AI利用ガイドライン｜作り方5ステップとひな型の入手先【2026年9月】

結論: AI利用ガイドラインは、法律の名前ではなく、自社の従業員が生成AIを安全に使うための社内ルールを1つの文書にまとめたものです。この記事では、総務省・経済産業省の「AI事業者ガイドライン」と東京都デジタルサービス局の実例をもとに、盛り込む6項目と作り方5ステップを整理します。

この記事は、生成AIを何らかの形で業務に使うと決めた中小企業の経営者、情報システム担当、総務担当に向けて書いています。「そもそも生成AIを業務に使うべきか」の検討はこの記事の対象外です。導入するかどうかの全体像から確認したい方は、AI導入の進め方を5ステップで解説をご覧ください。この記事は、使うことは決めたが、社内で使わせてよい範囲と禁止事項を文書にできていない場面に絞って書きます。

今日やることは1つです。「早見表｜自社のガイドラインに足りない項目チェック」を印刷するか、6項目を紙に書き出し、自社に無いものへ印を付けてください。

AI利用ガイドラインとは｜何のために作るか

AI利用ガイドラインは、社員が生成AIを使うときに、何をしてよく、何をしてはいけないかを定めた1つの文書です。この記事では、情報漏えい・著作権侵害・誤情報への対策を中心に扱います。業務によっては、差別や不公平な判断、人の安全への影響なども検討対象になります。

「AI利用ガイドライン」と似た言葉に「AI事業者ガイドライン」があります。両者は別の階層の話です。AI事業者ガイドラインは、総務省・経済産業省が「AIを開発する事業者・提供する事業者・利用する事業者」に向けて示した国全体の指針です。一方、企業が社内に配るAI利用ガイドラインは、この指針のうち利用者に関わる部分を土台にして、自社の業務・規模に合わせて作る個別のルールです。国の指針をそのまま社内に配っても、誰が・どの業務で・何をしてよいかまでは書かれていないため、そのままでは使えません。

企業向けと自治体・官公庁向けの違いも押さえておきます。東京都デジタルサービス局が公開している文書は、都庁の職員が業務でAIを使うために作られています。想定する読者は、住民対応や公金を扱う職員です。承認の流れも、行政組織の決裁ライン（＝誰の承認を経て正式決定になるかの順番）に沿っています。この2点が、民間企業とは異なります。読み替えるときは、対象範囲と承認体制の2項目をとくに自社向けに書き換える必要があります。

社内規程との関係も決めておきましょう。すでに情報の持ち出しや外部サービス利用のルールがあるなら、その文書を出発点にします。AIだけ別の承認手順を作ると、同じ資料を扱うのに相談先が変わり、社員が迷います。既存の規程で決まっている部分は参照先を示し、AI特有の注意点を補う構成にすると読みやすくなります。

文書の管理者と、業務上の承認者は分けて考えます。総務が文書を保管していても、顧客向けの回答内容を判断するのは担当部署という形で構いません。「ガイドラインの問い合わせ先」と「この仕事を進めてよいか決める人」を書き分けると、質問が担当外の部署を回り続けるのを防げます。

確かめ方: 自社に今、利用ガイドラインという文書があるかを、最初に確認してください。無ければ、何のために作るかを一文で言えるか確かめてください。

作らないとどうなるか｜3つのリスクと事故の起き方

作らないと、情報漏えい・著作権侵害・誤情報の3つの事故が、線引きのないまま起きやすくなります。それぞれ、誰が・何を・どうして事故になるかを見ておきます。

情報漏えいは、社員が顧客情報や未公開の数字を、生成AIのチャット欄にそのまま貼り付けて要約させる場面で起きます。多くの生成AIツールには、入力内容をAIの学習に使うかどうかを選べる設定があります。この設定を確認しないまま入力した情報が学習に使われると、意図しない形で外部に残ります。著作権侵害は、生成AIに他社の文章や画像に近い成果物を作らせ、確認せずに社外向けの資料へそのまま使う場面で起きます。既存の著作物と、見た目や表現が真似したと分かる程度に似ていると、問題になり得ます。誤情報は、AIが自信ありげに誤った数字や法令の解釈を出し、それを裏取りせずに顧客提案や社内報告に使ってしまう場面で起きます。生成AIは、事実と異なる内容をもっともらしく生成すること（いわゆるハルシネーション）があるためです。

