「うちもAIのルールを作っておいて」と言われて、「AI 利用ルール ひな形」で検索したところまでは進んだ。ところが出てきた雛形をそのまま社内に配れる気がせず、手が止まっている——という状態の人に向けた記事です。
結論から書きます。ひな形が使えないのは、ひな形の出来が悪いからではありません。ひな形には「自社が何を秘密として扱うか」「誰が判断するか」が書けないからです。そこは各社が自分で決めるしかなく、しかもそれを決めてしまえば、あとの文章はかなり埋まります。この記事では、公的な資料が実際に何と書いているかを原文のまま並べながら、ルールという文書をどう組み立て、誰が決め、どう更新していくかを扱います。
この記事の結論（先に5つだけ）
- 文書の名前は自由です。国のガイドラインは「AIポリシー」等の呼称について「呼称も各主体に委ねられている。」と書いています。ひな形の題名に合わせる必要はありません。
- ひな形を探す前に、自社で決めることが3つあります。①自社がどの立場でAIに関わるのか ②誰がルールを決め、誰が判断に迷ったときの窓口になるのか ③文書をどこに置き、既存の就業規則や秘密保持のしくみとどうつなぐのか。
- ルールに書く項目は「入力してはいけないもの」だけではありません。国のガイドラインが「AI利用者」向けに挙げている項目は7つあり、そのうち3つは社外・関係者への説明と文書の保管・規約の遵守の話です。
- 個人情報について国が求めているのは「入力禁止」ではなく「確認」です。個人情報保護委員会の注意喚起は、事業者に対して利用目的の範囲内かを「十分に確認すること」、学習に使われないことを「十分に確認すること」と書いています。会社として一度確認し、その結果を残す欄をルール文書に用意しておくのが実務的です（当サイトの提案）。
- 完璧でなくても構いません。経済産業省の営業秘密管理指針は、中小企業に「鉄壁の」秘密管理を求めることは現実的ではないと明記しています。目指すのは網羅ではなく、従業員が「これは秘密だ」と分かる状態です。
※この記事で引用する公的資料は、すべて当サイトが実際に開いて確認したものです（2026年8月16日確認。別添〔付属資料〕とチェックリスト〔別添7〕のみ2026年8月17日確認）。
この記事の根拠｜誰が、どこを、いつ確認したか
この記事は、当サイトが2026年8月16日（AI事業者ガイドラインの別添とチェックリストのみ2026年8月17日）に次の3つの公的資料を実際にダウンロードして読み、その記載だけをもとに書いています。社内規程づくりのコンサルティングを行っている会社が書いた記事ではありません。
| 資料 | 版・日付 | 当サイトが読んだ範囲 |
|---|---|---|
| AI事業者ガイドライン（総務省・経済産業省） | 第1.2版（2026年3月31日公表） | 本編PDF 42ページ・概要PDF 24ページ・チェックリスト（別添7）2ページを全文／別添（付属資料）185ページは目次と「別添.はじめに」のみ |
| 生成AIサービスの利用に関する注意喚起等（個人情報保護委員会） | 令和5年6月2日 | 掲載ページと本体PDF（別添1）3ページ |
| 営業秘密管理指針（経済産業省） | 平成15年1月30日／最終改訂 令和7年3月31日 | PDF 29ページを全文 |
この記事の書き方のルール（最後まで守ります）
- 原文が断定していないことは、当サイトも断定しません。「〜と考えられる」「〜場合もあり得る」「〜可能性がある」と書かれているものは、その言い回しのまま引用します。
- 公的資料が言っていることと、当サイトの提案を分けて書きます。「ここからは当サイトの提案です」と明記します。
- 読んでいない資料の中身は書きません。下の「確かめていないこと」に、読んでいないものを名前で挙げておきます。
- 法律相談ではありません。当サイトは法律事務所ではなく、個別の事案について適法・違法の判断はできません。この記事は公的資料の記載を整理したものです。
確かめていないこと（読んでいない資料）
- AI事業者ガイドラインの別添（付属資料・185ページ）の中身。第1.2版の別添PDFは総務省の掲載ページから取得でき、目次と冒頭の「別添.はじめに」までは読みましたが、それ以外の中身は読んでいません（2026年8月17日確認）。なおチェックリスト（別添7）は別添本体とは別のPDF（2ページ）として公開されており、こちらは全文を読みました。
- 「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」（2025年12月19日 人工知能戦略本部決定）。ガイドラインの脚注にリンクが実在することは確認しましたが、中身は読んでいません。
- 個人情報保護委員会「DeepSeekに関する情報提供」（令和7年2月3日）、および生成AIの注意喚起の別添2「OpenAIに対する注意喚起の概要」。どちらも開いていません。
- 個人情報保護法の令和8年改正の中身。改正の枠が委員会サイトに存在することまでしか見ていないため、「改正で扱いが変わる」といった記述はこの記事にありません。
- 営業秘密管理指針の脚注にある「秘密情報の保護ハンドブック」「AI・データの利用に関する契約ガイドライン－ＡＩ編－」。どちらも開いていません。
なお、個人情報保護委員会が生成AIについて出している「注意喚起」は、2023年6月2日のもの1件です。これは見つけられなかったという意味ではなく、委員会の注意情報一覧を開いて掲載項目を全数確認した結果です（2026年8月16日）。ただし、確認した範囲はこの一覧に限られます。委員会の議事資料・FAQ・ガイドライン本体まではさらっていません。
社内のAI利用ルールとは｜文書の名前は各社が決めてよい
社内のAI利用ルールとは、自社の従業員がAIを業務で使うときの前提・禁止事項・判断の窓口・確認の手順をまとめた社内文書のことです。
ここで最初につまずくのが「そもそも何という名前の文書を作ればいいのか」です。検索すると「AIポリシー」「AI利用ガイドライン」「生成AI利用規程」「AI利用基準」と、ばらばらの名前が出てきます。
