社内の生成AI利用ルールの作り方｜ひな形にできるチェックリスト12項目

生成AIの社内ルール作りは、4分野12項目のチェックリストをひな形にするのが近道です。

難しい規程を一から書く必要はありません。本記事の12項目は、そのまま社内文書のたたき台として使えます。

ルール不在で想定される3つの事故類型から、各項目の考え方、周知と見直しの手順まで、Via Nova編集部が中小企業向けに解説します。

• ルールに盛り込むのは「入力・ツール・確認・運用」の4分野12項目
• ルール不在の事故は「情報漏えい・権利侵害・誤情報の発信」の3類型
• ひな形はA4用紙1〜2枚で十分。作成から周知までは5ステップ
• 見直しは半年に1回＋ツール変更時が目安。改定責任者を決めて明記する

生成AIの社内ルールに盛り込む12項目とは？

生成AIの社内ルールは、入力・ツール・生成物の確認・運用体制の4分野12項目を押さえれば実務に耐えます。

採用の現場でも、生成AIの利用はすでに始まっています。学情の調査（2026年3月16日〜4月10日実施、企業・団体の人事担当者から有効回答295件、2026年6月15日発表）では、キャリア採用業務で生成AIを「すでに利用している」企業は28.7%でした。

同調査では、「すでに利用している」28.7%、「利用を検討している」9.5%、「利用したいがまだ着手していない」16.4%を合わせた層に、利用場面を尋ねています（複数回答可）。設問の文言は「採用業務のどのような場面で利用している、または利用したいか」です。リリース本文はこの層を「半数を超える企業が利用に前向き」と表現しています（見出しでの表現は「半数超が利用に前向き」）。最も多く挙がったのは「求人票の作成・ブラッシュアップ」（65.3%）でした。

次の12項目は、そのまま社内規程やガイドラインのたたき台として引用できる構成にしています。

1. 入力禁止情報の定義（顧客情報・個人情報・社外秘の具体例を列挙する）
2. 利用を許可するツールと契約プランの指定（無料版の業務利用可否も明記）
3. 入力データを学習に使わせない設定（オプトアウト）の確認手順
4. アカウント管理（会社発行・共有ID禁止・退職時の停止）
5. 生成物をそのまま使わない原則（人による最終確認の義務化）
6. 事実確認の方法（数値・固有名詞・法令は原典に当たる）
7. 著作権など他者の権利を侵害しないための確認（類似チェック・出典明示）
8. 対外公開物・納品物の承認ルート（作成者と承認者を分ける）
9. 高リスク用途の制限（採用選考・人事評価などは人の判断を必須にする）
10. 相談・質問窓口の一本化（迷ったら聞ける担当者を決める）
11. インシデント報告手順（誤入力・漏えい懸念は隠さず即報告）
12. 見直しサイクルと改定責任者（改定日をルール本文に明記）

項目1・3は入力の管理、項目2・4はツールとアカウントの管理、項目5〜9は生成物の確認、項目10〜12は運用体制に対応します。冒頭の4分野はこの区切りです。自社の実態に合わせて文言を調整してください。

各項目は1文で書けば十分です。たとえば項目1なら「当社は、顧客情報・応募者の個人情報・未公開の財務情報・パスワードやAPIキーなどの認証情報を、生成AIサービスに入力しません。」、項目5なら「生成AIの出力は、担当者が内容を確認・修正したうえで使用します。無修正での社外提出を禁止します。」のように書きます。

この形式で12項目を並べれば、A4用紙1〜2枚に収まります。禁止事項だけを並べず、許可する使い方も同じ文体で書き添えると、現場が迷いません。

ルールがないと何が起きる？想定される3つの事故類型

ルール不在の職場で想定されるのは、情報漏えい・権利侵害・誤情報の発信の3類型です。

この3類型は、個人情報保護委員会が注意喚起している個人データの入力、文化庁が整理している著作権侵害、そして生成AI特有の誤りという、公的機関が論点として挙げている領域とそのまま対応します。

