生成AIの社内ルールの作り方｜書き換えて使えるサンプル条文と運用チェックリスト【2026年版】

生成AIの社内ルールとは、ChatGPTなどの生成AIを業務で使うときに「何を入力してよいか」「どのサービスを使ってよいか」「作ったものを社外に出す前に何を確かめるか」を会社として決めておく取り決めです。最初から分厚い規程を作る必要はなく、この3つを決めて全員に伝えれば、ルールとして動き出せます。

社員が個人の判断で使い始めてからルールを作ろうとすると、「もう入力してしまった情報」の扱いから考えることになり、手間が増えます。この記事では、総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」、文化庁の「AIと著作権に関するチェックリスト＆ガイダンス」、個人情報保護委員会の注意喚起という公的資料をもとに、社内ルールに入れる項目、書き換えて使えるサンプル条文、作り方の手順をまとめます。生成AIを業務のどこで使うかの具体例は「ChatGPTの活用事例」で解説しています。

この記事で分かること

• 生成AIの社内ルールで決めておく8つの項目と、それぞれの根拠になる公的資料
• 自社名を入れて書き換えれば使えるサンプル条文（全9条）
• 入力してよい情報を3段階に分ける方法と、業務向けプランの学習利用の扱い
• 作ったものを社外に出す前の確認と、外注先がAIを使うときに確認すること

先に結論: 社内ルールは「入力してよい情報」「使ってよいサービス」「社外に出す前の確認」の3つから作り始め、年に1回は見直す前提で運用します。国のガイドライン自体も毎年のように改訂されているため、最初から完璧を目指すより、小さく決めて直していく方が現場に定着します。

生成AIの社内ルールが必要になる理由

生成AIそのものを規制する法律で、一般の企業に具体的な義務を課すものは、2026年10月時点ではありません。2025年9月1日に全面施行された「人工知能関連技術の研究開発及び活用の推進に関する法律（AI法）」も、AIの研究開発と活用を推進するための法律です（出典: 内閣府「AI法 全面施行 -次なるフェーズへ-」、2026年10月27日確認）。

一方で、生成AIを使うと次のような既存の法律や契約に触れる場面が出てきます。

つまり、社内ルールは新しい規制に従うためというより、既存の法律や契約を、生成AIを使う場面でも守れるようにするための道具です。総務省・経済産業省のAI事業者ガイドラインも、自らを「非拘束的なソフトロー」と位置づけ、事業者が自主的に取り組むことを求めています。

ルールの土台にする4つの公的資料

社内ルールの項目は、ゼロから考えるより公的な資料に沿って決める方が抜けが出にくくなります。この記事で使うのは次の4つです（いずれも2026年10月27日に公式サイトで確認）。

AI事業者ガイドラインの第5部では、業務でAIを使う会社（ガイドラインの用語では「AI利用者」）に重要な事項として、AIサービスの提供元が定めた利用上の注意を守ること、個人情報や機密情報を不適切に入力しないこと、出力の精度とリスクを理解して使うこと、提供元のサービス規約を守ることなどが挙げられています。

個人情報保護委員会の注意喚起は、事業者向けに次の2点を示しています。

1. 個人情報を含むプロンプトを入力する場合は、その個人情報の利用目的を達成するために必要な範囲内か、十分に確認する
2. 本人の同意なく個人データを入力し、それが応答の出力以外の目的で扱われると、個人情報保護法に違反する可能性がある。入力するなら、サービスの提供元がそのデータを機械学習に使わないことなどを十分に確認する

社内ルールに入れる8つの項目

4つの資料を突き合わせると、社内ルールで決めておく項目は次の8つに整理できます。

項目7の人事評価については、AI事業者ガイドラインに「AIの出力結果を特定の個人又は集団に対する評価の参考にする場合は、AIを利用している旨を評価対象者に通知する」という趣旨の記載があります。採用の書類選考や人事評価でAIを使うなら、ルールで扱いを決めておきましょう。