この点について、国のガイドラインははっきり書いています。AI事業者ガイドライン 第1.2版の本編、AIガバナンス・ゴールの説明に付いた脚注です。
AI ガバナンス・ゴールとして、本ガイドラインに記載の「共通の指針」への対応事項からなる自社の取組方針（「AI ポリシー」等、呼称は各主体により相違）及び「共通の指針」への対応事項を包含しつつそれ以外の要素を含む取組方針 （データ活用ポリシー等） を設定すること等が考えられる。AI を活用することによって多様性・包摂性を向上させる等の便益を高めるための指針を提示してもよい。また、呼称も各主体に委ねられている。
出典：経済産業省・総務省「AI事業者ガイドライン 第1.2版」本編（2026年8月16日確認。太字は当サイトによる）
つまり、名前は各社が決めてよい、と公式に書かれています。ひな形の題名が「AI利用ガイドライン」だからといって、自社の文書もその名前にしなければならない理由はありません。既存の社内文書の呼び方に合わせるのがいちばん摩擦が少ないはずです。
| 自社の既存文書がこうなら | 合わせる名前の例 | 置き場所の例 |
|---|---|---|
| 「〇〇規程」で統一されている | 生成AI利用規程 | 規程集に1本追加 |
| 「〇〇ガイドライン」が多い | AI利用ガイドライン | 社内ポータルの規程・手引き欄 |
| 方針レベルの文書がある | AIポリシー（方針）＋運用手引き（実務）の2階建て | 方針は社外公開も可能な場所へ |
| 文書がほとんど無い | 名前を決めずに「AIの使い方（社内向け）」で1枚から | 共有フォルダのトップ |
なお、ガイドライン自体は「基本理念（why）」「指針（what）」を本編で、「実践（how）」を別添で扱う、という3層の作りになっています。本編にはこう書かれています。
本ガイドラインは読みやすさを考慮し、本編で「基本理念」及び「指針」を扱い、別添（付属資料）で「実践」を扱うこととする。
出典：同上
ここからは当サイトの提案です。公式が「社内文書もこう分けなさい」と言っているわけではありませんが、「なぜ使うのか（方針）」と「具体的にどう使うのか（手順）」を1つの文書に詰め込むと、手順が変わるたびに方針まで改訂することになります。上の表の3行目のように、変わりにくい方針と、変わりやすい手順を分けておくと、更新が軽くなります。
まとめると、名前で悩む時間は不要です。既存文書の呼び方に合わせ、変わりにくい部分と変わりやすい部分を分けられそうなら分ける。それだけ決めて次へ進みます。
書き始める前に決める3つ｜立場・決める人・つなぎ先
ひな形が埋まらない原因は、たいていこの3つが決まっていないことにあります。逆に言えば、ここを決めてしまえば文章はかなり自動的に決まります。
① 自社は、どの立場でAIに関わるのか
AI事業者ガイドラインは、関わる主体を3つに分けています。概要の記載はこうです。
AI開発者：AI システムを開発する事業者（AI を研究開発する事業者を含む）
AI提供者：AI システムをアプリケーション、製品、既存のシステム、ビジネスプロセス等に組み込んだサービスとしてAI利用者、場合によっては業務外利用者に提供する事業者
AI利用者：事業活動において、AI システム又はAI サービスを利用する事業者出典：経済産業省・総務省「AI事業者ガイドライン 第1.2版」概要（2026年8月16日確認）
多くの会社は「AI利用者」に当たります。ただし、本編には次の一文があります。
これらの主体は事業者（又は各者内の部門）を想定しており、AI の活用方法によっては同一の事業者がAI 開発者、AI 提供者又はAI 利用者の複数を兼ねる場合もある
出典：同 本編（2026年8月16日確認）
「兼ねる場合もある」であって、「組み込めば必ず提供者になる」とは書かれていません。ただ、自社のサービスにAIを組み込んで顧客に出しているなら、「うちは使うだけだから利用者」と決めつけて先に進むのは危ないところです。ルール文書の冒頭で、自社がどの立場でAIに関わっているのかを1〜2行で書いておくと、以降の章の書きぶりが定まります。
なお、このガイドラインが誰に向けたものかも本編に明記されています。
本ガイドラインは、様々な事業活動においてAI の開発・提供・利用を担う全ての者（政府・自治体等の公的機関を含む）を対象としている。
出典：同 本編（2026年8月16日確認）
一方で、事業活動以外でAIを利用する人（本編の呼び方で「業務外利用者」）と、データを提供する法人・個人（同じく「データ提供者」）は「本ガイドラインの対象には含まない」とされています。ただし、対象外とされた人にとって無関係という書き方はされていません。本編には、続けて次のように書かれています。
なお、AI に関係する事業者以外の者、例えば、教育・研究機関に属する者及び一般消費者（未成年を含む）にとっても、AI の活用にあたって参考となる情報及びリスクに関する情報が盛り込まれているため、有用といえる。
出典：同 本編（2026年8月16日確認）
「対象外＝読まなくてよい」ではないという点は、社内で「うちは関係ないのでは」と言われたときの答えになります。
② 誰が決め、迷ったときは誰に聞くのか
ルール文書でいちばん使われるのは、禁止事項の一覧ではなく「判断に迷ったときの連絡先」です。ここが空欄のひな形をそのまま配ると、現場は迷った時点で使うのをやめるか、黙って使うかのどちらかになります。
決める人について、ガイドラインは経営層の関与を求めています。
これらを効果的な取組とするためには、経営層の責任は大きく、そのため、リーダーシップを発揮することが重要である。その際は、短期的な利益の追求の観点からAI ガバナンスの構築を単なるコストと捉えるのではなく、各主体の持続的成長及び中長期的な発展を志向した先行投資として捉えることが重要である。
出典：同 本編（2026年8月16日確認）
