生成AIガイドラインの作り方｜中小企業が決めるべき章立てと判断基準

研修をしても浸透せず、ツールを導入しても現場で使われない――そんな悩みを抱える企業は少なくありません。生成AIガイドラインは、作り込む範囲を企業規模に合わせて決めることが出発点です。本記事では、中小企業が判断すべき基準と、そのまま使える章立て、策定の5ステップを解説します。入力の可否をどこで線引きするか、出力を誰が確認するかまで具体的に示す構成です。

生成AIガイドラインが必要な理由と自社の規模での判断基準

生成AIガイドラインは、大企業だけが用意するものではありません。まずは自社がどの状態にあるのかを確認し、優先して手を付けるべき論点を整理します。

セキュリティ対策の具体的な手順は、【2025年最新版】ChatGPTで情報漏洩？中小企業が知るべき生成AIセキュリティ対策ガイドでも解説しています。

研修をしても浸透しない、ツールを入れても使われない――よくある状態

生成AIの研修を実施しても社内に浸透せず、ツールを導入しても現場でほとんど使われない企業は珍しくなく、背景にあるのは「何を使ってよいか」「何を入力してはいけないか」の線引きの曖昧さです。

ルールが無いまま現場任せにすると、活用が広がらないだけでなく思わぬ情報漏えいにもつながりかねません。 まず取りかかるのは、現場で使っているAIツール名と用途の一覧化、そして入力を止めるべき情報の洗い出しです。

生成AI利用で企業が懸念するリスクの優先順位

総務省の令和8年版情報通信白書（2026年7月公表）によると、日本企業が生成AIの活用で最も懸念しているのは、社内情報の漏えいなどのセキュリティリスクでした。次いで出力結果の精度、著作権など権利侵害の順に高い傾向があります。

章立ても同じ順番――入力してよい情報の範囲、出力の確認手順、著作物の扱い――で並べるのが基本。

出典：総務省「令和8年版情報通信白書」第Ⅰ部第2章第1節（4）懸念されるリスク及びリスク対策のための取組状況

「今すぐ作るべきか」を判断する基準

専任の法務担当や情報システム部門がいない企業でも、判断基準さえ決めておけば、細かい条項をすべて自社で作り込む必要はありません。

生成AIを積極的に業務へ取り入れる企業の割合は企業規模が大きいほど高い傾向にありますが、方針を示す文書そのものは中小企業でも用意できるものです。まずは「入力してよい情報の範囲」と「出力を鵜呑みにしない」の2点だけでも明文化することから始めます。

出典：総務省「令和8年版情報通信白書」第Ⅰ部第2章第1節（1）生成AIの活用方針等

自社の利用実態に応じて、最低限決めるべきことの目安は次のとおりです。

利用実態	最低限決めること	あると良いもの
限られた人が試している段階	入力してよい情報の範囲、出力を鵜呑みにしない旨の周知	利用ログの簡易な記録
部署単位で使っている段階	上記に加え、運用担当者の明確化、著作権・個人情報の基本ルール	部署内での定期的な利用状況の共有
全社で使っている段階	上記に加え、役割・部門別のアクセス範囲の明文化、出力物の確認プロセス、見直しのタイミング	全社研修、違反時の相談窓口

当社が判断軸をどう決めたか

当社も従業員数名にAIエージェントを組み合わせて運営する、中小企業と変わらない体制です。代表の黒山は営業現場・エンジニア・ベンチャー立ち上げの3つの経験を持ち、その視点から「誰が」「何のために」生成AIを使うのかを先に整理し、条文づくりより判断軸づくりを優先しました。

公的なガイドラインが企業に求めていること

総務省・経済産業省が公表するAI事業者ガイドラインは、法的な拘束力を持つものではありません。ただし、企業が生成AIを利用する際の考え方を具体的に示しており、社内ルールを作るうえでの土台になる文書です。