これらのリスクに共通するのは、「誰か1人が悪いことをした」からではなく、「線引きが無いまま、普段どおりの仕事の延長でAIを使った」から起きるという点です。だからこそ、個人の注意力に任せず、文書として線引きを共有する必要があります。

確かめ方: 現在、社員が生成AIにどの種類の情報を入力しているか、誰も把握していない状態になっていないかを確認してください。

公的機関のひな型はどこにあるか｜総務省・経産省と自治体の実例

自社版のAI利用ガイドラインは、ゼロから書く必要はありません。総務省と経済産業省が企業向けに「AI事業者ガイドライン」を共同策定しています。2026年3月31日公表の第1.2版が最新です。公式ページから本文（PDF）や関連資料を入手し、自社がAIを使う立場に関係する内容を確認できます。

自治体の実例も参考になります。東京都デジタルサービス局は、都庁の各部門向けの「AI導入・活用ガイドライン」（本編・概要）と、職員向けの「生成AI利用の手引き」の2文書を公開しています。公式ページ（更新日2026年3月30日）から閲覧できます。問い合わせ窓口も文書ごとに分かれています。「AI導入・活用ガイドライン」はデジタル戦略部デジタル戦略課、「生成AI利用の手引き」はデジタル基盤部デジタル基盤企画課が担当です。都庁の取り組みで参考になるのは、内容そのものよりも「対象読者ごとに文書を分けている」という構成です。全部門向けの本編・概要と、職員が日々使う手引きを分けることで、読む人が自分に必要な文書だけを開けるようにしています。

自社に当てはめるときは、AI事業者ガイドラインの全項目を写す必要はありません。共通の考え方とAI利用者向けの内容を確認し、自社の業務に当てはめます。開発や外部提供も行う会社は、その立場に関係する内容も確認してください。

確かめ方: AI事業者ガイドラインの目次を開き、自社に関係しそうな章にだけ付箋を付けてみてください。

盛り込む6項目｜自社版に落とし込む

自社版に盛り込む内容は、編集部の整理で6項目です。国が定めた固定の項目数ではありません。①対象範囲(誰が使うか)②入力してはいけない情報の線引き③利用可否の判断フロー④承認・相談の体制⑤研修・周知⑥見直し時期、です。

②の入力してはいけない情報について、詳しい判断基準はこの記事では扱いません。個人情報・機密情報・著作物の3つに分けるという結論だけをここでは書き、詳細は後段の節で改めて触れます。

各項目は、理念だけで終わらず「社員が次にどう動くか」まで書きます。以下は編集部による文例です。実在する会社の運用実績や、公的資料からの引用ではありません。自社の担当部署や承認済みツールに置き換え、責任者が内容を確認してから使ってください。

対象範囲の文例は「業務で使うAIは、会社が認めたツールと業務用アカウントに限ります。利用できる部署・業務・機能は、社内の許可一覧で確認してください」です。ツール名だけの一覧では、文章の相談は許されても、ファイル添付や外部サービス連携まで許されるかが分かりません。許可する機能と用途をセットで残します。

入力の線引きは「入力前に、資料の公開範囲と社内の情報区分を確認してください。入力可否が分からない情報は貼り付けず、情報の種類を相談窓口に伝えてください」と書けます。相談のために原文を広く共有すると、そこで扱う情報が増えてしまいます。相談票にはまず「顧客への提案文」「未公開の集計」など、内容の種類だけを書けるようにします。

判断フローの文例は「許可一覧にない用途や、許可条件を満たすか判断できない場合は、作業を止めて相談してください。回答が来るまでは、従来の方法で業務を進めます」です。止める対象をAI利用に絞り、通常業務の代替方法も示します。単に「上長に相談」と書くより、返事待ちの間の行動がそろいます。

承認・相談体制には「相談窓口が内容を受け付け、情報の管理担当と業務責任者が必要な条件を確認します。承認結果には、対象業務・扱える情報・利用条件を残します」と記載します。誰かの名前だけに依存せず、役割名と社内で確認できる窓口を示します。不在時の引き継ぎ先も決めておくと、担当交代で運用が途切れにくくなります。

研修・周知は「利用を始める前に、許可一覧・入力禁止情報・相談先を確認してください。ルールを変更した際は、変更点と業務への影響を知らせます」という形です。文書を読んだかに加え、迷う場面で相談できるかを確かめます。社内の説明資料から最新版へ直接移動できるようにし、古い添付ファイルだけが残る状態を避けます。