同時に、身の丈への配慮も書かれています。
なお、具体的な検討にあたっては開発・提供・利用予定のAI のもたらすリスクの程度及び蓋然性、並びに各主体の資源制約に配慮することが重要である。
出典：同上
「資源制約に配慮する」と明記されています。専任の担当を置けない会社が、置けないことを理由に何も作らないより、既にいる誰かを窓口にして1枚作るほうが、この文の趣旨には沿います。
③ 既存のしくみと、どこでつなぐのか
AIのルールは、ゼロから独立した体系を作るものではありません。多くの会社にはすでに、秘密情報の扱いについての決まりがあります。経済産業省の営業秘密管理指針は、秘密管理措置として想定されるものを次のように挙げています。
必要となる秘密管理措置としては、主として、媒体の選択や当該媒体への表示、当該媒体に接触する者の限定、営業秘密と他の情報との分別管理、営業秘密たる情報の種類・類型のリスト化、就業規則や秘密保持契約（あるいは誓約書）などの規程等において守秘義務を明らかにする、従業員への研修・啓発が想定される。要するに、秘密管理措置の対象者たる従業員において当該情報が秘密であって、一般情報とは取扱いが異なるべきという規範意識が生じる程度の取組（管理措置）であることがポイントとなる。
出典：経済産業省「営業秘密管理指針」（平成15年1月30日／最終改訂 令和7年3月31日）・2026年8月16日確認。太字は当サイトによる
すでに就業規則や誓約書で守秘義務を定めているなら、AIのルールはその延長として書けます。新しい体系を立ち上げるのではなく、「既存の守秘義務は、AIサービスへの入力にも及ぶ」と1行つなぐほうが、現場の理解も早くなります。
| 決めること | 決まっていないと起きること | 文書に書く形 |
|---|---|---|
| ① 自社の立場 | 他社向けサービスにAIを組み込んでいるのに、社内利用の話だけで文書が終わる | 冒頭に1〜2行「当社は〇〇としてAIを利用（提供）している」 |
| ② 決める人・窓口 | 迷った現場が、黙って使うか使うのをやめる | 「判断に迷う場合は〇〇部〇〇へ」を各章の末尾に |
| ③ 既存規程とのつなぎ | 就業規則とAIルールで、秘密の定義が食い違う | 「本文書は就業規則第〇条の守秘義務を、AIサービスの利用について具体化したものである」 |
まとめると、この3つは調べても出てきません。ひな形が埋まらない原因はここにあるので、先に決めてしまいます。逆に、AIをどこから導入するかという順番そのものに迷っている段階なら、中小企業の生成AI導入は何から始めるかを公的資料で整理した記事のほうが先です。
ルールに書く項目｜公式が挙げる「AI利用者」の7つの持ち場
ここがこの記事の中心です。AI事業者ガイドライン 第1.2版の本編は、42ページのうち第5部の2ページを「AI利用者に関する事項」に充てています。社内でAIを使う一般企業は、この「AI利用者」に当たります。
第5部の冒頭には、AI利用者の位置づけがこう書かれています。
AI 利用者は、AI 提供者から安全安心で信頼できるAI システム・サービスの提供を受け、AI 提供者が意図した範囲内で継続的に適正利用及び必要に応じてAI システムの運用を行うことが重要である。これにより業務効率化、生産性・創造性の向上等AI によるイノベーションの最大の恩恵を受けることが可能となる。また、人間の判断を介在させることにより、人間の尊厳及び自律を守りながら予期せぬ事故を防ぐことも可能となる。
出典：経済産業省・総務省「AI事業者ガイドライン 第1.2版」本編 第5部（2026年8月16日確認）
そして、AI利用者の重要事項として7つの見出しが並んでいます（記号は「共通の指針」の番号に対応しており、U-1）は本編にありません）。この7つが、そのままルール文書の章立ての候補になります。
7つの見出しと、ルール文書のどの章になるか
左が公式の見出し、中央がその下に並ぶ項目の要旨、右が当サイトの提案です。右列は公式が書いていることではありません。
| 公式の見出し（原文） | その下に並ぶ項目（要旨） | ルール文書の章にすると（当サイトの提案） |
|---|---|---|
| U-2）i. 安全を考慮した適正利用 | 提供者が定めた留意点の遵守／想定された仕様どおり動作しているかの確認／正確性・最新性が担保されたデータの入力／出力の精度とリスクを理解したうえでの利用（4項目） | 使ってよいAIサービスの一覧と、出力を業務に使う前の確認手順 |
| U-3）i. 入力データ又はプロンプトに含まれるバイアスへの配慮 | 公平性が担保されたデータの入力、プロンプトに含まれるバイアスへの留意、責任をもった事業利用判断（1項目） | 採用・評価・与信など、人を選別する用途での使い方 |
| U-4）i. 個人情報の不適切入力及びプライバシー侵害への対策 | 個人情報を不適切に入力しない／プライバシー侵害について情報収集し防止を検討する（2項目） | 個人情報の扱い（次の章で詳述） |
| U-5）i. セキュリティ対策の実施 | 提供者のセキュリティ上の留意点の遵守／機密情報等を不適切に入力しない（2項目） | 入力してはいけない情報と、その判断の窓口 |
| U-6）i. 関連するステークホルダーへの情報提供 | 公平性が担保されたデータの入力とプロンプトのバイアスへの留意をしたうえで出力結果を取得し、出力結果を事業判断に活用した際は、その結果を関連するステークホルダーに合理的な範囲で情報提供する（1項目） | 抜けやすい。顧客・取引先への説明が必要になる場面の決め |
| U-7）i. 関連するステークホルダーへの説明 | 適正な利用方法を含む情報提供／データ提供の手段・形式の事前の情報提供／評価にAIを使う場合は対象者への通知と説明責任／問合せ窓口の設置（4項目） | 抜けやすい。AI利用の開示と、問合せ窓口 |
| U-7）ii. 提供された文書の活用及び規約の遵守 | 提供された文書を適切に保管・活用する／提供者が定めたサービス規約を遵守する（2項目） | 契約書・利用規約・設定画面の記録の保管場所と担当 |
