生成AIの社内ルールの作り方｜まず決めるのは入れてはいけない情報

生成AIの社内ルールで、中身として最初に決めるのは、使うAIの種類でも禁止事項の一覧でもなく、「AIに入れてはいけない情報」の線引きです。

どの情報がどれくらい大事なのかが決まっていないと、「このAIに入れていいか」を判断できません。料理でも、献立を決める前に冷蔵庫の中身を確かめますよね。

たとえば、お客さまの名簿をAIに貼り付けて案内文を作るのは便利そうに見えます。ただ、名簿は漏れるとお客さまが困る情報なので、AIに入れてよいのは、入れた内容をAIの改良に使わない契約を会社が結んだAIに、名前を伏せるなどの条件を守って入れる場合に限られます。

こうした判断を社員一人ひとりに任せず、先に会社として決めておくのが社内ルールの役目です。

この記事では、社内の情報を4つのレベルに分けるやり方と、仕事で使ってよいAIの決め方、そのままコピーして使えるA4 1枚のルールの見本をまとめました。企業に出向いてAIのセミナーを行っている会社の目線で書いています。

生成AIの社内ルールは、5つのことを順に決めれば形になります

社内ルールづくりでやることは、次の5つです。上から順に進めると、途中で止まりにくくなります。

1. ルールを決める人を3〜4人集める
2. 社内の共有フォルダを、4つのレベルに分ける
3. 仕事で使ってよいAIを決める
4. AIが作った文章や画像を、人が確かめてから使う決まりを作る
5. A4 1枚にまとめ、少人数で試してから全員に渡す

明日から始めるなら、まずは1のメンバーに声をかけて、共有フォルダの一覧を書き出す日を決めるところからです。

ここから、それぞれで何をするかを順に説明します。

最初に、ルールを決める人を3〜4人集める

社内ルールは、全社員で話し合うより、少人数で先に決めるほうが進みます。役職は問わず、「AIで仕事を楽にしたい」という気持ちのある人を中心にしてください。

少人数で始める理由は、ルールを作る人が先に「何に気をつけるべきか」を分かっていないと、中身のあるルールを作りにくいからです。どの情報を入れてよいかが決まらないまま全社で一斉に使い始めると、情報が漏れる心配が大きくなります。

顔ぶれは、次の組み合わせがおすすめです。

• 決める権限のある経営者か、部門の責任者が1人
• ふだんの仕事でAIを使いたい担当者が1〜2人
• 社内のパソコンやアカウントを管理している方が1人

パソコンやアカウントを管理している方がいると、決めたことを「どう設定するか」まで同じ場で話せます。法務の担当者がいなくても大丈夫です。

最初の打ち合わせでは、この記事の「4つのレベルの表」を全員で見て、共有フォルダの一覧を書き出す担当者を決めてください。

法律の解釈で迷う点が出てきたら、その場で無理に結論を出さず、弁護士や公的な相談窓口に聞きます。個人情報のことなら、個人情報保護委員会の「個人情報保護法相談ダイヤル」があります（2026年9月15日確認）。

社内の情報を4つのレベルに分け、AIに入れてよいかを決める

情報の線引きは、社内のあらゆる情報を4つのレベルに分けて、レベルごとに「AIに入れてよいか」を決める方法がおすすめです。アディザインのAI活用セミナーでも、この分け方を使っています。

4つのレベルと、そこに入る情報の例は次のとおりです。自社で使うときは、真ん中の列を自社の書類やフォルダの名前に書き換えてください。

情報のレベル	入る情報の例	AIに入れてよいか
レベル1：外に出せる情報	会社のWebサイトやカタログに載せている内容、求人情報、展示会で配っている資料	どのAIに入れてもよい
レベル2：社内の人なら誰が見てもよい情報	社内の手順書、社内報、勤怠や経費のルール	会社が認めたAIになら入れてよい
レベル3：限られた人だけが見る情報	見積や原価、取引条件、契約書、お客さまの名簿、給与や人事評価、発表前の商品の企画	会社が認めたAIに、条件を守って入れる（そのフォルダを開ける社員を、仕事で必要な人だけにしておく。必要なら名前や金額を伏せてから入れる）
レベル4：決して外に出してはいけない情報	秘密保持契約で持ち出しが禁止された資料、海外への持ち出しが法律で規制されている技術資料、医療・金融など業種の決まりで守ることが義務になっている情報	どのAIにも入れない。置き場所ごと分けて、見られる人を限定する