見直し時期は「管理担当が定期確認の予定を決めます。ツールの契約・設定・利用業務が変わった場合は、予定を待たず影響を確認します」と書けます。変更日、変更した項目、判断した部署を更新履歴に残してください。内容を変えなかった場合も、確認した対象を記録すると、放置と判断済みを区別できます。

6項目をそのまま書き写せるよう、目次のひな型を用意しました。自社の担当部署や承認済みツールに置き換えて使ってください。

# 自社版 AI利用ガイドライン（目次ひな型）

1. 対象範囲
   - 対象部署・役職：
   - 利用を許可するAIツール：

2. 入力してはいけない情報の線引き
   - 禁止する情報の種類：
   - 相談窓口：

3. 利用可否の判断フロー
   - 迷ったときの相談先：
   - 回答が来るまでの対応：

4. 承認・相談の体制
   - 最終承認者：
   - 日常の相談窓口：
   - 不在時の引き継ぎ先：

5. 研修・周知
   - 周知のタイミング：
   - 研修の対象：

6. 見直し時期
   - 定期確認の予定：
   - 契約・設定変更時の確認担当：

確かめ方: 6項目のうち、自社に文書として存在するのはいくつあるか数えてください。数え方は「早見表」の節にまとめています。

作り方5ステップ｜現状把握からひな型の使い方まで

作成作業は5ステップです。①現状把握②公式ひな型を選ぶ③自社ルールに落とし込む④周知・研修⑤運用後の見直し、の順に進めます。

①現状把握では、誰が、どの業務で、どのAIツールを使っているかを洗い出します。使用実態を知らずにルールを作ると、すでに使われている業務が抜け落ち、ガイドラインが現場の実態と食い違います。部署ごとに「使っているAIツール」を簡単なアンケートで聞くだけでも、抜け漏れはかなり減らせます。現状把握を自社だけで進めるのが難しい場合は、外部の診断を使う手もあります。何が分かって何が分からないかはAI適用診断とは？30万円を払う前に「分かること・分からないこと」に書きました。

②公式ひな型を選ぶでは、総務省・経済産業省の「AI事業者ガイドライン」を土台に、必要な章だけを抜き出します。都庁向けの構成のように、対象読者ごとに文書を分けるかどうかもここで決めます。③自社ルールに落とし込むでは、6項目それぞれを自社の業務・規模に合わせて具体的に書き換えます。ひな型の言葉のままでは、現場で「結局、何をしてよいのか」が分からないままになります。④周知・研修では、作って終わりにせず、全社員に周知し、必要に応じて研修を行います。⑤運用後の見直しでは、AIツールの進化や利用実態の変化に合わせて、定期確認に加え、契約や設定が変わったときにも内容を見直します。

現状把握の聞き取りでは、チャット履歴や顧客資料の提出を求める必要はありません。まず業務の目的、ツール、入力する情報の種類、出力の使い道を聞きます。「文章作成」だけでは広すぎるため、「公開済みの商品説明から社内用の下書きを作る」まで具体化してください。実データを回収しなくても、ルールに必要な利用場面を整理できます。

ひな型を読む担当は、抜き出した考え方の横に「自社では何を決めるか」をメモします。たとえば、出力結果の確認という考え方を採るなら、確認する人と確認材料を決めます。原則だけをコピーしても、現場で使える手順にはなりません。判断を保留した項目には相談先を付け、未決定のまま利用可にしないことが大切です。

配布前には、架空の業務場面で文書を試し読みします。実在の顧客名や連絡先を入れず、文章の下書きや公開資料の要約を題材にしてください。利用者に、使えるツール、入力可否、出力の確認者を文書から探してもらいます。担当者によって答えが分かれた箇所が、配布前に直すべき部分です。

周知では文書全体を読み上げるより、自分の仕事で何が変わるかを伝えます。営業なら提案文、総務なら社内案内など、部署ごとの用途に結び付けると質問が出やすくなります。出た質問は相談先で受け止め、回答を文書に反映するか、その業務だけの条件として残すかを決めてください。

確かめ方: 5ステップのうち、自社は今どこで止まっているかを1つだけ選んでみてください。

入力してはいけない情報の線引き方（要点だけ）

入力してはいけない情報は、大きく個人情報・機密情報・著作物の3つに分けて考えます。

個人情報は、顧客名・電話番号・住所など、本人を特定できる情報です。機密情報は、未公開の決算数字、取引先との契約条件、社外秘の技術情報などです。著作物の例には、他社の文章・画像・コードがあります。入力や加工を認めてよいか、利用条件と社内のルールを確認します。この3分類のどこまでを「禁止」にし、どこからを「上長の確認が必要」にするかは、業種や取引先との契約によって変わります。

