この記事は、社員30〜100名ほどの中小企業で、AIの社内ルール（ガイドライン）づくりを任された総務・DX担当の方や社長の、「何をどこまで決めればいいか分からない。厳しくすれば誰も使わず、ゆるくすれば情報漏えいが怖い」という困りごとを解決するために、私がこれまで400社・4,000人の研修で見てきたことをまとめたものです。
結論：生成AIの社内ルールは、最初はA4用紙1枚・7項目で作り、配布と同時に職務規定と短い講習で効かせ、3か月ごとに現場の困りごとに合わせて広げていきます。決める順番は「会社としてどの環境でAIを使うか（安全度の3段階）」→「入れてよい情報の3区分」→「残りの項目」です。この順番を逆にすると、禁止事項ばかりの使われないルールになります。
📌中小企業のAI導入の全体像は「中小企業のAI導入 完全ガイド｜止まらない7つの順番」で、この記事を含む10本の記事を順番ごとに整理しています。
この記事では、ルールづくりでよくある2つの失敗、決める順番、そのまま書き換えて使える7項目のひな形、配った後に守られるようにする方法、見直しの進め方を順に説明します。
社内ルールづくりでよくある2つの失敗
受講企業の困りごとを集めた「困りごとリスト」の中にも、「AI利用のセキュリティ・社内ルールが不安」という相談が11件入っています。こうした相談を受けていると、うまくいかない会社はおおむね次のどちらかに当てはまります。
| 失敗のかたち | 起きること | 原因 |
|---|---|---|
| 禁止事項を並べた分厚いルールを先に作る | 「これも入れてはだめ、あれもだめ」で、社員が怖がって誰も使わなくなる | 何の業務に使うかを決める前に、リスクだけを洗い出している |
| ルールを作らずに「自由に使って」と言う | 社員がそれぞれ個人アカウントや無料のAIで仕事をし、どこに何が入ったか会社が把握できない | 会社として使うAIと環境を決めていない |
後者の、会社が決めていないAIを社員が勝手に業務で使う状態は「シャドウAI」と呼ばれます。私は、シャドウAIは基本的に禁止した方がいいと考えています。私がネットで見た話ですが、海外の無料AIを使い、学習にデータを提供するかどうかの設定が外国語で読めないまま会社の情報を入力して流出させ、最終的に解雇された、という例もあります（伝聞です）。社員本人を守るためにも、「会社としてこのAIを使う」と先に示すことが、ルールづくりの出発点です。
一方で、必要以上に怖がることもありません。情報が漏れるとしたら、その多くはAIそのもののせいではなく、ソフトの更新をしていない、セキュリティのアップデートをしていない、情報システムの担当者がいない、といった一般的な管理の問題です。ルールは「使わせないため」ではなく「安心して使えるようにするため」に作ります。
手順1：会社としてどの環境でAIを使うかを3段階から選ぶ
最初に決めるのは「入れてはいけない情報」ではなく、「会社としてどの環境でAIを使うか」です。環境が決まらないと、入れてよい情報の線も引けないからです。私は、安全度の高い順に次の3段階で考えています。
| 安全度 | 環境 | 向いている会社 | 使える解決手段 |
|---|---|---|---|
| 1番高い | ローカルLLM（社内のパソコンやサーバーの中だけで動くAI） | 患者情報を扱う医療機関など、外部のクラウドに情報を出すこと自体ができない会社 | 社内で完結する仕組みに限られる。構築に専門知識と費用がかかる |
| 2番目 | Microsoftの環境の内側だけで使う（Microsoft 365のCopilotなど。他社のAIや外部との接続は使わない） | すでにMicrosoft 365で業務が回っていて、外部サービスとの接続を増やしたくない会社 | Copilot、Power Automate（クラウド版）によるワークフロー自動化が中心。AIエージェントはほぼ使わない |
| 3番目 | ChatGPT・Claude・Geminiなどの法人向けプランを、会社のアカウントで使う | 情報の扱いを決めたうえで、AIエージェントや自社ツールづくりまで進めたい会社 | ワークフロー自動化、AIエージェント、Claude Codeなどのコーディングエージェントまで選べる |
ここで大事なのは、この選択が「何を自動化できるか」まで決めてしまうことです。ホリエモンAI学校では、困りごとを解決する手段を「ワークフロー自動化」「AIエージェント」「コーディングエージェント」の3つから選びますが、どこまで使えるかは、その会社のAI活用やセキュリティのルールがどこまで許すかで決まります。たとえばMicrosoftの内側だけで使うと決めた会社はAIエージェントが使えないので、Power Automateでのワークフロー自動化で業務を減らします。AIを使わなくても、手作業の転記や通知の多くはこれで減らせます。
