生成AI社内ガイドラインの作り方

結論: 条文からではなく「決める項目」から作ると半日で第1版が出る

生成AIの社内ガイドラインは、条文を書き始める前に決める項目を先に確定させると、あとの作業がひな形への流し込みになります。決める項目は必須12・推奨7・該当時5の計24個に整理でき、必須12項目だけならA4一枚に収まります。本記事のひな形を配布前チェックにかけたところ、本文1,392文字・A4約1.0枚でした（1枚を40字×36行＝1,440字とした場合の算出値）。

手順は次の4ステップです。

1. 決める項目を24個のチェックリストで確定する（目安: 半日）
2. ひな形に流し込む（本記事に全文掲載・12条）
3. 判断が割れやすい5条項だけ文例で書き分ける
4. 配布前に空欄の埋め忘れと必須項目の欠落を確認する（実出力を掲載）

本記事のレーンは「ガイドライン文書そのものの作り方」です。隣接するテーマは次の記事に分けています。

• 契約・試行を含む導入全体の進め方 → ChatGPT業務活用の始め方（3ステップ）
• 文書を貼る前に個人情報を機械的に伏せ字化する技術的手順 → 伏せ字化スクリプトの実行検証記事
• 学習データの扱いと管理機能でプランを選ぶ → ChatGPT法人プラン比較
• どのツールを対象に含めるかの整理 → 中小企業向けAIツールの選び方

なお本記事は文書作成の一般的な整理であり、法的助言ではありません。就業規則・懲戒規定との接続や個人情報保護法への具体的な対応は会社ごとに事情が異なるため、条文化する際は社会保険労務士・弁護士など専門家への確認をおすすめします。

ステップ1: 決める項目を24個のチェックリストで確定する

ガイドラインづくりが止まる原因は、文章が書けないことではなく決まっていない項目のまま条文を書こうとすることです。先に一覧で潰します。区分は、第1版に入れる「必須」、運用しながら足す「推奨」、自社に当てはまる場合だけ足す「該当時」の3つです。

この24項目のうち、先に決めておかないと他の項目が揺れるのは1〜3です。適用対象が決まらないと入力禁止情報の粒度が決まらず、使ってよいサービスが決まらないと設定確認の条文が書けません。会議で全部を一度に決めようとせず、1〜3を確定してから4以降に進むほうが早く終わります。

ステップ2: ひな形に流し込む（A4一枚版・全文）

必須12項目を12条にしたひな形です。そのままコピーして、隅付き括弧【　】の中を自社の内容に置き換えれば第1版になります。空欄記号を【　】に統一しているのは、ステップ4の配布前チェックで埋め忘れを機械的に拾うためです。

生成AI利用ガイドライン（第1版）

制定日: 【YYYY年M月D日】　施行日: 【YYYY年M月D日】
所管: 【所管部署】　相談窓口: 【担当部署・担当者名・連絡先】

第1条（目的）
本ガイドラインは、【会社名】の従業員等が生成AIを業務に利用するにあたり、
情報の適切な取り扱いと成果物の品質を確保しながら、業務の効率化を進める
ことを目的とする。

第2条（適用対象）
本ガイドラインは、【会社名】の役員・正社員・契約社員・パート・アルバイト・
派遣社員および業務委託先の担当者のうち、業務で生成AIを利用するすべての者に
適用する。

第3条（使ってよいサービス・アカウント）
業務での生成AI利用は、会社が契約または承認した次のサービス・アカウントに
限り利用できる。
　・【サービス名】
　・【サービス名】
私物のアカウントで業務の情報を扱ってはならない。上記以外のサービスを業務で
使いたい場合は、第9条の窓口に申請し、承認を得てから利用する。

第4条（入力してはならない情報）
次の情報は、第5条の手当てを行わない限り生成AIに入力してはならない。
　・顧客・取引先・従業員その他、個人を特定できる情報
　　（氏名、連絡先、住所、顔写真、個人番号など）
　・社外秘の数値（見積、原価、未公開の業績、単価表など）
　・ID、パスワード、APIキーその他の認証情報
　・秘密保持契約により第三者への開示が制限されている情報
判断がつかない情報は入力せず、第9条の窓口に相談する。