ここで気づきたいこと｜3つは「社外向け」の話
7つを並べると分かることがあります。入力の管理が中心になるのは U-2）i から U-5）i までで、残る U-6）i・U-7）i・U-7）ii は、見出し自体が社外・関係者への説明と、文書の保管・規約の遵守を指しています。（U-2）i には出力の確認についての項目が、U-6）i には入力についての記述が含まれます。7項目の表の中央の列は各項目の要旨で、原文そのものではありません。左の列は公式の見出しの原文です。）
とくに U-7）i には、次の項目が入っています。
当該AI の出力結果を特定の個人又は集団に対する評価の参考にする場合は、AI を利用している旨を評価対象となっている当該特定の個人又は集団に対して通知し、当ガイドラインが推奨する出力結果の正確性、公正さ、透明性等を担保するための諸手続きを遵守し、かつ自動化バイアスも鑑みて人間による合理的な判断のもと、評価の対象となった個人又は集団からの求めに応じて説明責任を果たす
出典：同 本編 第5部 U-7）i（2026年8月16日確認）
採用選考の書類スクリーニングや人事評価の下書きにAIを使っている会社は、この項目に直接当たります。「入力してよい情報の一覧」だけを書いた文書では、ここは1行も埋まりません。ルールを作るときに、社内の誰かがすでにこの使い方をしていないかを先に聞いておくと安全です。
同じく U-7）ii には、次の2項目があります。
・AI 提供者から提供されたAI システム・サービスについての文書を適切に保管・活用する（「7）アカウンタビリティ」）
・AI 提供者が定めたサービス規約を遵守する（「7）アカウンタビリティ」）出典：同 本編 第5部 U-7）ii（2026年8月16日確認）
これは地味ですが、ルール文書に「保管場所と担当」を1行書くだけで満たせる項目です。利用規約・プラン内容・設定画面のスクリーンショットをどこに置くかを決めておきます。
なお、出力の確認は人が行う前提で書かれている
U-2）i には「AI の出力について精度及びリスクの程度を理解し、様々なリスク要因を確認した上で利用する」という項目があります。ルール文書では、「そのまま使ってよい用途」と「必ず人が確認する用途」を分けて書くのが実務的です。AIが事実と異なる内容を出す件そのものについては、ChatGPTのハルシネーション対策を公式情報で整理した記事にまとめています。
10個の「共通の指針」との関係（数え方に注意）
上のU-2〜U-7という番号は、ガイドラインの「共通の指針」の番号に対応しています。共通の指針は1）人間中心 2）安全性 3）公平性 4）プライバシー保護 5）セキュリティ確保 6）透明性 7）アカウンタビリティ 8）教育・リテラシー、そして9）公正競争確保 10）イノベーションです。
ただし、この10個は一列に並んでいません。概要では、1）〜8）が各主体が取り組む事項、9）10）が社会と連携した取組が期待される事項として区分されています。「10個の指針をすべて社内ルールに書く」と考えると重すぎます。社内文書で扱うのは前半の8つ、と割り切って構いません。（当サイトの提案です。当サイトが確認した3つの公的資料に、そのような線引きの記載はありませんでした。）
この章と、当サイトの別記事との役割分担
この章で引用した U-4）i・U-5）i・U-7）ii の原文と、上の「10個の数え方」は、中小企業の生成AI導入は何から始めるかでも同じ資料から引用しています。
あちらは「AIをどこから導入するか」という順番の話、この記事は「7つを章立てに写す」という文書の作り方の話です。10個の指針の数え方そのものを詳しく知りたい場合は、あちらを先に読んでください。
まとめると、ルール文書の目次は自分で考えなくても、この7つを写せば骨組みになります。そのうえで、自社に無い用途の章は「該当なし」と書いて残しておくと、あとで用途が増えたときに気づけます。
「入力してはいけないもの」の章に、どこまで書くか
ルール文書でいちばん分量が膨らみがちなのがこの章です。ここでの提案は「文書の中で列挙しきろうとしない」ことです。禁止する情報の種類は増えたり細かくなったりするので、規程本体に全部書き込むと、そのたびに規程の改訂が必要になります。
この章に入れるものと、別の場所に出すもの（当サイトの提案）
- 規程本体に書く：既存の守秘義務がAIサービスへの入力にも及ぶこと／判断に迷ったときの窓口／違反したときの報告先。この3つは変わりません。
- 別紙・社内ポータルに出す：入力してはいけない情報の具体的な一覧、判断に迷う資料の見分け方。ここは追記が発生します。
- 入れないほうがよい：特定のサービス名と、その時点の設定画面の手順。サービス側の画面は変わります。
入力してはいけない情報の中身そのものと、資料ごとの判断のしかたは、当サイトの別記事にまとめてあります。ルール文書の別紙は、この2本を自社向けに書き換えるところから作れます。
- AIに入力してはいけない情報7選｜安全に使うための基本ルール（種類ごとの整理）
- 社内資料をChatGPTに読ませていいかの判定フロー（手元の資料をどう見分けるか）
まとめると、この章は短くて構いません。変わらない3つだけを規程に置き、変わるものは別紙に逃がします。
個人情報｜求められているのは「入力禁止」ではなく「確認」
個人情報については、個人情報保護委員会が2023年6月2日（令和5年6月2日）に「生成AIサービスの利用に関する注意喚起等」を出しています。この文書は（1）個人情報取扱事業者 （2）行政機関等 （3）一般の利用者の3つに分けて書かれており、会社としてのルールに関係するのは（1）です。
（1）に書かれているのは2項目だけです。原文をそのまま引きます。
① 個人情報取扱事業者が生成AI サービスに個人情報を含むプロンプトを入力する場合には、特定された当該個人情報の利用目的を達成するために必要な範囲内であることを十分に確認すること。