レベル3とレベル4は、漏れたときに何が起きるかで分けます。レベル3は漏れるとお客さま・取引先・社員の誰かが損をする情報で、レベル4は漏れた時点で契約違反や法律違反になる情報です。

同じ種類の書類でも、中身によってレベルが変わる点には注意してください。たとえば契約書はふつうレベル3ですが、秘密保持契約で「持ち出し禁止」と指定された資料だけはレベル4になります。書類の種類で決めつけず、中身を知っている人が判断してください。

個人情報は、とくに慎重に扱う

お客さまや社員の名前・連絡先などの個人情報は、レベル3の中でもとくに注意が必要です。ここでいう「学習」とは、AIの会社が、利用者の入力した文章を自社のAIを改良する材料に使うことを指します。

個人情報保護委員会は、生成AIに個人情報を入れる会社に向けて、次の2点を確かめるよう呼びかけています（生成AIサービスの利用に関する注意喚起等について、2023年6月2日公表・2026年9月14日確認）。

• その個人情報を預かったときの目的の範囲で使うこと
• 本人の同意なく入れた個人情報が、AIの会社側で学習などに使われると法律違反になるおそれがあるので、学習に使われないことなどを確かめること

アディザインのセミナーでも、個人情報をAIに入れるなら「入力した内容が学習に使われない会社向けの契約であること」と「預かったときの目的の範囲で使うこと」を条件にしています。それでも法律の条件をすべて満たせているとは言い切れません。

個人情報をAIで扱いたい仕事があるときは、ルールを決めるメンバーで使う目的と契約の内容を確かめ、必要なら弁護士に相談してから決めてください。

どのレベルか迷ったら、3つの質問に上から答える

どのレベルに置くか迷ったら、次の3つの質問に上から順に答えると決まります。それでも迷うときは、厳しいほうのレベルに置いて先へ進みます。

1. それが社外に漏れたら、契約違反や法律違反になりますか？「はい」ならレベル4です。
2. それが漏れたら、お客さま・取引先・社員の誰かが損をしますか？「はい」ならレベル3です。お金・個人・契約に関わるものは、おおむねここに入ります。
3. 社外の人に見られて、困りますか？「困らない」ならレベル1、「少しでも困る」ならレベル2です。

実際の進め方は、ファイルではなくフォルダ単位

ファイルを1つずつ見ていくと、量が多すぎて途中で止まってしまいます。仕分けはフォルダ単位で進めてください。

1. 社内の共有フォルダ（社内のサーバーやGoogleドライブなど）を開き、最初に並んでいるフォルダと、その1つ下のフォルダの名前を、表計算ソフトか紙に書き出す
2. 一覧を各部門の責任者に渡し、自分の部門のフォルダに、3つの質問でレベル1〜4を書き込んでもらう
3. レベル4の資料が、ほかの資料と同じフォルダに混ざっていたら、専用のフォルダに移す。そのフォルダの共有設定を開き、開ける人を1人ずつ名前で指定する（Googleドライブならフォルダを右クリックして「共有」。社内のサーバーなら、パソコンやアカウントを管理している方に頼む）
4. フォルダ名の先頭に「【レベル3】見積・受注」のようにレベルを付ける

判定するのは、そのフォルダの中身を知っている部門の責任者です。パソコンに詳しい人に全部任せると、中身が分からずに手が止まりやすくなります。

元のフォルダ名は変えずに、先頭にレベルを付け足すだけにしてください。名前ごと変えると、デスクトップのショートカットや、ほかのソフトに登録してあるフォルダの場所が使えなくなることがあります。

