公開日 更新日 ・ 約13分で読めます
ChatGPT社内ルールの作り方。生成AIガイドライン雛形つき
ChatGPT社内ルールとは、従業員がChatGPTなどの生成AIを業務で使うときの「入力してよい情報・出力の確認手順・責任の所在」を定めた社内規程（生成AIガイドライン）のことです。全面禁止は隠れた利用を生み、放置は事故のときに誰も守れません。
僕はAIVESTという会社を経営しながら、自社の業務を生成AIで回し、AI顧問として中小企業の導入支援もしています。この記事では、顧問の現場と自社の実運用の両方から、ガイドラインに入れるべき7項目、作成の5ステップ、そのままコピーして使える雛形の全文、そして経産省・総務省・JDLAなど公的機関ガイドラインの使い分けまでを公開します。
ChatGPT社内ルールとは。禁止も放置も一番危ない理由
顧問先から受ける相談で多いのが、「気づいたら従業員が個人判断でChatGPTを使っていた。禁止すべきか、このまま黙認していいのか分からない」というものです。結論から言うと、禁止と放置はどちらも危険で、しかも危険の種類が違います。
全面禁止が生む「シャドーAI」
まず禁止のリスクです。業務での生成AI利用を禁止しても、利用そのものはなくなりません。便利だと知ってしまった従業員は、個人のスマホや自宅のパソコンから、会社に申告せずに使い続けます。こうした会社が把握していないAI利用は「シャドーAI」と呼ばれます。
シャドーAI状態になると、誰が・どの業務で・何を入力しているかが一切見えなくなります。相談もされないので、危ない使い方をしていても誰も止められません。禁止は利用をなくすのではなく、利用を見えなくするだけです。
放置は「事故が起きたとき誰も守れない」
一方の放置は、事故が起きた瞬間に問題が表面化します。顧客情報を入力してしまった、AIの出力を確認せずに取引先へ送って誤りがあった。こうしたとき、ルールがなければ本人の責任か会社の責任かの線引きすら存在せず、対応手順もないため、その場しのぎの処理になります。
さらに見落とされがちなのは、ルールがないと真面目な従業員ほど萎縮するという点です。「使っていいのか分からないから使わない」という判断は、会社にとって静かな損失です。ルールの目的は取り締まりではなく、「ここまでは安心して使っていい」という線を引いて、活用の総量を増やすことです。
実例に学ぶ。サムスン電子で起きた機密情報の入力
これは抽象的な脅しではありません。2023年、韓国のサムスン電子では、半導体部門でChatGPTの業務利用を認めた直後に、従業員が機密のソースコードや社内会議の記録を入力する事案が相次いだと報じられました。同社はその後、社用デバイスでの生成AIツールの利用を禁止する対応に踏み切っています。
注目すべきは順番です。ルールを整える前に解禁したから事故が起き、事故が起きたから全面禁止に振れる。禁止と放置のあいだを往復するこの振り子は、線引きを先に作ることでしか止まりません。
リスクは入力側だけではなく、出力側にもあります。
著作権侵害: 生成AIの出力が既存の著作物とよく似ていれば、「AIが作ったから」は言い訳になりません。確認せず公開すれば、責任を問われるのは会社です
誤情報: もっともらしい誤り（ハルシネーション）を確認せず取引先に送れば、損害や信用問題に直結します
だからこそ、次章の7項目には「入力してはいけない情報」と並んで「出力の確認義務」が入ります。
生成AIガイドラインには何を入れるべきか？必須の7項目
顧問先で既存の生成AIガイドライン（社内利用ルール）を見せてもらうと、その多くが「禁止事項の一覧」で止まっています。禁止一覧は7項目のうちの1つでしかありません。入れるべき項目の全体像はこうなります。
7項目の全体像
利用できるツールとアカウントの区分（会社契約か個人契約か、どのツールを業務に使ってよいか）
入力してはいけない情報（顧客情報・未公開の経営情報・認証情報など）