出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（令和5年6月2日）別添1・2026年8月16日確認
② 個人情報取扱事業者が、あらかじめ本人の同意を得ることなく生成AI サービスに個人データを含むプロンプトを入力し、当該個人データが当該プロンプトに対する応答結果の出力以外の目的で取り扱われる場合、当該個人情報取扱事業者は個人情報保護法の規定に違反することとなる可能性がある。そのため、このようなプロンプトの入力を行う場合には、当該生成AI サービスを提供する事業者が、当該個人データを機械学習に利用しないこと等を十分に確認すること。
出典：同上
読み違えやすい2か所
原文が言っていること／言っていないこと
- 「違反する」とは書かれていません。②の原文は「違反することとなる可能性がある」です。この記事でも、それ以上には踏み込みません。
- 「個人情報を入力してはならない」とも書かれていません。①は「必要な範囲内であることを十分に確認すること」です。禁止ではなく確認を求める書き方になっています。
- 確認の相手は、社員ではなくサービス側です。②が求めているのは、使う生成AIサービスの提供事業者が「当該個人データを機械学習に利用しないこと等」を十分に確認することです。
ここが、ルール文書に「記録欄」が要る理由
②は、個々の社員には実行できません。ある社員がプロンプトを打つたびに、そのサービスの学習利用の条件を確認するのは無理があります。会社として一度確認し、その結果を残し、条件が変わったら確認し直す——という担当と記録が要ることになります。
ここからは当サイトの提案です。ルール文書の付表として、次のような欄を用意しておくと、②の「十分に確認すること」を会社として実行した記録になります。
| サービス名 | 使うプラン・契約形態 | 確認した内容 | 確認した人 | 確認日 | 次に見直す時期 |
|---|---|---|---|---|---|
| （記入） | （記入） | 学習利用の有無／設定の場所／根拠にした公式ページのURL | （記入） | （記入） | （記入） |
当サイトは、この記事で特定のサービスの学習利用の条件を調べていません。上の表は空欄の様式であって、記入例ではありません。実際の確認は、自社が契約するプランの公式ページと利用規約で行ってください。
なお、ルールを作る前にすでに入力してしまっている社員がいる場合の対処は、ChatGPTに個人情報を入力してしまったときの対処にまとめています。ルールの整備と並行して、報告してもらう窓口を先に告知しておくほうが実務的です。
まとめると、この章に書くべきは禁止の宣言ではなく、誰がいつ何を確認したかを残す欄です。
営業秘密｜社内で使う分と、外部サービスに渡す分は書き方を変える
「社外に出したくない情報」を扱う会社では、ここがルール文書の芯になります。参照するのは経済産業省の営業秘密管理指針です。表紙の表記は「平成１５年１月３０日（最終改訂：令和７年３月３１日）経済産業省」で、2025年3月31日改訂版が最新です（改訂は7回）。
まず、この指針が何を求めているか
不正競争防止法で守られる「営業秘密」であるためには、秘密として管理されていること（秘密管理性）が要ります。その趣旨は次のように説明されています。
秘密管理性要件の趣旨は、企業が秘密として管理しようとする対象（情報の範囲）が従業員や役員、取引相手先など（以下、「従業員等」という。）に対して明確化されることによって、従業員等の予見可能性、ひいては、経済活動の安定性を確保することにある。
出典：経済産業省「営業秘密管理指針」（最終改訂 令和7年3月31日）・2026年8月16日確認
秘密管理性要件が満たされるためには、営業秘密保有者が当該情報を秘密であると単に主観的に認識しているだけでは不十分である。
出典：同上
つまり、社長や上司が頭の中で「これは秘密」と思っているだけでは足りず、従業員に分かる形で示されている必要がある、という説明です。AIのルール文書は、この「明確化」の手段の1つとして機能します。
要求の水準｜「鉄壁の」管理は求められていない
ここが、ルール作りで手が止まっている人にいちばん効く記載です。
営業秘密が競争力の源泉となる企業、特に中小企業が増加しているが、これらの企業に対して、「鉄壁の」秘密管理を求めることは現実的ではない。仮にそれを求めることになれば、結局のところ、法による保護対象から外れてしまうことが想定され、イノベーションを阻害しかねないこと。
出典：同上。太字は当サイトによる
必要な措置の程度についても、次のように書かれています。
➢ 例えば、情報の性質に関して、当該営業秘密保有者にとって重要な情報であり、当然に秘密として管理しなければならないことが従業員にとって明らかな場合には、そうした従業員の認識を活用した管理が許されて然るべきであり、会社のパソコン等へログインするためのIDやパスワードなどにより秘密情報へのアクセスが制限されているといった程度の技術的な管理措置や、就業規則や誓約書において当該情報の漏えいを禁止しているといった規範的な管理措置で足りる場合もある。
出典：同上。太字は当サイトによる
「足りる場合もある」であって、「必ず足りる」ではありません。それでも、完璧な文書でなければ意味がないという思い込みを外すには十分な記載です。指針自身も、具体的に必要な措置は「企業の規模、業態、従業員等の職務、情報の性質その他の事情の如何によって異なる」としています。
★ 社内での利用と、外部への提供は分けて書く
生成AIについては、この指針に直接触れた記述があります。本文と脚注をセットで読む必要があるので、両方引用します。
※注２ 管理単位C で秘密管理されている情報αを生成AI に利用していた場合であって、その後、管理単位C で当該生成AI から当該情報αがAI 生成物として生成・出力されることがあったとしても、当該情報αが管理単位C で秘密管理されているのであれば、管理単位C で当該情報αが生成・出力されたことの一事をもって、管理単位C における秘密管理性が否定されることはないと考えられる。
