AI ガイドライン｜社内ルールに入れる10項目と作る5ステップ【2026年10月】

結論: AIガイドラインは、国の指針をそのまま使うのではなく、自社の社員が守る社内ルール10項目に落として使うものです。この記事では、その10項目の中身と、項目ごとの判断のしかた、確かめ方を書きます。

対象読者は、総務・経営者・DX担当の方です。従業員は数十人から数百人で、情シス（＝社内のIT担当）の専任はおらず、社員はすでにAIを使い始めている会社を前提にします。社内ルールの文書を初めて作ろうとして、何を盛り込み、誰とどの順で作るかを決める場面を想定しています。AIを社内で使うこと自体は決めた方向けで、導入の進め方や社内説得はAI 導入 進め方とAI導入の社内説得に任せ、ここでは扱いません。

この記事では、AIの使い方の窓口になる人を「AI担当」と呼びます。総務、DX担当、経営者のうち1人が兼ねる想定です。

今日やることは1つです。この記事の「10項目の全体像」の表を印刷し、すでに社内で決まっている項目に○をつけてください。○が0個でもそれが現状で、○のつかない項目の数が、これから作る文書の分量になります。

AI ガイドラインとは｜国の指針と社内ルールの違い

AIガイドラインは、国が事業者全体に向けて出す指針と、自社が社員に向けて出す社内ルールの2層に分かれます。検索で「AI ガイドライン」と調べると両方が混ざって出ますが、会社の中で効くのは社内ルールの方です。

確かめ方は、手元の文書の中で、誰に向けて呼びかけているかを見ることです。「事業者は」と書かれていれば国の指針、「社員は」と書かれていれば社内ルールです。社員に向けて書かれていない文書を社員に配っても、現場は何をすればよいか分かりません。

参照する公的指針は3つ｜総務省・経産省、デジタル庁、個人情報保護委員会

社内ルールを書くときに見る公的な資料は、総務省・経済産業省、デジタル庁、個人情報保護委員会の3つです。それぞれ対象と更新日が違うので、使い所を分けます。

総務省の掲載ページには、第1.2版と同じ2026年3月31日に「AI事業者ガイドライン活用の手引き（案）」も出ています。案の段階の資料なので、社内ルールの根拠にするより、読み方の補助として使うのが無難です。個人情報保護委員会のページは、本記事では存在を示すにとどめ、中身は同委員会の原文で読んでください。

確かめ方は、使う資料の「更新日」と「呼びかけている相手」を自分で控えることです。デジタル庁のガイドブックは行政職員向けと明記されているため、社内ルールの条文をそのまま写す使い方はしません。

社内ルールに入れる10項目の全体像

入れる項目は10個です。方針と範囲、データと出力、運用と改善の3群に分けると、書く順番と担当が決めやすくなります。⑨のインシデントとは、情報漏れや誤った出力などの事故のことです。

個人情報の担当者や法務がいない会社は、総務が代わりに受け持ちます。判断が難しい点だけ、顧問の社労士や弁護士など外部の専門家に聞きます。

確かめ方は、10項目それぞれの「確認先」に、案を一度見せて、直すところを聞くことです。確認先の人が決まっていない項目は、文書より先に担当を決めてください。

項目1〜3｜方針・適用範囲・利用可能なツール

最初の3項目は「何のために、誰が、どのツールで使うか」を決める項目で、ここが曖昧だと後ろの項目が決まりません。

① 方針と目的

書く文例は「当社は、業務の質と速さを上げるためにAIを使う。使うときは、データの扱いと出力の確認を社員の責任で行う」のような2〜3文です。禁止から始めると現場は使わなくなり、個人契約のAIに流れやすくなります。迷うのは、使うことを勧める文にするか、許す文にするかです。社員がすでに使っている会社は、勧める文にした方が申告が出やすくなります。確かめ方は、経営者に「社員が使っていると聞いたとき、まず何を言いたいか」を聞くことです。答えが「やめさせたい」なら、方針の前に社内の合意が要ります。

