「社員がChatGPTを使い始めているけれど、ルールがない」という会社は少なくありません。禁止すれば効率化の機会を失い、放置すれば情報漏えいの危険が残ります。
この記事ではそのまま社内規定の下書きに使える条文例と、運用で一番迷う「何を入力してよいか」の線引きをまとめました。個人情報保護委員会の注意喚起と、総務省・経済産業省の「AI事業者ガイドライン」を参考にしています。
確認日は2026年10月28日です。
このひな形は一般的な例で、法的な助言ではありません。導入前に、自社の業務や取引先との契約に合わせて調整し、必要に応じて専門家に確認してください。
ルールを作る前に決める3つのこと
- 使ってよいサービス：会社で契約したプランだけにするか、個人の無料アカウントも認めるか。
- 入力してよい情報の範囲：後述の3段階の区分を使うと決めやすくなります。
- 相談先：迷ったときに誰に聞くか。窓口がないと、社員は自分で判断するか使わなくなります。
特に1は重要です。個人情報保護委員会は2023年6月の注意喚起で、事業者が個人データを含む内容を入力する場合は、提供事業者がそのデータを機械学習に使わないことなどを十分に確認するよう求めています。個人の無料アカウントは、入力内容が学習に使われる設定の場合があるため、会社の業務では使わないと決めるのが安全です。
主なAIサービスの学習利用の設定は、ChatGPT・Gemini・Claude・Copilotの「学習に使わせない」設定にまとめています。
入力してよい情報の3段階の区分
| 区分 | 具体例 | 生成AIへの入力 |
|---|---|---|
| 青（公開情報） | 自社サイトに載っている情報、公開済みのプレスリリース、一般的な知識、個人や会社が特定されない文章 | 会社が認めたサービスなら入力してよい |
| 黄（社内情報） | 社内の議事録、未公開の企画、売上の数字、社内マニュアル | 学習利用なしが契約や規約で確認できた会社契約のサービスに限り入力してよい |
| 赤（入力禁止） | 顧客や従業員の個人情報、取引先から受け取った秘密情報（NDA対象）、パスワードやAPIキー、未発表の決算情報、人事評価 | 原則入力しない。業務上どうしても必要な場合は、責任者の承認を得る |
迷ったら「この文章がそのまま社外に出たら困るか」で判断します。困るなら黄か赤です。固有名詞を「A社」「担当者B」のように伏せれば、黄を青に近づけられる場合もあります。
生成AI利用規程のひな形（条文例）
以下をコピーし、【】の部分を自社に合わせて書き換えて使ってください。
生成AI利用規程
第1条（目的）
この規程は、当社の役員および従業員（以下「従業員等」）が業務で生成AIを安全かつ効果的に利用するために、守るべき事項を定める。
第2条（定義）
この規程で「生成AI」とは、入力された指示に応じて文章、画像、音声、プログラム等を生成するAIサービスをいう。
第3条（利用できるサービス）
1. 従業員等が業務で利用できる生成AIは、【情報システム担当部署】が承認し、別表に掲げたものに限る。
2. 従業員等は、個人で契約したアカウントを業務に利用してはならない。ただし、【情報システム担当部署】が個別に許可した場合はこの限りでない。
第4条（入力する情報の制限）
1. 従業員等は、次の情報を生成AIに入力してはならない。
（1）顧客、取引先および従業員等の個人情報
（2）秘密保持契約等により当社が守秘義務を負う情報
（3）パスワード、認証キーその他のアクセスに必要な情報
（4）その他、【社内の情報管理規程】で極秘とされた情報
2. 業務上やむを得ず前項の情報を入力する必要がある場合は、事前に【所属長および情報システム担当部署】の承認を得る。
第5条（生成物の確認）
1. 従業員等は、生成AIが出力した内容に誤りが含まれる可能性があることを理解し、事実、数値、固有名詞等を自ら確認したうえで利用する。
2. 生成物を社外に提出し、または公開する場合は、他者の著作物、商標、肖像等の権利を侵害していないかを確認する。
3. 生成物を利用した成果物の責任は、利用した従業員等およびその所属部署が負う。
第6条（禁止する利用）
従業員等は、次の目的で生成AIを利用してはならない。
（1）法令または公序良俗に反する行為
（2）他者の権利を侵害する行為
（3）人事評価、採用の合否その他個人に重大な影響を与える判断を、生成AIの出力のみによって行うこと
第7条（AI利用の表示）
社外に公開する文章、画像等のうち、生成AIで作成したものについては、【必要に応じて】その旨を表示する。
第8条（事故時の報告）
従業員等は、第4条に反して情報を入力した場合、またはそのおそれがある場合は、ただちに【所属長および情報システム担当部署】に報告する。
第9条（研修）
当社は、従業員等が生成AIを適切に利用できるよう、必要な研修を行う。
第10条（見直し）
この規程は、生成AIの技術や関係法令、政府の指針の変化に応じて、【少なくとも年1回】見直す。
附則 この規程は【〇〇年〇〇月〇〇日】から施行する。
条文を自社に合わせるときのポイント
第3条：利用できるサービスは別表にする
サービス名を本文に書くと、新しいツールを認めるたびに規程の改定が必要になります。別表にしておけば、担当部署が更新するだけで済みます。別表には、サービス名、プラン、学習利用の有無、入力してよい区分（青・黄）を書きます。
第4条：禁止に加えて例外の手続きを書く
例外の手続きがないと、現場は「禁止だから使わない」か「黙って使う」のどちらかになります。承認者を決めておくことで、必要な利用を表に出せます。
第6条：人に関わる判断はAI任せにしない
「AI事業者ガイドライン」は、AIを業務で使う事業者（AI利用者）も対象にしています。採用や評価など、個人に大きな影響を与える場面では、最終的な判断を人が行うと明記しておくと安全です。
導入前のチェックリスト
- ☐ 使うサービスの利用規約で、入力データが学習に使われないこと（または使われない設定にできること）を確認した
- ☐ データの保存期間と削除方法を確認した
- ☐ 取引先との秘密保持契約で、外部サービスへの情報提供が制限されていないか確認した
- ☐ 入力してよい情報の区分（青・黄・赤）を決めた
- ☐ 相談窓口と、誤って入力したときの報告先を決めた
- ☐ 従業員向けの説明会または研修の予定を決めた
- ☐ 見直しの時期を決めた
よくある質問
小さな会社でも規程は必要ですか？
法律で作成が義務付けられているわけではありません。ただし、個人情報や取引先の秘密を扱う会社では、「何を入力してはいけないか」だけでも文書にしておくと、事故を防ぎやすくなります。上の第4条だけを取り出して社内に周知する方法もあります。
無料版のChatGPTなどを業務で使ってもよいですか？
使う場合は、入力内容が学習に使われるかどうかを各サービスの設定と規約で確認してください。確認できない場合は、青の公開情報だけを入力する運用にします。
参考資料
確認日は2026年10月28日です。
- 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023年6月2日）内閣府掲載資料PDF
- 総務省・経済産業省「AI事業者ガイドライン」（第1.2版、2026年3月31日公表）。法的拘束力のないソフトローで、開発者・提供者・利用者を対象にしています。最新版は経済産業省のページでご確認ください。
- 一般社団法人日本ディープラーニング協会（JDLA）「生成AIの利用ガイドライン」（2023年5月公開のひな型。より詳しいひな型が必要な場合の参考に）
この記事は、AI（Claude）が上記の公的資料を確認して作成しました。条文例は当サイトのオリジナルで、社内規定の下書きとして自由に使ってかまいません。作り方は運営者情報と調査方法をご覧ください。