第5条（条件付きで入力できる情報）
第4条に該当する情報であっても、次の条件をすべて満たす場合に限り入力できる。
　(1) 個人を特定できる部分および社外秘の数値を削除または伏せ字にしていること
　(2) 秘密保持契約に反しないこと（顧客から預かった資料は事前に窓口へ相談する）
　(3) 第3条で認めたサービス・アカウントを使用すること

第6条（設定の確認）
利用者は、利用するサービスにおいて、入力した内容がAIの学習に利用されない
設定になっていることを確認したうえで業務利用を開始する。設定の可否および
既定値はプランにより異なるため、不明な場合は第9条の窓口に確認する。

第7条（出力の確認義務）
生成AIの出力は下書きとして扱う。利用者本人が、事実関係・数値・日付・
固有名詞・出典を確認し、必要な修正を加えたうえで使用する。社外に提出する
文書は、【確認者の役職】の確認を経てから提出する。

第8条（第三者の権利への配慮）
他者の著作物を無断で全文入力しない。生成物を社外向けの制作物（Webサイト、
印刷物、提案資料など）に使用する場合は、事前に第9条の窓口へ確認する。

第9条（相談・報告の窓口）
本ガイドラインの解釈、入力可否の判断、例外的な利用の希望については、
【担当部署・担当者名】に相談する。

第10条（事故が起きたときの報告）
入力してはならない情報を入力した場合、または出力に起因する誤りが社外に
出たことに気づいた場合は、ただちに（遅くとも当日中に）第9条の窓口へ
報告する。報告した者を、報告したこと自体を理由に不利益に取り扱わない。

第11条（見直し）
本ガイドラインは【6】か月ごとに見直す。あわせて、利用するサービスの
仕様変更があったとき、および事故が発生したときは、その都度見直す。
改定したときは版数と改定日を更新し、対象者全員に周知する。

第12条（改定履歴）
第1版　【YYYY年M月D日】　制定

流し込むときの要点は3つです。

• 第9条の窓口は実在の担当者名まで書く。「担当部署」止まりにすると、判断が必要な場面で誰にも聞かれず、各自の判断で処理されます
• 第10条の「不利益に取り扱わない」を削らない。ヒヤリとした事例が上がってこなくなることが、運用上の一番の穴になります
• 第12条の改定履歴を別ファイルにしない。同じ紙に履歴があると、現場が手元の版の新旧を判断できます

ステップ3: 判断が割れやすい5条項は文例で書き分ける

ひな形のうち、会社によって書き方が分かれるのが次の5つです。どちらを選ぶかで運用の実態が変わるので、文例を並べて選んでください。

文例1: 入力の線引き（禁止列挙型 と 許可リスト型）

禁止列挙型は書くのが早い一方、書かれていない情報の扱いが現場任せになります。

【禁止列挙型】
次の情報を生成AIに入力してはならない。
　・個人情報　・社外秘の情報　・認証情報

許可リスト型は、迷った時の既定値が「入力しない」になるため、線引きの精度が上がります。運用の負荷は例外申請の受付分だけ増えます。

【許可リスト＋例外申請型】
生成AIに入力してよい情報は、次のとおりとする。
　(1) 公開済みの自社情報（Webサイト・カタログ等に掲載済みのもの）
　(2) 自分が作成した文章のうち、固有名詞と数値を伏せたもの
　(3) 一般的な知識・調べものに関する質問
上記以外の情報を入力したい場合は、【担当部署】に用途と情報の種類を
伝え、承認を得てから入力する。承認の記録は【担当部署】が保管する。

文例2: 学習利用の設定を「誰が確認し続けるか」まで書く

設定の可否や既定値はサービスとプランによって異なり、仕様も更新されます。利用者本人の確認だけにすると、更新に追従できません。

利用者は、利用するサービスの設定画面で、入力した内容がAIの学習に
利用されない状態であることを確認したうえで業務利用を開始する。
既定値および設定の可否はサービスとプランにより異なるため、
【担当部署】は四半期に一度、対象サービスの公式情報を確認し、
変更があった場合は対象者へ周知する。