② 適用範囲

書く文例は「本ルールは、正社員、契約社員、パート、アルバイト、および業務委託先で当社の業務を行う者に適用する」です。迷うのは、派遣や業務委託の人を含めるかです。取引先の情報に触れる人は含めておく方が、事故が起きたときの責任の線が引きやすくなります。自社の名簿と契約書の一覧を見て、AIを使うかもしれない人の区分を全部拾って確かめます。

③ 利用可能なツール

書く文例は「業務で使ってよいAIは、会社が契約したものに限る。新しく使いたいときは、AI担当に申請する」です。ここで大事なのは、禁止だけでなく申請の窓口を書くことです。窓口が無いと、現場は黙って個人契約を使います。確かめ方は、現場に「いま、業務で使っているAIサービスを全部教えてください」と聞くことです。回答で出てきたツールを、認める・認めない・条件つきの3つに分けて一覧にします。ツールの比較はこの記事では扱いません。

認めるかどうかを決める審査の観点は、次の4つです。「提供元に聞くこと」はそのままメールで送れる質問文にしてあります。提供元からの回答の控えを、ツール一覧の横に残します。

シャドーAI（＝会社が把握していないAIの個人利用）は、全社アンケート、経費精算の請求書、現場の聞き取りの3つを重ねて拾います。ルールが根づいたかは、使いたいという申請の件数と、窓口に届く質問の件数で見ます。申請や質問が出始めたら、黙って使う人が減っているサインです。

AIエージェント（＝AIが自分で手順を進める仕組み）や、社内文書をAIに読ませる仕組みを使い始めたら、③の一覧に足して審査します。最初の版では、使い始めてから足す形で構いません。社内の共有フォルダに自動でつながる仕組みは、人が入力する場合よりAIが読める範囲が広くなりやすいので、審査が要ります。読ませる文書の範囲を、社員の閲覧権限（＝見てよい人の決まり）と同じに揃えられるかを確かめます。

関連: 入力してはいけない情報の整理は中小企業の生成AIセキュリティ、ひな型の入手先はAI利用ガイドライン｜作り方5ステップにあります。

項目4〜7｜入力データ・個人情報・機密・著作権

データに関する4項目は、「入れてよいか」を、データの区分ごとに事前に決めておくことが核です。迷ったときに社員が自分で判断する状態を減らします。入力してはいけない情報の細部は、中小企業の生成AIセキュリティで詳しく書いています。ここでは、社内ルールのどこに書くかを示します。

データの区分は4つから始め、使われ方を見て増やします。「入力できるか」は、使うツールの契約内容によって変わります。次は書き始めの案で、自社の契約を確かめてから書き換えてください。

例外は、表の下に自社で書き足します（例: 氏名だけなら入力してよいか。判断は⑤の担当者に聞きます）。

④ 入力データ

書く文例は「入力できるデータは、別表の区分に従う。区分が分からないときは入力せず、AI担当に聞く」です。迷うのは、学習に使われる設定と、契約で学習に使わないと保証されている状態の違いを、現場がどう見分けるかです。学習に使われるとは、入力した内容がAIの改良に使われ、将来ほかの人の回答に混ざる恐れがある状態のことです。確かめ方は、使うツールの提供元への書面での質問です。「入力した内容は、AIの学習に使われますか」「保存される場合、どれくらいの期間ですか」と聞きます。回答は、ツール一覧の横に貼っておきます。

ここで区別するのは2つです。「オプトアウト」は、利用者が設定で学習をやめる操作で、設定を戻されれば元に戻ります。「契約上の学習停止」は、提供元が契約で学習に使わないと約束している状態です。会社として頼れるのは後者です。また、氏名を消すなどの匿名化をしても、他の情報と組み合わせると誰か分かってしまう場合があります。匿名化したから個人情報ではない、とは書かず、判断は⑤の担当者に回します。

⑤ 個人情報

書く文例は「個人情報は、会社が認めたツールで、利用目的の範囲内に限って入力できる」です。個人情報保護委員会は、生成AIサービスの利用に関する注意喚起のページを公開しています。社内ルールには、法律の中身を写さず、そのページを確認先として書いておく方が、改定に強くなります。迷うのは、氏名だけ、メールアドレスだけ、といった一部の情報を入れてよいかです。この判断は個人情報の担当者か専門家に聞き、結果を表の下の例外メモに書いてください。確かめ方は、社内で個人情報を扱う業務の一覧を作り、AIに触れさせる業務に印をつけることです。

