生成AIの社内ルールは、まずA4一枚でいい。
研修の現場から見えた「使われるルール」の作り方【テンプレート付き】

「社員に生成AIを使ってほしい。でも、何かあったら困る」——このジレンマを解く道具が、社内ルールです。そして結論から言うと、最初のルールはA4一枚で十分です。

わたしたちはこれまで50回以上、中小企業の現場で生成AI研修を実施してきました。その中で見えてきたのは、ルールがない会社では真面目な社員ほどAIを使わないという現実と、逆に分厚い規程を作った会社では誰もルールを読まないという現実です。

この記事では、研修の現場で実際に「使われている」社内ルールの作り方を、そのまま使えるテンプレートつきでお伝えします。ChatGPTに限らず、Copilot・Gemini・Claudeなど、どの生成AIツールにも共通する内容です。

なぜルールがないと、AIは使われないのか

「ルールを作ると社員が萎縮するのでは」と心配される経営者の方は少なくありません。ですが現場で起きていることは逆です。

顧客の情報を入れていいのか。AIの回答をそのまま取引先に送っていいのか。もし問題になったら、責任は自分が取るのか。——ルールがない状態では、この判断がすべて社員個人に丸投げされています。真面目な社員ほど「使わないことがいちばん安全」という結論にたどり着きます。

商工中金の2026年の調査では、中小企業の6割超が生成AIの活用を「個人の判断に任せている」状態でした。個人任せは一見自由に見えて、実際には「使わない自由」を選ばせているだけ——これは前回の記事（社員がAIを使わない3つの原因）でも書いたとおり、AIが定着しない大きな原因のひとつです。

ルールは社員を縛るためのものではなく、「ここまでは安心して使っていい」と会社が保証するためのものです。この一点を押さえると、作るべきルールの形が変わります。

逆に、厳しすぎるルールも失敗する

ルールづくりには、もうひとつの失敗パターンがあります。禁止事項を並べた分厚い規程です。

リスクを洗い出そうとすると、禁止したいことは無限に出てきます。その結果、「原則禁止・申請すれば利用可」のような規程ができあがる。すると何が起きるかというと、申請が面倒なので誰も使わなくなるか、会社に隠れて個人のスマートフォンで使うようになるかのどちらかです。

後者は「シャドーAI」と呼ばれる状態で、会社が把握できないところで業務情報が入力されるため、ルールがない状態よりもかえって危険です。禁止を強めるほど、リスクは見えない場所に移動します。

だから、最初のルールに必要なのは網羅性ではありません。「これだけ守れば使っていい」と言い切れる最小限の線引きです。それはA4一枚に収まります。

そのまま使える：A4一枚の社内ルールテンプレート

わたしたちが研修の中でクライアント企業と一緒に作っているルールの骨格を、テンプレートとして公開します。社名と担当者名を入れ替えれば、今日から使えます。

生成AI利用ルール（第1版）

1. 目的
このルールは、生成AIを安心して業務に活用するために定める。禁止のためのルールではない。

2. 対象ツール
会社が認めたツール（例：ChatGPT、Copilot、Gemini、Claude）を、会社が用意したアカウントで利用する。個人契約のアカウントで業務情報を扱わない。

3. 入力してよい情報・いけない情報
次の情報は入力しない。
・顧客名、取引先名、個人情報（氏名・住所・連絡先など）
・未公開の経営情報（財務数値、人事情報、契約条件など）
・パスワード、アクセスキーなどの認証情報
入力が必要な場合は、名前を「A社」「Bさん」のように置き換えて使う。

4. 出力の扱い
AIの回答をそのまま社外に出さない。文書・メール・資料に使うときは、必ず人が内容を確認してから使う。

5. 迷ったら聞く先
判断に迷ったときは、〇〇（担当者名）に確認する。確認した結果はこのルールに反映していく。

6. 見直し
このルールは3か月ごとに見直す。次回見直し日：〇年〇月〇日

3項の「入力してよい・いけない」は、迷いやすいポイントを表にして配ると、さらに現場で機能します。

ポイントは、6項の「見直し日」まで含めて第1版とすることです。完璧を目指して作成が止まるくらいなら、暫定版を配って運用しながら直すほうが、はるかに早く定着します。

