社内向け生成AI利用ガイドラインの作り方｜テンプレート付き解説
社内向けの生成AI利用ガイドラインは、利用実態の棚卸し → 経路の整理 → 入力してよい情報の基準 → 骨子の作成 → 関係部門のレビュー → 周知と教育 → 見直しの7ステップで作ります。禁止事項の列挙ではなく判断基準を書くこと、経路（個人・会社サブスク・API）ごとに扱いを分けること、可視化とセットで運用することを、記載例と失敗パターンつきで解説します。
社内向けの生成AI 利用ガイドラインは、利用実態の棚卸しから始めて、経路の整理、入力してよい情報の基準、骨子の作成、レビュー、周知、見直しの 7 ステップで作ります。禁止事項を列挙するのではなく判断基準を書き、経路ごとに扱いを分け、守られているかを確かめる可視化とセットで運用するのが要点です。
この記事では、作り方の手順と、各ステップで決めること、よくある失敗を説明します。10 項目の骨子と記載例は「生成AI 利用ガイドラインのテンプレート」にまとめています。全体像は「企業の AI ガバナンス 完全ガイド」を参照してください。
作る前に決めておくこと
| 決めること | 内容 |
|---|---|
| 目的 | 何のためのガイドラインか。情報漏えいの防止か、活用の促進か、費用の統制か。複数なら優先順位 |
| 対象 | 全社員か、特定部門か。業務委託先や派遣社員を含むか |
| 責任者と策定チーム | 経営層の責任者 1 名と、DX 推進・情シス・法務・セキュリティの実務チーム |
| 位置づけ | 既存の情報セキュリティ規程・就業規則との関係。独立の文書か、規程の一部か |
| 見直しの周期 | 半年ごとなど。ツールとリスクの変化が速い |
「情報漏えいの防止」だけを目的にすると禁止一辺倒になり、「活用の促進」だけだと統制が緩みます。「使わせながら統制する」を目的に置くと、ガイドラインの性格が決まります。
7 ステップ
ステップ 1: 利用実態の棚卸し
ガイドラインは、実態を知らずに書くと禁止事項の列挙になります。最初に、どの部署が、どの経路で、何に使っているかを把握します。
| 方法 | 内容 |
|---|---|
| 匿名アンケート | 使っているツール、経路（個人アカウント・会社契約）、用途、困りごと。責めないことを明示 |
| 部門長へのヒアリング | 部署での利用状況と、業務上のニーズ |
| 会社契約の経路の利用量 | API・クラウド経由の利用量と費用を部署別に。管理 API から取得できる |
| 契約の棚卸し | サブスク、API、クラウドの契約を一覧にする |
この段階で「禁止しているのに使われている」実態が出てきます。それを責めるのではなく、ガイドラインに反映する材料として扱います。
ステップ 2: 経路の整理
生成AI の利用経路を 3 つに分け、それぞれの扱いを決めます。
| 経路 | 扱いの例 |
|---|---|
| 個人アカウント（無料・個人契約） | 業務での利用は不可。会社契約の経路へ誘導 |
| 会社契約のサブスク（ChatGPT Team など） | 学習に使われない契約を確認のうえ、社内限定情報まで可 |
| API 経由の社内ツール・業務システム | 用途ごとに承認。費用は部署別に可視化 |
「個人アカウントは不可」とするには、会社契約の経路が用意されていることが前提です。経路が無いまま禁止すると、シャドー AI に戻ります。
ステップ 3: 入力してよい情報の基準
ガイドラインの中核です。情報の区分と経路の対応で示します。
| 情報の区分 | 個人アカウント | 会社契約のサブスク | API 経由の社内ツール |
|---|---|---|---|
| 公開情報 | 可 | 可 | 可 |
| 社内限定（一般） | 不可 | 可 | 可 |
| 社外秘・営業秘密 | 不可 | 契約と設定を確認のうえ決める | 契約と設定を確認のうえ決める |
| 個人情報・顧客情報 | 不可 | 原則不可。必要なら匿名化と法務の確認 | 原則不可。必要なら匿名化と法務の確認 |
「契約と設定を確認のうえ決める」の欄は、自社の契約（入力データが学習に使われないか、保存期間、データの所在地）を法務・セキュリティが確認して埋めます。この表が埋まれば、ガイドラインの半分はできています。
ステップ 4: 骨子の作成
10 項目の骨子に沿って書きます。
| 項目 | 内容 |
|---|---|
| 1. 目的 | なぜこのガイドラインがあるか |
| 2. 適用範囲 | 誰に、どのツール・経路に適用するか |
| 3. 利用できる経路 | 会社が用意した経路と、その使い方 |
| 4. 入力してよい情報 | ステップ 3 の表 |
| 5. 生成物の扱い | 事実確認、権利の確認、成果物への明示 |
| 6. 禁止事項 | 最小限に。判断基準で書けないものだけ |
| 7. 申請・承認 | 新しいツール・用途を始めるときの手続き |
| 8. 費用 | 予算の単位、上限、超過時の扱い |
| 9. 相談・報告の窓口 | 判断に迷ったとき、問題が起きたときの連絡先 |
| 10. 見直し | 改定の周期と担当 |