出典：同上（引用にあたり、原文の脚注番号と、管理単位Dに関する後段を省略しました）
ここだけを読むと、社内で生成AIを使っても秘密管理性は失われない、と受け取れます。ところが、同じ文に付いた脚注には逆側の但し書きがあります。
ただし、当該企業にとどまらず、当該情報αが当該企業以外の第三者（例えば、生成AI 提供事業者等）に提供される場合は、秘密管理性が否定される場合もあり得る。
出典：同上（本文※注２に付された脚注）
どちらも断定していません。本文は「否定されることはないと考えられる」、脚注は「否定される場合もあり得る」です。「外部のAIに入れたら営業秘密ではなくなる」とも「入れても大丈夫」とも、この指針からは言えません。
ルール文書への落とし込みとしては、次のように分けて書くのが素直です（当サイトの提案）。
| 使い方 | 指針の記載（要旨） | ルール文書での書き方（当サイトの提案） |
|---|---|---|
| 秘密管理されている範囲の中でAIを使い、その中で出力される | 生成・出力されたことの一事をもって秘密管理性が否定されることはないと考えられる | 通常の守秘義務の範囲として扱う |
| 情報が自社の外（生成AI提供事業者等の第三者）に提供される | 秘密管理性が否定される場合もあり得る | 個別の判断が要る扱いにし、窓口への相談を必須にする |
なお、この指針の性格についても表紙の直後に明記があります。
（前略）一つの考え方を示すものであり、法的拘束力を持つものではない。
出典：同上「はじめに（本指針の性格）」。太字は当サイトによる
あわせて「不正競争防止法に関する個別事案の解決は、最終的には、裁判所において、個別の具体的状況に応じ、他の考慮事項とともに総合的に判断される」とも書かれています。指針に沿って書けば安全、という性質の文書ではありません。
※ この※注２と脚注24を「手元のこの資料を入れてよいか」という個別の判断に当てはめる話は、社内資料をChatGPTに読ませていいかの判定フローで同じ原文を引用して扱っています。あちらは1件ずつの資料をどう見分けるか、この記事はルール文書にどう書き分けるかです。判断の基準そのものを知りたい場合は、先にあちらを読んでください。
まとめると、この章は2行で足ります。「秘密情報を社内の範囲で扱うこと」と「社外のサービスに渡すこと」を分け、後者は窓口に相談してもらう。それだけ決めておきます。
「守らないと違法」ではない｜では、何のために作るのか
ここまで引用してきた資料のうち2つ——AI事業者ガイドラインと営業秘密管理指針——は、どちらも自ら拘束力がないと書いています。残る1つ、個人情報保護委員会の注意喚起は性格が違います。前の「個人情報」の章で引用したとおり、こちらは「個人情報保護法の規定に違反することとなる可能性がある」と書いた文書です。AI事業者ガイドラインは自らを「非拘束的なソフトロー」と呼んでいます。
AI がもたらす社会的リスクの低減を図るとともに、AI のイノベーション及び活用を促進していくために、関係者による自主的な取組を促し、非拘束的なソフトローによって目的達成に導くゴールベースの考え方で、ガイドラインを作成することとした。
出典：経済産業省・総務省「AI事業者ガイドライン 第1.2版」本編・2026年8月16日確認。太字は当サイトによる
その理由として、本編は3点を挙げています。①少子高齢化に伴う労働力の低下等の社会課題の解決手段としてAIの活用が期待されていること ②法律の整備・施行がAIの技術発展及びその社会実装のスピード・複雑さとの間でタイムラグが発生すること ③細かな行為義務を規定するルールベースの規制を行うと、イノベーションを阻害する可能性があること。
では、守らなくても何も起きないのか。そうとも書かれていません。同じ本編に次の記載があります。
当該取組に対して、社会から不適切又は不十分と評価される場合は、自らの事業活動における機会損失が生じ、事業価値の維持が困難となる事態を招く恐れがあることに留意することが重要となる。
出典：同上
ここで書かれているのは機会損失と事業価値の話であって、法的な制裁の話ではありません。この記事も、そこから先へは踏み込みません。取引先から「AIの社内ルールはありますか」と聞かれる場面を思い浮かべると、この一文の意味は分かりやすくなります。
作って終わりにできない理由①｜参照元が更新され続けている
AI事業者ガイドラインは、版が上がり続けています。
| 版 | 公表日 |
|---|---|
| 第1.0版 | 2024年4月19日 |
| 第1.01版 | 2024年11月22日 |
| 第1.1版 | 2025年3月28日 |
| 第1.2版（最新） | 2026年3月31日 |
出典は経済産業省のAI事業者ガイドライン検討会のページで、ページ末尾の最終更新日も2026年3月31日でした（2026年8月16日確認）。約2年で4つの版が出ています。ガイドライン自身も、次のように書いています。
AI ガバナンスの継続的な改善に向け、アジャイル・ガバナンスの思想を参考にしながら、マルチステークホルダーの関与の下で、Living Document として本書における定義等も含めた内容について適宜更新を行っている
出典：同 本編・2026年8月16日確認。太字は当サイトによる
注意点を1つ。ガイドラインが更新され続けていることは書かれていますが、「だから社内ルールも定期的に見直しなさい」とは書かれていません。ここは当サイトの提案として書きます——参照した資料の版と確認日を文書に残しておけば、次に見直すときに「どこから変わったか」を追えます。これはひな形には書けない部分です。
作って終わりにできない理由②｜ガイドラインが想定しているのは回し続ける形
本編の「AIガバナンスの構築」には、次のように書かれています。