⑥ 機密・契約上の情報

書く文例は「取引先との契約で秘密とされた情報は、その契約で許される場合を除き入力しない」です。社内ルールより、取引先との契約の方が強い場合があります。迷うのは、契約書にAIの扱いが書かれていないときです。書かれていないときは、入力しない扱いにしておくのが安全です。主要な取引先5社ほどの契約書を開き、秘密保持と再委託（＝仕事を別の会社に任せること）の条文を読んで確かめます。社内で読める人がいなければ、顧問の専門家に確認を頼みます。

⑦ 著作権

書く文例は「AIの出力を社外に出すときは、既存の著作物に似ていないか、担当者が確認する」です。専門の知識がない担当者にもできる確認は2つあります。似た画像や文章がすでに公開されていないか検索すること、他社の作品名やキャラクター名を指定して作らせないことです。法的な判断はこの記事では行わないので、迷う場合は専門家に聞く、という窓口を書くにとどめます。迷うのは、画像や文章をそのまま公開してよいかです。確かめるには、社外に出す物の一覧（広告、提案書、採用ページなど）を作り、確認者を1人ずつ決めます。

項目8〜10｜出力の確認・インシデント・見直し

最後の3項目は、使い始めたあとの運用です。出力は人が確認する、事故のときは誰が止めるかを先に決める、見直しのきっかけを決める、の3点に絞って書きます。

⑧ 出力の確認

書く文例は「AIの出力は、社外に出す前に、担当者が元の資料と照らして確認する。重要な判断には、AIの出力だけを根拠にしない」です。人が確認する範囲を決めます。全部を確認すると運用が止まるので、線を引きます。相手に届く物と、お金や契約に関わる物は必ず確認し、社内メモは対象外にします。確かめ方は、現場で出力を使っている業務を3つ選び、それぞれ誰がいつ確認しているかを聞くことです。

用途ごとの確認の強さは、次の表で決められます。自社の業務名に書き換えて使ってください。責任者とは、その業務を任された部長・店長などです。

⑨ インシデント対応

書く文例は「入力してはいけない情報を入力した、または出力に問題が見つかったときは、すぐ使用を止め、AI担当に連絡する。AI担当は経営者に報告し、記録を残す」です。順番は、止める、連絡する、記録する、の3つです。気をつけたいのは、報告したら責められる雰囲気になり、事故が隠されることです。方針に「早く申告した人を責めない」と書いておくと、申告が増えます。確かめ方は、実際に1回、模擬の事故で連絡の流れを試すことです。電話番号や連絡先が古いままになっていないかを、同時に確認できます。

初動は、時間の順に次のとおり並べておくと迷いません。

違反が見つかったときの扱いは、就業規則と合わせて決めます。ルールの本文に処分まで書くか、就業規則の該当条文を引くだけにするかは、顧問の社労士など専門家に確認してください。最初の版では、早く申告した人を責めない方針を先に置き、処分の細目は後から足す形で構いません。社員に知らせるときは、研修を長く開く必要はありません。10項目の要点を短く説明し、迷ったときの窓口を伝えれば、初回は足ります。

⑩ 見直し

書く文例は「次のときは本ルールを見直す。使うツールの契約や仕様が変わったとき、事故が起きたとき、AI事業者ガイドラインが改定されたとき。これとは別に、年に一度、読み返す日を設ける」です。頻度を固定するより、きっかけを書く方が守られます。見直し担当の名前と読み返す日を共有の予定表に入れておけば、確かめられます。

作る5ステップ｜担当・成果物・止める基準

作る手順は5ステップで、各ステップに担当・成果物・止める基準を決めておくと、途中で止まらず完成します。止める基準とは、次のステップへ進んでよいか、やり直すかを決める条件のことです。詳しい進め方はAI利用ガイドライン｜作り方5ステップとひな型の入手先にあり、ここでは10項目と結びつけた要約だけを示します。

