中小企業のための生成AI社内利用ルールの作り方 入力禁止情報・学習設定・著作権・条文のひな形【2026年10月版】

「社員が勝手にChatGPTを使っているらしい」「便利なのは分かるが、何から決めればいいのか分からない」。

生成AI（文章や画像などを作り出すAI）について、中小企業の経営者や総務の方から、よくこうした声を聞きます。

禁止しても、個人のスマートフォンなどで使われてしまうことがあります。

何のルールもなければ、お客様の個人情報や社外秘の資料が、気づかないうちに外部のサービスへ入力されるおそれがあります。

必要なのは、最低限のルールを決めて、小さく始めることです。

この記事は、社内の生成AI利用ルールを、条文のひな形と導入の手順まで含めて整理した手引きです。

公的機関の資料と、各サービスの公式ページは、2026年10月17日に開いて確かめました。サービスの設定や名称は変わりやすいため、導入の前に最新の公式ページを見てください。

先に結論 ルールは3つの決めごとから始める

最初に、ルールの骨組みを表にまとめます。

決めごと	内容	決めないとどうなるか
入力してよい情報	禁止、条件付き、可の3段階で例を挙げる	個人情報や機密が外部のサービスに入る
使うサービスと設定	会社が指定したプランと設定に限る	学習に使われる設定のまま業務で使われる
出力の確認	用途ごとに、誰がどこまで確かめるかを決める	誤った内容を、そのままお客様に出す

この3つが決まれば、残りは細部の調整です。

条文は、A4用紙で1〜2枚に収まる分量から始められます。

この記事の範囲

この記事が扱うのは、従業員が業務で生成AIを使うときの、社内ルールの作り方です。

公的機関の考え方、主要サービスのデータの扱い、入力してはいけない情報、出力の確認、条文のひな形、導入の進め方まで扱います。

扱わないこと

次の内容は、この記事では扱いません。

• 自社の商品としてAIサービスを提供する場合の義務
• 各サービスの料金や、機能の比較
• 個別の事案に対する法的な判断

法律に関わる判断は、事案ごとに変わります。迷うときは、専門家に相談してください。

なぜ社内ルールが必要なのか

使うか使わないかより、どう使うかを決める段階に来ている

総務省と経済産業省は、AIを開発・提供・利用する事業者向けに「AI事業者ガイドライン」を公表しています。

経済産業省のページによると、2024年4月19日の第1.0版から、2026年3月31日の第1.2版まで、4つの版が公表されています。

版	公表日
第1.0版	2024年4月19日
第1.01版	2024年11月22日
第1.1版	2025年3月28日
第1.2版	2026年3月31日

このガイドラインは、AIを業務で使う会社を「AI利用者」と位置づけています。

第1.2版の本編には、AI利用者の取り組みとして、個人情報を不適切に入力しないよう注意を払うこと、機密情報等を不適切に入力しないよう注意を払うことが書かれています。

AIを業務で使う会社も、何に気をつけるかを自分で決めておく必要があります。

中小企業で起こりやすい3つのリスク

社内ルールで防ぎたいリスクは、大きく分けて3つです。

リスク	具体例
情報の流出	お客様の名簿や見積書をそのまま貼り付けて、要約させた
誤った情報の利用	もっともらしいが事実と違う文章を、確認せずにお客様へ送った
権利の侵害	AIで作った画像や文章が既存の作品と似ていて、気づかずに広告へ使った

