社内のAI利用ルールを1枚で作る｜著作権法・不正競争防止法・個人情報保護法が引く3つの別の線から決める

社内で生成AIを使い始めるとき、多くの会社が最初に「ガイドラインを作らないといけない」と考えます。そして、ひな形を探し、条文らしい文章を書き、20ページの文書ができあがる。ところが、それを読んだ社員に「では、この資料は入れていいんですか」と聞かれて、答えられない。

ルールが機能しないのは、分量が足りないからではありません。現場が実際に迷う場面に、答えが書かれていないからです。この記事では、A4で1枚のルールを、法令の根拠から逆算して作る手順を説明します。著作権法、不正競争防止法、個人情報保護法の3つが、それぞれ別の線を引いていることを押さえると、書くべき内容が決まります。

ムダの現状：長いルールは読まれず、判断が止まる

生成AIの社内ルールでよく見る失敗は、2つの方向に分かれます。

1つは、長すぎて読まれないルールです。総論、目的、定義、遵守事項、罰則。体裁は整っているものの、現場が知りたい「この資料を貼っていいのか」への答えがどこにもない。結果として、誰も開かない文書ができます。

もう1つは、短すぎて判断できないルールです。「機密情報は入力しない」の一行だけ。機密情報の定義が書かれていないため、判断が個人に委ねられます。慎重な人は何も入れられず、そうでない人は何でも入れる。同じ会社で、両極端が同時に起きます。

現場が実際に迷うのは、この5つ

ルールを作る前に、現場が実際にどこで迷うかを整理しておきます。相談として上がってくるのは、だいたい次の5種類です。

重要なのは、この5つがそれぞれ別の法律の話であることです。まとめて「機密情報」と括ると、判断の基準が作れません。1枚のルールは、この5項目に分けて書きます。

全体の設計図：3つの法律が、3つの別の線を引いている

個人情報保護法が引いている線

個人情報保護法第17条は、個人情報を取り扱うにあたって利用目的をできる限り特定しなければならないと定めています。第18条は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないとしています。

つまり問われるのは「AIに入れたかどうか」ではなく、その取り扱いが、公表している利用目的の範囲に収まっているかです。問い合わせ対応のために取得した情報を、問い合わせに答えるためにAIで処理することと、それを別の目的の分析に使うことは、同じ扱いにはなりません。

さらに、外部のサービスで処理する場合は委託の扱いが関わります。法第25条は、個人データの取扱いを委託する場合には、委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならないと定めています。

不正競争防止法が引いている線

自社の情報については、別の見方が必要です。不正競争防止法は「営業秘密」を、秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないものと定義しています。

ここで注目すべきは「秘密として管理されている」という要件です。営業秘密として法律の保護を受けるには、秘密として管理されている状態が必要になります。社内の重要な情報を、管理の条件を確かめないまま外部のサービスに入力した場合、その管理状態をどう説明するかという問題が生じえます。

だからルールには、どの情報が自社にとって秘密として管理すべきものかを、具体名で書く必要があります。「機密情報」という言葉だけでは、現場は判断できません。原価表、設計データ、未公表の製品情報、取引先ごとの単価。このように書いて初めて、入力の前に立ち止まれます。

著作権法が引いている線

他人の文章や画像をAIに入力する場面では、著作権法が関わります。第30条の4は「著作物に表現された思想又は感情の享受を目的としない利用」について定めており、そこに掲げられた場合その他の当該著作物に表現された思想又は感情を自ら享受し又は他人に享受させることを目的としない場合には、その必要と認められる限度において、いずれの方法によるかを問わず、利用することができるとしています。掲げられている場合の1つが、情報解析の用に供する場合です。

ただし、同条にはただし書きがあります。当該著作物の種類及び用途並びに当該利用の態様に照らし著作権者の利益を不当に害することとなる場合は、この限りでないとされています。

そして、入力の話と出力の話は別です。生成された文章や画像を社外に出す場合、既存の著作物と同一または類似のものになっていないかは、別に確認する必要があります。ルールでは、この2つを分けて書いてください。

必要なものと費用（2026年9月22日時点）

専門家への相談を最初から前提にしないでください。まず自社で1枚を書き、迷いどころが残った箇所だけを持って相談するほうが、時間も費用も抑えられます。白紙の状態で相談すると、一般論しか返ってきません。

作成手順：迷う場面を集めてから書く

Step 1：実際に迷った場面を20件集める

条文から書き始めないでください。先に、現場で実際に起きた迷いを集めます。

方法は単純です。AIを使っている部署に、次の1文を投げます。「AIに入れていいか迷ったこと、入れるのをやめたことを、思いつくだけ書いてください」。1部署5件、4部署で20件集まれば十分です。

この20件が、ルールの目次になります。自社の現場が迷わない論点を、ルールに書く必要はありません。一般的なひな形が長くなるのは、あらゆる会社の論点を網羅しているからです。

