「生成AIの社内ルールを作ってほしい」と頼まれたとき、多くの人はネットで他社の規程を探します。ただ、国が事業者向けに整理した文書がすでにあり、そこには「AIを業務で使う会社が守るべきこと」が項目ごとに書かれています。自分で考えるより、そこから起こすほうが速く、社内の説得も通りやすい。
この記事では、総務省と経済産業省がまとめた「AI事業者ガイドライン（第1.1版）」をもとに、最初に決める5項目と、そのまま使える規定の文面まで落とします。ガイドラインは令和7年3月28日版です。なお本記事は法令の解説ではなく、社内ルールを組み立てるための整理です。最終的な内容は自社の法務部門や専門家に確認してください。
結論：ゼロから考えず、国の文書から起こす
ルール作りでいちばん時間がかかるのは、文面を書くことではありません。何を決めるべきかを洗い出す工程です。そこは、すでに公的な文書が済ませてくれています。まず全体像を押さえたうえで、社内ルールに起こす5項目まで一気に見ていきます。
ガイドラインの構成
「AI事業者ガイドライン」は、総務省と経済産業省が策定したもので、今回参照する第1.1版は令和7年3月28日付です。構成は2つに分かれていて、本編が「どのような社会を目指すのか（基本理念）」と「どのような取組を行うか（指針）」を示し、別添（付属資料）が「具体的にどのようなアプローチで取り組むか（実践）」を示す、という役割分担になっています。策定にあたっては「人間中心のAI社会原則」を土台としつつ、国内の3つのガイドラインを統合したと説明されています。つまり、これまで散らばっていた指針が1本にまとまったものです。社内ルールの根拠として示すには、これ以上ない文書です。
10の共通の指針
ガイドラインは、AIの事業活動を担う主体が取り組むべき事項を10の「共通の指針」として整理しています。1)人間中心、2)安全性、3)公平性、4)プライバシー保護、5)セキュリティ確保、6)透明性、7)アカウンタビリティ、8)教育・リテラシー、9)公正競争確保、10)イノベーションの10個です。このうち9)と10)は「社会と連携した取組が期待される事項」として区別されています。社内ルールを作るときは、この10項目を目次として借りると抜け漏れが出ません。ゼロから章立てを考える必要がない、というのが最大の利点です。
社内ルールに起こす5項目
カッコ内はガイドライン第5部の項目番号。根拠を示せるので社内で通しやすい。
自社は「AI利用者」に当たる
ガイドラインを読むときの最初のつまずきが、どこを読めばいいか分からないことです。文書は主体ごとに章が分かれていて、自社がどれに当たるかで読む場所が変わります。ここを間違えると、関係のない章を読むことになります。
3つの主体の分け方
ガイドラインは、AIの事業活動を担う主体を3つに大別しています。AI開発者は、AIシステムを開発する事業者です。AI提供者は、AIシステムをアプリケーション、製品、既存のシステム、ビジネスプロセス等に組み込んだサービスとして提供する事業者です。そしてAI利用者は、事業活動においてAIシステム又はAIサービスを利用する事業者、と定義されています。社内でChatGPTやCopilotのような既製のサービスを業務に使っている会社は、この3つ目に当たります。つまり、読むべきは第5部「AI利用者に関する事項」です。本編は40ページありますが、第5部そのものは数ページで、社内ルールに必要な項目はここに集まっています。
AI利用者に期待されていること
第5部の冒頭には、AI利用者の立ち位置が書かれています。AI提供者から安全安心で信頼できるAIシステム・サービスの提供を受け、AI提供者が意図した範囲内で継続的に適正利用することが重要であり、これにより業務効率化、生産性・創造性の向上等、AIによるイノベーションの最大の恩恵を受けることが可能になる、とされています。さらに、人間の判断を介在させることにより、人間の尊厳及び自律を守りながら予期せぬ事故を防ぐことも可能となるとも書かれています。禁止事項を並べるのではなく、恩恵を受けるための条件として整理されている点が、社内で説明するときに効きます。
最初に決める5項目
ここからが本題です。第5部に並んでいる項目を、社内ルールとして決めやすい単位にまとめ直しました。順番は、現場で迷いが起きやすい順に並べました。どれもガイドラインに対応する記述があるので、社内で根拠を示せます。
1. 使ってよい範囲
ガイドラインの U-2)i「安全を考慮した適正利用」には、AI提供者が定めた利用上の留意点を遵守して、AI提供者が設計において想定した範囲内でAIシステム・サービスを利用すると書かれています。あわせて U-7)ii には、AI提供者が定めたサービス規約を遵守することも挙げられています。社内ルールに落とすなら、使ってよいサービスを列挙し、それ以外を使う場合は申請する、という形になります。ここで決めておきたいのが、無料版と業務向けプランの扱いです。同じサービス名でもプランによって規約もデータの扱いも違うので、「サービス名」ではなく「サービス名＋プラン」で許可を出すのが実務的です。