個人情報保護委員会は2023年6月2日、生成AIサービスの利用に関する注意喚起を公表しています。個人データの入力には法令上の論点があるため、判断に迷う場合は同委員会の資料や専門家に確認してください。

国の指針としては、総務省・経済産業省が2026年3月31日に公表したAI事業者ガイドライン（第1.2版）があります。同ガイドラインはAIに関わる主体を「AI開発者」「AI提供者」「AI利用者」に分けて整理しており、自社で開発せず既存サービスを業務に使うだけの会社もAI利用者に当たります。また、AI推進法（人工知能関連技術の研究開発及び活用の推進に関する法律・令和7年法律第53号）が2025年6月4日に公布され、2025年9月1日に全面施行されました。同法第7条（活用事業者の責務）は、人工知能関連技術を事業活動において活用しようとする者を「活用事業者」と位置づけ、国及び地方公共団体が実施する施策に協力しなければならないと定めています。既存の生成AIサービスを業務に使う会社もこの活用事業者に当たります。なお、同法に罰則規定は置かれていません。

社内ルールをこれらの指針に沿った形で作っておくと、取引先や顧客から説明を求められたときに根拠を示せます。

入力禁止情報はどう決める？（項目1〜4の考え方）

禁止する情報を具体例で列挙し、ツール指定・学習利用の設定・アカウント管理をセットで定めます。

「機密情報を入れない」という抽象的な一文だけでは、現場は判断できません。入力禁止情報は具体例で列挙します。

• 応募者・従業員の氏名や履歴書の内容などの個人情報
• 顧客名や商談内容がわかる社外秘のメモ・資料
• 未公開の財務情報・価格情報・開発情報
• パスワードやAPIキーなどの認証情報

たとえば採用業務で書類の要約に生成AIを使う会社であれば、氏名や連絡先を伏せてから入力する、という運用まで書けば迷いがなくなります。

あわせて、会社が許可するツールとプランを指定し、入力データを学習に使わせない設定（オプトアウト）を管理者が確認します。

アカウントは会社発行に統一し、共有IDの利用と退職後の放置を禁止します。ここまでが項目1〜4の骨格です。

採用業務で生成AIを使う場合は、個人情報保護法に加えて、職業安定法第5条の5（求職者等の個人情報の取扱い）が重なります。同条第1項は、職業紹介事業者や募集を行う者だけでなく求人者（採用する企業自身）も名宛人としており、求職者等の個人情報を収集・保管・使用するにあたっては、業務の目的の達成に必要な範囲内で、その目的を明らかにして収集し、収集目的の範囲内で保管・使用しなければならないと定めています。同条第2項では、個人情報を適正に管理するために必要な措置を講じることも求められています。

個人情報保護法の側では、同法第21条（取得に際しての利用目的の通知等）が関係します。応募フォームや履歴書など書面（電磁的記録を含む）で本人から直接個人情報を取得する場合は、あらかじめ利用目的を本人に明示しなければなりません。生成AIによる書類要約を業務フローに組み込むなら、応募時に示す利用目的の記載が実際の取扱いと食い違っていないかを、ルール整備と同時に点検してください。

合同会社Via Novaは有料職業紹介事業の許可（14-ユ-302463）を受けて応募者情報を日常的に扱う立場から、入力禁止情報の筆頭に応募書類を置き、要約に使う場合も氏名・連絡先・生年月日を伏せてから入力する運用をおすすめします。ここを曖昧にしたまま「機密情報は入れない」とだけ書いた社内ルールは、採用現場では機能しません。

著作権と確認フローはどう定める？（項目5〜9の考え方）

生成物は人が確認してから使うことを原則とし、対外公開物には承認ルートを必ず設けます。

生成AIの出力には、誤りや他者の権利を侵害するおそれのある表現が混ざることがあります。「生成物をそのまま使わない」を大原則にします。

事実確認は「数値・固有名詞・法令の3点を原典で確かめる」と手順まで決めると、担当者ごとのばらつきを抑えられます。

著作権については、文化庁が2024年3月15日に「AIと著作権に関する考え方について」を公表し、2024年7月31日にはチェックリスト＆ガイダンスも公開しています。

