AI利用規程の作り方：中小企業が最初に決める条項と考え方

「うちも生成AIの利用規程を作ったほうがいい」と役員会で言われ、担当を任された。ネットで「AI利用規程 ひな形」を検索してWordファイルを落としてはみたものの、開いた瞬間に手が止まる。条文が十数ページあって、「本規程は情報セキュリティ委員会の統括のもと…」から始まる。うちに情報セキュリティ委員会もCISOもいない。読み進めるほど「これは大企業のための文章だ」と分かって、コピーして社名だけ入れ替えていいのか、何を消して何を残すべきかが判断できない。

従業員30〜70名で情シスがいない会社では、これはよくある詰まり方です。規程づくりの本当の難しさは、条文の言い回しではなく「自社では何をどう決めるのか」を一つひとつ判断するところにあります。最初に決めるべき条項を、あなたの会社がそのまま穴埋めして動ける粒度まで落として並べていきます。判断の具体例と、作ったあと形骸化させないための同意の取り方まで通してお見せします。

なぜ市販のひな形をそのまま使えないのか

ひな形が悪いわけではありません。ただ、多くのひな形は「役割と組織」が既にある前提で書かれ、承認する委員会や審査する部門が登場します。情シス不在の会社でその条文をそのまま採用すると、「誰も承認しない承認フロー」が紙の上だけに残り、規程は貼り出した瞬間から形骸化します。

必要なのは網羅性ではなく、実際に運用できる最小限です。10ページの立派な規程より、A4で2枚でも「誰が・何を・どう決めるか」がはっきりした規程のほうが、現場は守れます。まず決めるべきは次の5つの論点です。この5つさえ自社の言葉で埋まれば、規程の骨格はできあがります。

使ってよいツールを「承認・条件付き・禁止」で決める

最初の関門が、ツールの線引きです。ここで「安全なツールを全部調べてから」と考えると、いつまでも規程が出せません。おすすめは逆で、いま社内で実際に使われている数本を先に3区分へ置くことです。判断の軸はシンプルに3つで足ります。入力データが学習に使われないか、データの保存先はどこか、会社として契約(利用規約への同意)を交わせているか。この3点を見て振り分けます。

禁止だけを並べると、現場は「じゃあ何を使えばいいのか」で止まり、こっそり使う方向へ流れます。禁止には必ず代替を添える。これが守られる規程と守られない規程の分かれ目です。学習利用のオン・オフや保存国の確認は各ツールの設定画面や利用規約で追えますが、判断に迷うものは無理に自社だけで決めず、条件付き承認に置いて後で見直す、という逃げ道を作っておくと止まりません。

入れてよい情報と、入れてはいけない情報を線引きする

2つ目の条項が、入力情報の線引きです。ここを「機密情報を入力してはならない」の一文で済ませると、現場は「機密ってどこから?」で判断がバラつきます。守るべき情報を具体的に列挙し、それ以外は原則使ってよい、という順で書くと迷いが消えます。禁止を広げるより、守る対象を絞って明示するほうが、安全と業務効率を両立できます。

入れてはいけない情報の例として、顧客・取引先の名前や連絡先、見積・原価・売上などの数字、未公開の契約内容、従業員の個人情報、他社から預かった資料。これらを「条件付き承認や禁止のツールには入れない」と結びつけると、条項が具体的な行動に変わります。逆に、公開済みの情報や、社名・個人名を伏せた一般的な相談は原則OKと書いておくと、現場は安心してAIを使えます。

規程の主要条項を、実際に書ける短文で示す

ここまでの論点を、そのまま規程本文に落とすとどうなるか。ひな形の穴埋めではなく、情シス不在の会社が実際に貼り出せる短い条文の例を挙げます。自社の実情に合わせて名前と対象を差し替えれば、そのまま使える粒度にしています。

第1条(使ってよいツール)の記入例

「業務で生成AIを使う場合は、別紙の承認リストにあるツールを、会社アカウントで利用する。承認リストにないツールを業務で使いたいときは、第4条の申請を行い、許可を得てから使う。」承認リストは規程本文に埋め込まず、別紙(A4半ページの表)にして差し替えやすくしておくのがコツです。ツールは増減するので、本文を毎回改訂しなくて済みます。

第2条(入れてよい情報)の記入例

「次の情報は、承認ツール以外に入力しない。(1)顧客・取引先の氏名や連絡先、(2)見積・原価・売上などの数字、(3)未公開の契約や社内資料、(4)従業員の個人情報。判断に迷う情報は、入力前に第4条の窓口に相談する。」迷ったときの相談先を条文に書いておくと、現場は「分からないから黙って使う」ではなく「聞く」を選べます。

第3条(アカウント)と第4条(申請)の記入例

第3条は「会社の業務で生成AIを使うときは、会社が付与したアカウントを使う。個人のアカウントで会社の業務を行わない。」第4条は「新しいツールを使いたいときは、総務の◯◯へ次の3点を伝える。ツール名/使いたい用途/入力する情報の種類。◯◯は承認・条件付き承認・禁止のいずれかを3営業日以内に回答する。」窓口を1人の実名に固定し、様式を3項目に絞ると、申請は形だけの様式で止まらず実際に回り始めます。

第5条(違反時の扱い)の記入例

「ルールと異なる利用に気づいた場合は、まず利用を止め、総務の◯◯へ申し出る。申し出た内容だけを理由に不利益な扱いはしない。重大な情報の入力や繰り返しの違反は、就業規則に基づき対応する。」最初から罰則を前面に出すと、違反を隠す動機になります。「気づいたら止めて相談」を罰しない設計にしておくほうが、結果的に実態が見えます。就業規則との接続や懲戒の具体は、自社の就業規則や労務の取り扱いに関わるため、社会保険労務士や弁護士に一度確認してから確定させるのが安全です。