今後新しいフォルダを作るときも、作った人がレベルを決めて名前に付ける、と決めておくと、仕分けが一度きりで終わりません。

架空の製造業の会社で仕分けた見本

セミナーの教材では、金属部品加工の製造業（社員30人）という架空の会社で、実際に仕分けた見本を使っています。その一部です。

• 営業の「見積・受注」→ レベル3金額や取引条件が載っていて、漏れると取引先が損をする（質問2が「はい」）
• 営業の「顧客リスト」→ レベル3お客さまの名前と連絡先が載っている（質問2が「はい」）
• 営業の「製品カタログ・提案資料」→ レベル1すでに公開していて、展示会でも配っている（質問3が「困らない」）
• 設計の「図面_A社向け」→ レベル4A社との秘密保持契約で持ち出しが禁止されている（質問1が「はい」）。専用のフォルダに移した
• 製造の「作業手順書」→ レベル2社外に見せる資料ではないが、漏れて損をする人はいない（質問3が「少しでも困る」）
• 総務経理の「契約書」→ レベル3ただし持ち出し禁止と指定された資料が混ざっていたので、その資料だけレベル4の専用フォルダに移した

仕分けが終わったら、レベル3が全体の半分を超えていないかを見てください。見本の会社では、15フォルダのうちレベル3は6でした。

半分を超えているなら、迷ったものをとりあえずレベル3に置いている可能性があります。何でも厳しくすると、AIを使える仕事がほとんど残りません。質問2の「誰かが損をするか」に本当に当てはまるかを、もう一度読み直してください。

仕事で使ってよいAIを決める

レベル2とレベル3の情報を入れてよいのは、会社が「仕事で使ってよい」と決めたAIだけです。その一覧を作り、一覧にないAIには仕事の情報を入れない、と決めておきます。一覧に載せるAIは、次の3つの条件を満たすものにしてください。

• 入力した内容が学習に使われない契約であること（会社向けのプランの説明や契約書に書いてあるかを見る。プラン名だけで判断しない）
• 会社が発行したアカウントでログインでき、辞めた人のアカウントを会社側で止められること
• 誰がいつ使ったかの記録が残ること（見張るためではなく、間違えて入れたときに状況を追えるようにするため）。管理者が社員ごとの利用記録を見られるかはプランによって違い、少人数向けのプランでは見られないことがあります。契約する前に、提供元の窓口に「管理者が、社員ごとの利用記録を見られますか」と聞いてください

主なAIの、入力した内容の扱い

学習に使われるかどうかは、同じAIでも、個人向けのプランか会社向けのプランか、どう設定しているかで変わります。主なAIについて、提供元の公式ページに書かれている内容をまとめました。

ChatGPTとCopilot、Geminiの会社向けは2026年9月15日、それ以外は2026年9月14日に確認しています。

ChatGPT（OpenAI）

• 個人向け（無料版・Plus・Pro）会話を学習に使う設定が最初からオンになっています。「設定」の「データコントロール」にある「すべての人のためにモデルを改善する」（英語の画面では「Improve the model for everyone」）をオフにすると、その後の新しい会話は学習に使われません（OpenAIのヘルプ）
• 会社向け（ChatGPT Business・Enterpriseなど）最初から、入力も回答も学習に使いません（OpenAIのヘルプ）。誰から使い始めて、いつ会社向けプランに切り替えるかという導入の進め方は、「ChatGPTの社内導入、何から始める？」にまとめています

Gemini（Google）

• 個人向け会話は、学習を含むサービスの改良に使われ、担当者が内容を読むこともあります。アクティビティの保存をオフにするか一時チャットを使うと、その後の会話は改良に使われません（回答にグッド・バッドの評価を付けて送った会話は除く）。見られたくない情報は入れないよう注意書きもあります（Gemini アプリのプライバシー ハブ）
• 会社向け（Google Workspaceの会社アカウント）会社が許可しない限り、入力やファイルを学習に使わず、担当者が読むこともありません（Google Workspace の生成AIプライバシー ハブ）

Claude（Anthropic）

• 個人向け（Free・Pro・Max）改良に使うことを利用者が許可した場合などに使われます。許可していなくても、安全確認の対象になった会話などは使われることがあります（Anthropicのヘルプ）
• 会社向け（Team・Enterprise）利用者が自分で参加を選んだ場合を除いて、会話を学習に使いません（Anthropicのヘルプ）

Copilot（Microsoft）

• 個人のMicrosoftアカウントで使う場合会話が学習に使われる対象で、設定でオフにできます。Microsoft 365 Personal・Familyを契約していて、そのアプリの中で使う場合は対象外です（Microsoft Copilot のプライバシーに関する FAQ）
• 会社のアカウント（Microsoft Entra ID）でサインインして使う場合会話を学習に使いません（同じページ）