ステップ4の試し運用は、例えば部署ごとに数人の使い手へ実際の業務で使ってもらい、迷った箇所を集める形にします。

確かめ方は、ステップごとに「成果物が手元にあるか」を見ることです。成果物が無いのに次へ進んでいたら、止める基準に当たっています。

週で区切る目安は、1週目にステップ1と2、2週目にステップ3、3週目にステップ4、4週目にステップ5です。小さな会社は、2週目と3週目を1週にまとめても進みます。週が延びても、止める基準を飛ばさないことが優先です。

雛形の枠｜そのまま貼れる文面

文書の枠は、10項目をそのまま見出しにした全社版です。空欄を埋めるだけで最初の版が作れるように、記入欄を残しています。

AI利用ガイドライン（全社版）
制定日: ____年__月__日　　担当: ____　　最終承認: ____

1. 方針と目的
   当社は、____のためにAIを使う。使うときは、データの扱いと出力の確認を社員の責任で行う。
2. 適用範囲
   対象: ____（正社員・契約社員・パート・業務委託先 など）
3. 利用可能なツール
   会社が認めたツール: ____（別表1）　申請窓口: ____
4. 入力データ
   区分と入力可否は別表2のとおり。区分が分からないときは入力せず、____に聞く。
5. 個人情報
   会社が認めたツールで、利用目的の範囲内に限り入力できる。確認先: ____
6. 機密・契約上の情報
   取引先との契約で秘密とされた情報は、契約が許す場合を除き入力しない。
7. 著作権
   AIの出力を社外に出すときは、____が確認する。
8. 出力の確認
   お金・契約に関わる物は____、社外に出る物は____が確認する。
9. インシデント対応
   止める → ____に連絡する → 記録を残す。連絡先: ____
10. 見直し
   きっかけ: ツールの変更／事故／AI事業者ガイドラインの改定。読み返す日: ____

別表1: ツール一覧（認める・条件つき・認めないの3区分）
別表2: データ区分の表（区分ごとの入力可否と例外）

規模や部門で差し替える箇所は3つあります。1つ目は⑧の確認者で、少人数の会社は役職ではなく名前で書きます。2つ目は③の申請窓口で、情シスがいない会社はAI担当（総務やDX担当が兼ねる）にします。3つ目は④の別表2で、部門ごとに扱うデータが違う場合は、部門別の表に分けます。確かめ方は、枠を埋めたあと、現場の1人に読んでもらい、迷った箇所に線を引いてもらうことです。

早見表｜最初の版で書く項目と後回しにする項目

小さな会社の最初の版は、10項目を同じ厚さで書かず、まず短く書いて使い始める方が早く動けます。後回しにしてよい項目は、次のとおりです。

確かめ方は、「書く」と決めた項目の確認先が全員決まっているかを見ることです。決まっていない項目は、後回しにする項目に入れ替えるか、担当を先に決めます。

社内ルールと現場のずれは、AI適用診断で確かめる｜発注側が頼める3条件

社内ルールは、紙の文面と現場の実際の使い方がずれていると、効きません。AI適用診断（＝AIをどの業務に入れるかを調べる入口の調査）を頼むときは、このずれを見てもらうことを条件にできます。

当社には、AIガイドラインの策定を支援した実績がまだありません（0件）。そのため、ここで書くのは支援の経験談ではありません。当社のAI適用診断の設計を、社内ルールの確認に置き換えた観点です。診断の設計は、2週間で行うこと、本番システム（＝実際に業務で動いている社内の仕組み）には接続しないこと、現場に同席すること、研修・試作・実装のどれで進むかを切り分けることです。診断の中身と費用はAI適用診断とは？にあります。ここでは費用を書きません。

発注側が要求してよい条件は3つです。①本番システムに触らず、現場の画面を見ながら確認すること。②見つけたずれを、10項目のどこに当たるかで報告してもらうこと。③ルールの改定案を決めるのは自社だと、書いてもらうこと。確かめ方は、診断の見積に「現場の使い方の確認」が含まれるかを書面で聞くことです。

