生成AIの社内ガイドラインサンプル全文と
録音・画像・
AIエージェントの決め方

生成AIの社内ガイドラインは、「使ってよい道具」「入力してよい情報」「AIが作ったものを使う前の確認」の3つを決めれば、最初の版として運用を始められます。

禁止事項を並べるより先に、会社として使ってよいサービスとアカウントを決め、迷ったときの相談先を1人決めます。

この記事は、社員が生成AIを使い始めていて、ルールを作るよう任された総務・経営企画・情報システムの担当者や経営者に向けて書いています。

そのままコピーして直せるサンプル全文、業務の資料ごとに入力してよいかを判断する表、会議の録音・画像生成・AIエージェントを使うときに追加する項目を示します。

サンプルと判定表は、弊社が中小企業向けに作った設計例です。法的な助言ではないため、自社の契約・就業規則・取引先との秘密保持契約と照らし合わせてから使ってください。

この記事で分かること

• 最初の版は、道具・入力・確認の3つに絞り、運用しながら迷った事例を足していきます
• 「使ってよいサービス」には、サービス名だけでなく、プラン名とログインに使うアカウントまで書きます
• 出力の使い道ごとに、確認する人と、照らし合わせる元の資料を決めます

最初の版で決めるのは3つ

社内ガイドラインの目的は、社員が同じ判断で安全に使えるようにすることです。最初から数十項目の規程を作ると完成までに時間がかかり、その間も社員は個人の判断で使い続けます。

最初の版は、道具・入力・確認の3つに絞り、運用しながら迷った事例を足していきます。

罰則や詳しい申請手続きは、2版目以降でも間に合います。最初に必要なのは、社員が明日から迷わず判断できる短い文書です。

禁止だけでは利用が見えない

「業務での生成AI利用を禁止する」とだけ書くと、会社は利用の実態をつかめなくなることがあります。私物のスマートフォンや個人アカウントで使い続ける社員がいても、会社に報告されるとは限りません。

使ってよい道具を示し、その道具の設定を会社が確認しておくほうが、入力された情報の扱いを管理しやすくなります。

違反時の処分を決めたいなら、
就業規則の側で定める

ガイドラインは日々の使い方を説明する文書なので、新しいサービスや迷った事例に合わせて頻繁に直します。

懲戒などの処分につなげたい場合は、就業規則や情報管理規程に根拠となる定めがあるかを先に確認します。どこまで規程に入れるかは、社会保険労務士や弁護士に確認してください。

そのまま直して
使えるサンプル全文

以下は、社員数十人規模の会社を想定したガイドラインの設計例です。【 】の部分を自社の内容に置き換えてください。

条文の形式ではなく、社員が読んで判断できる文章にしています。規程として整える場合は、この内容をもとに条文へ直します。

生成AIの利用ガイドライン（第1版）
制定日：【実際の制定日】　担当：【担当者の部署・氏名】　次の見直し日：【実際の見直し日】

1. 目的
このガイドラインは、社員が生成AIを業務で安全に使い、文章作成や調べものの時間を減らすために定めます。
迷ったときは、使う前に担当者へ相談してください。誤って入力した場合も隠さず連絡し、担当者が内容を確認して必要な対応を決めます。

2. 対象
正社員、契約社員、パート・アルバイト、派遣社員で、会社の業務に生成AIを使う人が対象です。
業務委託先には、契約や発注時の取り決めで同じ内容を守ってもらいます。
文章・画像・音声の生成、要約、翻訳、会議の文字起こし、メールやファイルを操作するAI機能を含みます。

3. 使ってよいサービス
業務で使ってよいのは、次のサービスを会社のアカウントで使う場合だけです。
・【サービス名】（【会社契約のプラン名】、ログインは会社のメールアドレス）
　入力内容を学習に使わない設定・契約であることの確認日：【実際の確認日】
　確認したページ：【提供会社の公式ページのURL】
・【サービス名】（【プラン名】）
　確認日：【　】　確認したページ：【URL】
一覧にないサービスやアカウントを業務で使いたい場合は、担当者に申請してください。
個人のアカウントや、私物の端末にだけ入っているAIアプリで、業務の情報を扱わないでください。