プランごとの学習データの扱いや管理機能の違いは、ChatGPT法人プラン比較で当日確認した内容をまとめています。

文例3: 出力の確認義務は「誰が・何を」まで落とす

【曖昧な書き方】
生成AIの出力内容を確認したうえで使用する。

【誰が・何を まで書いた例】
生成AIの出力は下書きとして扱い、作成者本人が
「数値・日付・固有名詞・出典」の4点を確認する。
社外に提出する文書は、提出前に【所属長】が同じ4点を確認する。

確認の観点を4点に固定しておくと、確認したかどうかを本人も上長も判断できます。観点を書かない条文は、読んだ人がそれぞれ違う確認をします。

文例4: 違反時の扱いは「事実確認と再発防止」までを本文に、処分は就業規則に寄せる

本ガイドラインに反する利用が確認された場合、【担当部署】は事実確認を
行い、原因に応じた再発防止の措置を講じる。就業規則上の取り扱いに
ついては、【就業規則の該当条項】の定めによる。

懲戒の条文をガイドライン本体に直接書くと、改定のたびに労務上の確認が必要になります。処分の根拠は就業規則側に置き、ガイドラインからは参照する書き方のほうが改定しやすくなります。就業規則との接続そのものは、社会保険労務士・弁護士への確認をおすすめします。

文例5: 部門別の追加条項（該当する部門にだけ配る）

全社版に部門固有の条文を足すと分量が増えて読まれなくなります。本体はA4一枚のまま、部門別の別紙にするのが実務的です。

【開発部門】
ソースコードを入力する場合は、認証情報・接続先・顧客名を除いた状態で
行う。生成されたコードは、ライセンス表記の有無を確認し、
【コードレビュー】を経てから取り込む。

【顧客対応部門】
顧客への回答文の作成に生成AIを使う場合、送信前に担当者が事実関係と
社内規定との整合を確認する。回答内容についての責任は担当者が負う。

【人事・経理部門】
本人の同意なく取得できない情報（要配慮個人情報）および給与・評価に
関する情報は、伏せ字にした場合であっても生成AIに入力しない。

ステップ4: 配る前に「空欄」と「分量」を確認する

ひな形を配布する運用で起きやすい事故が、【　】が埋まらないまま配られることです。相談窓口が「【担当部署・担当者名】」のまま社内に回ると、ルールがあるのに誰にも相談されない状態になります。

手作業でやるなら、配布前にWordやテキストエディタで 「【」を検索して0件になるまで置換するだけで足ります。この確認を機械的に行うため、本記事のひな形を検証用スクリプトにかけました。実際の出力は次のとおりです。

未記入のひな形（配布前）を通した結果:

== 生成AIガイドライン 配布前チェック: guideline_v1.txt ==
[分量] 本文 1392 文字 / 68 行 / A4換算 約1.0枚（1枚=40字×36行=1,440字とした場合の算出値）

[必須12項目] 12/12 件
  OK   1. 目的・基本方針
  OK   2. 適用対象（誰に適用するか）
  OK   3. 使ってよいサービス・アカウント
  OK   4. 入力してはならない情報
  OK   5. 条件付きで入力できる情報と条件
  OK   6. 学習利用の設定確認
  OK   7. 出力の確認義務
  OK   8. 第三者の権利への配慮
  OK   9. 相談・報告の窓口
  OK   10. 事故時の報告手順
  OK   11. 見直しの頻度
  OK   12. 版数・改定履歴

[空欄の埋め忘れ] 12 件
  L3: 【YYYY年M月D日】
  L3: 【YYYY年M月D日】
  L4: 【所管部署】
  L4: 【担当部署・担当者名・連絡先】
  L7: 【会社名】
  ...ほか 7 件

[許可と禁止のバランス] 許可の表現 6 箇所 / 禁止の表現 4 箇所
  OK   許可と禁止の両方が書かれている

判定: 要修正 12 件

【　】を自社の内容に置き換えた記入済み版では、次のようになります。

== 生成AIガイドライン 配布前チェック: guideline_v1_filled.txt ==
[分量] 本文 1416 文字 / 68 行 / A4換算 約1.0枚（1枚=40字×36行=1,440字とした場合の算出値）

