです。たとえばDeepLは、無料版では個人データや機密情報を含む文章を扱わないよう規約で定めていて、扱えるのは有料のDeepL Proとしています（2026年10月11日、公式の規約で確認）。
Q4. パートさんや派遣の方にも適用しますか？
はい。同じ情報を扱うなら、同じルールを当てはめます。説明は口頭と1枚の紙で十分です。派遣の方は、派遣元との契約で決まっていることもあるので、担当者が確認しておきましょう。
この記事を書いた人・運営者情報
- 執筆：現場のAIノート編集部（IT業界で長く働き、ISMSの導入と運用を回してきたメンバーが書いています。仕事で知った会社や取引先の情報は書きません）
- この記事でのAIの使い方：構成の下書きにAIを使い、法令・ガイドライン・公式ページの内容と出典は、人が原文を読んで確かめています
- 確認日：2026年10月11日（ガイドライン・公式ページ）
参考資料（2026年10月11日閲覧）
- 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（令和5年6月2日） https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/
- 個人情報保護委員会「『個人情報の保護に関する法律等の一部を改正する法律』の公布について（令和8年7月17日）」 https://www.ppc.go.jp/news/press/2026/260717/
- 経済産業省「AI事業者ガイドライン」（第1.2版・令和8年3月31日、チェックリスト・ワークシート〔別添7〕） https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html ／総務省の掲載ページ https://www.soumu.go.jp/main_sosiki/kenkyu/ai_network/02ryutsu20_04000019.html
- 文化庁「AIと著作権について」（考え方、チェックリスト＆ガイダンス） https://www.bunka.go.jp/seisaku/chosakuken/aiandcopyright.html
- IPA「テキスト生成AIの導入・運用ガイドライン」（2024年7月31日公開。中核人材育成プログラムの受講者の成果物） https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2024/generative-ai-guideline.html
- DeepL 利用規約 https://www.deepl.com/en/terms-of-use ／DeepL Pro https://www.deepl.com/ja/pro
更新履歴
- 公開日：記事を公開しました