4. 入力してはいけない情報
次の情報は、会社が許可したサービスであっても入力しないでください。
・取引先から秘密として受け取った情報（秘密保持契約の対象になっている資料など）
　ただし、契約で認められていることを確認し、担当者が許可した場合を除きます。
・パスワード、APIキー、銀行口座のログイン情報などの認証情報
・マイナンバー、健康状態、病歴など、特に慎重な扱いが必要な個人情報
・未発表の決算、人事異動、M&Aなど、公表前の経営情報
・著名人の顔写真や氏名（似せた画像や文章を作る目的のもの）
次の情報は、3.の一覧にあるサービスで、資料の内容・契約・利用目的とサービス側の取扱いを担当者が確認した場合に限り、必要な範囲で入力できます。
・顧客や応募者の氏名、連絡先などの個人情報
　（その情報を集めたときの利用目的の範囲内で、必要な項目だけ入力します）
・社内の見積書、マニュアル、議事録などの社内資料（顧客情報や契約上の秘密が含まれる場合は、該当する条件も確認します）
個人情報を含む資料は、担当者が保存期間・閲覧できる人・外部への提供や委託の条件も確認した範囲で使います。契約上の秘密を含む資料は、契約で認められ、担当者が許可した場合だけ使います。
個人データを入力する場合は、提供会社の所在国と、外国にある第三者への提供や委託に当たるかも、担当者が提供会社の説明と個人情報保護委員会の資料で確認します。
学習に使われない設定だけで入力を許可するわけではありません。
判断に迷う場合は入力せず、担当者へ相談してください。氏名や社名を「A社」「担当者B」などに置き換えても、秘密保持契約の対象情報や、資料の組み合わせで個人・取引先が分かる情報は残る場合があります。置き換えだけで入力を許可されたことにはなりません。

5. AIが作ったものを使う前の確認
AIの出力には、誤った数字、存在しない制度や法令、古い情報が含まれることがあります。
・社外に出す文章（メール、見積書、提案書、Webの記事、SNS投稿）は、作成者が事実と数字を元の資料で確認してから出します。
・契約、法令、税務、労務、医療に関わる内容は、AIの出力だけで判断しません。
・社外の人が書いた記事や書籍、画像を貼り付けたり、作家名・作品名・他社の商品名を指示に入れたりして、似せた文章や画像を作りません。
・広告やWebサイトに使う画像や文章は、【公開の責任者】が、他社の作品や商標に似ていないか公開前に確認します。
・社外に出す前の確認は作成者が行い、使ってよいかの最終判断はその業務の責任者が行います。
・業務の会話や資料を共有するリンクは、社外へ公開しません。社外との共有が必要な場合は担当者に相談します。

6. 会議の録音と文字起こし
社外の人が参加する会議を録音・文字起こしする場合は、開始前に参加者へ伝えます。
相手が断った場合は、録音せずにメモで記録します。
文字起こしの保存先は【実際の保存先】、保存期間は【実際の保存期間】、閲覧できるのは【閲覧を許可した人】です。

7. メールやファイルを操作するAI機能
AIにメールの送信、ファイルの削除・共有、外部サービスへの登録を任せる機能は、担当者の許可を得てから使います。
AIと接続してよいサービスは【許可したサービス名】に限ります。社外から届いたメールや資料に書かれた指示を、AIへの操作指示として扱わないでください。
最初はAIに下書きだけを任せ、送信・削除・登録は人が内容を確認して実行します。AIに実行を任せる範囲を広げる場合は、業務の責任者が実行する操作、使える権限、件数の上限、停止方法、操作記録、実行前に人が承認する箇所を決め、小さな対象で試してから許可します。決まるまでは広げません。

8. 困ったとき・誤って入力したとき
入力してはいけない情報を入力してしまった場合は、会話を消さずに、すぐ担当者へ連絡してください。
担当者が、入力した内容と使ったサービスを確認し、履歴の削除などの対応を決めます。
連絡先：【担当者の部署・氏名と実際の連絡方法】