詳しい判断基準(何を・どこまで・どう線引きするか)は、この記事では扱いません。中小企業の生成AIセキュリティ｜入力してはいけない情報と設計の3原則にまとめています。この記事では、6項目のうちの1つとして押さえておく、という位置づけにとどめます。

確かめ方: 自社の入力禁止リストに、個人情報・機密情報・著作物の3分類のどれが抜けているかを数えてください。

出力を使う前の確認｜下書きから社外利用へ進める条件

入力が認められていても、出力をそのまま社外に出してよいとは限りません。ガイドラインには、AIの回答を下書きとして受け取る段階と、業務の成果物として使う段階を分けて書きます。確認する役割と材料が決まっていれば、社員が「AIが答えたから正しい」と判断するのを防げます。

社内向けの議論のたたき台なら、仮説や提案と事実を区別します。顧客への説明文なら、商品情報や契約内容など、社内で承認された資料に照らし合わせます。文章が自然かどうかと、内容が正しいかどうかは別の確認です。読みやすさの修正だけで、事実確認まで終えた扱いにしないでください。

確認者には、完成した文章だけを渡すより、何を材料に作ったかも伝えます。「公開資料を要約した」「社内の説明文を言い換えた」と分かれば、参照すべき資料を探せます。回答に出典が付いていても、その資料が実在し、本文の主張を支えているかを人が開いて確かめます。裏付けが取れない箇所は削るか、調べ直してから使います。

承認の記録は、業務で使っている確認欄や共有文書に残せば足ります。AI専用の複雑な申請を増やす前に、通常の提案書レビューや公開前確認に組み込めるかを見てください。確認者、確認対象、修正した点が追える形にすれば、後で問い合わせが来ても説明できます。

確かめ方: 顧客向けの文章を出す場面を想定し、誰がどの資料と照合するかを、ガイドラインから答えられるか確認してください。

従業員に配布するシフト表も生成AIの出力をそのまま使わず下書きとして確認する点は共通しており、シフト作成AIを使う4ステップと配布前の労務確認も合わせて確認すると判断しやすくなります。

運用でつまずきやすい点｜正直な節

ガイドラインを作っただけでは、事故は防げません。運用でつまずくのは、ルールを作っただけで終わる、例外対応が決まっていない、更新されず形骸化する、の3つです。

ルールを作っただけで終わるのは、文書を作って周知した「つもり」で、実際に読んだ社員がほとんどいない状態です。配布した記録だけでは、社員が判断できるようになったかは分かりません。例外対応が決まっていないのは、「このケースはどうすればよいか」と聞かれたときに答えられる窓口がなく、現場が自己判断で進めてしまう状態です。更新されず形骸化するのは、AIツールの機能や契約条件が変わっても、ガイドラインが以前の内容で止まっている状態です。「このルール、もう古いよね」と気づいても、誰も直さないまま時間が過ぎます。

社内にルールを浸透させる手前で止まる会社は少なくありません。社内の説得材料の作り方はAI導入の社内説得｜「費用対効果が見えない」を突破する3つの資料術に書きました。ガイドラインも同じで、作った後にどう浸透させるかまで考えておかないと、文書だけが残ります。

例外を認めるときは、「今回の業務で認めた条件」を残します。ある部署の公開資料の要約を許可しただけなのに、別の部署が顧客資料にも使えると受け取ると、承認範囲が広がってしまいます。例外の対象業務、情報の種類、利用条件、見直すタイミングを記録し、他の用途への流用は改めて相談する流れにします。

誤入力や不適切な出力に気づいたときの連絡方法も、相談体制の中に含めます。社員には利用や共有を止め、状況を所定の窓口へ知らせてもらいます。自己判断で履歴を消したり、説明のために問題の情報を広く転送したりしないよう、記録の扱いは管理担当が案内します。初動を文書にしておけば、報告者が対応を抱え込まずに済みます。

相談が増えた場合は、社員の理解不足と決めつけず、ルールのどこで迷ったかを見ます。同じ用途の相談が重なるなら、許可一覧や説明文の修正候補になります。反対に、質問が来ないだけで定着したとも判断できません。現場で使われている用途と、文書の対象範囲が合っているかを確認します。