各項目の記載例は「生成AI 利用ガイドラインのテンプレート」を参照してください。
ステップ 5: 関係部門のレビュー
| 部門 | 確認の観点 |
|---|---|
| 法務 | 個人情報・営業秘密・著作権の扱い。契約との整合 |
| 情報セキュリティ | 経路ごとのデータの扱い。既存の規程との整合 |
| 人事 | 就業規則・懲戒との関係。研修の組み込み |
| 現場の部門長 | 実務で守れるか。業務が止まらないか |
| 経理・経営企画 | 費用の項目。予算の単位と報告の形 |
現場のレビューを省くと、「守れないルール」になります。**「このルールで、今やっている業務は続けられますか」**を部門長に確認してください。
ステップ 6: 周知と教育
配布しただけでは読まれません。
- 全社説明会または動画で、「何が変わったか」「困ったらどこに聞くか」を伝える
- 「やってはいけないこと」より「これはやってよい」「迷ったらここ」を中心に
- 入社時研修と年 1 回の研修に組み込む
- 実際に起きた事例（自社・他社）を使う
ステップ 7: 見直し
半年ごとに、次を確認して改定します。
- 利用実態の変化（新しい経路、増えた部署、増えた用途）
- 起きた逸脱・インシデントと、その原因
- 相談窓口に寄せられた質問（ガイドラインの分かりにくい部分）
- 契約・ツールの変更
見直しの材料は、会社契約の経路の利用量と費用の推移が最も客観的です。可視化があれば、「この半年で何が変わったか」を数字で確認できます。
「守られているか」を確かめる仕組み
ガイドラインは、守られているかを確かめる手段とセットで初めて機能します。
| ガイドラインの項目 | 確かめる手段 |
|---|---|
| 個人アカウントの業務利用は不可 | 会社経路の利用が無い部署へのヒアリング。定期アンケート |
| 使ってよい経路 | 会社経路の利用量が部署別に見えているか |
| 費用の上限 | 部署別の費用と予算の消化率、急増の通知 |
| 申請・承認 | 承認済みの用途・ツールと、実際のキー・プロジェクトの対応 |
| 退職・異動時の扱い | キー・アカウントの棚卸し |
API・クラウド経由の利用は、管理 API から利用量と費用を取得できるため、プロンプトの内容に触れずに確認できます。可視化の考え方は「AI ガバナンスは「可視化」から始まる」を参照してください。
よくある失敗
| 失敗 | 何が起きるか | 対策 |
|---|---|---|
| 禁止事項の列挙になる | 必ず漏れる。列挙に無いことは「やってよい」と解釈される | 情報の区分 × 経路の判断基準で書く |
| 他社のガイドラインをそのまま使う | 自社の経路・契約と合わず、守れない | 棚卸しと契約の確認から自社の表を作る |
| 法務だけで作る | 現場で守れない。活用が止まる | 部門長のレビューを必ず入れる |
| 経路を区別しない | 個人アカウントと API 経由で同じルールになり、どちらにも合わない | 3 つの経路で扱いを分ける |
| 配布して終わる | 読まれない。守られているか分からない | 説明会・研修と、可視化による確認をセットに |
| 見直さない | ツールと契約が変わり、実態と乖離する | 半年ごとの見直しを担当つきで決める |
よくある質問
Q. どのくらいの分量が適切ですか？ A4 で 3〜5 ページ程度が、読まれる上限です。詳細は別紙（経路ごとの手順、FAQ）に分けてください。
Q. 業務委託先や派遣社員にも適用しますか？ 社内の情報を扱う以上、適用するのが原則です。契約書や誓約書での担保を法務に確認してください。
Q. AI 事業者ガイドラインなど公的な文書は参照すべきですか？ 参照は有益ですが、そのまま社内ルールにはなりません。リスクの特定・対応・記録・見直しの考え方を借りて、自社の実態に合わせて書いてください。
Q. 費用の項目はガイドラインに必要ですか？ API 経由の利用がある企業では必要です。予算の単位（部署か用途か）と、超過時に誰が判断するかを決めておくと、可視化の仕組みとつながります。
まとめ
- 作り方は、棚卸し → 経路の整理 → 入力基準 → 骨子 → レビュー → 周知 → 見直しの 7 ステップ
- 禁止事項の列挙ではなく、情報の区分 × 経路の判断基準で書く
- 個人アカウント・会社サブスク・API 経由の 3 経路で扱いを分ける。禁止するなら代替の経路を用意する
- 現場のレビューと、守られているかを確かめる可視化をセットにする
- 半年ごとに、利用量と費用の推移・逸脱・相談内容を材料に見直す
ManageAI は、会社契約の API・クラウド経由（5 プロバイダ）の利用量と費用を、プロンプト原文に触れずに部署・利用者別に可視化し、予算と急増を通知します。ガイドラインの「費用」「経路」「見直し」の項目を、実態の数字で運用できます。モニター企業を募集中です。
関連記事
この記事を書いた人
モニター企業募集
初期費用0円・月額5万円（税別）
先着5社・2026年11月末まで
5プロバイダの利用量と費用を部署・利用者・APIキー別に可視化。読み取り専用キーの登録だけで当日から始められます。
募集要項を見る資料請求・お問い合わせ