AI 利用ガイドライン 中小企業の雛形｜1枚で作る社内ルールの書き方

導入：AI 利用ガイドライン 中小企業に必要な「1枚」とは

AI利用ガイドラインとは、社員が生成AIを業務で使うときの「入れてはいけない情報」「使ってよいツール」「結果の確認方法」を文書にした社内ルールです。大企業のような数十ページの規程は、中小企業には必要ありません。A4で1枚、読むのに3分で終わる分量なら、現場で実際に読まれます。

ルールがないまま使い続けると、社員は「聞くほどでもない」と判断して個人アカウントで顧客情報を貼り付けるなど、会社が把握できない使い方が広がります。この問題は、シャドーAI対策でも詳しく扱っています。この記事では、そのまま転記して使える雛形と、決め方の手順を紹介します。

なぜ今、AI 利用ガイドライン 中小企業に必要なのか

最新動向：AIの利用そのものがリスクとして扱われ始めた

IPA（情報処理推進機構）は2026年1月、「情報セキュリティ10大脅威 2026」を公表しました。組織向けの3位に「AIの利用をめぐるサイバーリスク」が初めて入っています。IPAは具体例として、AIへの理解不足による情報漏えいや権利侵害、生成結果を検証せずに信用することで起きる問題を挙げています（出典：IPA 2026年1月29日付プレスリリース）。

つまり「AIを使わない会社」だけでなく「AIを使うが決まりがない会社」も、リスクを抱えている状態です。

規模が小さいほど、ルールの効果は大きい

社員10人の会社と500人の会社では、事故が起きたときの影響範囲が違います。小規模な会社では、1人の誤送信や誤入力が取引先との信頼に直結します。一方で、全員に周知するのは数十人規模より簡単です。1枚のルールを朝礼や社内チャットで共有するだけで、全員に届きます。

ガイドラインに入れる4項目と記入例

AI利用ガイドラインの中身は、次の4項目で足ります。

① 入力禁止情報は「具体名」で書く

「機密情報は入力しない」だけでは、現場は判断できません。「顧客リスト」「取引先名が入った見積書」「給与データ」のように、自社の書類名で書くのがコツです。迷ったら、普段金庫や鍵付きキャビネットにしまっている書類を基準にします。

② 利用ツールは「許可リスト」方式にする

禁止ツールを並べるより、許可するツールを決めるほうが管理は簡単です。無料版は入力内容が学習に使われる設定の場合があるため、業務では学習をしない設定の法人向けプランを指定します。料金の目安はAI導入コストの現実にまとめています。

③ 確認ルールは「誰が・何を」まで書く

生成AIは、もっともらしい誤りを出すことがあります。「AIの出力は必ず人が確認する」とだけ書くのでなく、「請求金額と日付は元データと突き合わせる」「社外送付の文章は上長が読む」と、確認対象を絞って書きます。

④ 報告先は1人に決める

事故は「報告しやすさ」で被害が変わります。報告先を1人決め、「報告した人を責めない」と明記します。誤って入力した情報は、早く分かれば削除申請などの対応ができる可能性があります。

雛形：そのまま使える1枚ガイドライン

以下を自社向けに書き換えてください。

【生成AI利用ルール】 制定日：○年○月○日 担当：○○

1. 入力してはいけない情報
 ・顧客・取引先の個人情報（氏名、連絡先、住所）
 ・未公開の見積書、契約書、財務資料
 ・従業員の人事・給与情報
 ・パスワードやAPIキー

2. 使ってよいツール
 ・会社が契約したもの：（ツール名）
 ・上記以外を業務で使う場合は、事前に担当へ相談する

3. 出力の使い方
 ・数字、固有名詞、法令の記載は、元資料や公的情報で確認する
 ・社外へ出す文書は、送付前に上長が確認する
 ・画像や文章は、他者の著作物に似ていないか確認する

4. 困ったとき
 ・迷ったら使う前に担当へ。誤って入力した場合は、すぐ報告する
 ・報告したことで不利益な扱いはしない

5. 見直し：半年に1回、使い方の実態を見て更新する

作成から定着までの4ステップ

雛形ができても、貼り出すだけでは定着しません。次の順序で進めます。

1. 現状を聞く（1日）：社員に「いま業務でAIを使っているか、何に使っているか」を無記名で聞きます。禁止から入ると隠れて使われるため、実態の把握が先です。
2. 草案を作る（1〜2日）：上の雛形を自社の書類名に置き換えます。
3. 現場2〜3人で試読する（1週間）：「この表現で迷わないか」を営業・事務・現場の担当に確認してもらいます。
4. 周知して半年後に見直す：朝礼や社内チャットで共有し、受領の確認を取ります。AIツールは更新が早いので、半年ごとの見直しを予定に入れておきます。

導入全体の進め方は、中小企業のAI導入ステップも参考にしてください。社内ルールの運用面は生成AIの社内ルール整備ガイドで扱っています。

よくある失敗と対策

よくある質問

Q1: AI 利用ガイドラインは従業員が数人の会社にも必要ですか？

A: 必要です。人数が少なくても、顧客情報や見積書をAIに入力すれば同じリスクがあります。ただし内容は4項目で十分です。まず「入力禁止情報」と「使ってよいツール」の2点だけでも書き出すところから始められます。

Q2: 就業規則に入れる必要はありますか？

A: 最初から就業規則に入れる必要はありません。まず運用ルールとして試し、半年ほど使って実態に合うと確認できてから、必要に応じて社会保険労務士など専門家と規程化を検討する流れが現実的です。

Q3: 弁護士や専門家のチェックは必要ですか？

A: 個人情報の取扱いや契約上の秘密保持義務が関わる場合は、専門家への確認をおすすめします。ただし、まず1枚の草案を作ってから相談すると、費用も時間も抑えやすくなります。

Q4: 国の指針と照らし合わせる必要はありますか？

A: 経済産業省と総務省が公表している「AI事業者ガイドライン」には、AIを業務で使う側（利用者）への考え方も示されています。自社ルールを作った後に、内容と大きくずれていないか確認する参考資料として使えます。

まとめ

AI利用ガイドラインは、①入力禁止情報、②利用ツール、③確認ルール、④報告先の4項目をA4 1枚にすれば始められます。重要なのは立派な文書を作ることではなく、現場が迷わず読めて、半年ごとに見直されることです。

kotukotuでは、中小企業のAI導入に向けて、現場の業務に合わせた利用ルールの作り方も含めて伴走しています。「自社の書類に当てはめるとどうなるか」「どのツールを許可すべきか」といった点で迷う場合は、無料相談をご利用ください。