中小企業の生成AI利用規程ひな形｜条文・判断フロー・説明原稿つき（Word・Excel 4点）
「社内で生成AIを使っていいことにするか」を決めるとき、いちばん困るのは禁止する側です。
全面禁止にすれば、情報漏えいは防げます。
ただ、翻訳も要約も議事録も、いまや業務ソフトの中にAIが入っています。
全面禁止は、実際には続けられない決まりです。
かといって自由にすれば、顧客名簿を貼り付ける人が必ず出ます。
悪意からではなく、仕事を早く終わらせようとした結果として出てきます。
だから、ルールが要ります。
ところが、いざ作ろうとすると、何を書けばいいのかが分からない。
ネットで探しても、出てくるのは大企業向けの立派なものか、抽象的な心構えばかりで、そのまま使えるものが見つからない。
このひな形は、そのまま使える形にしてあります。
従業員10名から数百名くらいの会社で、「生成AIのルールを作っておいて」と言われた人のためのものです。
総務や経営企画、情報システムの兼任者が、この役回りになることが多いはずです。
法務部門がない会社では、規程を書いた経験のある人が社内にいないのがふつうです。
コンサルティング会社に頼めば作れますが、この規模の会社が出せる金額ではないことが多い。
かといって放置すると、いつのまにか誰かが機密情報を入力しています。
入っているもの
4点入っています。
Word・Excelのファイルとして添付してあるので、ダウンロードして角括弧を自社の内容に置き換えれば、そのまま社内に出せます。
本文にも同じ内容を載せています。
生成AI利用規程のひな形（全11条＋別表2種）
入力してよいかの判断フロー（1枚もの）
社員説明用スクリプト（15分・そのまま読める原稿）
導入チェックリスト（30項目）
規程のひな形は、目的から違反時の対応までを条文にしたもので、条文ごとに、なぜその条文が要るのかの解説を付けています。
判断フローは、社員が入力する直前に見る紙です。
A4で印刷して、各島に貼って使います。
説明用スクリプトは、朝礼で読み上げるための原稿で、出やすい質問と答え方も付けています。
導入チェックリストは、規程を運用に乗せるまでの項目です。
規程は作っただけでは動かないので、そのために付けています。
根拠と更新について
条文と判断基準の根拠は、総務省・経済産業省のAI事業者ガイドラインと、個人情報保護委員会の公表資料です。
出典は末尾にURLで載せています。
ガイドラインの版が上がったときや、制度が変わったときは、この内容も更新します。
購入後に追記した分も、追加の費用なしでそのまま読めます。
規程を作る前に、順番を間違えないこと
よくある失敗は、規程から作り始めることです。
規程だけができて、社員が使える環境がないと、現場は「禁止された」とだけ受け取ります。
それでも仕事は止められないので、個人のスマートフォンや自宅のパソコンで、個人アカウントを使い始めます。
これがシャドーAIと呼ばれる状態で、会社からは何も見えなくなります。
禁止する前より危険になります。
正しい順番は次のとおりです。
いま誰がどのAIを使っているかを把握する
会社として使ってよい環境を用意する（法人向けプランを契約し、人数分のライセンスを確保する）
ルールを作る
周知する
禁止と、代替の提供はセットです。
片方だけ出すと、必ず地下に潜ります。
入力してよいかの判断基準
規程の中で、現場がいちばん使うのはここです。
社員が知りたいのは、「これを入力していいのか」の一点です。
条文をいくら読ませても、この判断はできるようにならないので、基準を1つに絞ります。
基準
その内容を、社外の人に見せられるか。
見せられないものは入力しない。
これで大半は判断できます。
もう一段の目安として、次のどれかに当てはまるなら入力しない、と決めておくと運用しやすくなります。
固有名詞（人名・社名）が入っている
数字が入っていて、その数字が社外に出ると困る
誰かから「これは秘密です」と言われて受け取った
入力できないときの逃げ道を用意する
禁止だけを伝えると、仕事が止まります。
次の3点を一緒に伝えてください。
固有名詞を置き換える
数字をぼかす
構造だけを聞く
固有名詞は、「株式会社◯◯の田中様」を「取引先A社のB様」にして入力し、出てきた文章にあとから実名を戻します。
