生成AIの社内ガイドライン｜利用ルールを5つの手順で作る
目次
はじめに
生成AIを社内で使い始めると、「入力してよい情報はどこまでか」「出力を誰が確認するのか」「問題が起きたときに誰へ報告するのか」といった判断が、利用者ごとに分かれやすくなります。そこで必要になるのが、現場の業務に沿った社内ガイドラインです。
ただし、ガイドラインを禁止事項の一覧として作ると、利用者は判断できず、現場では使われなくなります。大切なのは、どの業務で、どの情報を使い、どの確認を経て、どこまで自動化してよいかを決めることです。
本記事では、生成AIの社内ガイドラインを作る手順を5つに分けて解説します。総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」も参照しながら、最初の運用に必要な項目を整理します。
生成AIの社内ガイドラインは「禁止事項の一覧」ではない
社内ガイドラインの役割は、生成AIを一律に止めることではありません。安全に使える業務と、追加の承認が必要な業務を見分け、利用者が迷わず行動できる状態をつくることです。
総務省・経済産業省が2026年3月31日に公表した「AI事業者ガイドライン 第1.2版」では、AIの開発者だけでなく、AIを業務で利用する事業者も対象として、リスクベースの対応や継続的な改善が整理されています。自社のルールを作るときも、サービス名やモデル名の羅列から始めるのではなく、業務上のリスクから考えると運用に落とし込みやすくなります。
参考：
手順1：利用目的を業務フローで洗い出す
最初に「生成AIを使ってよいか」を決めるのではなく、どの業務のどの工程で使いたいかを書き出します。たとえば、議事録の下書き、問い合わせへの回答案、営業メールの要約、社内文書の検索、プログラムのレビューでは、必要な入力情報と確認方法が異なります。
| 業務 | AIに任せる作業 | 人が担う確認 |
|---|---|---|
| 議事録 | 音声やメモから要点を整理 | 発言者、決定事項、未確定事項 |
| 問い合わせ対応 | 回答案のたたき台を作成 | 契約条件、顧客固有の事情、送信可否 |
| 営業活動 | 過去記録の要約と次回案作成 | 事実関係、宛先、約束の内容 |
| 文書作成 | 構成案や初稿を作成 | 根拠、表現、公開範囲 |
この段階では、利用目的、入力する情報、AIの出力を使う相手、最終的な責任者をセットで記録します。例外処理を先に洗い出す方法については、AI活用で例外対応を設計する方法も 参考になります。
手順2：情報を入力可否のレベルに分ける
「機密情報は禁止」とだけ書いても、利用者は自分の扱う情報が該当するか判断できません。社内で使う情報を、少なくとも次のように分類します。
| レベル | 例 | 取り扱い |
|---|---|---|
| 公開情報 | 公開済みの記事、製品ページ | 承認済みのサービスで利用可 |
| 社内情報 | 業務手順、公開前の一般資料 | サービスと保存条件を確認して利用 |
| 要注意情報 | 顧客名、契約条件、個人に紐づく情報 | 匿名化・最小化し、担当者が承認 |
| 入力禁止情報 | パスワード、秘密鍵、不要な個人情報 | 原則として入力しない |
ここで重要なのは、情報の分類とサービスの条件を結び付けることです。同じ文章でも、学習への利用、ログの保存期間、管理者による閲覧、国外への移転などがサービスによって異なります。利用者向けのガイドラインには、利用可能なサービス名だけでなく、「入力前に何を削るか」「迷ったら誰に相談するか」まで書きます。
また、入力する情報を減らすことも有効です。氏名を顧客Aに置き換える、契約番号を削除する、必要な段落だけを抜き出すなど、目的達成に不要な情報を渡さない運用を標準にします。
手順3：出力の確認責任を決める
生成AIの出力は、自然な文章であっても正しいとは限りません。社内ガイドラインには「必ず確認する」と書くだけでなく、何を誰が確認するのかを定義します。
