- share :
生成AIの社内ルールを作らなければ、と思いながら、何から手をつければいいのかわからず、そのままになっている。そんな状態の経営者やDX（デジタルトランスフォーメーション）推進担当者は、少なくないはずです。
2026年9月7日、東京都産業労働局は、中小企業向けサイバーセキュリティ対策ポータルに『生成AI社内利用ガイドライン』のテンプレート例を公開しました。このテンプレートは、A4用紙1〜2ページ程度を想定した、シンプルな構成のひな型です。
公開されたページ自体は、詳細な分析と別紙テンプレートを合わせた大部な資料で、官公庁らしく読み解くには骨が折れます。この記事では、そこから要点だけを抜き出して整理したうえで、実務での活かし方と、ガイドラインを整備するだけでは終わらない注意点を解説します。
【本記事の要点】
- 『生成AI社内利用ガイドライン』を自社用にする際に決める項目は、許可するAIツール名と連絡・相談窓口の実質2つに絞られる
- 初版に完璧さを求める必要はなく、「少なくとも半年に1回」見直せばいい
- ガイドラインを整備して終わりにはできず、浸透・シャドーAI・業種特有リスクという別の注意点が残る
『生成AI社内利用ガイドライン』の概要
生成AIの社内ルールを「作らなきゃ」と思いながら手が止まる理由の多くは、ゼロから完璧な規程を作ろうとしてしまう点にあります。法務的な抜け漏れなく、社内規程として恥ずかしくないものを用意しようとするほど、着手のハードルは上がっていくものです。
この停滞を解消する材料になるのが、東京都が公開した『生成AI社内利用ガイドライン』です。まずは中身を見ていきましょう。
3つの基本原則
『生成AI社内利用ガイドライン』の冒頭には、3つの基本原則が示されています。
- AIはあくまで「支援ツール」であり、最終的な業務判断と責任は人間が負う
- AIは事実と異なるもっともらしい誤り（ハルシネーション）を出力することがあるため、そのまま信じず、そのまま出さない
- 会社が許可した公式ツール以外は、業務で使わない（シャドーAI、つまり会社が把握していない生成AIツールを従業員が勝手に使っている状態の禁止）
いずれも目新しい発想ではありませんが、3つに絞って言い切っている点に、このガイドラインの性格が表れています。
入力してはいけない情報
入力禁止情報も、抽象的な注意書きではなく具体的に列挙されています。
- 個人情報（氏名、住所、電話番号、メールアドレス、マイナンバーなど）
- 営業秘密・未公開データ（原価、利益率、価格戦略、未発表の製品情報、システムのソースコードなど）
- 取引先の機密情報（NDA対象データ）
現場でそのまま判断に使える具体例が並んでいる点が特徴です。
出力のルール
出力側にも、次のルールがあります。
- 画像生成AIなどで作った成果物は、他社のキャラクターや企業ロゴ、特定のクリエイターの作品と似ていないか、著作権の類似性を事前に確認する
- AIが生成した文章や資料は、一言一句そのまま顧客へ送信しない
報告の窓口
トラブルが起きたときの報告先は、社内向けと社外向けの2段階で決められています。
- 社内向け：「うっかり機密情報を入力してしまった」といった事態が起きたら、ペナルティを恐れずすぐに報告できる窓口を用意する
- 社外向け：個人情報の漏洩が疑われる事案は、個人情報保護法に基づき、個人情報保護委員会への「72時間以内の速報」が法律で義務づけられている
社外への報告に法律上の期限がある以上、社内への報告も後回しにはできません。
出典・参照：
実務に活かすポイント
ここからは、分析したひな型を実際にどう活かし、社内のAI利用ガイドラインを作成していくかを見ていきます。押さえるべきポイントは2つです。決めるべき項目を絞り込む視点と、初版に完璧さがいらない理由です。この2つがわかれば、着手のハードルは大きく下がります。
決めるのは、実質2つだけ
ここまでの内容を見て、多くの項目を自社向けに検討しなければならないと感じたはずです。しかし、ひな型を自社用にカスタマイズする際に実際に決めるべき項目は、次の2つに絞られています。
