執筆: 武石幸之助（x3d株式会社 代表取締役）
公開日: 2026年7月21日
【結論】社内AI規程・ガイドラインとは、従業員が生成AIを業務で安全に使うための社内ルールを定めた文書です。
- 参照すべき国の基準は総務省・経済産業省「AI事業者ガイドライン」第1.2版（2026年3月31日公表）
- 盛り込むべき項目は利用範囲・入力禁止情報・出力の検証義務など約10項目に整理できる
- 「禁止一辺倒」の規程は形骸化する。活用と統制のバランス設計が定着の分かれ目
この記事では、生成AIの全社解禁を進めたい情報システム・法務・DX推進担当者向けに、AI規程が満たすべき要件と作成6ステップ、ありがちな失敗の回避策を解説します。
社内AI規程・ガイドラインとは
社内AI規程・ガイドラインとは、従業員が生成AIを業務で利用する際の条件・禁止事項・責任の所在を定めた社内ルール文書です。
一般に、対外的に姿勢を示す「AI倫理憲章（ポリシー）」、社内の統制体制を定める「AIガバナンス規程」、現場の行動ルールを示す「AI利用ガイドライン」の3層で構成されます。3層すべてを最初から整える必要はありません。まず現場が読める利用ガイドラインを作り、体制面の規程へ広げるのが現実的です。
整備状況には企業間で差があります。総務省「令和7年版 情報通信白書」（2024年度調査）によると、生成AIの活用方針を定めている日本企業は49.7%にとどまり、中小企業では「方針を明確に定めていない」との回答が約半数を占めます。一方で、何らかの業務で生成AIを利用している企業は日本で55.2%に達しており、「利用は先行し、ルールが追いついていない」状態が数字に表れています。
なぜAI規程が必要か — 放置した場合の実リスク
規程がないまま利用が広がると、次の3種類のリスクが管理されない状態になります。
第一に情報漏えいです。従業員が個人契約の生成AIサービスに顧客情報や機密情報を入力すると、入力内容がモデルの学習に使われる可能性があります。個人情報保護委員会は2023年6月2日付「生成AIサービスの利用に関する注意喚起等」で、個人データを含むプロンプトを入力する場合は、サービス提供事業者が当該データを機械学習に利用しないこと等を十分に確認するよう求めています。
第二に権利侵害です。生成物が既存の著作物と類似し、依拠性が認められる場合、著作権侵害が成立し得ます。文化庁は2024年3月15日に「AIと著作権に関する考え方について」を、同年7月31日に実務向けの「AIと著作権に関するチェックリスト＆ガイダンス」を公表しており、利用企業が取るべきリスク低減策を立場別に整理しています。
第三にハルシネーション（もっともらしい誤情報の生成）起因の業務ミスです。AIの出力を検証せず顧客提案や契約文書に使うと、誤った内容がそのまま社外に出ます。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」（2026年1月29日公表）では、「AIの利用をめぐるサイバーリスク」が組織向け脅威の3位に初選出されました。IPAはその内容として、不十分な理解による意図しない情報漏えい・権利侵害、生成結果を検証せず鵜呑みにすることで生じる問題を挙げています。
これらは技術的な対策だけでは防げません。「何を入力してよいか」「出力を誰が確認するか」を文書で定め、全員に周知することが出発点になります。
参照すべき公的フレームワーク（2026年7月時点）
自社規程をゼロから発明する必要はありません。2026年7月時点で参照すべき公的文書は次の通りです。
| 文書名 | 発行元 | 最新版・公表日 | 規程作成での使い方 |
|---|---|---|---|
| AI事業者ガイドライン | 総務省・経済産業省 | 第1.2版（2026年3月31日） | 国の基本方針。利用者向けの指針とチェックリスト（別添7）を規程の骨格に使う |
| AI法（人工知能関連技術の研究開発及び活用の推進に関する法律） | 国（令和7年法律第53号） | 2025年6月4日公布、同年9月1日全面施行 | 事業活動でAIを活用する事業者に国の施策への協力の責務を規定（第7条）。罰則のない基本法 |