AI事業者ガイドラインの「AI利用者」に求められる考え方

AI事業者ガイドライン第1.2版（総務省・経済産業省、2026年3月公表）は、企業を「AI利用者」と位置づけ、求められる考え方を示しています。

適正な範囲での利用、個人情報や機密情報の不適切な入力を避けること、出力を業務判断に使った際の情報提供などが柱です。 中小企業もこの対象に含まれます。

第5部が示す7つの項目を、社内ルールの条文にどう置き換えるかを整理すると次のようになります。

見出し番号	見出し名（原文ママ）	内容の要旨	社内ルールでの書き方の例
U-2）i.	安全を考慮した適正利用	想定範囲内での利用、正確性・最新性が担保されたデータの入力	業務で使ってよい範囲を明記する
U-3）i.	入力データ又はプロンプトに含まれるバイアスへの配慮	公平性が担保されたデータの入力、バイアスに留意した事業判断	出力を鵜呑みにせず人が確認する手順を書く
U-4）i.	個人情報の不適切入力及びプライバシー侵害への対策	個人情報を不適切に入力しないよう注意	入力してよい個人情報の範囲を具体的に書く
U-5）i.	セキュリティ対策の実施	機密情報等を不適切に入力しないよう注意	機密情報の入力可否と管理区分を書く
U-6）i.	関連するステークホルダーへの情報提供	出力結果を事業判断に活用した際の関係者への情報提供	出力を業務判断に使う際の報告先を書く
U-7）i.	関連するステークホルダーへの説明	適正な利用方法の情報提供、問合せ窓口の設置等	社内向けの問合せ窓口を明記する
U-7）ii.	提供された文書の活用及び規約の遵守	AI提供者から提供された文書の保管・活用、サービス規約の遵守	利用するAIサービスの規約順守を明記する

出典：総務省・経済産業省「AI事業者ガイドライン（第1.2版）」本編 第5部（令和8年3月31日）

AI新法（AI推進法）とガイドラインの位置づけ

2025年に成立したAI新法（人工知能関連技術の研究開発及び活用の推進に関する法律）は、罰則を伴う規制ではなく、AI活用を後押しする理念法です。

条文では、事業者が自らAIの活用に努める部分は努力義務ですが、国や自治体が実施する施策に協力する部分は「協力しなければならない」と明記された義務です（第7条・活用事業者の責務）。ガイドラインを整備すること自体が同法で義務づけられているわけではありません。

出典：e-Gov法令検索「人工知能関連技術の研究開発及び活用の推進に関する法律」（令和7年法律第53号）第7条

当社が外部の指針をどう役割分担に落とし込んでいるか

当社でも、秘書ジャービスやCOOスティーブなど、役割ごとに異なるAIエージェントを動かしている状態です。AI事業者ガイドラインが示す「利用範囲を超えない」「関係者に情報提供する」という考え方は、どの役割のAIが何にアクセスしてよいかを社内で線引きする際の指針として活用しています。

外部の指針をそのまま当てはめるのではなく、自社の運用実態に合わせて解釈する立場です。AIエージェントという考え方自体を整理するときは、OpenClawとは？AIエージェントの概念から始める実用的な自動化ツール入門も参考になります。

ガイドラインに入れるべき必須項目——著作権・個人情報・営業秘密

ガイドラインの中核になるのが、著作権・個人情報・営業秘密の3つの論点です。どれも「入力してよいか」「使ってよいか」を判断する基準になり、条文の分量よりも判断の拠り所を持つことが優先されます。 3つの論点は独立しておらず、1つの入力行為に同時に関わることも多いのが実情です。

著作権：学習段階と生成・利用段階で判断基準が違う

著作権の考え方は、AIが学習する段階と、生成物を利用する段階で異なります。

学習段階は、著作権法30条の4により情報解析目的の利用が原則認められますが、生成した画像や文章をそのまま販売するなど「享受目的」が加わると話は別です。 生成・利用段階では、既存の著作物と類似しているか、それに依拠して作られたかという通常の著作権侵害と同じ基準で判断されます。

出典：e-Gov法令検索「著作権法」第30条の4

出典：文化庁「AIと著作権に関する考え方について」（令和6年3月15日）

個人情報：プロンプトに入力していい情報とダメな情報の線引き

個人情報保護委員会が個人情報取扱事業者に求めているのは、利用目的の達成に必要な範囲内であることの確認と、生成AI事業者がその個人データを機械学習に利用しないことの確認という2点です。

出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（令和5年6月2日）

三大AIの学習機能をオフにする設定は、ChatGPTに入力した内容、人間が読んでいます——三大AIの「学習オフ設定」を今すぐやるべき理由と全手順で手順を確認できます。

プロンプトに入力してよい情報かどうかで迷ったときは、次の3分類に当てはめて考えます。

分類	具体例
入力してよい情報	社内で公開済みの一般的な文書のひな形、公開資料の要約依頼
条件付き（学習利用オフ等の確認が前提）	社内会議の議事録、日常業務データ（取引先の機密情報を含まないもの）
入力してはいけない情報	取引先の機密情報、本人の同意を得ていない個人データ、営業秘密として管理している技術情報