ですから、環境を選ぶときは「一番安全なもの」ではなく、「自社が解決したい困りごとを解決できる中で、一番安全なもの」を選んでください。まだ困りごとが決まっていなければ、先に社内で面倒な業務を書き出すところから始める方が早く進みます。
📌最初に解決する業務の選び方は、「AI導入は何から始める？中小企業の最初の3か月」へ
手順2：入れてよい情報を「赤・黄・青」の3区分に分ける
環境が決まったら、AIに入れてよい情報を決めます。「機密情報は入力禁止」とだけ書くと、社員は何が機密か判断できず、結局何も入れなくなります。情報を3つの色に分け、具体的な書類名で例を書くのがおすすめです。
| 区分 | 扱い | 例（自社の書類名に書き換える） |
|---|---|---|
| 赤：入れない | どの環境でも入力しない。必要なら社長の許可を取る | マイナンバー、健康情報、パスワードや鍵、未公開の決算や買収の情報、取引先から秘密保持を求められている資料 |
| 黄：会社の環境なら入れてよい | 手順1で決めた会社の環境（法人プラン・学習に使わない設定）に限り入力してよい | 顧客名や担当者名を含む議事録、見積書、社内の売上集計、社員の勤怠データ |
| 青：自由に入れてよい | どの環境でも入力してよい | 公開済みのホームページやチラシの文章、一般的な調べもの、個人や会社が特定できない文章 |
迷いやすいのは黄色です。黄色を「入れない」に寄せすぎると、議事録や見積書のように困りごとが多い業務ほどAIで解決できなくなります。手順1で会社の環境を決めたのは、黄色の情報を安心して扱えるようにするためです。入力した内容が学習に使われるかどうかはプランや設定によって変わり、仕様も変わることがあるため、導入時に各社の公式情報で最新の扱いを確認し、確認した日付をルールに書いておいてください。
手順3：A4用紙1枚に書く7項目のひな形
手順1・2が決まれば、ルール本体は1枚に収まります。次の7項目を、自社の言葉に書き換えて使ってください。
| 項目 | 書くこと | 書き方の例 |
|---|---|---|
| 1. 使ってよいAIとアカウント | 会社が認めるツール名と、会社のアカウントだけで使うこと | 業務でAIを使うときは、会社が契約した〇〇（法人プラン）を会社のアカウントで使う。個人アカウント・無料のAIの業務利用は禁止 |
| 2. 入れてよい情報 | 手順2の赤・黄・青の区分と、具体的な書類名 | 赤の情報は入力しない。黄の情報は会社のアカウントでのみ入力してよい |
| 3. 外部サービスとの接続 | AIとほかのツールをつなぐ仕組み（API連携、MCP、ワークフロー自動化ツール）を使ってよいか、誰の許可が要るか | 新しくツール同士をつなぐときは、事前に〇〇（担当者）に相談し、つなぐ先と扱う情報を記録する |
| 4. 出力の確認 | AIの答えをそのまま使わず、人が確認する範囲 | お客様に出す文章、数字、法律や制度に関わる内容は、必ず人が元の資料と照らして確認する |
| 5. 著作権と公開物 | AIで作った文章・画像を社外に出すときの確認 | 社外に公開する前に、既存の作品に似すぎていないか、各サービスの利用規約で禁止された使い方でないかを確認する |
| 6. 困ったときの相談先 | 迷ったときに誰に聞くか、うっかり入力してしまったときの報告先 | 判断に迷ったら〇〇へ。赤の情報を入力してしまった場合は、その日のうちに〇〇へ報告する（報告したことで責めない） |
| 7. 見直しの時期 | いつ、誰がルールを見直すか | 3か月ごとに〇〇が見直す。使いたい業務や情報が出てきたら、いつでも申請できる |
3番目の「外部サービスとの接続」は、ほかのひな形では抜けやすい項目です。チャットでAIに質問するだけなら1・2番で足りますが、業務を自動化し始めると、AIが会社のメールや表計算、顧客管理のツールに直接つながるようになります。どこまでつないでよいかを決めておかないと、自動化の段階でまた止まります。
6番目の「報告したことで責めない」は、ルールを守らせるうえで意外に大事です。うっかり入力を叱る会社では、社員が隠すようになり、会社が状況を把握できなくなります。
公的機関のひな形の使い分け
項目の抜けを防ぐには、公的なひな形と見比べるのが確実です。企業向けには、一般社団法人日本ディープラーニング協会（JDLA）の「生成AIの利用ガイドライン」が、著作権・個人情報・機密情報などの観点から、書き換えて使えるひな形と解説を無料で公開しています。また、東京都デジタルサービス局の「文章生成AI利活用ガイドライン」は、自治体職員向けですが、入力してよい情報の考え方や、出力を確認する際の注意点が具体的に書かれていて参考になります。ひな形をそのまま配るのではなく、上の7項目に沿って、自社の環境と書類名に置き換えてから使ってください。
手順4：配るだけで終わらせず、職務規定と講習で効かせる
1枚のルールを作っても、メールで送っただけでは読まれません。私は、ルールの配布と同時に次の2つをやることをおすすめしています。
