生成AIを業務で使うなら、社内のルールが要る。ところが、ルールがあると言える会社はまだ少ない。エルテスが2026年1月に発表した調査（会社員・公務員300人）では、勤務先に生成AIの利用規程が「ない」と答えた人が45%、「分からない」と答えた人が26.7%だった。合わせると7割を超える人が、自分の会社のルールを知らないまま使っているか、使わずにいる。
ルールがない状態の危うさは、すでに事故として表に出ている。2023年にはSamsung Electronicsの技術者が社内のソースコードをChatGPTにアップロードし、同社は社用端末と社内ネットワークでの生成AIの利用を禁止した。IPAの「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織編の3位に初めて入った。
一方で、規程を作れば終わり、というわけでもない。ここでは、AI利用規程で決める項目、入力してよい情報の区分、そのまま使える条文のひな形、作ったあとに使われる規程にするための運用を順に書く。AIの全社的な管理の枠組みはAIガバナンスとは？に、AIを実装して現場で回す職種についてはFDEとは？にまとめてある。
AI利用規程で決める7つの項目
規程に書くことは、私の見方では次の7つで足りる。多くを書くほど読まれなくなるので、規程そのものは数ページに収め、具体的な使い方は別の手引きに分ける。
| 項目 | 決めること | 書き方のコツ |
|---|---|---|
| 1. 目的と適用範囲 | 誰が、どの業務で、どのAIを使うときに適用するか | 社員だけでなく業務委託・派遣も含めるかを明記する |
| 2. 使ってよいAI | 会社が承認したAIサービスの一覧と、追加の申請方法 | 一覧は規程の別表にし、規程を改定せずに更新できるようにする |
| 3. 入力してよい情報 | 情報の区分ごとに、どのAIに入れてよいか | 禁止だけを並べず、使ってよい範囲を先に示す |
| 4. 出力の確認 | AIの出力を使う前に誰が何を確かめるか | 社外に出すもの、意思決定に使うものは人が確認する |
| 5. 権利と表示 | 他者の著作物や商標を含む出力の扱い、AIを使ったことの表示 | 判断に迷うものは法務に相談する窓口を書く |
| 6. 記録と監査 | 利用の記録をどこに残し、誰が見るか | 個人アカウントでの利用は記録が残らないことを明記する |
| 7. 事故時の報告と見直し | 誤入力や事故に気づいたときの連絡先、規程の見直しの時期 | 報告した人を責めないことを書く |
7の「報告した人を責めない」は、とくに入れておきたい。誤って機密を入力した人が黙ってしまうと、会社は事故に気づけない。
入力してよい情報を3つに区分する
規程の中心は3の「入力してよい情報」だ。ここが分かりにくいと、現場は使うのをやめるか、黙って個人アカウントで使うかのどちらかになる。私は、情報を3つに分け、区分ごとに使ってよいAIを示す形を勧めている。
| 区分 | 例 | 入れてよいAI |
|---|---|---|
| 公開情報 | 自社サイトの文章、公開済みの資料、一般的な質問 | 承認済みのAIならどれでもよい |
| 社内情報 | 社内の手順書、会議のメモ、未公開の企画 | 法人契約で、入力が学習に使われない設定を確認したAIだけ |
| 機密情報 | 個人情報、顧客から預かった情報、ソースコード、契約書 | 原則として入力しない。業務上どうしても必要なら、事前に承認を得た専用の環境だけ |
ソースコードを機密に入れているのには理由がある。Verizonの「2026 Data Breach Investigations Report」では、外部の生成AIに送られたデータの種類で最も多かったのはソースコードだった。開発の現場では、AIに貼り付けることが日常になっている。だからこそ、禁止で終わらせず、使ってよい専用の環境を用意する。
情報漏洩の具体的な事例と防ぎ方は生成AIの情報漏洩事例8選に、セキュリティ対策の全体像は生成AIのセキュリティ対策ガイドに書いた。
AI利用規程のひな形
そのまま社内の規程の書式に移して使える形にした。角括弧の部分を自社に合わせて書き換える。法令との関係や就業規則との整合は、最後に自社の法務か弁護士に確認してほしい。
第1条（目的）
この規程は、当社の業務における生成AIの利用について必要な事項を定め、生成AIを安全かつ効果的に活用することを目的とする。
第2条（適用範囲）
この規程は、当社の役員、従業員、派遣社員および[業務委託先の従事者]が、当社の業務のために生成AIを利用する場合に適用する。
第3条（責任者）
生成AIの利用に関する責任者は[情報システム部長]とする。責任者は、承認済みAIの一覧の管理、利用状況の確認、この規程の見直しを行う。
第4条（利用してよいAI）
業務で利用してよい生成AIは、別表1に定める承認済みAIに限る。別表1にないAIを利用したい者は、責任者に申請し、承認を得なければならない。個人で契約したAIサービスを業務に利用してはならない。
第5条（入力してよい情報）
利用者は、別表2に定める情報の区分に従って生成AIに情報を入力する。機密情報は、責任者が承認した専用の環境を除き、生成AIに入力してはならない。
第6条（出力の確認）
利用者は、生成AIの出力を社外に提供する場合、または業務上の判断に用いる場合、内容の正確さと第三者の権利を侵害していないことを自ら確認する。判断に迷う場合は[法務部]に相談する。
第7条（記録）
承認済みAIの利用記録は、責任者が定める方法で保存する。責任者は、必要に応じて利用記録を確認することができる。
第8条（報告）
利用者は、機密情報を誤って入力したとき、または生成AIに関わる事故やそのおそれに気づいたときは、直ちに責任者に報告する。当社は、速やかに報告した者をそのことを理由として不利益に扱わない。
第9条（見直し）
責任者は、[半年ごと]およびAIサービスの追加や大きな機能変更があったときに、この規程と別表を見直す。
別表1には承認済みAIの名前と契約形態、学習への利用の有無を、別表2には前の章の3区分の表をそのまま載せる。
作ったあと、使われる規程にする
規程を作っても、それだけで現場の使い方は変わらない。AI白書2026に掲載された角川アスキー総合研究所の調査では、全社共通のガイドラインを整備済みの企業でも、会社公式でないAIを業務で使った経験がある人が46.9%いた。同じ調査で、全社整備済みの企業でも45.1%が「ルールが現場の実態に追いついていない」と答えている。ルールがあることと、ルールどおりに使われることは別だ。
使われる規程にするために、私は次の3つを規程とセットで用意することを勧めている。
- 公式のAIを個人アカウントより便利にする。承認済みのAIが使いにくければ、現場は個人のAIに戻る。法人契約、社内の認証での利用、よく使う業務の型を最初からそろえる。
- 規程を見つけやすい場所に置く。社内ポータルの奥に置いた規程は読まれない。AIの画面から規程と相談窓口に1クリックで行けるようにする。
- 利用状況を責めずに聞く。規程を出す前に、いま誰がどのAIを何に使っているかを匿名で聞く。実態を知らずに作った規程は、最初から現場とずれる。
3の進め方はシャドーAIとは？で詳しく書いた。社内のAI利用の実態を調べ、規程と公式環境を整えるところまでを外部に頼みたい場合は、私たちのAI利用セキュリティ診断で扱っている。