営業秘密：秘密管理性を保ったまま生成AIを使うための考え方

営業秘密として保護されるには、秘密として管理されていること、有用な情報であること、公然と知られていないことの3要件をすべて満たすことが条件です。

営業秘密として扱う情報を、社内の秘密管理措置の外で生成AIに入力する状態は避けなければなりません。 指針は、何らの秘密管理措置もなされていない場合には秘密管理性の要件を満たさないとしています。入力の前に確かめたいのが、その情報の管理区分です。

出典：経済産業省「営業秘密管理指針」（平成15年1月30日制定・令和7年3月31日最終改訂）

出力物の確認を誰が担うか

著作権・個人情報・営業秘密のいずれも、最終的に出力物を使うかどうかを誰かが判断しなければ前に進みません。担当は情報の種類によって分けるのが実務的で、著作権の判断は広報や制作の責任者、個人情報や営業秘密の判断は情報管理の責任者が適任です。 担当が決まらない場合は、まず「外部に公開する前に必ず一人が目を通す」というルールだけでも先に決めておきます。

当社が情報の扱いをどう線引きしているか

当社では、秘書ジャービスが毎朝7時30分に会議情報を確認してDiscordへ投稿する運用と、COOスティーブが経理・入金・予実管理を自動で回す運用が実例です。

どちらも社内の日常業務データを扱う範囲にとどめ、取引先の機密情報や個人の詳細な情報までは触れさせない、という線引きにしています。

生成AIガイドラインを作る5つのステップ

ここまでで章立てと必須項目は決まりますが、実際にどこから手を付けるかはまだ見えない状態です。そこで、自社のガイドラインを策定する具体的な手順を、次の5つのステップに整理します。

ステップ1：利用実態を洗い出す

最初のステップは、社内の生成AI利用の実態を洗い出すことです。担当は情報システム部門や総務など、社内のIT管理を担う部署が適任です。 誰が、どの業務で、どのAIツールを使っているかが分からなければ、範囲を決めようがありません。

実態が見えない場合は、まず全社にアンケートを取り、利用ツール名と用途を申告してもらう方法が手早く進みます。当社でも、秘書ジャービスやCOOスティーブが日常的に扱っている業務データの範囲を最初に洗い出すところから着手しました。

ステップ2：入力してよい情報の範囲を決める

2つ目のステップは、プロンプトに入力してよい情報の範囲を決めることです。個人情報を扱う部署と、営業秘密を管理する部署を交えて判断すると、抜け漏れを防げます。 判断材料になるのは、個人情報保護委員会が求める「利用目的の範囲内か」という視点と、営業秘密の秘密管理性が保てるかという視点です。

決めきれない情報は保留の扱いにして、相談先への確認を必須にします。

ステップ3：出力物の確認手順を決める

3つ目のステップは、生成AIが出力した文章や画像を、誰がどのタイミングで確認するかを決めることです。AI事業者ガイドラインは、バイアスへの配慮や出力を事業判断に使う際の関係者への情報提供を利用者に求めています。 著作権の面でも、既存の著作物に似ていないかを確認する担当を、公開・利用の前に必ず一人は置きます。

ステップ4：ひな形をもとに条文へ落とす

4つ目のステップは、JDLAなどのひな形をもとに、自社の条文へ落とし込むことです。ステップ1〜3で洗い出した「誰が」「何のために」「どこまでの情報を」使うかを、ひな形の条項に反映させる作業になります。 社内ルールに載せる項目のうち、そのまま使えるものと書き換えや追記が必要なものは次のとおりです。

項目	そのまま使える／書き換え・追記	理由
目的・適用範囲	書き換え必須	対象部署や雇用形態は会社ごとに異なるため
利用してよいAIサービスの範囲	書き換え必須	契約しているサービスは会社ごとに異なるため
個人情報・機密情報の取扱い	書き換え必須	入力してよい情報の範囲は業務内容によって異なるため
著作権に関する一般的な注意事項	そのまま使える部分が多い	著作権法の考え方自体は会社ごとに変わらないため
罰則・懲戒に関する規定	ひな形になく自社で追記	JDLAのひな形は注意事項の解説が中心で懲戒の定めを含まないため、既存の就業規則と整合させて自社で定める

ステップ5：周知して、見直す日を決める

最後のステップは、完成した条文を社内へ周知し、次に見直す時期をあらかじめ決めておくことです。見直しの日を先に決めておかないと、ガイドラインは作った時点で更新が止まりがちになります。 周知と見直しの具体的な進め方は、この後の章でまとめて扱う内容です。

ひな形を自社仕様に書き換える――JDLAガイドラインの活用法

生成AIガイドラインをゼロから作る必要はありません。土台にできるのは、JDLAが無償公開しているひな形です。 前章で紹介した5つのステップのうち、ステップ4「ひな形をもとに条文へ落とす」の具体的な進め方がここで分かります。