| 生成AIサービスの利用に関する注意喚起等 | 個人情報保護委員会 | 2023年6月2日 | 個人情報を含むプロンプト入力時の確認事項を「入力禁止情報」の条項に反映 |
| AIと著作権に関する考え方について／チェックリスト＆ガイダンス | 文化庁 | 2024年3月15日／2024年7月31日 | 生成物の利用条件・著作権リスク低減策の条項に反映 |
| 生成AIの利用ガイドライン（ひな形） | 日本ディープラーニング協会（JDLA） | 第1.1版（2023年10月）、画像編 第1版（2024年2月） | そのまま流用できる条文ひな形。自社の実情に合わせて追加・修正して使う |
| EU AI Act（EU人工知能規則） | 欧州連合 | 2026年6月採択の改正（Digital Omnibus）で施行時期を一部変更 | EU向けにAIを含む製品・サービスを提供する場合のみ域外適用を確認 |
中核となるのはAI事業者ガイドラインです。AI開発者・提供者・利用者の3主体別に指針を示す「Living Document（生きた文書）」で、2024年4月の初版から更新が続いています。AIを開発せず業務利用する企業は「AI利用者」に該当するため、共通指針と利用者向け項目を読めば十分です。
EU AI Actは、EU域内に拠点がなくても、EU市場へのAIシステム提供やEU域内でのAI出力の使用があれば適用され得ます。2026年6月に採択された改正（Digital Omnibus）により、高リスクAIの義務は単体システムで2027年12月2日、製品組込型で2028年8月2日へ延期されました。一方、AI生成コンテンツの透明性義務は2026年8月2日から順次適用されます。EUと接点のある事業を持つ企業は、規程とは別に対応範囲を専門家と確認することが推奨されます。
規程に盛り込むべき項目チェックリスト
x3d株式会社（クロスサード）が1,700社超の支援現場で用いている整理をもとに、盛り込むべき項目を10個に集約しました。
| # | 項目 | 定めること |
|---|---|---|
| 1 | 適用範囲 | 対象者（正社員・派遣・委託先）、対象ツール、対象業務 |
| 2 | 利用可能なツールと契約形態 | 会社が認めたツールの一覧。個人アカウントでの業務利用の禁止、法人プラン・学習オプトアウト設定の必須化 |
| 3 | 入力禁止情報 | 個人情報・顧客情報・機密情報・ソースコード等の入力可否を情報区分ごとに明示（別紙化が有効） |
| 4 | アカウント・アクセス管理 | ID発行と削除の手続き、退職時の扱い、利用ログの取得方針 |
| 5 | 出力の検証義務 | ハルシネーションを前提に、社外提出物は人間が事実確認・出典確認を行う（Human in the Loop） |
| 6 | 著作権・知的財産 | 生成物の社外公開・商用利用の条件、既存著作物との類似性チェック |
| 7 | 禁止用途 | 違法行為、差別・なりすまし、重要な人事判断のAI任せ等 |
| 8 | 教育・相談窓口 | 全社員向け研修の実施、判断に迷った際の相談先 |
| 9 | インシデント対応 | 誤入力・漏えい発覚時の報告先・初動手順・報告期限 |
| 10 | 見直しサイクル | 改訂の責任者と頻度（半年〜1年ごとを目安）、ツール追加時の審査手順 |
このうち形骸化を左右するのは「3. 入力禁止情報」と「5. 出力の検証義務」です。抽象的に「機密情報を入力しない」と書くだけでは、現場は判断できません。自社の情報区分（公開情報・社外秘・機密等）と対応させた一覧表まで落とし込むことが推奨されます。
AI規程の作成ステップ（6段階）
x3dの支援現場では、次の6段階で進めるケースが標準的です。
| ステップ | やること | 目安期間 |
|---|---|---|
| 1. 現状把握 | 誰が・どのツールを・どの業務で使っているかを匿名アンケート等で把握（シャドーAI利用を含む） | 1〜2週間 |