出力の確認義務（事実確認と、他者の権利を侵害していないかのチェック）
対外公開の承認フロー（社外に出るものは人間の承認を挟む）
責任の所在（AIの出力を業務に使った結果の責任は誰にあるか）
事故・ヒヤリの報告手順（報告先と、報告した人を守るルール）
見直しのサイクル（いつ・誰が・何をきっかけに更新するか）
多くの会社で抜けているのは後半の3項目
1〜4は「使い方」のルールで、世の中の雛形にもだいたい入っています。抜けやすいのは5〜7の「運用」のルールです。責任の所在が曖昧なルールは、事故のとき誰も守れません。報告手順のないルールは、事故が隠されて同じ失敗が繰り返されます。見直し日のないルールは、半年で実態と合わなくなります。
ガイドラインの価値は、平時の禁止事項ではなく、事故のときに機能する後半3項目で決まります。この視点で自社のルールを見直すだけでも、この記事を読む価値があるはずです。
社内AI利用ルール作成の5ステップ
作る手順はシンプルです。顧問先で実際に案内している進め方を5ステップにまとめます。
誰がどの業務に生成AIを使っているかを匿名アンケートで集めます。先に禁止を打ち出すと実態が隠れるので、「ルールを作るための調査であり、回答で不利益は生じない」と明言するのがポイントです。
「入力してよい情報」「入力してはいけない情報」「迷ったら確認する情報」の3区分を、自社の業務の言葉で作ります。この仕分けが自社仕様になっているほど、ルールは現場で守られます。
ゼロから書かず、次の章の雛形を自社の言葉に置き換えます。分量はA4で1〜2枚まで。読み切れない規程は、存在しないのと同じです。
実際に使う現場の人に「これで業務が回るか」を確認してもらいます。責任の線引きと承認フローだけは、現場ではなく経営が決めます。
配って終わりでは浸透しません。30分でいいので説明の場を設け、「なぜこの線引きなのか」を実例と一緒に話してから配布します。その場で3ヶ月後の見直し日をカレンダーに入れるところまでが配布です。見直し日のないルールは、配布した日から形骸化が始まります。
なお、このルール作成は生成AI導入の全体像で見ると、最初の90日のうち31〜60日目にやるタスクです。導入全体の進め方は次の記事にまとめています。
関連記事中小企業の生成AI導入の進め方。最初の90日チェックリスト中小企業の生成AI導入は、最初の90日を「試す→型にする→任せる」の3段階に区切って進めるのが基本です。自社で実践し顧問として導入支援もしている立場から、時系列の手順と90日チェックリスト全項目を公開します。そのまま使えるガイドライン雛形（全文公開）
顧問先で使っている構成をもとに、業種を問わず使える形に整えた雛形（サンプル）です。コピーして（ ）内を自社の内容に置き換えれば、そのまま初版として使えます。
目的：本ガイドラインは、従業員がChatGPT等の生成AIを業務で安全に活用し、成果につなげるための基準を定める。利用を禁止するためのものではなく、安心して使える範囲を明確にすることを目的とする。
適用範囲：雇用形態を問わず全役職員に適用する。会社支給・個人所有の端末を問わず、業務に関わる生成AIの利用すべてを対象とする。
利用できるツール：業務利用を認めるツールとアカウントは（会社が契約する法人プラン等）とし、一覧を別表で管理する。個人アカウントでの業務利用は、事前の申請と承認を必要とする。
入力してはいけない情報：顧客・取引先に関する情報（名称・個人情報・取引内容）、未公開の財務・経営情報、社外秘の技術情報やノウハウ、パスワード等の認証情報。入力してよいか判断に迷う場合は、入力せずに（責任者）へ確認する。
出力の取り扱い：生成AIの出力は、必ず人間が内容を確認してから業務に使用する。事実や数値は根拠を確認し、他者の著作物と酷似していないか注意する。
対外公開の承認：社外に出るもの（提案書・契約関連文書・Web公開物・顧客への送信物）は、公開・送信の前に（責任者）の承認を得る。