書き換えて使えるサンプル条文

ここまでの8項目を、そのまま社内に配れる形の条文にしました。「〇〇株式会社」と、使ってよいサービス名、担当部署を自社に合わせて書き換えてください。小さな会社なら、第9条までのこの分量で十分に運用できます。

生成AI利用ルール（〇〇株式会社）

第1条（目的） このルールは、当社の業務で生成AIを安全に使い、業務の効率と品質を高めるために定める。

第2条（対象） このルールは、当社の役員・社員・パート・アルバイト、および当社の業務を行う業務委託先に適用する。

第3条（使ってよいサービス）

1. 業務で使ってよい生成AIサービスは、会社が認めた別表のサービスとプランに限る。
2. 別表にないサービスを使いたいときは、〇〇部に申請し、許可を得てから使う。
3. 個人のアカウントで業務の情報を扱わない。

第4条（入力してはいけない情報） 次の情報は、生成AIに入力しない。

1. お客様・取引先・社員の個人情報（氏名、電話番号、メールアドレス、住所、顔写真など）
2. 取引先から秘密保持の約束のもとで預かった情報
3. 公開前の見積額・契約条件・決算情報・人事情報
4. パスワード、APIキーなど、システムに入るための情報
5. 他人の著作物を、似たものを作らせる目的で入力すること

第5条（生成物の確認）

1. 生成AIの回答には誤りが含まれることがある。社外に出す文章・画像・動画・資料は、担当者が事実と数字を確認してから使う。
2. 社外に出す画像・動画・文章は、既存の作品や他社のロゴ・商標と似ていないかを、インターネット検索などで確認する。
3. 最終的な内容の責任は、生成AIではなく、それを使った担当者と承認者が負う。

第6条（記録） 社外に出す生成物は、使ったサービス名、入力した指示（プロンプト）、作成日を記録しておく。

第7条（禁止する使い方）

1. 採用・人事評価・取引の可否を、生成AIの出力だけで決めない。
2. 実在の人物・有名人に似せた画像・動画・音声を作らない。
3. サービスの利用規約で禁止されている使い方をしない。

第8条（社外への説明） 取引先やお客様から生成AIの利用について尋ねられたときは、使った範囲を正直に説明する。契約でAIの利用に条件がある場合は、その条件に従う。

第9条（相談と見直し）

1. 判断に迷うとき、誤って情報を入力したときは、すぐに〇〇部へ相談する。
2. このルールは、年に1回以上、および利用するサービスや法令・ガイドラインが変わったときに見直す。

第4条の5は、文化庁のチェックリストで「入力した既存の著作物と類似した生成物を生成させる目的で入力を行う場合は、著作権法第30条の4が適用されない場合がある」とされている点に対応しています。参考資料として社内で回覧するだけなら問題になりにくくても、似たものを作らせるための入力は避ける、と線を引いておくと現場が迷いません。

入力してよい情報を3段階に分ける

第4条の「入力してはいけない情報」だけでは、現場は「では何なら入れてよいのか」で迷います。情報を3段階に分けた表を、条文と一緒に配ると判断が速くなります。

「条件付き」を作っておくのがポイントです。全部を禁止すると現場は使わなくなるか、隠れて個人のアカウントで使うようになり、かえって管理できなくなります。名前を「〇〇様」、社名を「A社」のように置き換えれば、多くの下書きは「入力してよい」の区分に移せます。

使ってよいサービスの決め方

「条件付き」の情報を扱うなら、入力した内容がAIの学習に使われないサービスとプランを選びます。主な業務向けプランの扱いを、2026年10月27日に各社の公式ページで確認しました。

個人向けの無料・有料プランは、設定で学習をオフにできるものの、既定の扱いがサービスごとに違い、社員一人ひとりの設定に頼ることになります。ChatGPTの個人向けプランの設定については「ChatGPTの活用事例」の「入力してはいけない情報を決める」で解説しています。

サービスを選ぶときは、学習利用のほかに次の点も確認して、別表に書いておきます。

• 会社で管理できるアカウントか（退職者のアカウントを止められるか）
• 会話の保存期間を会社が決められるか
• 生成物の商用利用が利用規約で認められているか
• 画像・動画を作るなら、そのプランで商用利用できるか（プランによって条件が違うことがある）