9. 見直し
このガイドラインは、【半年】に1回、または新しいサービスを導入したときに見直します。
社員から寄せられた質問は、次の版に追記します。

【 】を埋めるときに
迷いやすいところ

サンプルのうち、自社で判断が必要になる箇所は主に3つです。

「使ってよいサービス」には、サービス名だけでなく、プラン名とログインに使うアカウントまで書きます。同じサービス名でも、個人向けと法人向けで入力データの扱いが違う場合があるからです。

あわせて、入力内容を学習に使わない設定や契約になっていることを担当者が確認し、その確認日を書きます。個人情報を入力する場合は、サンプル4の条件をすべて確認します。

「入力してはいけない情報」の線引きは、業種によって変わります。たとえば設計図面や顧客の工事写真を扱う会社なら、取引先との契約で外部サービスへの保存を禁じていないかを先に確認します。

「相談先」は、実際に返事ができる人を1人書きます。部署名だけでは、社員が誰に聞けばよいか分からず、相談せずに使う原因になります。

入力してよいか、
資料ごとに判断する

「機密情報を入力しない」と書くだけでは、社員は手元の見積書が機密に当たるかを判断できません。

そこで、社内でよく使う資料ごとに、入力してよいかを一覧にしておきます。以下は設計例です。

判定の軸は、資料の重要度だけでなく「どのサービスの、どのアカウントで使うか」です。同じ見積書でも、会社が設定を確認した法人契約と、誰も設定を確認していない個人アカウントでは、扱いを分けます。

個人情報は、
利用目的の範囲で使う

個人情報保護委員会は、事業者が生成AIサービスに個人情報を含むプロンプトを入力する場合、特定した利用目的を達成するために必要な範囲内かを十分に確認するよう注意喚起しています。

さらに、本人の同意を得ずに個人データを入力し、そのデータが応答の出力以外の目的で扱われる場合は、個人情報保護法に違反する可能性があると示しています。そのため、入力したデータを提供会社が機械学習に使わないことなどを、使う前に確認します。

出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023年6月2日）

提供会社による個人データの取扱いと外国への提供・委託の判断は、個人情報保護委員会のクラウド利用に関するQ&Aと外国への委託に関するQ&Aも参照してください。会社名やサーバの場所だけで一律に決めず、契約と実際の取扱いを担当者が確認します。

たとえば、問い合わせへの返信を作るために顧客の質問文を入力するのと、同じ顧客情報を使って新しい営業リストを作るのとでは、利用目的との関係が変わります。

契約プランの説明で、
設定を確認する

入力した内容がAIの学習に使われるか、会話の履歴がどこに保存されるかは、サービスとプランごとに異なります。

たとえばAnthropicは、Claude for Workなどの商用サービスの入力と出力を、初期設定ではモデルの学習に使わないと公式のプライバシーセンターで説明しています（2026年10月19日確認）。ただし、評価ボタンでフィードバックを送るなど明示的に許可した場合は、関連する会話が学習に使われることがあります。会社の入力ルールでは、こうしたデータ共有の操作も確認します。

一方、個人向けのFree・Pro・Maxプランについては、データをClaudeの改善に使うことを許可するかどうか、利用者が選ぶ形になったと発表しています。同じ会社のサービスでも、プランによって確認する設定が変わる例です。

ChatGPT、Gemini、Copilotなど他のサービスでも、法人向けと個人向けで説明のページが分かれていることがあります。管理画面の設定と、提供会社のプライバシーに関する公式ページで、自社が契約しているプランの記述を探してください。

確認するときは、提供会社の公式ページで自社が契約しているプランの説明を読みます。確認した日付とページのURLを、サンプルの「3. 使ってよいサービス」の各サービスの下に記録しておくと、規約が変わったときに見直す箇所が分かります。

チャット以外で
追加するルール

生成AIの使い方は、質問して答えをもらうチャットだけではありません。会議の文字起こし、画像の生成、メールやファイルを操作する機能では、決めておくことが変わります。

