AI利用規程の作り方：そのまま使える全12条と、決める順番

役員会で「うちもAIのルール、作っといて」と言われてから2ヶ月が経ちました。ネットで拾ったテンプレートを開いてはみたものの、第3条に「利用を認めるサービスは別途定める」とあります。その「別途」を定めるのが自分の仕事だと気づいたところで、手が止まりました。法務に相談したら「うちでは判断できない」と返ってきます。情シスは総務との兼任で、あなた自身です。

条文の型はどこにでも落ちています。行き詰まるのはその先です。自社で決めなければ埋まらない箇所が3つあり、テンプレートではそこが全部空欄になっています。

以下、埋めた状態の条文を全12条そのまま載せます。あわせて、どこは他社と同じでよく、どこは自社で決めるしかないかを分けます。

なお、全従業員に配る紙が先に必要な場合は、生成AIの社内ルール サンプル：朝礼で配れるA4一枚と、そのあと必ず来る質問7つに9行の全文を載せています。1枚を先に配り、半年以内にこの規程を整えるのが現実的な順番です。

条文の8割は共通で、決めるべきは3か所

12条のうち9条は、どの会社が作ってもほぼ同じ文面になります。法令と行政のガイドラインが土台になっているためです。会社ごとに割れるのは次の3つだけです。

3つのうち最初の関門は第3条の別表1です。載せるべきサービスを決めるには、いま社内で何が使われているかを先に知る必要があります。その調べ方はシャドーAIとは：社員が無断で使う生成AIのリスクと、中小企業の管理の始め方にまとめました。ここから先は、決めたあとに何をどう書くかを扱います。

そのまま使える全12条

以下は、従業員数30名から300名程度の会社を想定した完成形です。空欄も「別途定める」もありません。自社に合わない箇所は、この後の表を見て差し替えてください。

各条の下に、その条文が防ぐ事故を1行で添えました。条文だけを見ても、なぜその文言なのかが分からないためです。

第1条（目的）

本規程は、当社の役職員が業務において生成AIを含む人工知能サービス（以下「AIサービス」という）を利用するにあたり、遵守すべき事項を定め、情報漏えい、第三者の権利侵害及び誤った出力の業務利用を防止するとともに、安全な利用を促進することを目的とする。

防ぐ事故：目的に「安全な利用を促進する」を入れないと、規程が禁止一辺倒に読まれ、現場が申請せずに隠れて使うようになる。

第2条（適用範囲）

本規程は、当社の役員、正社員、契約社員、パートタイム従業員及び派遣社員（以下「役職員」という）に適用する。業務委託先については、個別の契約において本規程に準ずる取扱いを定めるものとする。適用の対象は、会社が貸与する端末での利用に限らず、役職員が業務のために行うAIサービスの利用のすべてとする。

防ぐ事故：「会社貸与端末での利用」に限ると、私物スマートフォンで議事録を貼る行為が規程の外に出てしまい、注意する根拠が無くなる。

第3条（利用を認めるAIサービス）

役職員が業務で利用できるAIサービスは、別表1に掲げるものに限る。別表1は情報システム担当部門が管理し、追加又は削除の際は速やかに全役職員へ周知する。別表1に無いAIサービスを業務で利用しようとする場合は、第9条に定める手続きによる。

防ぐ事故：一覧を作らずに「安全なものを使うこと」とだけ書くと、安全かどうかの判断が現場に丸投げされ、結果として何でも使われる。

第4条（入力してはならない情報）

役職員は、AIサービスに対し、次の各号に掲げる情報を入力してはならない。

一　顧客、取引先その他の第三者から秘密として開示を受けた情報

二　当社の営業秘密（未公開の財務情報、価格戦略、未発表の製品情報、ソースコード等）

三　人事評価、健康状態、給与その他の役職員に関する情報

四　第5条に定める条件を満たさない個人データ

防ぐ事故：「機密情報を入力しないこと」とだけ書くと、何が機密かの解釈が人によって割れる。列挙して初めて、迷ったときに見返せる基準になる。

第5条（個人データを含む入力の制限）

役職員は、個人データを含むプロンプトをAIサービスに入力してはならない。ただし、次の各号のすべてを満たす場合はこの限りでない。

一　当該個人情報について特定された利用目的の達成に必要な範囲内であること

二　当該AIサービスの提供事業者が、入力されたデータを当該プロンプトへの応答以外の目的（機械学習を含む）に利用しないことが、利用規約又は契約により確認できていること