JDLA「生成AIの利用ガイドライン」ひな形の中身と使い方

日本ディープラーニング協会（JDLA）は、「生成AIの利用ガイドライン」を無償で公開しています（2026年9月時点）。条件なくダウンロードでき、組織が条項を追加・修正して使うことを前提に作られたひな形です。

出典：一般社団法人日本ディープラーニング協会「生成AIの利用ガイドライン」（第1.1版・2023年10月公開）

AI導入の進め方全体を確認したい場合は、中小企業のAI導入支援完全ガイド｜失敗しない進め方と成功事例も参考になります。

ひな形のままでは足りない、自社で必ず書き換えるべき箇所

JDLAのひな形は、あくまで一般的な条項の集まりです。「誰が使うか」「何のために使うか」「どこまでの情報を入力してよいか」の3点を自社の業務実態に合わせて書き換えて、初めて実効性のあるルールになります。

配布して終わりにせず、相談先・承認フロー・入力してはいけない例を同じ資料に載せた状態が最低ラインです。

当社がひな形をどう出発点にしたか

当社がルールを整備する際も、まず外部のひな形を出発点にしました。ただし当社では、人が生成AIを使う場面だけでなく、秘書ジャービスやCOOスティーブのようなAIエージェントが自律的にデータへアクセスする場面もあります。 その部分を優先して自社仕様に書き換えました。

当社が実際に運用している生成AIルールの考え方

ここからは、当社が実際にどのようなルールでAIエージェントを運用しているかを紹介します。一般論ではなく、自社の運用実態そのものです。

AIエージェント4体の役割分担と、それぞれに設けている考え方

当社は、従業員5名と4体のAIエージェントで会社を運営しています。秘書ジャービス、COOスティーブ、CMOナターシャ、CTOトニーという役割ごとに担当領域を分けており、それぞれが扱う情報の種類が異なるため、ルールも役割単位で考える必要があると捉えています。

全社一律の1枚のルールでは、どうしても粗くなりがちです。

役割ごとに触れる情報が違う――当社のAI運用から見た線引きの単位

秘書ジャービスは毎朝7時30分に会議情報を整理してDiscordへ投稿し、COOスティーブは経理・入金・予実管理を自動で回します。

同じAIでも扱うデータの範囲が違うため、当社はアクセスできる情報の範囲を役割ごとに分けた運用です。 AIエージェントを実際に運用する中でどのような変化があったかは、1人社長がAI社員4人を雇ったら、会社が「回る」ようになった話でも紹介しています。

作って終わりにしない――浸透と見直しの運用設計

ガイドラインは作った時点がゴールではありません。公開後に周知する場、次の改訂日、保管場所を決めるところまでが設計の範囲。

研修だけで終わらせない周知の仕方

研修を一度実施しただけでは、内容は時間とともに忘れられていきます。朝礼やチャットツールでの定期的なリマインド、新入社員向けの資料への組み込みなど、複数の接点で繰り返し周知することが定着の分かれ目です。

研修そのものより差がつくのは、その後どれだけ接点を作れるかです。

定期的な評価・検証を仕組み化する

総務省の令和8年版情報通信白書では、生成AIの不適切な利用を防ぐ取組として「全社的な指針やガイドラインを整備している」と回答した割合が41.1%と最も多くなっています。

一方で、導入前の専門的な審査体制や、導入後の定期的な評価・検証を行っている割合は、米国・ドイツ・中国に比べて低い傾向があります。 必要になるのは、導入後に利用状況と実例を集め、改訂へ反映するところまでの手順です。

出典：総務省「令和8年版情報通信白書」第Ⅰ部第2章第1節（4）懸念されるリスク及びリスク対策のための取組状況

見直しのタイミングの決め方

AI事業者ガイドラインは、令和6年4月の第1.0版から令和7年3月の第1.1版、令和8年3月の第1.2版へと改定を重ねています（2026年9月時点の最新版は第1.2版）。

出典：総務省・経済産業省「AI事業者ガイドライン」（第1.2版・令和8年3月31日）

社内ルールを棚卸しする機会として使いやすいのが、公的な指針が改定されたタイミングです。

見直しのきっかけになる出来事と、そのとき点検すべき範囲を整理すると次のとおりです。

きっかけ	見直す範囲
公的な指針の改定（AI事業者ガイドライン等）	該当する章の記載内容を照らし合わせて更新
利用する生成AIツールの変更・追加	入力してよい情報の範囲、契約している事業者の一覧
新しい業務での利用開始	その業務特有の情報の取扱い、確認プロセス
情報漏えい等のインシデント発生	該当する条項の実効性の検証、再発防止策の追記