| 2. リスク評価 | 扱う情報の種類と業務への影響度からリスクを棚卸しし、優先順位を付ける | 1〜2週間 |
| 3. ドラフト作成 | JDLAひな形やAI事業者ガイドラインのチェックリストを土台に、前章の10項目を自社向けに具体化 | 2〜4週間 |
| 4. パイロット運用 | 1〜2部門で先行運用し、「判断に迷った事例」を集めて条文を修正 | 1〜2か月 |
| 5. 全社展開 | 説明会・研修とセットで公開。規程の配布だけで終わらせない | 1か月 |
| 6. 定期見直し | ツール・法規制の変化を踏まえ半年〜1年ごとに改訂。見直し責任者を規程内に明記 | 継続 |
ポイントは、ステップ4のパイロット運用を省略しないことです。机上で完璧に見える規程でも、現場に当てると「この資料は社外秘に当たるのか」といった判断に迷うケースが必ず出ます。迷った事例を規程へ反映するサイクルが品質を決めます。
ありがちな失敗と回避策
x3dが2017年から1,700社超のAI導入・研修を支援してきた現場では、規程整備の失敗パターンに共通点があります。
失敗1: 禁止一辺倒で形骸化する。リスクを恐れて禁止事項だけを並べると、業務で使いたい現場は個人のスマートフォンなど管理外の経路に流れます。統制が効かない「シャドーAI」を生む点で、禁止一辺倒はかえってリスクを高めます。「原則利用可＋入力禁止情報の明示＋例外申請ルート」の許可型設計が定着しやすい構成です。
失敗2: 作って終わりで更新されない。生成AIのツール・法規制は年単位で大きく変わります。国のAI事業者ガイドライン自体が更新を前提とした文書であり、参照する側の社内規程も同じ性質を持ちます。見直しの責任者と頻度を条文に書き込んでいない規程は、1年で実態と乖離します。
失敗3: 教育とセットにしない。規程を配布しただけでは読まれません。「なぜ入力してはいけないのか」を理解していない従業員は、悪意なくルールを破ります。全社研修と相談窓口をセットで整備することが、規程を機能させる条件です。研修設計の考え方はAIDX研修のページで解説しています。
失敗4: 現場の業務と接続しない。規程は「守らせる文書」であると同時に、安心して使うための「解禁の宣言」でもあります。規程整備と並行して業務フローの見直しまで進める方法は、AI導入支援（BPR）で支援しています。
自社で作りきれないときの選択肢
ここまでの要件を満たす規程を自社だけで書き上げるには、国のガイドライン・個人情報保護・著作権にまたがる知識と、相応の工数が必要です。担当者が本業の傍らで数か月かけるケースも珍しくありません。
x3dでは、この最初の一歩を短縮する無料ツール「AI規程アドバイザー」を提供しています。質問に答えると（1問1画面・約10分）、総務省・経済産業省「AI事業者ガイドライン」第1.2版を参照して設計されたAI倫理憲章・AI利用規程（入力禁止情報一覧付き）・AIガバナンス規程（抜粋）・診断レポートの草案一式をPDFで作成できます。診断結果の閲覧まで登録不要、文書のダウンロード時にメール登録が必要という提供形態です。
生成されるのはあくまで草案であり、法的助言ではありません。就業規則との整合など、施行前には自社の実情に合わせた確認・調整が必要です。個人情報を大量に扱う業種や、懲戒規定との連動を検討する場合は、弁護士・社会保険労務士等の専門家への確認が推奨されます。
よくある質問（FAQ）
Q1. 社内AI規程・ガイドラインとは何ですか？
従業員が生成AIを業務で利用する際の条件・禁止事項・責任の所在を定めた社内ルール文書です。対外的なAI倫理憲章、統制体制を定めるAIガバナンス規程、現場向けのAI利用ガイドラインの3層で構成されるのが一般的です。
Q2. AI規程がないと法律違反になりますか？
規程がないこと自体を罰する法律は2026年7月時点でありません。ただし、個人データを含む入力の扱いを誤ると個人情報保護法違反となる可能性が個人情報保護委員会から示されており、規程はその予防手段として機能します。