最低限、次の観点を確認します。
- 事実関係：数字、日付、固有名詞、引用元に誤りがないか
- 網羅性：依頼された条件や重要な例外が抜けていないか
- 機密性：出力に不要な個人情報や社内情報が残っていないか
- 表現：誤解を招く断定や、相手に不適切な表現がないか
- 権限：そのまま外部へ送信・公開してよい内容か
たとえば、社内の下書きなら担当者の確認で済む一方、顧客への回答、契約や料金に関する説明、採用判断に関わる文書は、責任者や専門担当の確認を必須にします。AIエージェントを業務に組み込む場合の仕様項目は、AIエージェントの作り方｜合意する5つの仕様でも整理しています。
手順4：利用ログとインシデント対応を設計する
ガイドラインは、利用開始時だけ読まれる文書ではありません。問題が起きたときに、後から原因を追えて、同じ問題を減らせる仕組みが必要です。
ログとして残す項目は、業務名、利用者、利用日時、使用サービス、入力情報の分類、出力の利用先、確認者、修正内容などです。すべてのプロンプトを無制限に保存するのではなく、目的と保存期間を決め、個人情報や機密情報の扱いにも配慮します。
誤った情報を外部へ送信した、入力禁止情報を登録した、権限のない人が出力を閲覧した、といった場合の連絡先も明記します。報告時に必要な情報は、発生日時、使用サービス、入力情報の種類、出力の利用状況、現在の対応です。利用者が処分を恐れて報告を遅らせないよう、初動では責任追及より封じ込めを優先する方針も有効です。
手順5：小さく始め、評価して更新する
最初から全社共通の細かいルールを作ると、現場の実態とずれることがあります。まずは一つか二つの業務で試し、利用者の質問やヒヤリハットを反映して更新します。
評価項目は、利用回数だけにしません。
| 観点 | 確認例 |
|---|---|
| 時間 | 作業時間や待ち時間が減ったか |
| 品質 | 修正回数や見落としが減ったか |
| 安全 | 入力ミスや誤送信がなかったか |
| 定着 | 利用者が判断表を使えているか |
モデルやサービスの更新、法令・社内規程の変更、事故や問い合わせの発生を、見直しのトリガーとして決めておきます。月次で利用状況を確認する、四半期ごとにルールを見直すなど、頻度を先に決めると形骸化を防げます。
社内ガイドラインを一枚の判断表にする
長い本文とは別に、現場がその場で使える判断表を用意します。
| 判断すること | Yesなら | No・不明なら |
|---|---|---|
| 入力情報は公開または利用許可済みか | 次の確認へ | 匿名化・削除して相談 |
| 出力を人が確認できるか | 下書きとして利用 | 自動送信・自動反映を止める |
| 外部提供や重要判断に使うか | 責任者が確認 | 担当者の通常確認 |
| 問題が起きた場合の連絡先が分かるか | 利用を開始 | 管理担当へ確認 |
この表と、利用可能なサービス、禁止する入力、確認者、報告先を一つのページにまとめると、ガイドラインが実務の判断材料になります。詳しい背景や例外は別ページに置き、現場には短い手順を見せる構成が効果的です。
まとめ
生成AIの社内ガイドラインは、次の5手順で作 れます。
- 利用目的を業務フローで洗い出す
- 入力情報をリスク別に分類する
- 出力の確認責任を決める
- ログとインシデント対応を設計する
- 小さく始めて評価し、更新する
重要なのは、禁止事項を増やすことではなく、安全に使える範囲と人の確認ポイントを具体化することです。業務、情報、責任者、例外対応がつながれば、利用者は迷いにくくなり、管理側も改善のための事実を集められます。
Atsumellでは、生成AIやAIエージェントを業務へ導入する際に、対象業務の整理、権限・確認フローの設計、運用ルールの作成を支援しています。業務の整理にはAtsumellのKakusillも活用できます。自社のどの業務から始めるべきか、社内ルールをどこまで具体化すべきかを整理したい場合は、お問い合わせからご相談ください。