既存の著作物と似た生成物の公開はトラブルになり得ます。個別の判断は事案ごとに異なるため、迷う場合は弁護士など専門家に確認してください。

採用選考や人事評価のような高リスク用途は、生成AIの出力だけで判断せず、最終判断を人が行うことをルールに明記します（項目9）。

ひな形はどう作って社内に周知する？（作成5ステップ）

ひな形はA4で1〜2枚に絞り、作成から周知まで5ステップで進めると形骸化を防げます。

1. 12項目チェックリストを自社の言葉に置き換える（使うツール名・部署名を入れる）
2. 禁止事項だけでなく「こう使えばOK」という許可例を多めに書く
3. 経営者が承認し、施行日と改定責任者を明記する
4. 30分の全員説明会で「なぜ必要か」を事故の類型とセットで伝える
5. 入社時研修と年1回の再周知に組み込む

なお、このルールを就業規則や服務規律に組み込む場合、常時10人以上の労働者を使用する事業場では労働基準法上の手続きが必要です。具体的には、過半数代表者からの意見聴取（労働基準法第90条）、所轄労働基準監督署長への届出（同法第89条）、従業員への周知（同法第106条）が求められます。10人未満の事業場では届出義務はありませんが、周知しなければルールは機能しません。就業規則本体への反映は社会保険労務士に、契約や権利関係の判断は弁護士にご確認ください。本記事は一般的な情報提供であり、個別の法的助言ではありません。

ルール整備は、生成AI導入の5ステップ（目的定義→業務選定→小規模PoC→ルール整備→全社展開）のうちステップ4に当たります。

周知と教育には無料の公式教材も使えます。「Anthropic公式AI講座｜採用・人事担当者のリスキリング」で紹介しています。

運用と見直しサイクルはどう回す？（項目10〜12の考え方）

窓口の一本化と隠さない報告文化を作り、半年に1回とツール変更時にルールを見直します。

質問経路を一本化し、「迷ったら聞ける人」を決めておくと、判断に迷った担当者が自己流で処理してしまう場面を減らせます。専任である必要はなく、兼任の担当者で十分です。

インシデント報告は、報告者を責めない前提にします。誤入力や漏えい懸念を隠される事態が、被害を最も大きくするためです。

ルール見直しのタイミングは、次の4つを目安にします。

• 新しいツール・機能を導入するとき
• 利用中ツールの規約や学習設定が変わったとき
• 事故やヒヤリハットが起きたとき
• 前回の見直しから半年たったとき

現場に定着させる習慣づくりは「「AIが苦手」でも大丈夫！業務効率を2倍にする3つの習慣」も参考になります。

よくある質問

生成AIの社内ルールはどのくらいの分量が適切ですか？

A4用紙1〜2枚が目安です。長い規程は読まれず形骸化しやすいため、12項目のチェックリスト形式で十分です。ツールごとの詳細な手順は、別紙の補足資料に分けると運用しやすくなります。

無料版の生成AIツールを業務で使ってもよいですか？

会社としてどのツール・プランを許可するかを先に決めるのが原則です。無料プランは入力内容が学習に使われる設定が既定の場合があるため、契約内容と設定を確認したうえで可否をルールに明記してください。

従業員が個人契約のAIツールを勝手に使っている場合はどうすればよいですか？

罰則から入るのではなく、まず会社として許可するツールを用意し、そちらへ誘導するのが現実的です。無断利用は禁止の一文だけでは止まりにくいため、相談窓口とセットで運用します。