AI事業者ガイドラインの別添には、リスクとして、機密情報の流出が挙げられています。

個人情報や、自社のノウハウ、知的財産がプロンプト（AIへの指示文）として入力され、AIの出力などを通じて流出するおそれがある、という内容です。

同じ別添は、企業のルールが整っていない場合、従業員が業務外利用者向けの生成AIを業務に使い、リスクの高い使い方をするおそれにも触れています。

生成AIが事実と異なることをもっともらしく答える「ハルシネーション」も、リスクとして挙がっています。

押さえたい公的な考え方

ルールを作る前に、根拠となる公的な資料を3つ押さえておきましょう。

社内で説明するときも、「国がこう言っている」と示せると、納得してもらいやすくなります。

個人情報保護委員会の注意喚起

個人情報保護委員会は、2023年6月2日に、生成AIサービスの利用に関する注意喚起を公表しています。

会社などの個人情報取扱事業者向けには、次の2点が示されています。

注意点	内容
利用目的の範囲	個人情報を含むプロンプトを入力するときは、特定された利用目的を達成するために必要な範囲内かを十分に確認する
本人の同意と機械学習	本人の同意なしに個人データを含むプロンプトを入力し、応答の出力以外の目的で取り扱われると、個人情報保護法に違反する可能性がある。入力する場合は、事業者が機械学習に利用しないことなどを十分に確認する

一般の利用者向けの留意点として、生成AIサービスの利用規約やプライバシーポリシーを十分に確認し、入力する情報の内容を踏まえて判断することも挙げられています。

ここから導ける実務上の結論は、2点です。

• 個人情報は原則として入力しない
• やむを得ず扱うときは、学習に使われないことを確認できたサービスと設定に限る

文化庁の考え方とチェックリスト

著作権については、文化審議会著作権分科会法制度小委員会が、2024年3月15日に「AIと著作権に関する考え方について」を取りまとめています。

文化庁著作権課は、2024年4月に概要を、2024年7月31日に「AIと著作権に関するチェックリスト＆ガイダンス」を公表しています。

業務で生成AIを使う側として、知っておきたいのは次の2点です。

論点	概要資料の内容
侵害かどうか	既存の著作物との「類似性」と「依拠性」の両方が認められると、著作権侵害になる。AI生成物も、同じ要件で判断される
著作物になるか	AIが自律的に生成したものは、著作物に当たらない。人が道具としてAIを使った場合は、人の「創作的寄与」があるかで判断される

概要資料には、利用者が既存の著作物にアクセスできた場合や、生成物が既存の著作物と高度に似ている場合は、依拠性があると推認されうることも説明されています。

実務では、次のようなルールに落とし込むのが現実的です。

• 特定の作家名や作品名を指定して、似せる指示をしない
• 社外に出すものは、既存の作品と似ていないか確認する
• 重要な制作物は、人の手で加筆と修正をする

AI事業者ガイドライン

前の章で触れたとおり、2026年10月時点で、経済産業省のページに掲載されている最新の版は第1.2版（2026年3月31日公表）です。

本編のほかに、別添、概要、チェックリストなども公開されています。

全文は分量が多いため、中小企業ではまず「AI利用者」の部分と概要資料に目を通し、自社のルールに反映すれば十分です。

主要サービスの学習利用とデータの扱い

社内ルールで最も具体的に決めておきたいのが、どのサービスを、どのプランと設定で使うかです。

同じサービスでも、個人向けと法人向けで、入力したデータの扱いが変わることがあります。

以下は、各社の公式ページで確かめた内容です。名称や設定は変わりやすいので、導入のときは必ず最新のページを見てください。

ChatGPT

OpenAIの「エンタープライズプライバシー」のページ（2026年1月8日更新）には、次のように書かれています。

• ChatGPT Business、Enterprise、Edu などのビジネスデータは、デフォルトではモデルの学習に使われない
• お客様がデータ共有に明示的に同意した場合（フィードバック機能を通じた共有など）は、学習に使われることがある

個人向けについては、ヘルプの「Data controls」に説明があります。

設定の「Improve the model for everyone」をオフにすると、新しい会話はモデルの学習に使われません。

ただし、オフにしていても、回答に高評価か低評価のフィードバックを送ると、その会話全体が学習に使われることがあります。

「Temporary chat」（一時チャット）は、モデルの改善に使われませんが、安全上の目的で最大30日間保持されることがあると書かれています。

Claude

Anthropicの商用規約には、サービスを通じたお客様のコンテンツ（入力と出力）で、モデルを学習させてはならないと書かれています。

個人向けのFree、Pro、Maxについては、2025年8月28日の公表で、利用者がモデル学習への利用を選べる方式に変わりました。

項目	内容
学習を許可した場合	データの保存期間は5年
許可しない場合	従来どおり30日
適用されない対象	Claude for Work、Claude for Education、API利用などの商用規約下のサービス