2. 入れてはいけない情報
ガイドラインには2つの項目が分かれて書かれています。U-4)i「個人情報の不適切入力及びプライバシー侵害への対策」では、AIシステム・サービスへ個人情報を不適切に入力することがないよう注意を払うこと、そしてプライバシー侵害に関して適宜情報収集し防止を検討することが挙げられています。U-5)i「セキュリティ対策の実施」では、AI提供者によるセキュリティ上の留意点を遵守することに加えて、AIシステム・サービスに機密情報等を不適切に入力することがないよう注意を払うとされています。個人情報と機密情報が別の項目になっている点が重要で、社内ルールでも分けて書いたほうが現場は判断しやすくなります。
3. 出力の扱い
出力側にも記述があります。U-2)i には、AIの出力について精度及びリスクの程度を理解し、様々なリスク要因を確認した上で利用するとあります。加えて、入力するデータについても正確性・必要な場合には最新性が担保されたデータの入力を行うことが求められています。さらに U-3)i「入力データ又はプロンプトに含まれるバイアスへの配慮」では、著しく公平性を欠くことがないよう公平性が担保されたデータの入力を行い、プロンプトに含まれるバイアスに留意して、責任をもってAI出力結果の事業利用判断を行うとされています。つまり、出力をそのまま使ってよいとは書かれていません。
4. 人の判断と、相手への通知
ここは見落とされやすい一方で、影響が大きい項目です。U-7)i には、当該AIの出力結果を特定の個人又は集団に対する評価の参考にする場合について、明確な記述があります。AIを利用している旨を評価対象となっている当該特定の個人又は集団に対して通知し、ガイドラインが推奨する出力結果の正確性、公正さ、透明性等を担保するための諸手続きを遵守し、かつ自動化バイアスも鑑みて人間による合理的な判断のもと、評価の対象となった個人又は集団からの求めに応じて説明責任を果たす、とされています。採用や人事評価の補助にAIを使う場合が典型です。社内ルールでは、人の評価に関わる用途を切り出して別扱いにするのが安全です。
5. 窓口と記録
最後が体制です。U-7)i には、利用するAIシステム・サービスの性質に応じて、関連するステークホルダーからの問合せに対応する窓口を合理的な範囲で設置し、AI提供者とも連携の上、説明及び要望の受付を行うことが挙げられています。U-7)ii では、AI提供者から提供されたAIシステム・サービスについての文書を適切に保管・活用することが求められています。社内ルールには、質問や事故の連絡先を1つ書いておく。そして、各サービスの規約や仕様の文書をどこに保管するかを決めておく。この2行があるかどうかで、運用が始まってからの動きがまったく変わります。
規定のひな形
5項目を、そのまま社内文書に貼れる形にしました。自社の事情に合わせて中身を差し替えて使ってください。長さは意図的に短くしてあります。読まれないルールは機能しないからで、詳細は別表に逃がす構造にしています。
本文のひな形
以下は、A4で1枚に収まる分量を想定した構成です。第1条（目的）本規程は、当社の業務における生成AIの利用について必要な事項を定め、業務の効率化と情報の適切な管理を両立することを目的とする。第2条（利用してよいサービス）業務で利用できるのは、別表に定めるサービスおよびプランとする。別表にないものを利用する場合は、事前に◯◯部へ申請し承認を得る。利用にあたっては、提供事業者が定める利用規約および利用上の留意点を遵守する。第3条（入力してはならない情報）次の情報は入力してはならない。一、個人情報。二、取引先から受領した秘密情報。三、未公表の財務情報および経営情報。四、認証情報。判断に迷う場合は入力せず、◯◯部に照会する。
出力と体制の条文
第4条（出力の取扱い）生成AIの出力は、そのまま成果物としない。利用者は出力の精度およびリスクを理解したうえで内容を確認し、事実関係および数値について根拠を確認したのち利用する。第5条（人の評価に用いる場合）特定の個人または集団に対する評価の参考として生成AIを用いる場合は、事前に◯◯部の承認を得るものとし、対象となる個人または集団に対してAIを利用している旨を通知する。最終的な判断は人が行う。第6条（窓口）本規程に関する照会および事故の報告は、◯◯部（連絡先：◯◯）が受け付ける。第7条（見直し）本規程は、少なくとも年1回見直すほか、利用するサービスの仕様変更または関連する指針の改定があった場合は、その都度見直す。