三　当該AIサービスが別表1に掲げられ、かつ前号の確認が別表1に記録されていること

防ぐ事故：個人情報保護委員会は2023年6月2日の注意喚起で、本人の同意なく個人データを含むプロンプトを入力し、そのデータが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法の規定に違反することとなる可能性があると示している。同注意喚起は、そうした入力を行う場合には、提供事業者が当該個人データを機械学習に利用しないこと等を十分に確認するよう求めている。この条文はその要求をそのまま手続きにしたもの。

第6条（個人アカウントの利用）

役職員は、業務において個人名義で契約したAIサービスのアカウントを利用してはならない。業務での利用は、会社が契約したアカウントによる。会社が契約したアカウントが用意されていない業務については、第9条の手続きにより個別に承認を得た場合に限り、個人名義のアカウントの利用を認めることができる。

防ぐ事故：全面禁止だけを書いて代替を用意しないと、規程が守られないまま実態だけが地下に潜る。承認の道を1本残すことで、少なくとも会社が把握できる状態になる。

第7条（出力の確認義務）

役職員は、AIサービスの出力をそのまま業務上の成果物、社外への提出物又は意思決定の根拠として用いてはならない。出力を利用する場合は、事実関係、数値、法令の解釈及び引用元について、利用者自身が一次情報により確認する。確認の責任は、出力を利用した役職員が負う。

防ぐ事故：出力の誤りを「AIが間違えた」と説明できる状態にしておくと、誰も確認しなくなる。責任の所在を利用者に置くことで、確認が業務手順に組み込まれる。

第8条（第三者の権利の尊重）

役職員は、AIサービスの利用にあたり、第三者の著作権、商標権その他の知的財産権を侵害してはならない。特定の作家、企業又は作品の名称を指定して、その表現を模倣した出力を得る行為は行わない。出力を社外に公開する場合は、既存の著作物と同一又は類似のものとなっていないかを確認する。

防ぐ事故：出力をそのまま公開して他社の表現と一致し、権利者から申し立てを受ける。公開前の確認を条文に書いておかないと、確認する人が決まらない。

第9条（例外の申請と承認）

別表1に無いAIサービスの利用、又は本規程の定めによらない利用を行おうとする役職員は、あらかじめ次の事項を記載した申請を情報システム担当部門に提出し、承認を得なければならない。

一　利用しようとするサービスの名称及び提供事業者

二　利用の目的及び入力する情報の種類

三　入力したデータが機械学習に利用されないことの確認結果

四　利用を希望する期間

情報システム担当部門は、申請を受けた日から5営業日以内に可否を回答する。

防ぐ事故：申請の窓口と回答期限を書かないと、申請しても返事が来ない状態が続き、次から誰も申請しなくなる。

第10条（記録及び点検）

情報システム担当部門は、別表1に掲げるサービスについて、提供事業者の利用規約の変更を四半期ごとに確認し、第5条第2号の条件が維持されているかを点検する。点検の結果は記録し、条件を満たさなくなったサービスは別表1から削除する。

防ぐ事故：利用規約は変わる。導入時点の確認だけでは、学習利用の方針が変更されたことに気づけない。

四半期の点検で見るのは利用規約だけではありません。別表1に載っていないサービスが現場で使われていないかも、同時に確かめます。その実態が見えないまま施行された規程は3ヶ月で読まれなくなります（シャドーAIとは）。

第11条（違反した場合の取扱い）

本規程に違反した役職員に対しては、就業規則の定めるところにより処分を行うことがある。ただし、違反又は違反のおそれを自ら速やかに申し出た場合には、この点を考慮する。

防ぐ事故：申し出た人が不利になる規程を作ると、事故が報告されなくなる。報告が上がらない状態は、事故そのものより回復が遅れる。

第12条（改定）

本規程は、法令の改正、AIサービスの仕様変更その他の事情の変化に応じ、少なくとも年1回見直すものとする。改定は、情報システム担当部門が起案し、（役員会等）の承認を経て行う。

防ぐ事故：見直しの周期を書かないと、施行した年の内容のまま数年間放置される。

削ってよい条文と、削ってはいけない条文

12条すべてを最初から施行しなくてかまいません。規模によって、回せる運用の範囲は変わります。

削ってよいのは、運用の手間を後ろ倒しにできる条文です。削れないのは、法令違反と責任の所在に直結する条文です。迷ったら、その条文が無い状態で事故が起きた場面を思い浮かべてください。だいたいそれで決まります。