[必須12項目] 12/12 件
（12項目すべて OK・上と同じため中略）

[空欄の埋め忘れ] 0 件

[許可と禁止のバランス] 許可の表現 6 箇所 / 禁止の表現 4 箇所
  OK   許可と禁止の両方が書かれている

判定: 配布可

ここで確認しているのは3点です。空欄が0件か、必須12項目がそろっているか、許可の表現と禁止の表現の両方があるか。3つ目を見ているのは、禁止だけのガイドラインが会社の把握していない私物アカウントでの利用を誘発しやすいためです。スクリプトの全文は記事末尾に載せています。

参照する公的資料は「版数」で選ぶ（2026年8月16日 確認）

ひな形の下敷きにする公的資料は複数ありますが、改訂の時期が資料によって大きく違います。2026年8月16日に各公式サイトで確認した現行の版は次のとおりです。

このうち実務に直結するのが、個人情報保護委員会の注意喚起にある個人情報取扱事業者向けの2点です。要約すると、①個人情報を含むプロンプトを入力する場合は、特定した利用目的の達成に必要な範囲内であることを十分に確認すること、②本人の同意を得ずに個人データを含むプロンプトを入力し、そのデータが応答結果の出力以外の目的で取り扱われる場合は個人情報保護法違反となる可能性があるため、サービス提供事業者が当該データを機械学習に利用しないこと等を十分に確認すること、という内容です（令和5年6月2日公表）。

ひな形の第5条・第6条は、この2点に対応する条文です。個人を特定できる部分を外す手当て（第5条）と、学習に利用されない設定の確認（第6条）をセットで書くのは、この確認事項を現場の手順に落とすためです。個人情報を含む文書を扱う頻度が高い部署では、人の注意力に頼らず貼る前に機械的に伏せ字化する手順を組み込むことも検討してください。

AI事業者ガイドラインは第1.2版でAIエージェントやフィジカルAIの定義が追加されています。自動で外部へ送信・実行される使い方を社内で始める予定があるなら、チェックリスト24項目のNo.20を第1版から入れておくほうが、後から追う手間が減ります。

作った後に形骸化させない3つの運用

ガイドラインは、配った時点ではなく質問が来たときにはじめて機能します。運用でやることは3つだけです。

1. 窓口に来た質問を「判断例」として別紙に足していく。ルール本体は増やさず、判断例だけを増やします。条文を増やすと読まれなくなり、判断例は増えても検索されるため実害が出ません
2. 見直しのトリガーを日付だけにしない。ひな形の第11条に「サービスの仕様変更があったとき」「事故が発生したとき」を入れているのはこのためです。学習利用の設定や既定値は、こちらの都合と関係なく更新されます
3. 改定したら版数と施行日を必ず更新して周知する。旧版が現場に残ったまま新版を配ると、どちらが有効か分からなくなります。第12条の改定履歴は、この判断のために本文と同じ紙に置いています

第1版を出したあとは、推奨7項目（No.13〜19）のうち、窓口への質問が実際に出た項目から順に足していくのが早いです。質問が出ていない項目を先回りで条文化しても、実態と合わないまま改定対象が増えるだけになります。

まとめ

決める項目を24個のチェックリストで確定し、ひな形へ流し込み、判断が割れる5条項だけ文例で書き分け、配布前に空欄と必須項目を確認する。この順番なら第1版は半日で出せます。分量はA4一枚（本記事のひな形で本文1,392文字）で足ります。

要点は、禁止の一覧にせず、使ってよい範囲を同じ紙に書くことです。自社が今どの段階にいるかを客観視したい場合は、4タイプ判定のAI導入診断が3分で試せます。

（付録）配布前チェックのスクリプト

Python 3.11で動作を確認した検証用スクリプトです。標準ライブラリのみで動きます。ガイドラインをテキストファイルとして保存し、python guideline_check.py guideline.txt で実行します。検出語の一覧は自社の条文に合わせて書き換えてください。

#!/usr/bin/env python3
"""生成AI社内ガイドラインの配布前チェック（標準ライブラリのみ）。"""
import re
import sys
from pathlib import Path