各社のプラン名や条件は変わることがあるため、別表には「確認した日」を一緒に書き、見直しのたびに公式ページで確かめ直します。

作ったものを社外に出す前の確認

社内の下書きに使うだけなら、確認は軽くて構いません。ホームページ・広告・提案書・SNSなど社外に出すものだけ、次の確認を必須にします。文化庁のチェックリストでも、生成物は生成するだけなら適法に行える場合でも、インターネットでの配信などに使う場合は、既存の著作物と類似していないか確認することが必要とされています。

• 日付・金額・実績・法令など、事実と数字を元の資料と照らし合わせた
• 画像・動画は、画像検索などで既存の作品と似ていないか確かめた
• 他社のロゴ・商標・キャラクターや、実在の人物に似たものが入っていない
• 画像の中の文字が崩れていない、意味の通らない文字が入っていない
• 使ったサービス名・プロンプト・作成日を記録した
• 承認者が内容を確認した

プロンプトを記録しておく理由は、文化庁のチェックリストにあります。著作権侵害には「類似性」と「依拠性（既存の作品をもとにしたか）」の両方が必要で、既存の作品のタイトルやキャラクター名をプロンプトに入れていたかどうかが、依拠性の判断にかかわるとされています。記録があれば、後から問い合わせを受けたときに「特定の作品を指定していない」ことを説明できます。

外注先が生成AIを使うときに確認すること

社内ルールを作ると、外注先にも同じ水準を求めたくなります。ホームページの文章、バナー、動画、広告の素材などを外注する場合、生成AIの利用について次の点を発注前に確認しておくと、納品後のトラブルを防げます。

RINIAのAI動画制作・AI CM動画制作では、商用利用が認められたプランの生成AIサービスで制作し、実在の人物・有名人・他社のロゴや商標に似せたものは作らない、という方針をサービスページで公開しています。AI広告運用でも、生成した素材は文字の崩れや表現の問題がないかを確認してから配信します。生成AIを使った制作を外注先に頼むときの比較材料として、AI動画制作・AI CM動画制作・AI広告運用のページもあわせてご覧ください。

社内ルールの作り方：6つのステップ

1. いまの使われ方を把握する: 誰が、どのサービスを、どの業務で使っているかを社内アンケートで集める。個人のアカウントで使っている人がいても責めず、正直に答えてもらうことを優先する
2. 扱っている情報を3段階に分ける: 前の章の表を自社の情報に当てはめる。顧客名簿・見積書・契約書など、具体的な資料名で分けると現場が迷わない
3. 使ってよいサービスとプランを決める: 「条件付き」の情報を扱うなら、業務向けプランを選ぶ。費用は人数分かかるため、まずは使う部署だけで始めてもよい
4. 条文を作る: この記事のサンプル条文か、JDLAのひな型を土台に、自社の言葉に書き換える。別表（サービス一覧と確認日）を付ける
5. 周知と研修をする: 文化庁のチェックリストでも、従業員に著作権制度の理解を確認しておくことが必要とされています。条文を配るだけでなく、「入力してよい／条件付き／禁止」の例を使って30分ほど説明する
6. 見直しの時期を決める: AI事業者ガイドラインは「アジャイル・ガバナンス」として、ルールを固定せず継続的に見直すことを求めています。ガイドライン自体も2024年4月の第1.0版から、2025年3月の第1.1版、2026年3月の第1.2版と毎年のように改訂されています。最低でも年1回、使うサービスを変えたときにも見直す