そのため、事前にルール又は手続が固定されたAI ガバナンスではなく、企業・法規制・インフラ・市場・社会規範といった様々なガバナンスシステムにおいて、「環境・リスク分析」「ゴール設定」「システムデザイン」「運用」「評価」といったサイクルを、マルチステークホルダーで継続的かつ高速に回転させていく、「アジャイル・ガバナンス」の実践が重要となる
出典：同上
「事前にルール又は手続が固定された」形ではない、と明記されています。ひな形を1回配って完了、という形とは相性が悪い書き方です。とはいえ、この記述はそのまま社内の作業手順になるものではありません。実務としては、文書の末尾に「版・改訂日・次に見直す時期・見直す担当」の4行を置くだけでも、回し続ける形の入口になります（当サイトの提案）。
なお、具体的な取組の書き方については、ガイドライン自身が別添を案内しています。
特に具体的な取組が決まっていない事業者にとっては、別添の記載例が参考となるため、別添の関連箇所を中心とした確認が重要となる。
出典：同上
この別添（付属資料）は、総務省のAI事業者ガイドラインの掲載ページから版ごとにPDFで公開されています。第1.2版の別添PDFは185ページあり、その冒頭に次の記載があります（2026年8月17日確認）。
別添7（別資料）のチェックリスト・ワークシートを参考に、各事業者の事業内容やAI ポリシー/AI 規定等の状況に合った独自のチェックリスト・ワークシートを作成・更新の上、有効活用することも重要となる（ワークシートについては掲載されている項目を必ずしも全て採用する必要はなく、自社に必要な項目を判断の上、活用する事が有効である）
出典：AI事業者ガイドライン 第1.2版 別添（付属資料）「別添.はじめに」（2026年8月17日確認）
「独自の」「必ずしも全て採用する必要はなく、自社に必要な項目を判断の上」と書かれています。ひな形をそのまま配るのではなく、自社に必要なものを選んで作る——この記事がここまで書いてきたことと、同じ向きの記載です。
そのチェックリスト（別添7）のPDFは2ページで、A（全主体向け）とB（広島AIプロセスの項目）に分かれています。Aの冒頭にはこう書かれています。
本チェックリストは、AI事業者ガイドライン「第2部C.共通の指針」を要約したものです。事業者に求められる重要な取組事項のチェックにご活用ください
出典：AI事業者ガイドライン 第1.2版 チェックリスト（別添7）A（2026年8月17日確認）
当サイトがこのPDFを開いて数えたところ、Aのチェック項目は9つでした。うち8番目が「AIガバナンスやプライバシーに関するポリシー等を策定しているか?」、9番目が「上記の実現のため、各事業者の状況に応じた具体的なアプローチは検討しているか?」で、末尾には「具体的なアプローチ検討のためのワークシート」の活用をすすめる一文が添えられています。この記事で作ろうとしている文書は、当サイトの読み方では8番目の項目に当たります。
※このAは上の引用のとおり「共通の指針」を要約したものなので、当サイトの読み方では、項目の数は10個の「共通の指針」とは一致しません。数え方については、この記事の「10個の『共通の指針』との関係（数え方に注意）」の章もあわせてご覧ください。
※同じ掲載ページの表記によると、別添のうち別添8（主体横断的な仮想事例）だけは第1.0版のままで、第1.2版としては並んでいません（2026年8月17日確認）。
まとめると、ルール文書に「版・改訂日・次に見直す時期・担当」の4行を入れておくこと。これが、ひな形をコピーしただけの文書と、自社の文書を分ける最小の差です。
会社の状況別｜最初の1枚に、何を書くか
ここまでを踏まえて、いまの状況別に「最初に書くもの」を3つに絞ります。ここからは当サイトの提案です。当サイトが確認した3つの公的資料に、「まずこれを書け」という記載はありませんでした。
A｜文書がまったく無い会社は
A4で1枚。書くのは4つだけです。
- 使ってよいAIサービス（会社が契約しているもの／個人アカウントの業務利用の可否）
- 既存の守秘義務は、AIサービスへの入力にも及ぶこと（就業規則の該当条を引く）
- 迷ったときの相談先（部署名と担当者名）
- 入力してしまったと気づいたときの報告先（責めない旨を明記）
禁止情報の一覧は別紙に回します。1枚に収めるほうが読まれます。
B｜すでに現場が使っているのに文書が無い会社は
先に棚卸しをしてから書きます。この記事の7つの持ち場のうち、とくに U-7）i（評価にAIを使う場合の通知と説明）に当たる使い方が社内に無いかを確認します。採用書類の下読み、人事評価の下書き、取引先の与信の参考——これらが動いていると、入力の禁止リストだけでは足りません。
棚卸しの結果、該当が無ければ「該当なし」と書いて章を残しておきます。
C｜文書はあるが、いつ作ったか分からない会社は
中身より先に、末尾の4行を足します。版・改訂日・次に見直す時期・見直す担当。
そのうえで、参照している資料の版を確認します。AI事業者ガイドラインを引いているなら、いまの最新は第1.2版（2026年3月31日）です。第1.1版以前を引いている文書は、参照先の更新が止まっている状態です。
どのケースでも、作らないという選択の理由も文書に書けます。ガイドラインには「AI システム・サービスを開発・提供・利用するか否かを判断し」という記載があり、使わない判断も含めて検討する形になっています。AIをどこから入れるかの判断そのものに迷っている段階なら、中小企業の生成AI導入は何から始めるかのほうを先に読んでください。
よくある質問
Q1. ひな形をそのまま使ってはいけないのですか？
使ってはいけない、ということはありません。ただしひな形には「自社が何を秘密として扱うか」「誰が判断するか」が書けません。その2つは各社が決めるしかない部分です。ひな形は章立ての参考として使い、中身は自社で埋める、という使い方になります。文書の名前についても、AI事業者ガイドラインは「呼称も各主体に委ねられている。」としています。
Q2. 社内ルールを作らないと違法になりますか？