このように、個人向けのプランは設定しだいで学習に使われます。

社員が自分でどう設定しているかは会社から確かめにくいので、仕事には会社向けのプランを使うのが安心です。この内容は、プランや規約の変更で変わることがあります。ここにないAIも含めて、実際に一覧に載せるときは、契約するプランの説明で同じ点を確かめてください。

ChatGPT・Gemini・Claude・Copilotなどは得意な作業が少しずつ違うので、部署ごとに違うAIを一覧に載せてもかまいません。条件だけを全社で共通にしておきます。

一覧を作るときに、あわせてやっておくこと

よく止まるのが、社員がすでに個人のアカウントでAIを使っている場合です。まずは誰が何のAIをどのプランで使っているかを聞き取り、会社で契約したアカウントを用意してから「仕事の情報はこちらで」と切り替えてもらうと、移ってもらいやすくなります。

もう1つ見落としやすいのが、ふだん使っているソフトに入っているAI機能です。オンライン会議の自動要約や文字起こし、メールソフトの返信文の提案、ブラウザの翻訳、スマホの音声入力などは、AIを使っている意識がないまま社内の情報が通っています。

会議の自動要約には、会議の中身によっては大事な話もそのまま入ります。こうした機能は1つずつ、「一覧に載せる」「設定でオフにする」「レベル1・2の情報にだけ使う」のどれにするかを決めてください。設定の変更は、パソコンやアカウントを管理している方にお願いすると早いです。

一覧には、AIごとに次の5つを書いておきます。

• 契約しているプランの名前
• 使う部署
• ログインに使う会社のアカウント
• 使った記録を見る担当者
• 次に見直す日

記録を見る担当者と、次に見直す日が決まっていないAIは、一覧に載せないでください。

AIが作った文章や画像は、人が確かめてから使う

AIが作った文章や画像は、社外に出す前に人が内容を確かめる、と決めておいてください。AIは、もっともらしい文章の中に、事実と違う数字や名前を混ぜることがあるからです。

次の3つを決めておいてください。

• 社外に出す文章や画像は、作った本人とは別の人が確認してから使う
• 数字や会社名・商品名、法律や制度の内容は、元の資料で確かめる
• 有名な作品やキャラクター、他社のロゴに似たものは使わない

著作権で迷ったときに読む資料としては、文化庁が「AIと著作権について」のページで、考え方とチェックリストを公開しています（2026年9月14日確認）。社内ルールに解説を書き写すより、このページへのリンクを置いておくほうが、内容が古くなりません。

コピーして使える生成AI利用ルールのひな形

ここまでで決めたことは、A4の1枚にまとめて全員に渡します。分厚い規程は読まれにくく、全員が同じ1枚を見ている状態のほうが守られやすいからです。1枚には「仕事で使ってよいAI」「やってよいこと」「やってはいけないこと」「間違えて入れてしまったとき」の4つを書きます。

下の見本は、セミナーの教材で使っている架空の製造業の会社のものです。◯◯の部分を自社の部署名・AIの名前・窓口に置き換え、仕事の例を自社の業務に書き換えて使ってください。

AI利用ルール（A4 1枚版）

承認日 ◯年◯月◯日／次回見直し ◯年◯月／承認者 ◯◯

仕事で使ってよいAI

• 全社：◯◯（会社で契約したプラン）。会社の◯◯アカウントでログインする
• ◯◯部・◯◯部：◯◯（会社で契約したプラン）。同じく会社の◯◯アカウントでログインする
• これ以外のAI（個人で契約したもの・無料版を含む）には、仕事の情報を入れない

やってよいこと

• 【レベル1・2】カタログやWebサイトの文章づくり、社内マニュアルの下書き、作業手順書の整理
• 【レベル3】見積書のひな形づくり（金額と取引先名を伏せてから）。発表前の商品の説明文の下書き（開ける人を◯◯部の担当者だけにしたフォルダの資料を使って）
• 社外に出す前や数字を使う前に、AIの答えを人が確かめる

やってはいけないこと

• 【レベル4】取引先との秘密保持契約の対象資料（◯◯社向けの図面など）と、海外への持ち出しが規制されている技術資料を、どのAIにも入れない
• 個人で契約したAIや無料版のAIに、仕事の情報を入れない
• AIの答え（数字・納期・仕様）を確かめずに、見積書・図面・メールに使わない

