生成AI社内ガイドラインの作り方｜攻めと守りのガバナンス構築

生成AIの社内ガイドラインは、方針・責任分担・利用条件・見直し方法を決め、社員が安心して使える形にすることから始めます。

中小企業の経営者・管理職・AI推進担当者に向けて、活用を進める「攻め」と、情報や業務品質を守る「守り」を両立する作り方を解説します。FAQ作成を例に、時間・予算・承認条件まで具体化し、次の社内会議で決めることを整理します。

「使ってほしい。でも、顧客情報を入力されたら困る」

この二つの思いを、現場が判断できるルールへ落とし込んでいきましょう。策定は次の5ステップで進めます。

1. 現状の利用と、既存の規程・契約を確認する。
2. 最初に試す作業と、担当者・時間・予算を決める。
3. 情報・ツール・出力・操作の条件を承認する。
4. 社員向けの1枚と、管理者向けの記録を作る。
5. 読み合わせをして試行し、結果から見直す。

すでにルールがあり、現場で使われない原因を調べたい方は、「厳しすぎるAI社内ルールはDXを阻害する？｜活用を進める5つの見直しポイント」も参考にしてください。

攻めと守りをつなぐAIガバナンス

AIガバナンスとは、ここでは「AI利用の判断と責任を決め、運用・改善する仕組み」と捉えてください。文書のルールを、担当者の役割や設定、日々の判断へつなぎます。

まず、攻めと守りを対にして整理します。

観点	攻め：活用を進めるための決定	守り：安心して続けるための決定
目的	改善したい業務と得たい成果	守るべき情報・品質・顧客との約束
環境	使えるツール、試す時間と予算	契約条件、アカウント、アクセス権限
判断	社員が自分で進められる作業	事前承認が必要な作業と禁止する作業
改善	有効な使い方の共有と展開	誤りやヒヤリハットを受けた条件の更新

自社の公開済みの商品情報からFAQ候補を作るなら、入力資料と環境を承認し、その条件内で社員が下書きを作れるようにする。公開前には担当者が内容を確認します。

作成の自由と、確認の責任を両方示せます。

社員が自分で進められる範囲を、会社が具体的に用意する。

文書と設定をそろえることも欠かせません。初期の試行で「下書きまで」と決めたら、自動送信や公開の権限を与えない。読む資料を限定するなら、連携先のフォルダーやアクセス権にも反映します。

本記事では、更新を前提とする考え方を社内運用にも取り入れ、試行・評価・改訂をつなぐ方法を提案します。以下の役割分担や利用区分は中小企業向けの運用案です。自社に適用される法令、取引先との契約、情報管理規程と照合して具体化してください。

利用方針と責任分担

改善したい仕事と、得たい成果

「業務効率化のために使う」から、もう一歩具体化しましょう。

作成時間の短縮、確認漏れの削減など、現場から用途の候補を集めます。頻度・負担・結果を確認できるかを見て、経営側と業務責任者が優先順位を決めます。

現場の「面倒」は有力な入口です。空いた時間を顧客への回答準備へ回すなど、改善を仕事の成果へどうつなげるかも話し合いましょう。

効果は、生成から人の確認・修正までの総時間で測ります。下書きの速さ以上に確認の手間が増えれば、業務全体は改善していません。

試す時間と予算

「空いた時間に試してください」では、通常業務が優先されます。推進担当と現場の試行時間を決め、その分の仕事を減らすか、分担を上長が調整します。

予算にはツール代、研修、設定確認、試行・評価の工数を含めます。試行の上限と、人数や機能を増やすときの再承認を決めておきましょう。

三つの役割

専任の情報システム部門がなくても、次の役割は決められます。

役割	主に担うこと
経営責任者・事業責任者	方針、時間と予算、許容するリスク、展開・中止の最終判断
管理・推進担当者	契約・設定の確認、相談受付、承認記録、最新版の管理、専門家への確認
業務責任者	品質基準、出力の確認者、現場の試行、効果の評価

小さな会社では兼任でも構いません。「誰が受け付け、誰が判断するか」を明確にし、不在時の代わりの連絡先も置きます。

相談の窓口には一次回答の目安を示し、判断に時間がかかる場合は次の連絡日を案内してください。返事の見通しが立つと、社員も仕事の段取りを組めます。

業務ごとの利用条件

同じ資料作成でも、公開情報から見出し案を作る場合と、顧客の契約書を読み込む場合では、確認することが変わります。

判断する単位は、「業務・情報・利用環境・出力の使い道・操作権限」の組み合わせです。承認済みツールだから何でも使える、と捉えないようにしましょう。

入力情報と送信経路

入力可否は、「機密情報」などの区分に加えて、商品カタログ、顧客名簿、個別見積書、人事評価表といった資料名で示します。社員が手元のファイルと照合できる言葉が大切です。