この公表は2025年のものです。設定の画面や条件が、その後に変わっていないかを、導入時に確かめてください。

Gemini

個人のGoogleアカウントで使う場合、Geminiアプリのプライバシーハブに次の説明があります。

• 会話の一部は、人間のレビュアーが確認する
• 「Keep Activity」をオフにして、フィードバックも送らなければ、以後の会話はGoogleのAI改善に使われない
• オフにしても、会話は最長72時間、アカウントに保存される
• 人間がレビューした会話は、アクティビティを削除しても消えず、最長3年間保持される

仕事用や学校用のGoogleアカウントは、別のヘルプに説明があります。

ヘルプの表では、Geminiアプリが追加サービスとして提供される一部のエディションでは、会話が人間のレビューやサービス改善に使われることがあるとされています。

コアサービスとして提供されるエディションでは、人間のレビューやAI改善に使われないと書かれています。

仕事用アカウントでも、契約中のエディションで扱いが変わります。管理者に確認してください。

Microsoft Copilot

Microsoftの公式ドキュメントによると、「Microsoft 365 Copilot」は、現在「Microsoft Copilot」という名称です。

「Microsoft 365 Copilot Chat」も、「Microsoft Copilot Chat」になりました。

ドキュメントには、次の説明があります。

• プロンプト、応答、Microsoft Graph経由でアクセスしたデータは、基盤となる大規模言語モデルの学習に使われない
• Copilot Chatのプロンプトと応答は、監査や電子情報開示のために、Microsoft 365のテナント内に記録される

「学習に使われない」と「保存されない」は、別の話です。

比較のまとめ

サービス	法人向け・仕事用	個人向け
ChatGPT	ビジネスデータはデフォルトで学習に使われない	設定でオフにできる。フィードバックの送信は例外
Claude	商用規約で、顧客コンテンツの学習を禁止	利用者が学習への利用を選ぶ。許可時の保存は5年、不許可は30日
Gemini	コアサービスのエディションでは、人間のレビューやAI改善に使われない	Keep Activityがオンだと、AI改善に使われる
Microsoft Copilot	プロンプトと応答は、基盤モデルの学習に使われない。記録は残る	この記事では扱わない

ルール作りのポイント：業務での利用は、会社が契約した法人向けプランか、会社が指定した設定の仕事用アカウントに限るのが基本です。

個人アカウントの利用を認める場合は、学習をオフにする設定を必須にし、それでも個人情報と機密情報は入力しないと決めておきます。

入力してはいけない情報を決める

ルールの中心になるのが、入力禁止の情報です。

迷わず判断できるように、具体的な例を挙げて、3段階に分けるのがおすすめです。

3段階に分ける

区分	例	扱い
入力禁止	お客様・取引先・従業員の個人情報（氏名、住所、電話番号、メールアドレス、顔写真など）。マイナンバー。パスワードやAPIキー。未公表の決算・人事の情報。取引先から秘密保持契約で預かった情報	どのサービスでも入力しない
条件付きで可	社内の議事録、未公開の企画書、自社のノウハウを含む資料	会社が指定した法人向けのプランに限る。固有名詞を伏せてから入力する
入力可	公開済みの自社サイトの文章、一般的な質問、個人や会社が特定されない文章	指定したサービスであれば可