# 必須12項目: (表示名, いずれか1語でも本文にあれば「あり」とみなす検出語)
REQUIRED = [
    ("1. 目的・基本方針", ["目的"]),
    ("2. 適用対象（誰に適用するか）", ["適用対象", "適用範囲", "対象者"]),
    ("3. 使ってよいサービス・アカウント", ["アカウント"]),
    ("4. 入力してはならない情報", ["入力してはならない", "入力禁止", "入力しない"]),
    ("5. 条件付きで入力できる情報と条件", ["条件をすべて満たす", "条件付き", "伏せ字"]),
    ("6. 学習利用の設定確認", ["学習に利用されない", "学習利用", "オプトアウト"]),
    ("7. 出力の確認義務", ["下書きとして扱", "事実関係"]),
    ("8. 第三者の権利への配慮", ["著作", "権利"]),
    ("9. 相談・報告の窓口", ["窓口"]),
    ("10. 事故時の報告手順", ["報告する", "事故"]),
    ("11. 見直しの頻度", ["見直"]),
    ("12. 版数・改定履歴", ["改定履歴", "第1版", "版数"]),
]

# 雛形を配る前に埋めておく空欄（全角の隅付き括弧で統一しておく）
PLACEHOLDER = re.compile(r"【[^】]*】")

# 「禁止だけのルール」を検出するための語
ALLOW_WORDS = ["利用できる", "使ってよい", "利用してよい", "認める", "承認を得て", "相談する"]
BAN_WORDS = ["禁止", "してはならない", "入力しない", "使用しない", "不可"]

# A4換算の前提（1ページ40字×36行に設定した場合の1ページあたり文字数）
CHARS_PER_A4 = 40 * 36


def body_chars(text):
    """空白・改行を除いた本文の文字数。"""
    return len(re.sub(r"\s", "", text))


def main():
    if len(sys.argv) != 2:
        print("usage: python guideline_check.py <guideline.txt>")
        return 2
    path = Path(sys.argv[1])
    text = path.read_text(encoding="utf-8")
    lines = text.splitlines()

    print(f"== 生成AIガイドライン 配布前チェック: {path.name} ==")
    chars = body_chars(text)
    print(f"[分量] 本文 {chars} 文字 / {len(lines)} 行"
          f" / A4換算 約{chars / CHARS_PER_A4:.1f}枚（1枚=40字×36行=1,440字とした場合の算出値）\n")

    results = [(name, any(k in text for k in keys)) for name, keys in REQUIRED]
    ok = sum(1 for _, hit in results if hit)
    print(f"[必須12項目] {ok}/{len(results)} 件")
    for name, hit in results:
        print(f"  {'OK  ' if hit else 'MISS'} {name}")

    holes = []
    for no, line in enumerate(lines, 1):
        for m in PLACEHOLDER.finditer(line):
            holes.append((no, m.group()))
    print(f"\n[空欄の埋め忘れ] {len(holes)} 件")
    for no, ph in holes[:5]:
        print(f"  L{no}: {ph}")
    if len(holes) > 5:
        print(f"  ...ほか {len(holes) - 5} 件")

    allow = sum(text.count(w) for w in ALLOW_WORDS)
    ban = sum(text.count(w) for w in BAN_WORDS)
    print(f"\n[許可と禁止のバランス] 許可の表現 {allow} 箇所 / 禁止の表現 {ban} 箇所")
    if allow == 0 and ban > 0:
        print("  WARN 禁止だけで、使ってよい範囲が書かれていない")
    elif ban > allow * 3:
        print("  WARN 禁止が許可の3倍超。使ってよい範囲を具体的に足すことを推奨")
    else:
        print("  OK   許可と禁止の両方が書かれている")

    ng = (len(results) - ok) + len(holes)
    print(f"\n判定: {'配布可' if ng == 0 else f'要修正 {ng} 件'}")
    return 0 if ng == 0 else 1


if __name__ == "__main__":
    raise SystemExit(main())

社内ガイドラインの整備から相談したい場合

線引きと使ってよい環境の用意は、ツール選定より先に決まっていないと現場が止まります。PENGINでは、社内での生成AI利用ルールの整備から業務フローへの組み込み、法人プラン移行の設計までを含めたAI導入・活用支援を行っています。何から手を付けるかの整理から相談いただけます。

自社サイトがAI検索（ChatGPT・Copilot・Perplexity等）でどう扱われているかは、無料AI検索診断で確認できます。URLのほかに、メールアドレス（会社）・会社名・部署・担当者名の入力が必要です。