- 許可するAIツールの名前（例：会社貸与のMicrosoft Copilot、会社契約のChatGPT Enterpriseなど）
- 連絡・相談窓口（情報システム部やAI推進担当のメールアドレス、内線番号など）
3原則や入力禁止情報、出力ルールはガイドラインの記述をそのまま使えます。自社の実情に合わせて書き換える必要があるのは、この2点だけです。
「半年に1回見直す」前提だから、まず1枚でいい
もう1つ押さえておきたいのが、見直しの前提です。『生成AI社内利用ガイドライン』は「少なくとも半年に1回」、その内容と社内の利用状況を見直す仕組みを持つことを求めています。
この前提があるからこそ、初版に完璧さを求める必要はありません。半年後に見直す機会がすでに組み込まれているなら、まずガイドラインを1枚作ってみることのほうが実務的には価値があります。
作り込みに時間をかけて着手が遅れるより、ツール名と報告先だけを決めて配布し、実際の利用状況を見ながら半年ごとに更新していくほうが、現実の運用に近づきます。
ひな型を入れるだけでは終わらない注意点
ここまでで、『生成AI社内利用ガイドライン』の中身と使い方は押さえられました。ただし、ガイドラインを整備して配るだけで、社内の生成AI利用が安全になるわけではありません。ここからは、ガイドラインの整備とは別に押さえておきたい3つの注意点を見ていきます。
配っただけでは浸透しない
ガイドラインを配布しただけでは、社内に浸透しません。従業員がその存在を知らなければ、そもそも参照されないためです。配布と同時に短時間でも周知の機会を設け、なぜこのルールが必要かを説明しておくと、実効性が変わります。
シャドーAIは、ルールを作っただけでは消えない
「公式ツール以外は使わない」という原則を掲げても、従業員が個人のスマートフォンやブラウザで、会社が把握していない生成AIサービスを使う状況が、すぐになくなるわけではありません。
むしろ、業務で使いたい生成AIサービスと会社が許可したツールが一致していない場合ほど、その利用は会社の目が届かない「影」の中で続きます。これが、シャドーAIと呼ばれるゆえんですが、従業員に使用を許可するツールを検討する際は、現場が実際に使いたい機能を確認しておきましょう。それが、シャドーAIを減らすいちばんの近道です。
業種特有のリスクは、ひな型だけでは拾いきれない
ひな型は汎用的に作られているため、業種特有のリスクまでは網羅していません。
たとえば、医療や士業のように高度に機微な個人情報を扱う業種や、製造業のように設計図面や仕様書といった知的財産を多く扱う業種では、入力禁止情報の項目を自社の実情に合わせて追加する余地があります。
自社の業種でとくに守るべき情報は何かを一度洗い出し、入力禁止情報の項目に追記しておきましょう。
まとめ：AI活用ルールは、完璧よりまず1枚
東京都が2026年9月7日に公開した生成AIガイドラインのひな型は、3つの原則と具体的な禁止事項、出力ルール、報告体制を備えながら、A4用紙1〜2ページに収まるシンプルな作りになっています。
自社で決めるのは、許可するAIツールの名前と連絡・相談窓口の2つだけです。さらに、少なくとも半年に1回見直す前提があるからこそ、初版に完璧さを求める必要もありません。
もちろん、ガイドラインを整備して終わりにはできません。そのあとには、次のような作業が残ります。
- 社内へガイドラインを周知させる機会を設ける
- シャドーAIの温床になりそうな不一致を確認する
- 自社の業種特有のリスクを見極める
それでも、決めることを2つに絞ったひな型があれば、話は変わります。生成AIに関する社内ガイドラインを「いつか作る」と思っているなら、今日がその日です。決めることは、もう2つしかありません。『生成AI社内利用ガイドライン』とこの記事を参考にして、最初の一歩を踏み出してみてください。
執筆者
DXportal®運営チーム
DXportal®編集部
DXportal®の企画・運営を担当。デジタルトランスフォーメーション（DX）について企業経営者・DX推進担当の方々が読みたくなるような記事を日々更新中です。掲載希望の方は遠慮なくお問い合わせください。掲載希望・その他お問い合わせも随時受付中。