確かめ方: ツールや使い方が変わった際に、ガイドラインへの影響を確認した記録があるかを見てください。変更への対応が抜けていれば、関係する項目を見直します。

早見表｜自社のガイドラインに足りない項目チェック

本文を読まなくても、この表だけで自社に足りない項目が分かるようにしました。6項目それぞれについて、自社の文書に「ある」か「ない」かをチェックしてください。

確かめ方: 「ない」が付いた項目のうち、現在の業務で社員が迷っているものを先に埋めてください。利用実態そのものが不明なら、現状把握から始めます。

AI利用ガイドラインの作成を今すぐしなくていい会社と、この記事に含まれないこと

次の3つのどれかに当てはまる会社は、ガイドラインの作成より先にやることがあります。

• 社員が誰もAIツールを業務で使っていない(まず①現状把握から。使う前提が固まってから作る方が手戻りがありません)
• AIを試す前の準備段階で、扱う情報と相談先を既存の試行手順に記録している(全社版は対象業務が決まってから整えます。口頭だけの共有にはしません)
• すでに社内の情報セキュリティ規程にAI利用の条項が含まれている(重複して別文書を作る必要はありません)

この記事に含まれないことは4つです。

• 入力してはいけない情報の詳細な設計原則 → 中小企業の生成AIセキュリティ｜入力してはいけない情報と設計の3原則
• AI利用に関する契約条項(著作権・準委任・中途解約) → AI準委任契約｜著作権など5つの注意点
• AI導入プロセス全体(診断〜定着の5ステップ) → AI導入の進め方を5ステップで解説
• 社内の導入説得資料の作り方 → AI導入の社内説得｜「費用対効果が見えない」を突破する3つの資料術

Summary in English

まとめ｜ひな型はある。あとは自社の6項目を埋めるだけ

AI利用ガイドラインの要点は次のとおりです。

• AI利用ガイドラインは社内ルールの文書。目的は情報漏えい・著作権侵害・誤情報による事故を防ぐことの3つ
• ゼロから作らず、総務省・経済産業省の「AI事業者ガイドライン」を土台にする
• 盛り込む項目は6つ、作り方は5ステップ
• 入力してはいけない情報の詳しい判断基準は、別記事の3原則に譲る
• 作っただけで終わらせず、周知・例外対応・定期見直しをセットで運用する

次のアクションは、3つのうちどれか1つで構いません。

• 今日: 早見表で自社に足りない項目をチェックする
• 今週: 総務省・経済産業省の「AI事業者ガイドライン」を開き、自社に必要な章を洗い出す
• 今月: 6項目を自社の業務に合わせて文書化し、周知の場を決める

ひな型はすでにあります。あとは自社の6項目を埋める作業を、いつ・誰がやるかを決めるだけです。この作業を1人で抱えるのが難しい場合は、無料相談で状況を聞かせてください。

次に読む

• 社内の説得材料を先に作りたい → AI導入の社内説得｜「費用対効果が見えない」を突破する3つの資料術
• 導入プロセス全体を先に確認したい → AI導入の進め方を5ステップで解説
• 契約条項(著作権・準委任・中途解約)を確認したい → AI準委任契約｜著作権など5つの注意点
• 入力してはいけない情報の詳細設計を知りたい → 中小企業の生成AIセキュリティ｜入力してはいけない情報と設計の3原則

更新履歴

• 2026-09-10: 初版公開。総務省・経済産業省「AI事業者ガイドライン（第1.2版、2026年3月31日公表）」と東京都デジタルサービス局の実例（ページ更新日2026年3月30日）を反映
• 次回更新予定: 2026年12月(AI事業者ガイドラインの改訂有無と、東京都の公開文書の更新有無を再確認します)

本記事は2026年9月10日時点の総務省・経済産業省、東京都デジタルサービス局の公開資料に基づきます(公開日: 2026年9月10日)。ガイドラインの内容は改訂されることがあるため、最新版は各省庁・自治体の公式ページでご確認ください。

参考・出典

• 東京都デジタルサービス局「AI導入・活用ガイドライン、生成AI利用の手引き」 https://www.digitalservice.metro.tokyo.lg.jp/business/ai/ai-guideline（参照日: 2026年9月10日）
• 総務省「AIネットワーク社会推進会議｜AI事業者ガイドライン」 https://www.soumu.go.jp/main_sosiki/kenkyu/ai_network/02ryutsu20_04000019.html（参照日: 2026年9月10日）
• 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」PDF本体 https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_1.pdf（参照日: 2026年9月10日）