Q3. AI事業者ガイドラインの最新版はどれですか？
総務省・経済産業省が2026年3月31日に公表した第1.2版が最新です（2026年7月時点）。技術動向に合わせて更新される「Living Document」のため、参照時は必ず最新版を確認してください。
Q4. 中小企業でもAI規程は必要ですか？
必要です。総務省の調査では中小企業の約半数が生成AIの活用方針を定めていませんが、情報漏えいや著作権のリスクは企業規模を問わず生じます。まずA4数ページの利用ガイドラインから始める方法が現実的です。
Q5. JDLAのひな形をそのまま使ってもよいですか？
JDLA「生成AIの利用ガイドライン」（第1.1版）はひな形としての利用を想定して公開されています。ただし自社の情報区分・業務実態に合わせた追加・修正が前提です。特に入力禁止情報の一覧は自社固有の内容に書き換えてください。
Q6. EU AI Actは日本企業にも関係ありますか？
EU域内へのAIシステム・サービスの提供や、AIの出力がEU域内で使用される場合には域外適用があり得ます。国内業務での生成AI利用が中心の企業への影響は限定的ですが、EU向け事業がある場合は適用範囲を専門家と確認することが推奨されます。
Q7. AI規程はどのくらいの頻度で見直すべきですか？
半年〜1年ごとの定期見直しが目安です。加えて、新しいツールの導入時や、AI事業者ガイドライン等の参照文書が改訂されたタイミングでの臨時見直しを規程に組み込むことが推奨されます。
Q8. 規程の草案を短時間で作る方法はありますか？
x3dの「AI規程アドバイザー」（https://gov-advisor.x3d.jp/）を使うと、約10分の質問回答でAI倫理憲章・AI利用規程などの草案一式を無料で作成できます。生成物は草案のため、施行前に自社の実情に合わせた確認・調整を行ってください。
Q9. 規程を作った後、社員への定着はどう進めればよいですか？
配布だけでは定着しません。全社研修で「なぜこのルールか」を理解してもらい、相談窓口を設け、パイロット部門の事例を共有する流れが有効です。x3dでは規程整備と研修を組み合わせた支援を提供しています。
参考文献・出典
- 総務省「AI事業者ガイドライン」掲載ページ（第1.2版、2026年3月31日公表）
- 経済産業省「AI事業者ガイドライン」
- 内閣府「人工知能関連技術の研究開発及び活用の推進に関する法律（AI法）」
- 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（2023年6月2日）
- 文化庁「AIと著作権について」（考え方: 2024年3月15日／チェックリスト＆ガイダンス: 2024年7月31日）
- 日本ディープラーニング協会「生成AIの利用ガイドライン」（第1.1版、2023年10月）
- IPA「情報セキュリティ10大脅威 2026」（2026年1月29日公表）
- 総務省「令和7年版 情報通信白書」企業におけるAI利用の現状
本記事は2026年7月時点の公開情報に基づいています。法規制・ガイドラインは更新されるため、最新情報は各公式サイトをご確認ください。本記事は一般的な情報提供を目的としており、法的助言ではありません。個別の法的判断は弁護士等の専門家にご相談ください。
武石幸之助（x3d株式会社 代表取締役）
2017年よりAI導入支援に従事し、全国1,700社超の企業へのAI支援・研修・講演を通じて組織のAI活用を支援。x3d株式会社では5,000名超が受講したAIDX研修（受講満足度99%・2024年度調査）を提供し、「ルールがないためにAIを使えない」企業の規程整備・教育・業務改善を一気通貫で支援している。東京大学大学院学際情報学府 修了。
x3d株式会社では、本記事で解説した社内AI規程・ガイドラインの整備に関する企業研修・導入支援を提供しています。
まずはお気軽にご相談ください。
→ AI規程アドバイザー（無料・約10分で規程草案を作成）
→ 無料相談・お問い合わせはこちら
コメントを残す