ルール違反が起きたときの対応を先に決めておく

ガイドラインは、守られなかったときの対応まで決めておいて初めて機能します。違反が見つかった場合の報告先と、一次対応（該当データの削除依頼・関係者への連絡）の手順は、見直しのタイミングを待たずに先に決めておくべき項目です。 対応が事後になるほど被害の範囲が広がりやすいため、判断に迷う場合はまず情報システム部門か総務へ相談する動線を用意しておきます。

当社が外部の知見をどう取り込んでいるか

当社は、AI Dreamers Labs in OsakaやGMO生成AI大感謝祭など、外部のイベントへの登壇も実績の一つです。そこで得た他社の知見や最新の議論を持ち帰り、社内の運用ルールを見直すきっかけにしています。

あなたのAI顧問について

あなたのAI顧問株式会社は、東京都品川区を拠点に、生成AIの導入支援とAIエージェントによる業務自動化を提供している会社です。従業員5名と4体のAIエージェントで会社を運営しており、自社で日々AIを使いながら得た知見を、支援先の企業にも還元しています。

自社だけでガイドラインの整備を進めるのが不安な場合は、AI顧問の選び方完全ガイド｜現場力重視で失敗しない中小企業のAI導入も参考にしてください。

ガイドラインの章立てをそのまま使えるひな形や、社内周知に使えるチェックリストは、資料ダウンロードからまとめて入手できます。

生成AIガイドラインについてよくある質問

Q1. 生成AIガイドラインとは何ですか？

生成AIガイドラインとは、企業が生成AIを利用する際に、入力してよい情報の範囲や出力結果の確認方法など、社内で統一すべきルールをまとめた文書です。

法令そのものではなく、自社の実態に合わせて作る社内規程の一種です。 著作権や個人情報保護の考え方を踏まえて作成します。

Q2. 生成AIガイドラインは中小企業にも必要ですか？

生成AIガイドラインは、大企業に限らず中小企業にも必要な文書です。AI事業者ガイドラインが示す「AI利用者」に企業規模の区別はなく、中小企業も同じ考え方の対象になります。

入力してよい情報の範囲と、出力を確認する担当だけでも先に文面へ落として配布します。

Q3. 生成AIガイドラインで禁止すべき事項は何ですか？

生成AIガイドラインで明文化すべき代表的な事項は、著作権・個人情報・営業秘密の3点です。

具体的には、既存の著作物に類似した生成物の扱い、個人データを含むプロンプトの入力条件、機密情報を入力してよい範囲を定めます。 これらは本記事の必須項目で解説した内容と同じです。

Q4. 生成AIガイドラインのサンプル・ひな形はどこで手に入りますか？

生成AIガイドラインのひな形は、日本ディープラーニング協会（JDLA）が無償で公開しており、誰でも条件なくダウンロードできます。

自社の業務実態に合わせて条項を書き換えれば、ゼロから作成するより短い時間で整うのが利点です。 ガイドラインの章立てに沿って自社で使えるチェックリストは、資料ダウンロードから確認できます。

出典：一般社団法人日本ディープラーニング協会「生成AIの利用ガイドライン」（第1.1版・2023年10月公開）

Q5. 生成AIガイドラインは一度作れば終わりですか？

生成AIガイドラインは、一度作成したら終わりではありません。

指針やガイドラインの整備は日本企業で最も多い取組である一方、導入後の定期的な評価・検証は米国・ドイツ・中国に比べて低い傾向にあり、ここが差になりやすい部分です。 周知の仕組みと見直しのタイミングをあらかじめ決めておくことが欠かせません。

出典：総務省「令和8年版情報通信白書」第Ⅰ部第2章第1節（4）懸念されるリスク及びリスク対策のための取組状況

まとめ：自社に合った生成AIガイドラインを整えて、安心して活用を広げよう

生成AIガイドラインは、「作るかどうか」ではなく、自社の規模でどこまで作り込み、どう運用し続けるかで考えるべきテーマです。

押さえるべきは3点です。公的なガイドラインが示す考え方を自社のルールに翻訳すること、著作権・個人情報・営業秘密を必ず明文化すること、作って終わりにせず周知と見直しまで設計すること。3点がそろえば、社内での運用に迷いにくくなります。

まずは自社に合ったひな形を手元に置き、必要な項目を洗い出すことから始めましょう。ひな形やチェックリストは資料ダウンロードからご利用いただけます。