よくある失敗

• 全面禁止にしてしまう: 使えないと現場は個人のスマートフォンや個人のアカウントで使い始め、会社から見えなくなる。禁止するのは「入力禁止」の区分だけにする
• 大企業の規程をそのまま写す: 申請や承認の手続きが多すぎて、小さな会社では回らない。最初は9条程度で始め、困ったことが出たら足す
• ルールを作って終わる: サービスの名前や条件は頻繁に変わる。別表に確認日を書かないと、いつの情報か分からなくなる
• 社外に出すものと社内の下書きを同じ扱いにする: すべてに厳しい確認を求めると誰も守らなくなる。確認を必須にするのは社外に出すものだけにする
• 外注先を対象から外す: 業務委託先が個人のアカウントで資料を扱えば、社内で守っていても意味がない。対象に業務委託先を入れ、発注時に確認する

自社でできること／専門家に頼むこと

社内ルールは、自社の業務と情報を一番よく知っている社内の人が作るのが基本です。ただし、個人情報の取り扱いや、取引先との契約にかかわる判断に迷ったら、弁護士に確認してください。この記事は一般的な情報をまとめたもので、法的な助言ではありません。

よくある質問

生成AIの社内ルールは、法律で作ることが義務づけられていますか？

2026年10月時点で、一般の企業に生成AIの社内ルール作りを義務づける法律はありません。AI事業者ガイドラインも拘束力のないソフトローです。ただし、個人情報保護法や秘密保持契約、著作権法は生成AIを使う場面にもかかわるため、それらを守るための社内ルールを作っておくことが勧められます。

小さな会社でも社内ルールは必要ですか？

必要です。社員が数人でも、お客様の個人情報や取引先の資料を扱う点は大きな会社と同じです。この記事のサンプル条文のように、入力してよい情報・使ってよいサービス・社外に出す前の確認の3つを決めるだけでも、ルールとして機能します。

無料版のChatGPTを業務で使ってもよいですか？

会社として認めるかどうかを社内ルールで決めます。個人向けプランは、設定で学習をオフにできますが、社員一人ひとりの設定に頼ることになり、会社で管理できません。お客様や取引先の情報を扱う可能性があるなら、学習に使われない業務向けプランを選ぶ方が安全です。

AIで作った画像や文章を、ホームページや広告に使ってもよいですか？

使えますが、事前の確認が必要です。文化庁のチェックリストでは、生成物を配信などに使う前に既存の著作物と類似していないか確認すること、生成に使ったプロンプトなどを確認できる状態にしておくことが望ましいとされています。あわせて、使ったサービスの利用規約で商用利用が認められているかも確認してください。

ひな型は、どこで手に入りますか？

日本ディープラーニング協会（JDLA）が「生成AIの利用ガイドライン」のひな型を公式サイトで公開しています。条項のみの版と簡易解説付きの版、画像編があります。この記事のサンプル条文も、自社名とサービス名を書き換えればそのまま使えます。

社内ルールは、どのくらいの頻度で見直せばよいですか？

最低でも年に1回、加えて使うサービスやプランを変えたとき、法令やガイドラインが改訂されたときに見直します。AI事業者ガイドラインは2024年4月の策定から毎年のように改訂されており、最新は2026年3月31日の第1.2版です。

まとめ

• 生成AIの社内ルールは、「入力してよい情報」「使ってよいサービス」「社外に出す前の確認」の3つから作り始める
• 項目は、AI事業者ガイドライン（第1.2版）・文化庁のチェックリスト・個人情報保護委員会の注意喚起に沿って決めると抜けが出にくい
• 情報は「入力してよい／条件付き／入力禁止」の3段階に分け、全面禁止にしない
• 社外に出すものだけ、事実確認・類似確認・プロンプトの記録を必須にする
• 外注先にも同じ水準を求め、年1回以上見直す

社内ルールが整ったら、次は生成AIをどの業務で使うかです。ホームページ運用での使い方は「ChatGPTの活用事例」、情報漏えいへの備えは「個人情報漏えい対策のチェックリスト」で解説しています。自社に合う社内ルールづくりやサービスの選定、社員研修をRINIAに相談したい場合は、AI導入支援のページをご覧ください。生成AIを使った動画・CM・広告の制作をご検討の場合は、AI動画制作・AI CM動画制作・AI広告運用のページをご覧のうえ、お問い合わせからお気軽にご相談ください。