採用業務で生成AIを使う場合の注意点はありますか？

応募者の個人情報を入力しない運用と、合否の最終判断を人が行う原則の2点が柱です。学情の調査（企業・団体の人事担当者から有効回答295件、2026年6月15日発表）では、キャリア採用業務で生成AIを「すでに利用している」企業は28.7%でした。同調査では、この28.7%に「利用を検討している」9.5%と「利用したいがまだ着手していない」16.4%を加えた層に、利用場面を尋ねています（複数回答可）。リリース本文はこの層を「半数を超える企業が利用に前向き」と表現しています。最も多く挙がったのは「求人票の作成・ブラッシュアップ」（65.3%）でした。採用業務では職業安定法第5条の5（求職者等の個人情報の取扱い）が重なり、求人者である企業自身も名宛人になるため、書類の要約に使う場合も氏名などを伏せる運用が安全です。

ルールの見直しはどのくらいの頻度で行うべきですか？

半年に1回の定期見直しに加え、新ツールの導入時や利用規約の変更時に随時見直すのが目安です。改定日と改定責任者をルール本文に明記しておくと、放置を防げます。

出典

• 株式会社学情「キャリア採用業務に『生成AIを利用している』3割弱、半数超が利用に前向き。利用している・したい場面は『求人票の作成・ブラッシュアップ』がトップ【企業調査】」（2026年6月15日発表／調査期間：2026年3月16日〜4月10日／調査対象：企業・団体の人事担当者／有効回答数：295件）https://prtimes.jp/main/html/rd/p/000001540.000013485.html（学情によるプレスリリース／参照日：2026年8月8日）
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（2023年6月2日）https://www.ppc.go.jp/news/press/2023/230602kouhou/（参照日：2026年8月8日）
• 文化庁「AIと著作権について」（考え方：2024年3月15日／チェックリスト＆ガイダンス：2024年7月31日）https://www.bunka.go.jp/seisaku/chosakuken/aiandcopyright.html（参照日：2026年8月8日）
• 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（2026年3月31日公表）https://www.soumu.go.jp/main_sosiki/kenkyu/ai_network/02ryutsu20_04000019.html（総務省 掲載ページ。本編PDFは経済産業省サイト／参照日：2026年8月8日）
• 内閣府「人工知能関連技術の研究開発及び活用の推進に関する法律（令和7年法律第53号）」（2025年6月4日公布／2025年9月1日全面施行）https://www8.cao.go.jp/cstp/ai/ai_act/ai_act.html（参照日：2026年8月8日）
• 職業安定法（昭和22年法律第141号）第5条の5（求職者等の個人情報の取扱い）https://laws.e-gov.go.jp/law/322AC0000000141（e-Gov法令検索／参照日：2026年8月8日）
• 個人情報の保護に関する法律（平成15年法律第57号）第21条（取得に際しての利用目的の通知等）https://laws.e-gov.go.jp/law/415AC0000000057（e-Gov法令検索／参照日：2026年8月8日）
• 労働基準法（昭和22年法律第49号）第89条・第90条・第106条（就業規則の作成・届出・意見聴取・周知）https://laws.e-gov.go.jp/law/322AC0000000049（e-Gov法令検索／参照日：2026年8月8日）

合同会社Via Novaは、HEROZ株式会社（東証スタンダード: 4382）の正規代理店としてHEROZ ASK 導入支援（AI実装）を提供しています。導入設計・活用ケース設計・研修・定着モニタリングまで伴走します。

料金は、初期費用50,000円〜100,000円＋1ユーザーあたり月額1,000円〜3,000円（いずれも税抜）で、利用期間12ヶ月が前提です。導入サポートが付く上位のProプランは1ユーザー月額3,000円・初期費用100,000円となります。「まず1人が数千円だけで試したい」という段階には向かないため、その場合は汎用ツールの有料プランから始めるほうが無理がありません。

ルールを整えたあとのツール選定から相談したい方は、法人向けお問い合わせフォームよりご連絡ください。お問い合わせ項目には生成AI導入に該当する選択肢がないため、「その他・まず相談」をお選びのうえ、本文に「生成AIの社内ルール・導入について」とご記入ください。