責任の所在：生成AIの出力を業務に使用した結果の責任は、使用した本人と会社にある。「AIが作ったから」は免責の理由にならない。
事故・ヒヤリの報告：禁止情報の誤入力や誤送信に気づいたときは、直ちに（報告先）へ報告する。自主的な報告を理由とした不利益な取り扱いは行わない。報告された事例は、本ガイドラインのチェック項目に反映する。
見直し：本ガイドラインは（3ヶ月）ごと、および事故発生の都度見直す。次回見直し日：（ 年 月 日）
最低限カスタマイズが必要なのは第3条と第4条です。ツール名と情報の区分だけは自社の実態に合わせないと、現場が判断できません。逆に言えば、この2ヶ所を埋めれば初版は今日中に作れます。
公的機関の生成AIガイドライン一覧と使い方
「生成AI ガイドライン」と検索すると、経済産業省・総務省・文部科学省など公的機関の文書がずらりと並びます。顧問先からも「国のガイドラインは読んでおくべきですか」とよく聞かれます。僕の答えはこうです。
公的ガイドラインは「読んで確認する」もの。社内に「配る」のは、自社の言葉で書いたルールです。
公的文書は対象が事業者全般・行政・学校と幅広く、そのまま自社の現場ルールとして配れる形にはなっていません。ただし、自社ルールを作る・見直す場面の「確認先」としては非常に頼りになります。2026年8月時点の主な文書を、社内ルール作りでの使いどころと一緒に整理します。
発行元 | 文書名 | 社内ルール作りでの使いどころ |
|---|---|---|
経済産業省・総務省 | AI事業者ガイドライン（第1.1版・2025年3月） | 事業者がAIを開発・提供・利用する際の原則を示す国の基本文書。会社としてのAI活用方針との整合確認に |
日本ディープラーニング協会（JDLA） | 生成AIの利用ガイドライン（第1.1版） | 社内規程の雛形として公開されている実務文書。条文の下敷きに使える。画像生成AI向けの「画像編」もある |
東京都 | 文章生成AI利活用ガイドライン | 都職員向けの利用ルールと活用事例集。行政での実運用例として、書きぶりと事例の参考に |
文部科学省 | 初等中等教育段階における生成AIの利活用に関するガイドライン（Ver.2.0・2024年12月） | 学校・教育委員会向け。教育機関はまずこれ。一般企業は対象外 |
情報処理推進機構（IPA） | テキスト生成AIの導入・運用ガイドライン（2024年7月） | 導入・運用・セキュリティ担当者向け。機密情報の入力禁止・出力の検証など、セキュリティ対策の抜け漏れ確認に |
使い分けの実務は、次の3行に集約されます。
初版を作る: JDLAの雛形か、この記事の雛形を下敷きに、自社の業務の言葉へ置き換える
迷った論点を確認する: 会社方針との整合は「AI事業者ガイドライン」、セキュリティの抜けはIPAの文書で確認する
書き方に迷う: 「ルール+活用事例」をセットにした東京都の文書が構成の参考になる
公的ガイドラインは改訂が続いています（本記事の版表記は2026年8月時点）。参照するときは、必ず各機関のサイトで最新版を確認してください。自社ルールに「参照した文書と版」をメモしておくと、見直しのとき差分だけを追えます。
ルールを形骸化させない運用。「実行は自動、責任は人間」の実例
ここからが本題です。ルールは作った瞬間が完成度のピークで、放っておけば古くなる一方です。僕が自社AIVESTで実際に回している運用を、雛形の条文と対応させながら紹介します。
AIVESTで実際に回している「人間のゲート」
僕の会社では、ブログ記事の執筆やリサーチといった定型業務の実行はAIに任せています。ただし、成果物が社外に出る一歩手前には、必ず人間の関与を置いています。運用原則は1行です。
実行は自動、責任は人間。社外に出る一歩手前に、必ず人間の承認かレビューを置く。