① 会議の録音・文字起こし

オンライン会議の録音や、AIによる議事録作成は、チャットより多くの人の発言を扱います。社外の参加者がいる会議では、録音と文字起こしをする前に参加者へ伝え、断られたら録音しない運用にします。

あわせて、文字起こしの保存先と保存期間、誰が閲覧できるかも決めておきます。議事録のまとめ方は「AI議事録の作り方」で詳しく説明しています。

② 画像の生成

チラシやWebサイトに使う画像を生成AIで作る場合は、社外へ公開する前の確認を決めます。

文化庁の「AIと著作権に関する考え方について」では、AIが生成した画像などを利用する段階では、既存の著作物との類似性と依拠性によって著作権侵害かが判断されると整理されています。

出典：文化庁「AIと著作権に関する考え方について」（2024年3月15日）

そのため、特定の作家名や作品名を指示に入れて似せた画像を作らないこと、公開前に他社のロゴや商品に似ていないかを確認することを、ガイドラインに書いておきます。

③ メール・ファイルの操作

AIエージェントは、指示を受けて、メールの作成やファイルの保存など複数の操作を続けて実行するAIです。

チャットとの違いは、AIの判断がそのまま操作として実行される点です。宛先を間違えた送信や、必要なファイルの削除が、人の確認なしに起こる可能性があります。

最初はAIに下書きだけを任せ、送信・削除・登録は人が実行します。AIが実行できる操作を増やす場合は、業務の責任者が操作の範囲、権限、件数の上限、停止方法、操作記録、人が承認する箇所を決めます。小さな対象で試して問題を確認するまでは、実行権限を広げません。

開発や業務自動化でAIにファイルの読み書きやコマンド実行を任せる場合は、権限の設計がさらに細かくなります。その確認方法は「Claude Codeの法人導入」で扱っています。

出力を確認する人と、
元の資料を決める

確認のルールは「必ず確認する」と書くだけでは機能しません。出力の使い道ごとに、確認する人と、照らし合わせる元の資料を決めます。

AIが出した数字や制度名は、出典を元の資料で開いて確かめられたものだけを使います。AIの回答が自然な文章であっても、記載された法令の条番号や統計の数字が実在するとは限りません。

弊社が自社の業務で
決めているルール

弊社は、記事の制作や業務ツールの開発に生成AIを毎日使っています。その中で、次のような社内ルールを決めて運用しています。

• 顧客の社名・担当者名は、公開する記事・画像・説明文のどこにも出さない：社名を伏せても、業種や規模の組み合わせで特定できる書き方もしません
• 実績や数字は、元の資料で確認できたものだけを書く：AIが文章の流れで補った数字は使いません
• 使った分だけ料金がかかるAIを自動で動かす前に、費用の見込みを出して承認を得る：AIに任せた処理が繰り返し実行され、想定外の請求になることを防ぎます

いずれも、AIの出力が自然で正しそうに見えるほど、人が確認を省きやすくなるという経験から決めたものです。自社のガイドラインにも、業務で実際に起きた迷いを1行ずつ足していくと、社員が守りやすい文書になります。

社内ルールづくりの
参考資料を選ぶ

自社のガイドラインを作るときに参考になる政府機関や業界団体の資料は複数あります。全部を読む必要はなく、確認したいことに合わせて選びます。

JDLAのひな形は、日本ディープラーニング協会の資料室で公開されています。2026年10月9日に確認した時点では、条項のみの版と簡易解説付きの版が第1.1版（2023年10月）、画像編が第1版（2024年2月）でした。

ひな形には、第三者の著作物、登録商標、個人情報、他社から秘密として受け取った情報、自組織の機密情報など、入力時に注意する情報が項目として並んでいます。弊社のサンプルで項目が足りないと感じたら、このひな形と見比べて追加してください。

経済産業省・総務省のAI事業者ガイドラインは、2026年3月31日に第1.2版が公表されています。事業者を「AI開発者」「AI提供者」「AI利用者」に分けて定義しており、事業活動でAIサービスを使う会社は「AI利用者」に当たります。本編の原文は総務省の第1.2版PDFでも確認できます。