「会社の業務は会社アカウントで」が実態把握の土台になる

5つの条項の中で、地味なのに効くのが第3条のアカウント規定です。個人アカウントでの業務利用を認めていると、会社からは誰が何を使っているのかを追う手がかりがありません。一方、会社アカウントに寄せておくと、Google WorkspaceやMicrosoft 365のアカウント連携ログから「どのAIツールに会社アカウントでログインしたか」をたどれるようになります。ここが見えるかどうかで、規程が「紙の宣言」で終わるか「実態に基づく運用」になるかが変わります。

断っておくと、これは全社員のすべてのAI利用を捉える仕組みではありません。連携ログから見えるのは会社アカウントを使った利用だけで、個人アカウントでの利用や入力された中身までは分かりません。だからこそ規程で「会社の業務は会社アカウントで」と先に定め、見える範囲を意図的に広げておくことに意味があります。ルールで土台を作り、その上で棚卸しの精度を上げていく順番です。

作って終わりにしない。同意を取り、未同意を追う

規程が形骸化する一番の原因は、配って終わりにすることです。全員宛に一斉メールで「規程を制定しました」と流し、既読も同意も確認しない。数か月後には誰も内容を覚えていません。防ぎ方は単純で、部署別に同意を取り、まだ同意していない人を名簿で追う運用にすることです。手作業でも回せる形にしておきます。

この同意管理を手作業でやると、地味に手間がかかります。周知・同意の記録・未同意者への督促・入退社対応は、担当者の月次業務として積み上がります。管理部門の担当者(月給35万円)の総コストは社保・賞与・間接費込みで月約105万円、時給換算で約6,500円が目安です。名簿の突合や督促に毎月数時間を取られ続けると、それだけで年間十数万円分の工数になります。だからこそ最初の設計で「名簿で追える形」にしておくと、後の負担が軽くなります。

最初の一歩は「決める論点を5つに絞る」こと

立派な規程を1度で完成させようとするから、手が止まります。まずは今回の5条(ツール・情報・アカウント・申請・違反)を自社の言葉で埋め、A4数枚で運用を始める。使いながらツールの承認リストと相談事例を足していけば、規程は自然と自社に合った形へ育ちます。完璧な条文より、実際に守られて更新され続ける規程のほうが、会社を守ります。

よくある質問(FAQ)

AI利用規程は就業規則とは別に作るべきですか

運用しやすさを優先するなら、まずは独立した「AI利用規程」として1本にまとめ、違反時の懲戒など労務に関わる部分だけ就業規則と接続させる形が扱いやすいです。就業規則の一部として組み込むか別規程にするかは、改訂のしやすさや周知義務の扱いにも関わります。確定前に社会保険労務士へ一度確認しておくと安心です。

ツールを1本ずつ調べる時間がありません。何から始めればいいですか

全ツールの調査を先にやろうとすると止まります。まず社内で実際に使われている数本だけを「承認・条件付き承認・禁止」に振り分け、承認リストに載せて運用を始めてください。残りは申請が上がってきた順に調べれば十分です。棚卸しを一度に済ませたい場合は、会社アカウントの連携ログから使われているツールを洗い出す診断サービスを使う手もあります。

個人アカウントでの利用まで規程で禁止できますか

「会社の業務は会社アカウントで行う」と定めることはできます。ただし、規程で書けることと、実際に把握できる範囲は別です。会社アカウントの連携ログから見えるのは会社アカウントでの利用に限られ、個人アカウントでの利用や入力内容までは分かりません。だからこそ、罰則で締め上げるより「会社アカウントで使ったほうが便利で安心」という状態(承認ツールを用意し、相談窓口を置く)を作り、自然と会社側へ寄せていく設計が現実的です。

規程を作ったのに誰も守ってくれません。どうすれば

多くの場合、原因は「配って終わり」にあります。部署別に要点を説明し、1人ずつ同意を記録し、未同意者を名簿で追う。この3つを回すだけで定着は大きく変わります。加えて、禁止に代替ツールを添える、相談窓口を1人に固定するなど、現場が守りやすい設計になっているかを見直してください。守られない規程は、たいてい現場が守れない作りになっています。

規程づくりの最初の一歩を、実態の可視化から始める

「何を承認リストに載せるか」を決めるには、まず社内で何が使われているかが見えている必要があります。ShadowLens STK は、Google WorkspaceやMicrosoft 365のアカウント連携ログから使われているAIツールを棚卸しし、リスク評価と規程ドラフト、同意の取得・未同意者の督促までを一つの流れでお手伝いします(会社アカウントでの利用が対象で、個人アカウントでの利用は含まれません)。まずは自社の実態を1枚のレポートで確かめる「AI利用実態診断」から、規程づくりの土台を整えてみてください。

あわせて読みたい

• シャドーAIとは：社員が無断で使う生成AIのリスクと、中小企業の管理の始め方
• 生成AIの情報漏洩リスク：学習利用・保存国・DPAをどう見るか
• 従業員の生成AI利用実態をどう把握するか：アンケートと連携ログの違い
• 生成AIを全面禁止すると何を失うか：禁止と黙認の板挟みから抜ける
• 生成AIを安全に社内展開する：承認ツールと代替案内の運用設計