作り方の3ステップ：ルール「だけ」作らない

テンプレートがあっても、配るだけでは機能しません。現場で使われるルールにするための手順は3つです。

ステップ1：業務の棚卸しとセットで作る

ルールの前に、「そもそもどの業務でAIを使うのか」を決めます。議事録の作成、メールの下書き、資料の要約——使う場面が具体的に決まっていれば、線引きも具体的に書けます。逆に、使う場面が曖昧なままルールだけ作ると、抽象的な禁止事項の羅列になります。

ステップ2：たたき台を配って、1か月試す

第1版は完成品ではなく、たたき台です。実際に運用すると、「この情報は入れていいのか」という想定外の質問が必ず出てきます。その質問こそが、ルールを自社仕様に育てる材料です。5項の「聞く先」に届いた質問を集めておき、次の版に反映します。

ステップ3：見直し日を先に決める

生成AIのツールと機能は、数か月単位で変わります。作りっぱなしのルールは半年で現実と合わなくなり、「ルールはあるけど誰も見ていない」状態に戻ります。第1版を作った日に、次の見直し日をカレンダーに入れる——これだけで形骸化をかなり防げます。

なお、より本格的なひな形が必要になったら、日本ディープラーニング協会（JDLA）が「生成AIの利用ガイドライン」を無償公開しています。条項形式のひな形で、自社に合わせた修正を前提に作られています。A4一枚のルールで運用を始め、組織が大きくなったらこうしたひな形で肉付けする、という二段構えが現実的です。

現場の質問から見えた、ルールに「足すべき」2項目

わたしたちは研修を受講中の企業さま限定で、研修と研修の間もチャットで質問を受け付けています。そこに届く質問には、テンプレートの6項目に収まらないものが2種類あります。ルールを育てる際の参考にしてください。

「入力した内容は、AIの学習に使われるのか」

多くのツールでは、入力内容をAIの学習に使わせない設定（オプトアウト）が用意されています。また、法人向けプランでは入力データを学習に利用しない契約が一般的です。ただし設定の場所も初期状態もツールごとに違うため、ルールに「会社が認めたツール」を書く際は、そのツールの設定をどうしているかを一行添えておくと、社員の不安が一段減ります。

「無料版を使ってもいいのか」

無料版は手軽ですが、業務利用では「誰がどのアカウントで使っているか会社が把握できない」ことが最大のリスクになります。費用の問題というより管理の問題として、業務利用は会社契約のアカウントに揃えることをおすすめしています。どのプランを選ぶかは、使う業務が決まってから検討すれば十分です。

よくあるご質問

罰則を決めたほうがいいですか？

最初の版には不要です。罰則を先に書くと「使うと危ないもの」という印象が先に立ち、使わない方向に働きます。それよりも「迷ったら聞く先」を明記して、質問が来る状態を作るほうが、結果的にルール違反を防ぎます。

誰が作るべきですか？情報システム担当がいません。

専任のIT担当は不要です。ただし、経営層が関与してください。「入れていい情報」の線引きは経営判断そのものだからです。詳しい社員に丸投げすると、その人の異動や退職でルールごと止まります。

ルールを作れば、研修はいらないですか？

ルールと研修は役割が別です。ルールは「安心して使える範囲」を示すもの、研修は「自分の業務のどこで使うか」を身につけるものです。ルールだけあっても使い方が分からなければ定着せず、使い方だけ教えてもルールがなければ怖くて使えません。両方そろって初めて動き出します。

すでに社員が個人アカウントで使っています。どうすれば？

責めないことが第一です。個人利用が始まっているのは「業務で使える」と現場が感じている証拠で、むしろ好材料です。会社アカウントと最初のルールを用意して、「こちらで堂々と使ってほしい」と切り替えを案内してください。

まとめ：ルールは「使っていい」と言うための道具

生成AIの社内ルールづくりで大事なことは、3つに集約されます。

• 最初はA4一枚でいい——完璧な規程より、今日配れる第1版
• 禁止ではなく保証——「ここまでは安心して使っていい」と会社が言い切る
• 見直し日まで決めて第1版——質問を集めて、自社仕様に育てる

わたしたちの研修では、このルールづくりを研修の中でクライアント企業と一緒に行っています。業務の棚卸しから入り、その会社の実際の業務に合わせて「入れていい情報」の線引きを決めていく形です。

「うちの場合、どこから線を引けばいいのか」を知りたい方は、無料相談でご一緒します。お気軽にどうぞ。