同じページには、取り組み状況を確かめるチェックリストとワークシートも別添として掲載されています。社内の説明資料を作るときに、会社としての方針の書き方を確かめる材料になります。

なお、デジタル庁の「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン（第2.0版）」は、政府機関のルールとして定められたものです。民間企業が参考にすることはできますが、そのまま守るべき基準として扱う必要はありません。ただし、政府にサービスを提供する場合は、調達条件や契約で求められる対応を確認します。

作ってから社内に
定着させる手順

次の5つの順で進めると、最初の版を出して、運用しながら直せます。

1. 社員がいま何に
使っているかを聞く

最初に、社員がすでにどのサービスを、どの業務に使っているかを把握します。責める目的ではないことを伝えたうえで、次のような質問を送ります。

生成AIの社内ルールを作るため、現在の使い方を教えてください。
回答は、必要なルールと相談先を決めるために使います。入力してはいけない情報を送っていた場合も、隠さず担当者へ知らせてください。内容を確認して必要な対応を決めます。

1. 業務で使ったことがある生成AIのサービス名（ChatGPT、Gemini、Claude、Copilotなど）
2. 使っているアカウント（会社のメールアドレス／個人のアカウント／分からない）
3. 使っている業務（例：メールの下書き、議事録の要約、Excelの関数、画像作成）
4. 入力したことがある資料の種類（例：社内マニュアル、顧客からのメール、見積書）
5. 使っていて、入力してよいか迷ったこと
6. 会社で使えるようになると助かる業務

回答の中で特に重要なのは、2番目のアカウントと5番目の迷った場面です。迷った場面は、そのまま判定表とFAQの材料になります。

2. 使ってよい道具を決める

社員の回答をもとに、会社として契約するサービスを決めます。費用と管理の手間を考えると、最初は1〜2種類に絞るのが現実的です。

法人向けプランの費用や契約手続きが必要な場合は、稟議の中で試行する業務と期間を決めておきます。書き方は「AI導入の稟議書の書き方」を参考にしてください。

3. 自社用に直して、
管理職に確認してもらう

サンプルの【 】を埋めたら、公開前に各部署の管理職に読んでもらい、自部署の業務で判断に迷う箇所がないか聞きます。

営業部門なら顧客情報、経理なら取引先の口座情報、採用担当なら応募書類というように、部署ごとに迷う資料が違います。

各部署の確認が終わったら、発効日と承認する責任者を決め、承認を得てから全社員へ配布します。

4. 説明会では、
判定表を一緒に読む

全文を読み上げる説明会より、判定表を見ながら「この見積書は入力してよいか」を一緒に判断するほうが、社員が自分の業務に置き換えやすくなります。

説明会では、誤って入力したときは隠さず担当者へ連絡してほしいこと、担当者が内容を確認して必要な対応を決めることを伝えます。

欠席者と新入社員にもガイドラインと判定表を渡し、相談先を伝えます。

5. 寄せられた質問を、
次の版に追記する

運用を始めると、「この資料は入力してよいか」という質問が届きます。答えた内容はその場限りにせず、判定表やFAQに追記します。

見直し日をガイドラインの冒頭に書いておくと、担当者が替わっても更新が止まりにくくなります。

まずサービスと
相談先を決める

生成AIの社内ガイドラインは、完璧な規程を作ることより、社員が明日の業務で迷わず判断できることを優先します。

最初の一歩は、使ってよいサービスとアカウント、入力してはいけない情報、相談先の3点を決め、サンプルの【 】を埋めることです。

そのうえで、社員に現在の使い方を聞き、迷った場面を判定表に足していきます。会議の文字起こしやメールを操作するAIを使い始めたら、該当する項目を追加してください。

弊社では、業務の整理からAIツールの開発・運用まで月額でお引き受けしています。ガイドラインに沿って、どの業務をどこまでAIに任せるかを決める段階からご相談いただけます。