初版では、会社が利用を認めた公開情報と、実在の人物・取引を含まない架空データから始める方法があります。個人情報、顧客の機密情報、非公開の社内資料は、個別の条件を承認するまで入力しない運用です。

これは初期運用の線引きであり、個人情報や非公開情報のAI利用が法令で一律禁止されているという意味ではありません。

入力ルールには文章、添付ファイル、画像、音声、メールやストレージとの連携を含めます。連携先から資料が読み込まれる経路も確認してください。

名前を消しても、役職や取引内容から相手が分かる場合があります。加工すれば利用可能と自己判断させず、初期の練習では架空データで基準をそろえます。

パスワード、APIキー、秘密鍵などの秘密の認証情報は入力禁止とし、通常の例外申請の対象から外します。

承認ツールと設定

サービス名に加えて、契約プラン、会社指定のアカウント、ログイン先、使える機能まで指定します。同じサービスでも、契約や設定によって情報の扱いと管理できる範囲が変わるからです。

管理側では、次の内容を確認し、根拠と確認日を記録します。

• 入出力データの学習利用、保存期間、削除の扱い。
• 利用者・管理者が閲覧できる範囲と、退職・異動時のアカウント管理。
• 連携先で読める資料と、編集・送信・削除などの権限。
• 社外共有リンクの扱いと、利用履歴を確認できる範囲。

学習利用の条件に加えて、保存、共有、アクセス権限が自社の契約・規程に合っているかを判断してください。

出力確認と操作権限

「人が確認する」と書くときは、確認する人と、照合する資料・項目まで決めます。

FAQなら商品仕様や提供条件、集計なら元データと計算結果、対外文書なら事実関係・権利関係・表現。業務責任者が品質基準を定め、確認する担当者へ渡します。

メール送信、公開、元データの更新・削除までAIに任せるなら、影響を受ける相手、実行前の承認、停止・復旧の手順を別途確認します。初期の試行では、下書き作成までに権限を限定すると、任せる範囲をそろえやすくなります。

許可・事前承認・禁止

条件が決まったら、社員の行動に結びつく三つの区分へまとめます。

区分	条件の例	社員の行動
許可	指定アカウントで、利用を認めた公開情報からFAQの下書きを作る	承認済み条件内なら都度申請は不要。出力確認は行う
事前承認	非公開資料、新しいツールや外部連携を使いたい	入力・接続前に相談し、条件が承認されるまで実行しない
禁止	秘密の認証情報の入力、未承認環境への社内情報送信	利用しない。代替方法を窓口に相談する

相談の受付と利用承認は別です。窓口へ質問した時点で使ってよいことにはなりません。

禁止情報と、事前承認で扱える可能性がある情報は一覧を分けます。条件付きで認めた対象・条件は承認済み用途へ記録し、社員向け案内も更新します。

ガイドライン策定の5ステップ

方針を文書と現場の運用へ落とし込みます。各ステップで、決めることと残すものを見ていきましょう。

1. 現状と既存規程の確認

利用中のツール、試したい作業と資料、出力の渡し先を調べます。情報管理規程、クラウド利用ルール、秘密保持契約と照合し、追加条件と既存規程の参照先を整理します。

規程同士で判断が食い違わないことも確認しましょう。

無断の個人利用が見つかったら、扱った情報と共有範囲を確認し、必要な対応を取ります。実態把握と公式環境への移行は、「シャドーAI対策｜全面禁止の盲点と無断利用を減らす手順」で詳しく扱っています。

2. 試行範囲と資源の確保

繰り返し発生し、入力資料を限定でき、人が結果を点検できる作業を選びます。部署・担当者・期間・試行時間・予算上限を決め、何を測って継続を判断するかも合意します。

「最初の試行計画」として、目的から見直し日まで記録します。次の章に決定例を示します。

3. 利用条件の確認と承認

管理担当が契約・設定・既存規程との整合を確認し、業務責任者が品質基準を定めます。専門的な判断が必要なものは、情報管理責任者や顧問弁護士などへ確認します。

判断者は、前の章で整理した利用条件を一組として承認します。承認した理由、保留した条件、判断者、適用範囲を記録しておくと、後の再確認にも使えます。

4. 社員向けの1枚と管理記録

社員が日々見るシートには、次の四つをまとめます。

項目	記載する内容
利用目的	使う情報、具体的な作業、AIに任せる終了地点
入力禁止情報	顧客名簿、未承認の商談メモ、秘密の認証情報などの具体名
承認ツール	サービス・プラン・会社指定アカウント・ログイン先・使える機能
相談先	受付担当、連絡方法、回答の目安、判断者、緊急時と不在時の連絡先