この記事が参照した3つの資料のうち2つは、どちらも自ら拘束力がないと書いています。AI事業者ガイドラインは「非拘束的なソフトロー」、営業秘密管理指針は「法的拘束力を持つものではない」です。ただし「守らなくてもリスクが無い」という記載もありません。AI事業者ガイドラインは、取組が社会から不適切または不十分と評価される場合について「機会損失が生じ、事業価値の維持が困難となる事態を招く恐れがある」と書いています。なお、個人情報の取り扱いは別です。残る1つ、個人情報保護委員会の注意喚起は、本人の同意なく個人データを含むプロンプトを入力し、応答結果の出力以外の目的で取り扱われる場合について「個人情報保護法の規定に違反することとなる可能性がある」と書いています（本文の該当章をご覧ください）。なお当サイトは法律事務所ではないため、個別の事案について適法・違法の判断はできません。
Q3. 何ページくらいのボリュームが必要ですか？
当サイトが確認した3つの公的資料に、分量の指定はありませんでした。営業秘密管理指針は、必要な秘密管理措置の内容・程度が「企業の規模、業態、従業員等の職務、情報の性質その他の事情の如何によって異なる」としたうえで、中小企業に「鉄壁の」秘密管理を求めることは現実的ではないと明記しています。AI事業者ガイドラインにも「各主体の資源制約に配慮することが重要である」という記載があります。A4で1枚から始めて構いません。
Q4. 法務の専任がいません。誰が作ればいいですか？
AI事業者ガイドラインは「経営層の責任は大きく、そのため、リーダーシップを発揮することが重要である」とし、AIガバナンスの構築を「単なるコストと捉えるのではなく、（中略）先行投資として捉えることが重要である」と書いています。実務的には、文書を書く人よりも「迷ったときに聞ける窓口」を1人決めるほうが先です。窓口が空欄のルールは、現場で使われません。
Q5. どのくらいの頻度で見直せばいいですか？
当サイトが確認した範囲では、社内ルールの見直し頻度を示した記載はありません。「毎年見直すこと」といった数字は、この記事では書けません。事実として言えるのは、AI事業者ガイドライン自体が「Living Document」として適宜更新されており、2024年4月の第1.0版から2026年3月の第1.2版まで4つの版が出ていることです。頻度を決められないなら、参照した資料の版と確認日を文書に書いておくだけでも、次の見直しの手がかりになります（当サイトの提案）。
Q6. 個人情報を入力するのは、そもそも禁止ですか？
個人情報保護委員会の注意喚起は、禁止ではなく確認を求める書き方になっています。事業者向けの記載は「特定された当該個人情報の利用目的を達成するために必要な範囲内であることを十分に確認すること」と「当該個人データを機械学習に利用しないこと等を十分に確認すること」の2つです。また、本人の同意なく個人データを含むプロンプトを入力し、応答結果の出力以外の目的で取り扱われる場合について、原文は「個人情報保護法の規定に違反することとなる可能性がある」としています。「違反する」とは書かれていません。詳しくは本文の該当章をご覧ください。
まとめ｜今日やる1つ
- 文書の名前は各社が決めてよい。AI事業者ガイドライン 第1.2版の脚注に「呼称も各主体に委ねられている。」と明記されている。既存の社内文書の呼び方に合わせるのがいちばん摩擦が少ない。
- ひな形が埋まらないのは、自社の立場・決める人・既存規程とのつなぎ先が決まっていないから。この3つは検索しても出てこない。
- 章立ては公式の7項目を写せばよい。そのうち3つは社外への説明と文書の保管の話で、入力の禁止リストだけでは埋まらない。
- 個人情報について求められているのは確認と、その記録。サービス側の学習利用の条件を会社として確認し、誰がいつ確認したかを残す欄を作る。
- 完璧である必要はない。営業秘密管理指針は、中小企業に「鉄壁の」秘密管理を求めることは現実的ではないと書いている。目指すのは網羅ではなく、従業員が「これは秘密だ」と分かる状態。
今日やる1つ：文書を書き始める前に、「判断に迷ったときの相談先」を実名で1人決めてください。ここが空欄のルールは、現場では使われません。
出典
この記事で引用・参照した資料です。すべて当サイトが実際に開いて確認しました（2026年8月16日確認。総務省の掲載ページ・別添・チェックリストの3件のみ2026年8月17日確認）。
| 資料 | 発行・改訂 | リンク |
|---|---|---|
| AI事業者ガイドライン検討会（版の一覧） | ページ最終更新 2026年3月31日 | 経済産業省｜AI事業者ガイドライン検討会 |
| AI事業者ガイドライン 第1.2版 本編（42ページ） | 2026年3月31日 | 本編PDF |
| AI事業者ガイドライン 第1.2版 概要（24ページ） | 2026年3月31日 | 概要PDF |
| AI事業者ガイドライン（版ごとのPDF一覧・総務省側） | — | 総務省｜AI事業者ガイドライン |
| AI事業者ガイドライン 第1.2版 別添（付属資料・185ページ） ※読んだのは目次と「別添.はじめに」のみ |
令和8年3月31日 | 別添PDF |
| AI事業者ガイドライン 第1.2版 チェックリスト（別添7・2ページ） | 令和8年3月31日 | チェックリストPDF |
| 生成AIサービスの利用に関する注意喚起等 | 令和5年6月2日 | 個人情報保護委員会｜掲載ページ／本体PDF（別添1） |
| 注意情報一覧（掲載項目の全数確認に使用） | — | 個人情報保護委員会｜注意情報一覧 |
| 営業秘密管理指針（29ページ） | 平成15年1月30日／最終改訂 令和7年3月31日 | 経済産業省｜営業秘密管理指針PDF |
※引用文中の太字は、当サイトが強調のために付したものです。原文に太字はありません。
※この記事は公的資料の記載を整理したものであり、法律相談ではありません。個別の事案については、弁護士など専門家にご確認ください。
コメント