- 職務規定（就業規則など）に入れる：「会社が認めたAI以外を業務で使わない」「個人アカウントで業務の情報を扱わない」を、社内の正式な決まりにします。ルールの紙だけでは「知らなかった」が通ってしまうためです。就業規則の変更には手続きが必要なので、社労士など専門家に相談しながら進めてください。
- 短いセキュリティ講習をする：赤・黄・青の区分を、自社の実際の書類を例に30分ほどで説明します。「この見積書は黄色なので、会社のアカウントなら入れてよい」と具体的に示すと、社員が自分で判断できるようになります。
ルールは社長の名前で出すのが効果的です。私の経験では、社長が強制力を持って「この環境で、こう使う」と言っている会社ほど、AIの活用が社内に広がります。担当者がルールを作り、社長が発表する、という分担にするとよいでしょう。
📌ルールを作ったのに使われない、という段階で止まっている場合は、「中小企業のAI導入でよくある課題と失敗｜検討・試作・本番の3段階で止まる7つの壁と越え方」へ
手順5：3か月ごとに、現場の困りごとに合わせて広げる
最初の1枚は、きつめに作って構いません。大事なのは、現場から「この業務をAIで解決したいが、今のルールでは入れられない情報がある」という声が出たときに、見直す仕組みがあることです。
たとえば「お客様との打ち合わせの議事録を自動で作りたいが、顧客名が入るので入力できない」という申請が出たら、その業務を四角と矢印で書き出し、どの段階でどの情報がAIに渡るかを確認します。そのうえで、会社の環境の中でなら黄色として扱ってよいか、ワークフロー自動化で顧客名を含まない部分だけを処理するか、といった解決策を決め、ルールに1行足します。困りごとが先にあり、ルールはそれを解決できるように広げていく、という順番です。
見直しのたびに、ルールの日付と変更点を1行で残しておくと、社員が「前と何が変わったか」をすぐ確認できます。
自社でできること・外部に頼んだほうがいいこと
7項目の1枚づくり、情報の区分け、社員への説明は、自社でできます。自社の書類や業務を一番よく知っているのは社内の皆さんなので、むしろ自社でやるべき部分です。
一方で、「自社の困りごとを解決するには、3段階のどの環境が必要か」「外部サービスとの接続をどこまで許してよいか」は、AIの仕組みと業務の両方を知らないと判断しにくいところです。社内に相談できる人がいなければ、この判断の部分だけ外部に相談するのも一つの方法です。ルールがまだ無い会社からご相談いただいた場合、私は研修より先にガイドラインづくりから進めることをおすすめしています。
📌ルールづくりや講習にかかる社員の時間も含めた費用の考え方は、「中小企業のAI導入コストはいくら？ツール代・研修・社員の時間・開発費の4つと「困りごとの値段」から予算を決める方法」へ
よくある質問
生成AIの社内ルールには何を書けばいいですか？
使ってよいAIとアカウント、入れてよい情報、外部サービスとの接続、出力の確認、著作権と公開物、困ったときの相談先、見直しの時期の7項目があれば、最初のルールとして十分です。A4用紙1枚に収め、入れてよい情報は自社の書類名で例を書くと、社員が迷わずに使えます。
社員が個人のChatGPTアカウントで仕事をしていますが、禁止すべきですか？
業務の情報を扱うなら、会社のアカウントに切り替えて、個人アカウントでの業務利用は禁止することをおすすめします。会社が使える環境を用意せずに禁止だけすると、隠れて使う人が出やすくなるため、法人プランなどの代わりの環境とセットで決めてください。
ガイドラインのひな形はどこで手に入りますか？
企業向けには、日本ディープラーニング協会（JDLA）が「生成AIの利用ガイドライン」のひな形と解説を公式サイトで無料公開しています。東京都デジタルサービス局が公開している職員向けのガイドラインも、入力してよい情報の考え方の参考になります。どちらも、自社の環境と書類名に書き換えてから使ってください。
まとめ：ルールは「使わせないため」ではなく「安心して使うため」に1枚で作る
生成AIの社内ルールは、会社としてどの環境で使うかを3段階から選び、入れてよい情報を赤・黄・青に分け、7項目をA4用紙1枚にまとめるところから始めます。配るときは職務規定と短い講習で効かせ、3か月ごとに現場の困りごとに合わせて広げてください。最初から完璧なルールを目指すより、使いながら直す方が、安全と活用の両方を早く手に入れられます。
「社員が個人のAIで仕事をしていて不安」「ルールを作ろうとしているが、どこまで許してよいか判断できない」という状況なら、ご相談ください。ホリエモンAI学校の法人プランでは、受講企業400社・受講者4,000人の研修の経験をもとに、社内ルールの考え方から、そのルールの中で使える手段を選んで実際の困りごとを解決するところまで伴走します。自社でできる部分は自社でできるとお伝えしますので、まずは状況をお聞かせください。