間違えて入れてしまったとき

• 窓口：◯◯部 ◯◯（内線 ◯◯／社内チャット「◯◯」）
• 手順：使うのを止める → 窓口に報告する → AIに残った会話の履歴を消す → 同じことが起きないようにルールに書き足す
• 報告した人を責めません（会社の約束）。迷ったら、入れる前に窓口へ

1枚に収まらなくなったら、「やってよいこと」の例を減らしてください。ただ、この欄を空にするのは避けてください。やってはいけないことだけが並んだ紙になると、何に使ってよいのかが分からず、結局誰も使わなくなりやすいからです。

もう少しきちんとした規程の形に整えたくなったら、日本ディープラーニング協会の「生成AIの利用ガイドライン」が、会社ごとに書き換えて使えるひな形として公開されています。

総務省と経済産業省の「AI事業者ガイドライン」は、ルールを見直すときの参考資料として手元に置いておくとよいと思います（どちらも2026年9月14日確認）。

全員に渡す前に、決めたメンバーで使ってみる

社内ルールは、決めたメンバーがしばらく実際の仕事で使って、迷った場面を書き足してから全員に渡すと、守られやすくなります。机の上で決めたルールは、仕事に当てはめたときに穴が見つかりやすいからです。

ボードゲームでも、説明書を読んだだけでは分からない場面が遊んでいるうちに出てきて、「この場合はこうしよう」と決めながら進めますよね。社内ルールも同じです。

使ってみる間は、「このフォルダはどのレベル？」「この使い方はいい？」と迷った場面をメモしておき、メンバーで集まって1枚に書き足してください。できあがったら、配るだけにせず、全員を集めて30分ほど読み合わせます。見せるのはA4の1枚と、4つのレベルの表だけで足ります。

渡すときは、禁止することと一緒に「この作業はこう使うと早い」という使い方の例もセットにしてください。ルールが厳しすぎたり使い方が分からなかったりすると、全員分のアカウントを契約したのに利用料だけが毎月出ていき、「AIは効果がなかった」で終わりやすいからです。

社内ルールの目的は、AIを使わせないことではありません。安心して使って、仕事を楽にするためのものです。

情報の線引きやルールづくりを社外の手を借りて進めたい場合は、アディザインの、社内でAI活用を進めるメンバー向けの講座で、この整理そのものを一緒に進めています。

進め方の全体はAI活用・セミナーのページに、まずAIで何ができるかを体験したい方向けの内容はAI基礎講座のページにまとめました。講座の内容と料金は、それぞれのページで確認してください。

よくある質問

Q. 法務の担当者がいませんが、社内ルールを作れますか？

作れます。経営者か部門の責任者、AIを使いたい担当者、社内のパソコンやアカウントを管理している方の3〜4人で、情報のレベル分けと仕事で使ってよいAIの一覧を決めるところから始めてください。

法律の解釈で迷う点は、弁護士や個人情報保護委員会の相談ダイヤルなどの窓口に確認するのがおすすめです。

Q. 無料版のAIを仕事で使ってもいいですか？

仕事の情報には使わない、と決めておくのがおすすめです。無料版は、入れた内容が学習に使われる設定になっていることがあります。ChatGPTの無料版も、最初は学習に使う設定がオンです。

また、社員の個人のアカウントでは、誰がいつ何を入れたかを会社から追えません。個人のアカウントは私用の範囲で使ってもらい、仕事には会社で契約したAIを使う形にしておくと安心です。

Q. 社内ルールはいつ見直せばいいですか？

年に1回の見直しに加えて、使うAIやプランを変えるとき、提供元の規約や設定が変わったと分かったとき、社員から同じ質問が何度も出たときが見直しのタイミングです。

Q. AI研修に助成金は使えますか？

10時間以上の研修として組む場合、厚生労働省の人材開発支援助成金（事業展開等リスキリング支援コース）の対象になり得ます。短い講座を1回受けるだけでは対象にならず、研修を始める1か月前までに労働局への届出も必要です。

条件は補助金・助成金の活用のページにまとめています。当社は申請の代行は行っていないため、制度のご相談は労働局へお問い合わせください。