別表の作り方
本文を短くできるのは、別表に逃がすからです。別表には、サービス名、プラン名、承認日、用途の範囲、担当部署を並べます。プラン名まで書くことが肝心で、これがないと「無料版で使っていた」という事態を止められません。また、承認日を入れておくと、仕様変更のたびに見直す対象がはっきりします。ガイドラインの U-7)ii が求めている「提供された文書の適切な保管・活用」も、この別表に保管場所のリンクを持たせれば同時に満たせます。本文は変えずに別表だけ更新していける構造にしておくと、運用の負担がかなり減ります。
書いてはいけないこと
ここは失敗の話です。社内ルールは、書きすぎると守られなくなります。よくある失敗が2つあり、どちらもガイドライン自体の姿勢を読むと避けられます。作った規程が現場で使われないときは、たいていこのどちらかに当てはまっています。
禁止だけを並べない
ガイドラインの第5部は、禁止事項の羅列ではなく、AI利用者が恩恵を受けるための条件という書き方になっています。冒頭にも、適正利用により業務効率化、生産性・創造性の向上等、AIによるイノベーションの最大の恩恵を受けることが可能となると書かれています。社内ルールも同じで、「使ってはいけない」だけを並べると、現場は使わなくなるか、隠れて使うかのどちらかになります。隠れて使われるほうが危険です。使ってよい範囲を先に明示し、そのうえで境界を引く。順番を変えるだけで、ルールの効き方が変わります。
自社の規模を超えた体制を書かない
ガイドラインには、検討にあたって開発・提供・利用予定のAIのもたらすリスクの程度及び蓋然性、並びに各主体の資源制約に配慮することが重要であると明記されています。つまり、リスクの大きさに見合った対策でよく、自社の資源も考慮してよい、という考え方です。概要資料でも、対策の程度をリスクの大きさ及び蓋然性に対応させる「リスクベースアプローチ」に基づくと説明されています。20人の会社が大企業の規程をそのまま写すと、審査委員会も専任担当も置けず、最初の1件で止まります。書いた時点で回らないルールは、ないほうがましです。
作ったあとに回す仕組み
ルールは作って終わりではありません。ガイドライン自身が、固定された手続きではなく回し続けるものだという立場を取っています。ここまで含めて設計しておくと、次に何かが変わったときの改定が楽になります。回し方も具体的に示されているので、そのまま借りられます。
ガイドラインが示す回し方
本編の「AIガバナンスの構築」には、明確な記述があります。事前にルール又は手続が固定されたAIガバナンスではなく、「環境・リスク分析」「ゴール設定」「システムデザイン」「運用」「評価」といったサイクルを、マルチステークホルダーで継続的かつ高速に回転させていく、「アジャイル・ガバナンス」の実践が重要となる、とされています。手順も番号付きで示されていて、まず環境・リスク分析を行い、開発・提供・利用するか否かを判断し、する場合はガバナンス・ゴールを設定する。その際、ゴールは各主体の存在意義、理念・ビジョンといった経営上のゴールと整合したものとなるように設定するとされています。
運用開始後も見直す
続きも具体的です。ゴールを達成するためのマネジメントシステムを設計して運用し、その際は外部のステークホルダーに対する透明性とアカウンタビリティを果たすようにする。そのうえで、マネジメントシステムが有効に機能しているかを継続的にモニタリングし、評価及び継続的改善を実施する。そして、運用開始後も規制等の社会的制度の変更等の「外部環境の変化」を踏まえ、再び環境・リスク分析を実施し、必要に応じてゴールを見直すとされています。ひな形の第7条に見直しの条文を入れたのは、この考え方に沿わせるためです。ガイドライン自体も「Living Document」として適宜更新されると明記されています。
使える公式の道具
最後に、作業を軽くする道具の話です。ガイドラインには本編のほかに別添があり、そこに実務でそのまま使えるものが入っています。ここを知らずに本編だけ読むと、草案を作ったあとで手が止まります。最後に、条件が変わる場合にも触れておきます。
別添にチェックリストがある
概要資料によると、別添（付属資料）は「具体的にどのようなアプローチで取り組むか（実践）」を示すもので、ガイドラインの構成には、主体別の解説に加えて「7. チェックリスト」と「8. 主体横断的な仮想事例」が含まれています。ただし、ここは注意が必要です。別添のPDFを開いても、この2つは入っていません。別添のはじめにに（「図1. 本ガイドラインの構成」記載の別添7～9 は本資料とは別資料として作成）と明記されていて、同じページで別添7（別資料）のチェックリストとも呼ばれています。掲載ページに本編・別添とは別の行として並んでいるので、そこから個別にダウンロードしてください。社内ルールの草案ができたら、このチェックリストと突き合わせると抜けが見つかります。また、別添にはAIガバナンス実践のための詳細解説に加え、各主体の具体的な取組事項としての「行動目標」および各主体を想定した仮想的な「実践例」も記載されていると本編の注記に書かれています。ゼロから例を考える必要はありません。