内製すると社内の時間だけで約100万円かかる

規程づくりが後回しになる理由は、優先順位が低いからではなく、かかる時間が見えないからです。従業員80名、担当は総務兼任の1名という前提で試算します。

人件費は給与額ではなく会社の総コストで数えます。社会保険の会社負担、賞与、退職金、福利厚生、設備、間接費を含めると、一般に給与のおよそ3倍です。年収600万円の担当者なら会社の負担は年1,800万円、年間労働1,900時間で割ると時給はおよそ9,000円になります。

外部の確認を加えるなら、弁護士による規程レビューが10万円から30万円ほどかかります。

金額を見ると「テンプレートをコピーして終わりにしたい」と思うのが自然です。ところが上の表で最も重いのは条文の起草ではなく、別表1の調査と現状把握を合わせた28時間です。ここは他社のテンプレートでは絶対に埋まりません。逆に言えば、条文の起草20時間はこの記事の第1条から第12条を土台にすれば5時間程度に圧縮でき、合計を106時間から60時間前後、およそ55万円まで落とせます。

よくある質問（FAQ）

ガイドラインと規程は分けて作るべきですか?

役割が違うので分けるのが現実的です。規程は就業規則と接続し、違反時の処分の根拠になる文書です。ガイドラインは推奨と手順を示す文書で、違反しても処分にはつながりません。禁止事項と処分は規程に、プロンプトの書き方やおすすめの使い方はガイドラインに置きます。両方を1本の文書にすると、守らせたい部分と勧めたい部分が混ざります。結果としてどちらも読まれません。

AI事業者ガイドラインに準拠していると書いても問題ありませんか?

AI事業者ガイドライン（総務省・経済産業省、第1.2版が2026年3月31日公表）は、法的拘束力を持たないソフトローとして整理されています。準拠を表明すること自体は差し支えありませんが、同ガイドライン第5部「AI利用者に関する事項」の項目を実際に満たしているかは確認が必要です。具体的には、安全を考慮した適正利用（U-2）、入力データ又はプロンプトに含まれるバイアスへの配慮（U-3）、個人情報の不適切入力及びプライバシー侵害への対策（U-4）、セキュリティ対策の実施（U-5）、関連するステークホルダーへの情報提供と説明（U-6・U-7）です。本記事の第5条はU-4に、第4条はU-5に、第7条はU-2に対応します。

従業員が20名程度の会社でも規程は必要ですか?

必要なのは第3条から第5条にあたる部分です。20名規模では、就業規則の付属文書としてA4一枚にまとめる形でも足ります。それでも「使ってよいサービスの一覧」「入力してはならない情報」「個人データを入れるときの条件」の3点だけは文書にしてください。この3点は人数が少なくても事故の起こり方が変わらず、口頭の申し合わせでは新しく入った人に伝わりません。

規程を作ったのに守られていない場合、何から見直しますか?

まず別表1を見ます。守られていない規程のほとんどは、別表1に載っているサービスが現場の仕事に足りていません。議事録の要約に使えるサービスが載っていなければ、現場は個人契約のサービスを使い続けます。次に第9条の申請の回答日数を確認します。5営業日を超えて放置された申請があるなら、直すべきは運用のほうです。条文の文言に手を入れるのは、この2つを確かめたあとで足ります。

出典

• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（令和5年6月2日）（2026-09-09 参照：個人情報取扱事業者における注意点①②。第5条の根拠）
• 同上・別添1（PDF）（2026-09-09 参照：「利用目的の達成に必要な範囲内」「機械学習に利用しないこと等を十分に確認」の原文）
• 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（令和8年3月31日）（2026-09-09 参照：版と公表日）
• 総務省・経済産業省「AI事業者ガイドライン（第1.1版）」（令和7年3月28日）（2026-09-09 参照：第5部「AI利用者に関する事項」U-2〜U-7 の項目名、共通の指針10項目）

本記事の条文は、上記の一次情報を土台に当社が起草したものです。他社の規程テンプレートは参照していません。条文をそのまま採用する場合も、自社の就業規則との接続と、業種固有の規制の有無は、顧問弁護士又は社会保険労務士にご確認ください。試算及び運用上の判断は当社の見解です。

テンプレートの第3条が埋まらないのは、条文の書き方が分からないからではなく、いま社内で何が使われているかを誰も把握していないからです。別表1を埋めるところからご一緒できます。初回相談（30分・無料）へどうぞ。