入力前の伏せ字ルール

議事録やメールを要約させたいときは、固有名詞を置き換えてから入力します。

これだけで、リスクを大きく下げられます。

元の情報	置き換え方
人名	「Aさん」「Bさん」
会社名	「X社」「取引先1」
金額や数量	概数か、記号に置き換える
住所・電話番号・メールアドレス	削除する

判断に迷ったときの合言葉

迷ったときは、次の一言を決めておきます。

「そのまま、お客様に見られても困らないか」。

困るなら、入力しません。管理責任者に相談してから使います。

出力の事実確認ルール

生成AIの出力は、文章が自然でも、内容が正しいとは限りません。

AI事業者ガイドラインも、AI利用者に、出力の精度やリスクを理解したうえで利用することを求めています。

社内ルールでは、誰が、何を、どこまで確認するかを決めておきましょう。

確認のチェックリスト

社外に出す文書や、判断の根拠にする内容は、次の項目を確認します。

確認すること	済
数字、日付、固有名詞を、元の資料や公式情報で確かめたか	□
法律、制度、税金の記述を、官公庁などの一次情報で確かめたか	□
AIが示した出典（URLや書名）は、実際に存在し、その内容が書かれているか	□
既存の文章や画像と、酷似していないか	□
差別的、攻撃的、誤解を招く表現がないか	□
社外秘の情報が、出力に含まれていないか	□

用途ごとの確認レベル

用途	確認のレベル
社内メモ、アイデア出し	本人が目を通す
社外向けのメール、提案書	本人が、上のチェックリストで確認する
Webサイト、広告、プレスリリース	本人の確認に加えて、上長か担当者がもう一度確認する
契約書、法務・労務・税務の判断	AIの出力だけで判断しない。専門家か公式情報で確認する

社内ルールのひな形（条文例）

ここからは、社内規程のたたき台として使える条文例です。自社の規模や業務に合わせて直してください。

最初から完璧を目指す必要はありません。A4用紙で1〜2枚に収め、全員が読める分量にすることを優先します。

条文のたたき台

生成AI利用ガイドライン

第1条（目的） 本ガイドラインは、当社の業務において生成AIサービスを安全かつ有効に活用するため、利用にあたって守るべき事項を定める。

第2条（定義） 「生成AIサービス」とは、利用者の指示（プロンプト）に応じて、文章、画像、音声、プログラム等を生成するサービスをいう。

第3条（利用できるサービス） 業務で利用できる生成AIサービスは、別表1に定めるサービス、プラン、設定に限る。別表1にないサービスを使いたいときは、事前に管理責任者の承認を得る。

第4条（入力の禁止） 次の情報は、生成AIサービスに入力してはならない。

• (1) お客様、取引先、従業員その他の個人に関する情報
• (2) パスワード、認証情報、APIキー等
• (3) 未公表の経営情報、人事情報、財務情報
• (4) 取引先との秘密保持契約の対象となる情報
• (5) その他、管理責任者が入力を禁止した情報

第5条（条件付きの入力） 社内資料等を入力できるのは、別表1で「社内資料可」とされたサービスに限る。人名、会社名等の固有名詞を伏せたうえで入力する。

第6条（出力の確認） 生成AIサービスの出力は、誤りを含む可能性があることを前提に、利用者が内容を確認したうえで使用する。社外に公開、提出するものは、数字、日付、固有名詞、法令等の記述を一次情報で確認する。

第7条（権利の尊重） 特定の作家、作品、他社の商標等に似せることを目的とした指示をしてはならない。生成物を社外で利用するときは、既存の著作物等と類似していないか確認する。

第8条（禁止される利用） 法令や公序良俗に反する内容、他者を誹謗中傷する内容、差別的な内容の作成に、生成AIサービスを利用してはならない。

第9条（事故時の報告） 禁止された情報を入力した場合、または入力したおそれがある場合は、直ちに管理責任者に報告する。

第10条（管理責任者と見直し） 本ガイドラインの管理責任者は◯◯部長とする。各サービスの規約や公的なガイドラインの改定に合わせて、少なくとも年1回見直す。

個人のアカウントで業務に使うことを認める場合は、第3条に「学習に使われない設定にしたうえで、管理責任者に届け出る」という一文を足します。

別表1の例

サービス	プラン・アカウント	必須の設定	社内資料の入力
例：ChatGPT	会社契約のビジネス向けプラン	管理者が設定する	可（伏せ字のうえ）
例：Microsoft Copilot Chat	会社の仕事用アカウント	仕事用アカウントでサインインする	可（伏せ字のうえ）
例：Gemini	個人アカウント	Keep Activityをオフにする	不可