高度なAIを扱う場合は追加がある
もうひとつ、条件が変わる場合があります。本編の第5部の末尾には、高度なAIシステムを取り扱うAI利用者は、「第2部 D. 高度なAIシステムに関係する事業者に共通の指針」について、I)からXI)は適切な範囲で遵守すべきであり、XII)は遵守すべきであると書かれています。自社が該当するかどうかは、扱うシステムの性質によります。一般的な業務で既製のサービスを使っているだけなら通常は第5部で足りますが、該当する可能性がある場合は、この記述の存在を知っているかどうかが分かれ目になります。判断に迷う場合は、法務部門や専門家に確認してください。
まとめ
生成AIの社内ルールは、ゼロから考える必要がありません。総務省と経済産業省の「AI事業者ガイドライン（第1.1版）」が、AIを業務で使う事業者を「AI利用者」と定義し、第5部に守るべき事項を項目ごとに示しています。そこから起こせる5項目は、使ってよい範囲、入れてはいけない情報、出力の扱い、人の判断と相手への通知、窓口と記録です。
書き方の注意は2つ。禁止だけを並べないこと。そして、自社の規模を超えた体制を書かないこと。ガイドライン自体が、リスクの程度と蓋然性、そして各主体の資源制約に配慮することを明記しています。本文は短くして、サービス名とプラン名は別表に逃がす。この構造にすると、仕様変更のたびに別表だけを更新すれば済みます。
そして、作って終わりにしないこと。ガイドラインは、固定された手続きではなくアジャイル・ガバナンスとして回し続けることを求め、運用開始後も外部環境の変化を踏まえて見直すとしています。ガイドライン自身も「Living Document」です。規程に見直しの条文を1つ入れておく。それだけで、次に何かが変わったときに、作り直しではなく更新で済みます。
よくある質問（FAQ）
うちは開発していません。それでもガイドラインの対象ですか
対象です。ガイドラインは主体をAI開発者・AI提供者・AI利用者の3つに大別しており、AI利用者は「事業活動においてAIシステム又はAIサービスを利用する事業者」と定義されています。既製のサービスを業務で使っている会社はここに当たり、読むべきは第5部です。
社内ルールに何を書けば足りますか
第5部の項目に対応させると抜けにくくなります。使ってよい範囲（U-2、U-7ii）、個人情報と機密情報の入力禁止（U-4、U-5）、出力の扱い（U-2、U-3）、人の評価に使う場合の通知（U-7i）、窓口と文書の保管（U-7i、U-7ii）の5つです。根拠の項目番号を書いておくと社内で通しやすくなります。
採用選考の参考にAIを使ってもよいですか
ガイドラインには、AIの出力結果を特定の個人又は集団に対する評価の参考にする場合、AIを利用している旨を対象者に通知し、自動化バイアスも鑑みて人間による合理的な判断のもと、求めに応じて説明責任を果たす、という趣旨の記述があります。可否そのものは用途や他の法令にもよるため、法務部門や専門家に確認してください。
小さな会社でも大企業と同じ体制が必要ですか
ガイドラインは、検討にあたってAIのもたらすリスクの程度及び蓋然性、並びに各主体の資源制約に配慮することが重要だと明記しています。概要資料でも、対策の程度をリスクの大きさ及び蓋然性に対応させるリスクベースアプローチに基づくとされています。規模に見合った内容で構いません。
ルールはどれくらいの頻度で見直せばいいですか
ガイドラインは、運用開始後も規制等の社会的制度の変更といった外部環境の変化を踏まえ、再び環境・リスク分析を実施し、必要に応じてゴールを見直すとしています。ガイドライン自体も「Living Document」として適宜更新されます。規程に見直しの条文を入れておくのが実務的です。
草案ができたあと、何と突き合わせればいいですか
別添（付属資料）に「7. チェックリスト」と「8. 主体横断的な仮想事例」が含まれています。また本編の注記によると、別添にはAIガバナンス実践の詳細解説に加え、行動目標と仮想的な実践例も記載されています。草案の抜けを探すのに使えます。
原典を確認する
ガイドラインは「Living Document」として更新されます。規程を作る前に、「AI事業者ガイドライン」掲載ページ（総務省）で最新版の本編と別添を確認してください。