具体的にはこうです。SNSへの投稿は下書きの作成までが自動で、公開ボタンを押すのは僕だけです。そもそも自動で公開する機能を作っていません。ブログ記事は公開前に機械的なチェック（必須要素や不適切な表現の検査）を通し、さらに公開後24時間以内に僕がレビューする運用にしています。
これは雛形の第6条（対外公開の承認）を自社で実践している形です。どれだけ自動化を進めても、責任を取れない相手であるAIに、社外へ出す承認権は渡さない。この線さえ守れば、AIに任せる範囲は安心して広げられます。
AIに任せる範囲を広げるほど、人間が握るべきゲートはむしろはっきりします。全部を監視するのではなく、社外に出る瞬間だけは必ず見る。このメリハリが、ルールを形骸化させない一番のコツです。
事故は責めずに「チェック項目」に昇格させる
もう1つの実例が、雛形の第8条（事故報告）に対応する運用です。以前、自動で回しているリサーチの仕組みが、外部サービスの利用枠を一晩で使い切る事故を起こしたことがあります。このとき僕がやったのは、復旧して終わりにすることではなく、「1日の利用上限」という新しいチェックを仕組みに追加することでした。以来、同じ事故は起きていません。
社内のAI利用ルールもまったく同じ構造です。事故やヒヤリの報告が集まるほど、第4条の禁止リストや確認項目が自社の実態に合わせて賢くなっていきます。事故は処罰の対象ではなく、ルールを更新する燃料です。だからこそ、報告した人を罰しない条文（第8条）が改善サイクルの入口として効いてきます。
研修は「使い方」より「線引きの理由」を教える
ルールの浸透で差がつくのは、研修の中身です。ツールの操作方法だけを教える研修は、ツールが変わった翌月には古くなります。顧問先に案内しているのは、次の最小セットです。
説明会は30分でいい: 条文の読み上げではなく、「なぜこの線引きなのか」を事故の実例（前述のサムスン電子のような公知の事例で十分です）と一緒に話す
相談窓口を1つ決める: 「迷ったら聞ける場所」があるだけで、隠れた利用が相談に変わります。集まった質問は、そのままルール見直しの材料になります
月1回、活用事例を共有する: 禁止の話より「この業務でこう使ったら時間が浮いた」という共有がルールを生かします。AIリテラシーは座学よりも、安全な線の内側で実際に使うことで上がります
ルールと研修はセットで1つの制度です。配布した紙が現場の行動を変えるのではなく、線引きの理由に納得した人が行動を変えます。
ChatGPT社内ルールのよくある質問
四半期に1回の定期見直しと、事故・ヒヤリが起きた都度の臨時見直しの2本立てをおすすめします。生成AIは数ヶ月単位でツールも前提も変わるため、年1回の見直しでは追いつきません。配布のときに次回見直し日を決めておくのが、形骸化を防ぐ一番簡単な方法です。
まとめ。ルールは「作る」が2割、「回す」が8割
最後に、この記事の要点をまとめます。
全面禁止はシャドーAIを生み、放置は事故のとき誰も守れない。サムスン電子の公知事例が示すとおり、順番は「線引きが先」
ガイドラインは7項目。差がつくのは後半の3つ（責任・報告・見直し）
作成は5ステップ。説明会とセットで配布し、次回見直し日を決める
公的ガイドラインは「配る」ものではなく「確認する」もの。初版はJDLAの雛形か本記事の雛形を下敷きに
運用の原則は「実行は自動、責任は人間」。社外に出るゲートだけは人間が握る
事故は責めずにチェック項目へ昇格させる。報告が集まるほどルールは賢くなる
僕はAI顧問として、ルールの整備だけでなく、その後の運用と見直しの伴走までを仕事にしています。顧問という関わり方の中身はAI顧問とは？研修・コンサルとの違いと費用の考え方にまとめました。自社に合わせた進め方を相談したい方は、AI顧問サービスのページかお問い合わせからどうぞ。
社内ルールの整備を含む、生成AI導入の最初の90日でやることを3フェーズのチェックリストにまとめた無料資料を配布しています。この記事の雛形とあわせて、導入全体の進行表としてお使いください。
この記事が役に立ったらシェア
Related