別表には、実際に契約し、設定を確かめたサービスだけを載せてください。

導入の進め方 小さく始める5ステップ

ステップ1 現状を把握する

まず、社内で誰がどのサービスをどう使っているかを、簡単なアンケートで聞きます。目安は1〜2週間です。

「使っていたら叱られる」と思われると、正直に答えてもらえません。「ルール作りのための調査で、責める目的ではない」と最初に伝えてください。

ステップ2 使うサービスを1〜2個に絞る

すでにMicrosoft 365やGoogle Workspaceを契約している会社は、そのサービスに含まれる、または追加できる生成AI機能から検討します。アカウントの管理を一元化しやすくなります。

法人向けプランで入力データがどう扱われるかは、前の章で触れたように、公式ページで確かめてから決めます。

ステップ3 たたき台を作り、試験導入する

前の章の条文例をもとにたたき台を作り、まずは数名の試験利用チームで使います。期間は1か月程度が目安です。

対象とする業務も、議事録の要約やメールの下書きなど、2〜3個に絞ります。効果と問題点が見えやすくなります。

ステップ4 振り返って全社に展開する

試験利用で出た疑問をもとに、ルールを直します。

疑問の例は、「この資料は入力していいのか」などです。全社への説明会では、読み合わせに加えて、実際の使い方を画面で見せると定着しやすくなります。

ステップ5 定期的に見直す

各サービスの規約、設定名、公的なガイドラインは更新されます。AI事業者ガイドラインは、2024年4月から2026年3月までに4つの版が公表されました。

年に1回など、見直しの時期を決め、担当者を明確にしておきます。

社員への周知と教育のコツ

ルールは、作っただけでは使われません。読んでもらう工夫と、困ったときに聞ける窓口が必要です。

1枚にまとめて見える場所に置く

条文は、正式な文書として保管します。日々の業務では、要点を1枚にまとめた早見表を使うと便利です。

入力してはいけない情報の例と、確認する手順だけを載せます。共有フォルダや社内チャットの固定メッセージなど、すぐ開ける場所に置いてください。

相談窓口を決めておく

「これは入力してよいのか」と迷ったときに、聞ける人が決まっていると、迷いが止まる時間が短くなります。

窓口は、管理責任者か、その代理の担当者にします。質問と回答は記録しておくと、次の見直しの材料になります。

研修は短く、事例で伝える

全員向けの説明は、30分ほどに収めると集中が続きます。

条文を読み上げるより、「この資料は入力してよいか」を3〜4問のクイズで考えてもらうほうが、判断の基準が伝わります。

うまく使えた事例を共有する

禁止ばかりを伝えると、使うこと自体を避けるようになります。

議事録の要約が早くなった、メールの下書きに役立ったなど、ルールの範囲で成果が出た例も合わせて共有してください。

新しく入った人にも伝える

入社した人や、異動してきた人にも、同じ早見表を渡します。

使い始める前に、入力禁止の情報だけは必ず説明してください。利用開始のときに案内する流れにしておくと、抜けが出にくくなります。

運用を始める前のチェックリスト

確認すること	済
入力禁止の情報を、例を挙げて決めた	□
業務で使うサービス、プラン、設定を決めた	□
各サービスの学習利用の設定を、公式ページで確かめた	□
個人アカウントを認めるか、認める条件を決めた	□
出力の確認のレベルを、用途ごとに決めた	□
管理責任者を決めた	□
誤って入力したときの報告先を決めた	□
見直しの時期を決めた	□
全社への説明の場を設けた	□