集めるときのコツが1つあります。「入れるのをやめたこと」も必ず聞いてください。入れてよいか迷った末に使わなかった、という話には、過度に慎重になっている箇所が現れます。そこは、ルールで明示的に許可すれば解消します。禁止すべき箇所を探すより、こちらのほうが効果が大きいことが多くあります。

逆に、何の迷いもなく使っている、という回答が返ってきた部署があれば、そこは一度詳しく聞いてください。迷いがないのは判断が明確だからではなく、論点に気づいていない場合があります。顧客名をそのまま貼っている、他社の資料を丸ごと投げている、といった実態がここで見つかります。

Step 2：集めた迷いを、3つの法律に振り分ける

集まった20件を、他人の個人情報、自社の秘密情報、他人の著作物の3つに振り分けます。どれにも当たらないものは、社内の管理の問題として4つ目の箱に入れます。

この振り分けをすると、自社がどこで迷っているかの偏りが見えます。顧客情報の質問が多い会社と、社内資料の質問が多い会社では、ルールで厚く書くべき場所が違います。

Step 3：1枚に、5項目で書く

ルールの構成は次の5項目です。これ以上増やさないでください。

5項目目が、実際にはいちばん効きます。ルールがどれだけ丁寧でも、想定外の場面は必ず出ます。そのときに聞く相手が決まっていれば、判断は止まりません。逆にここが空白だと、現場は「たぶん駄目だろう」と自己判断で使わなくなります。

Step 4：3項目目は、部署ごとに追記できるようにする

「入れてはいけない情報」の具体名は、部署によって違います。開発部門なら設計データ、購買なら取引先ごとの単価、人事なら評価の記録。全社共通の一覧に、すべてを書き込もうとすると長くなります。

全社共通は5項目までにして、その下に部署ごとの追記欄を設けてください。追記は各部署の責任者が行い、全社のルールは変えない。この二階建てにすると、1枚のまま運用できます。

部署ごとの追記を書いてもらうときは、白紙で依頼しないでください。「この部署が扱う情報のうち、外に出たら困るものを5つ挙げてください」と聞きます。5つという数を切ると、本当に重要なものが上がってきます。上限を設けないと、念のためという理由で一覧が長くなり、結局は読まれません。

入れてよい情報の例を、先に3つ用意する

3項目目より先に、2項目目を書いてください。入れてよい情報の例です。

たとえば、自社サイトで公開済みの説明文、社内の会議の議事メモのうち固有名詞を外したもの、一般的な業界知識を尋ねる質問。この3つを書いておくと、現場は「これは使っていい範囲だ」という感覚を持てます。

禁止事項だけのルールは、現場に「何も入れられない」という印象を残します。許可されている範囲が具体的に見えて初めて、人は使い始めます。この2項目目は、ルールの中で最も丁寧に書くべき場所です。

Step 5：サービスの規約を、確認日つきで控える

ルールの裏付けとして、利用するサービスの規約を確認します。見るのは3点です。入力したデータを学習に使わない設定ができるか。データの保存期間が明示されているか。事業者向けの契約条項が公開されているか。

営業資料の要約ではなく、規約の本文を読んでください。そして確認した日付を控えて、ルールの余白に書いておくこと。規約は改定されます。半年後に見直すとき、どの時点の内容で判断したかが分からないと、何が変わったのかを追えません。

現場の合意の取り方：禁止から入らない

ルールの説明会で最初に「これは禁止です」と並べると、現場の受け取り方が決まってしまいます。使わせたくないのだ、と理解されると、その後どれだけ活用を促しても動きません。

順番は、使えるもの、聞く先、使えないもの

説明の順番を変えるだけで、伝わり方が大きく変わります。

1つ目に、会社として使えるサービスと、入れてよい情報の例を示します。2つ目に、迷ったときの相談先を示します。3つ目に、入れてはいけない情報を具体名で示します。

この順にすると、現場は「使える環境が用意された」という理解から入ります。禁止事項を最後に置いても、伝わる内容は同じです。順番だけの問題ですが、定着率は明確に変わります。

相談された件は、匿名で共有する

相談先を設けると、同じ質問が繰り返し来ます。これを個別に返すだけで終わらせず、月1回、匿名にして共有してください。

「この種類の資料は入れてよい」「この場合は人が確認する」という判断の実例が積み上がると、ルールの1枚を書き換えなくても運用の精度が上がります。ルールを厚くするのではなく、判断の実例を増やすという方向で育ててください。

失敗パターンと限界：ルールで解決しないこと

ルールを作っても、使えるものが無ければ動かない

最も多い失敗は、会社として使えるサービスを用意しないまま、ルールだけを配ることです。この状態では、現場は個人のアカウントを使い続けるか、まったく使わないかのどちらかになります。