失敗しやすい4パターンと確かめ方

社内ルールが動かない原因は、長すぎる、禁止だけで代わりが無い、担当が決まっていない、更新されない、の4つです。配ったあとに現場の聞き取りを入れることで、4つとも早く見つかります。

確かめ方は、ルールを配って終わりにせず、配ったあとに現場の聞き取りを1回入れることです。聞き取りで出た質問は、文面を直す材料になります。

今すぐ作らなくていい会社と、この記事に含まれないこと

社内ルールを今すぐ作らなくてよい会社もあります。条件に当てはまるなら、先に別のことをして構いません。

• 社員が業務でAIをまったく使っておらず、使う予定も決まっていない会社
• AIの利用が個人の私用だけで、会社の情報や取引先の資料に触れない会社
• 経営者1人で、社員も委託先もいない会社（自分用のメモで足ります）
• すでに取引先から利用条件を指定されていて、その条件に沿って運用できている会社

この記事に含まれないことと、行き先は次のとおりです。

• 手順の詳細とひな型の入手先 → AI利用ガイドライン｜作り方5ステップとひな型の入手先
• 入力してはいけない情報の細部 → 中小企業の生成AIセキュリティ
• 導入全体の進め方 → AI 導入 進め方
• 診断の中身 → AI適用診断とは？

法的な助言、個別の契約書の審査、ツールの比較、導入費用は、この記事の範囲外です。

Summary in English

まとめ｜10項目は「書く」より「決める」

• 国の指針と社内ルールは別の文書。国の指針で漏れを確かめ、社員向けの文面は自社で書く。
• 社内ルールは10項目。方針と範囲の3つ、データと出力の5つ、運用と改善の2つに分ける。
• 入力データは区分ごとに事前に決める。契約が書かれていない情報は入力しない扱いにする。
• 出力は、お金・契約に関わる物は責任者、社外に出る物は担当者が確認する。
• 作る手順は5ステップ。担当・成果物・止める基準を各ステップに置く。
• 小さな会社は短く始め、使い方を見ながら足す。

次のアクションは、3つのうちどれか1つで構いません。

• 今日: 10項目の表を印刷し、すでに決まっている項目に○をつける
• 今週: 現場に「いま業務で使っているAIサービス」を聞き、ツールの一覧を作る
• 今月: 雛形の枠を埋めて最初の版を作り、現場の1人に読んでもらう

紙のルールと現場の使い方のずれまで見たいときは、無料相談で状況を聞かせてください。

次に読む

• 手順の詳細とひな型の入手先を知りたい → AI利用ガイドライン｜作り方5ステップとひな型の入手先【2026年9月】
• 入力してはいけない情報を整理したい → 中小企業の生成AIセキュリティ｜入力してはいけない情報と設計の3原則
• 導入全体の進め方を確認したい → AI 導入 進め方｜担当・成果物・止める基準で見る6つの手順【2026年10月】
• 社内で説明する材料を作りたい → AI導入の社内説得｜「費用対効果が見えない」を突破する3つの資料術

更新履歴

• 2026-10-15: 初版公開。AI事業者ガイドライン第1.2版（2026年3月31日公表）の掲載内容を反映
• 次回更新予定: 2027年1月（AI事業者ガイドラインの改定の有無、デジタル庁ガイドブックの統合状況を再確認）

本記事は2026年10月15日時点の公的資料の公開内容に基づきます（公開日: 2026年10月15日）。法的な判断や個別の契約の扱いは、各省庁の公式資料か専門家で確認してください。

参考・出典

• 総務省「AI事業者ガイドライン」掲載ページ https://www.soumu.go.jp/main_sosiki/kenkyu/ai_network/02ryutsu20_04000019.html（参照日: 2026年10月15日）
• デジタル庁「テキスト生成AI利活用におけるリスクへの対策ガイドブック（α版）」 https://www.digital.go.jp/resources/generalitve-ai-guidebook（参照日: 2026年10月15日）
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」 https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/（参照日: 2026年10月15日）
• 当社調査: 「ai ガイドライン」の検索結果の状況を2026年10月15日に実測