数字は、「原価3,280円、売価5,800円」を「原価と売価の差が約4割の商品」のように書き換えます。
構造だけを聞くときは、資料そのものを貼らずに、「こういう見積書を作るとき、どういう項目を入れるべきか」と聞きます。
ひな形をもらってから、中身を自分で埋めます。
この3点で、実務のほとんどは通せます。
よくある勘違い
「無料プランでも、履歴をオフにすれば大丈夫」という考えがありますが、扱いはサービスによって違います。
設定名だけで判断せず、利用規約とプライバシーポリシーの該当箇所を確認してください。
「社内の情報だから、外部に出したことにならない」も誤りです。
入力した時点で、社外のサーバーに送信されています。
「要約させるだけなら安全」も同じです。
要約でも、元の文章はすべて送信されています。
出力が短いことと、入力が安全であることは、別の話です。
「画像なら平気」も危うい考えで、画像に写り込んだ書類や名札、画面、ホワイトボードは読み取られます。
「AIが間違えたら、AIの会社の責任」という考えも外れています。
出力をもとにした業務上の判断の責任は、使った側にあり、各社の利用規約にも明記されています。
AIエージェントには、別のルールが要る
2026年に入って、対話型のAIとは別に、AIエージェントへの対応が必要になってきました。
対話型のAIで見るべきなのは、「何を入力したか」です。
ところがAIエージェントは、指示を受けたあと、自分で複数の手順を判断して実行します。
メールを送る、ファイルを消す、外部のシステムを操作する。
見るべきなのは「何を実行したか」に変わります。
ここで基本になる考え方は、取り返しのつく操作と、つかない操作を分けることです。
取り返しのつかない操作には、人の承認を挟みます。
具体的には、次の5点です。
社外へのメール送信、メッセージ送信、投稿
ファイルの削除と上書き
金銭の支払い、発注、契約の申込み
本番環境の設定変更
アカウントの作成と権限の変更
規程では、これを第7条として条文の形にしています。
国の資料が示していること
国内では、総務省と経済産業省が「AI事業者ガイドライン」を出しています。
令和8年3月31日に公表された第1.2版では、AIエージェントの定義と、別添にリスクの記述が加わりました。
個人情報保護委員会も、生成AIサービスの利用について注意喚起を出しています。
ただし、どちらも事業者が守るべき考え方を示すもので、社内規程の条文そのものまでは書かれていない。
つまり、条文に落とす作業は各社がやることになっています。
大企業には法務部門がありますが、中小企業では、その部署が無いのがふつうです。
ここが空白のまま残っている、というのがいまの状況です。
まとめ
全面禁止は、業務ソフトの中にすでにAIが入っている以上、続けられない決まりです。
大事なのは順番で、把握、環境の用意、ルール、周知の順に進めます。
禁止と代替は、いつもセットです。
現場が使う基準は1つで足ります。
社外の人に見せられないものは入力しない。
入力できないときの逃げ道を3点用意しておけば、仕事は止まらずに済みます。
AIエージェントには別のルールが要り、取り返しのつかない操作には人の承認を挟みます。
そして規程は作っただけでは動かず、実際に効くかどうかは、ライセンスの数で決まります。
規程は、作ることより配ることのほうが難しい。
説明用スクリプトは、そのために付けています。
みなさんの会社では、いま誰がどの生成AIを使っているか、把握できていますか。
参考・引用元
経済産業省・総務省「AI事業者ガイドライン（第1.2版）」（令和8年3月31日）https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html
個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/
IPA「情報セキュリティ10大脅威」https://www.ipa.go.jp/security/10threats/
デジタル庁「AI関連の政策」https://www.digital.go.jp/
個人情報保護委員会 https://www.ppc.go.jp/