ルールの1項目目に「会社が契約したサービスに限る」と書く以上、その契約が先に存在している必要があります。順番を逆にしないでください。

法令の適用は、事案ごとに判断が分かれる

この記事では3つの法律の条文を挙げましたが、実際の適用は事案の内容によって判断が分かれます。著作権法第30条の4のただし書きにある「著作権者の利益を不当に害することとなる場合」に当たるかどうかは、著作物の種類、用途、利用の態様に照らして判断されるものです。

自社の具体的な使い方について確信が持てない場合は、条文を挙げたうえで専門家に相談してください。この記事の内容は、ルールを作る出発点を示すものであって、個別の法的判断を代替するものではありません。

ルールでは解決できない問題

現場から上がる相談の中には、ルールの問題ではないものが混ざります。見分け方を書いておきます。

「この作業にAIを使ってよいか」という相談が多い場合、それはルールの不備ではなく、業務の優先順位が決まっていないという話です。「出てきた答えが正しいか分からない」という相談が多い場合は、その業務にAIが向いていない可能性があります。ルールを書き足しても、どちらも解決しません。

また、特定の部署だけから相談が来ない場合、それは判断に困っていないのではなく、使っていない可能性が高いといえます。この場合はルールではなく、使い方の支援が必要です。

効果の測り方

1つ目の相談件数は、多いほど良い数字です。ゼロが続くのは、ルールが完璧だからではなく、誰も使っていないか、聞かずに自己判断しているかのどちらかです。導入から1か月で相談が1件も無ければ、使われ方を確認してください。

3つ目を聞くときは、責めないことを先に伝えてください。個人契約の利用があること自体は、会社として使えるものを用意できていなかった結果です。正直に答えてもらったほうが、対処ができます。

まとめ

社内のAI利用ルールが機能しないのは、分量が足りないからではなく、現場が実際に迷う場面に答えが書かれていないからです。

作り方は、条文から書き始めず、実際に迷った場面を20件集めるところから。それを、他人の個人情報、自社の秘密情報、他人の著作物、社内の管理の4つに振り分けます。この3つの法律は、それぞれ別の線を引いています。個人情報保護法は利用目的と委託先の監督、不正競争防止法は秘密として管理されている状態、著作権法は享受を目的としない利用とそのただし書き。まとめて「機密情報」と括ると、判断の基準が作れません。

1枚に書くのは5項目です。使うサービス、入れてよい情報、入れてはいけない情報（具体名で）、人が必ず見る場面、そして迷ったときの相談先。相談先の項目が、実際にはいちばん効きます。説明の順番は、使えるもの、聞く先、使えないものの順。禁止から入らないでください。

よくある質問

ひな形をそのまま使ってはいけませんか

出発点として使うのは構いませんが、そのまま配らないでください。ひな形が長いのは、あらゆる会社の論点を網羅しているためです。自社の現場が迷っていない論点を残したまま配ると、読まれない文書になります。先に迷いを20件集め、そこに当たる部分だけを残してください。

「機密情報は入力しない」だけでは、なぜ駄目なのですか

機密情報の範囲が人によって違うからです。不正競争防止法が営業秘密を「秘密として管理されている」情報と定義していることからも分かるように、何を秘密として管理しているかは会社が決めることです。原価表、設計データ、未公表の製品情報というように具体名で書いて初めて、現場が入力の前に立ち止まれます。

他社の記事をAIに要約させるのは問題ありますか

著作権法第30条の4は、著作物に表現された思想又は感情を自ら享受し又は他人に享受させることを目的としない場合には、必要と認められる限度において利用できるとし、情報解析の用に供する場合を掲げています。ただし、著作物の種類・用途・利用の態様に照らし著作権者の利益を不当に害することとなる場合は、この限りでないというただし書きがあります。加えて、出てきた文章を社外に出す場合は入力とは別の判断が必要です。具体的な使い方に確信が持てない場合は専門家に確認してください。

相談先には誰を置けばよいですか

その日のうちに答えを返せる人を置いてください。法務に強い人が望ましいですが、いない場合は推進担当でも構いません。重要なのは正確さより速さです。判断がつかない件は「保留」と返し、後で調べて答える運用にしてください。返事が数日かかる相談先は、使われなくなります。

ルールは、どのくらいの頻度で見直すべきですか

半年に1回を目安にしてください。あわせて、利用するサービスの規約が改定されたときにも見ます。そのために、規約を確認した日付をルールの余白に控えておいてください。日付が無いと、何が変わったのかを追えません。

違反した場合の罰則は書くべきですか

最初の1枚には不要です。罰則を先に書くと、現場は使わない方向に倒れます。まず使える環境と判断の基準を整え、相談の実例が積み上がってから、必要に応じて就業規則との関係を整理してください。順番としては後です。

同じ部門の記事

導入AI導入が失敗する原因｜期待どおり以上の効果は31.8%。IPA調査が示す三つの壁と、現場の合意を取りながら進める5ステップ2026年9月23日