よくある業務での使い方例

ルールを守りながら、すぐに効果を感じやすい使い方を3つ紹介します。

議事録の要約

会議のメモを、要点と決定事項に整理します。

入力する前に、人名や会社名などの固有名詞を伏せ字にします。

指示文に「メモに書かれていないことは推測で補わず、『記載なし』としてください」と入れておくと、書かれていない内容が足されるのを防ぎやすくなります。

ただし、完全には防げません。出来上がった要約は、元のメモと照らし合わせて確認してください。

メールの下書き

お礼、日程調整、お詫びなど、定型的なメールのたたき台を作ります。

相手の氏名や、具体的な案件の内容は、下書きの後に自分で書き加えます。日付や数量は、送信前に必ず自分で確認してください。

資料の構成案

提案書や社内説明資料の、見出しの構成を作ります。

AIが挙げた数字や事例は、そのまま使わずに、一次情報で確認します。構成案は考える材料として使い、自社の状況に合わせて組み替えてください。

売れるサイトはみな謙虚 ルールも足さずに絞る

ここまで、決めることを並べてきました。最後に、足さない考え方を紹介します。

「売れるサイトはみな謙虚」は、大きく見せる言葉や機能を足すより、訪れた人が迷う要素を引くほうが次の一歩につながる、という考え方です。

社内ルールにも、そのまま当てはまります。

禁止事項を長くしない

禁止事項を増やすほど、読まれなくなります。

最初は、入力禁止の情報と、出力は必ず確認するという2点だけで足ります。他の項目は、困ったことが起きてから足せば間に合います。

例外を増やさない

「この部署だけは特別」という例外が増えると、誰も全体を把握できなくなります。

例外を認めるときは、管理責任者の承認と、記録を必須にします。承認の記録が、見直しのときの材料になります。

使うサービスを絞る

サービスが増えるほど、確認する公式ページも、設定を管理する手間も増えます。

最初は1〜2個に絞り、使いこなしてから広げてください。

よくある質問

Q1. 法人向けプランなら、何を入力しても大丈夫ですか

大丈夫ではありません。

「学習に使われない」ことと「保存されない」ことは別です。たとえばCopilot Chatは、プロンプトと応答が監査などのために記録されます。

個人情報保護法上の利用目的の範囲や、取引先との秘密保持契約の内容も、別に確認が必要です。入力禁止情報のルールは、プランにかかわらず維持してください。

Q2. 社員が誤って個人情報を入力してしまったら、どうしますか

まず、管理責任者に報告してもらえる体制が重要です。

報告した人を責めると、次から隠されてしまいます。

報告を受けたら、どのサービスに何を入力したかを確認し、会話履歴の削除など、そのサービスで取れる対応を確かめます。

個人情報の漏えいに当たるかの判断が必要なときは、個人情報保護委員会の公式情報を確認するか、専門家に相談してください。

Q3. 個人のアカウントで使うことは、認めてよいですか

認めるかどうかは、会社が決めることです。

認める場合は、学習に使われない設定を必須にし、それでも個人情報と機密情報は入力しないと決めます。管理責任者への届け出も、条件に入れておくと把握しやすくなります。

Q4. 生成AIで作った文章や画像は、自社の著作物になりますか

文化庁の概要資料では、AIが自律的に生成したものは著作物に当たらないと整理されています。

人が道具としてAIを使った場合は、人の創作的寄与があるかで判断されます。

重要な制作物は、人の手で加筆と修正をしておくと、自社の表現として整理しやすくなります。個別の判断は、専門家に相談してください。

まとめ

生成AIの社内ルールは、次の順番で作ると迷いにくくなります。

順番	要点
1	個人情報保護委員会、文化庁、AI事業者ガイドラインの考え方を押さえる
2	使うサービスとプランを決め、入力データが学習に使われるかを公式ページで確かめる
3	入力禁止、条件付き、可の3段階で、入力してよい情報を具体的に決める
4	用途ごとの確認レベルとあわせて、出力の事実確認のルールを決める
5	条文のひな形から1〜2枚のルールを作り、少人数で試してから全社に広げる
6	規約やガイドラインの改定に合わせて、年1回は見直す

最初から完璧なルールを作る必要はありません。

入力してはいけない情報と、出力は必ず確認するという2点を決めるだけでも、リスクは大きく下げられます。

まずは、議事録の要約やメールの下書きなど、身近な業務から小さく始めてください。

ルールづくりや、その先のサイトの見直しで迷うときは、初回60分のオンライン相談でお話しできます。

ページを増やしても問い合わせが来ないなら、原因はページの外にあります。その場合は、下の入口からご相談ください。