出力の確認方法、責任者、版数・適用日、最新版と関連規程の参照先を添えます。雛形と詳しい記入例は、末尾の関連記事で紹介します。

管理者は別に、契約・設定の確認根拠、承認済み用途、例外判断、改訂内容を残します。既存の台帳や申請フォームも使えます。

1枚のシートには日々の判断に必要な要点を残し、管理側の詳細記録へつなぎましょう。

5. 読み合わせと試行

配布前に、社員へ次の場面でどう行動するか答えてもらいます。

• 承認済みの条件でFAQ案を作りたい。
• 顧客の商談メモも読み込ませたい。
• 禁止情報を誤って送ったかもしれない。

答えが分かれる箇所は具体化します。操作、入力可否、出力の照合、相談を研修で練習し、責任者の承認後に適用します。試行で見つかった迷いは改訂へ反映しましょう。

管理者の決定例｜FAQ作成の試行

では、一つの仕事を承認するとき、どんな記録を残すとよいでしょうか。

専任の情シスがいない会社の営業部を想定した、説明用の作例です。期間・時間・予算・短縮率は仮の条件で、実在企業の成果やツール料金ではありません。

決めること	決定例
目的と目標	FAQ案の作成・確認・修正を含む総時間を、同程度の作業で現状より2割短くすることを目標にする
対象と範囲	営業部2名。会社が利用を認めた自社の公開済み商品ページを使い、候補の下書きまで作る
時間と予算	2週間、1人週1時間。上長が既存業務の分担を調整。追加費用は月5,000円を上限とし、超過は再承認
利用環境	管理担当が確認したサービス・プラン・会社指定アカウント。外部連携と自動送信は使わない
確認と承認	営業担当者が仕様・価格・提供条件を元資料と照合。営業責任者が品質と権利関係を確認し、公開は既存の承認手順に従う
保留する利用	顧客の問い合わせ履歴や商談メモ。情報の利用目的、契約、取扱条件の確認が終わるまで送信しない
見直しと展開	2週間後に総時間・修正内容・継続利用・安全上の問題を評価。目標と品質・安全条件を満たせば、責任者が同じ条件での人数拡大を判断する

資料を限定でき、商品情報と照合できる範囲を試します。別の情報を含む顧客の履歴は、同じ承認で扱わず保留にしています。

結果が目標に届かなければ、指示や確認手順を改善して再試行するか、中止を判断します。安全や権利に関する問題が見つかった場合は、時間の短縮とは別に利用を止め、原因と再開条件を確認します。

許可した範囲と、広げる条件を同時に残すことがポイントです。目標値と予算は、試行前の所要時間や自社の契約に合わせて設定してください。

利用範囲を広げる運用

現場の提案から展開まで

「この資料も使いたい」「ほかの担当者にも広げたい」。試行が進むと、次の提案が出てきます。

そこで、提案を受け取ってから利用範囲を更新するまでの流れを用意します。

1. 受付：用途、ツール、情報の種類、出力の渡し先、操作を確認する。
2. 検討：業務上の効果と、情報・品質・契約・権限への影響を確認する。
3. 試行承認：対象者・期間・利用条件・評価方法を記録して、小さく試す。
4. 評価：業務責任者が結果と手戻り、現場の迷いをまとめる。
5. 展開判断：責任者が拡大・改善・中止を判断し、承認済み用途と配布シートを更新する。

機密資料の確認は、通常の相談チャットへ貼らず、管理側が指定した経路で行います。他の人へ利用を広げるときも、情報と権限の条件を確かめます。

すでに認められた条件内での指示文や手順の工夫は、現場が進められるようにします。情報・ツール・連携・操作範囲が変わる提案は再確認する。この境界があると、工夫するたびに申請する負担を減らせます。

評価する四つの観点

試行後は、次の四つから継続を判断します。

• 時間：申請待ち、作成、確認、修正を含む総時間。
• 品質：事実誤認、確認漏れ、修正や手戻りの内容。
• 継続：次の仕事でも使えたか。止まった場合はどこで迷ったか。
• 安全：誤入力、想定外の共有・操作、条件の判断に迷った場面。

時間だけが改善しても、品質や安全の条件を満たさなければ、そのまま展開はしません。条件を満たした用途は、同じ使い方を再現できる手順と一緒に共有します。

見直し日と最新版の管理

試行終了時と、その後は月1回など、見直し日を先に決めます。頻度は会社の状況に合わせて調整してください。

ツールの規約・機能、連携先、扱う情報が変わったときや、事故・ヒヤリハットがあったときは、定例を待たずに確認します。

改訂では変更点、承認者、適用日を残し、社員向けシートと管理記録を更新します。最新版の置き場所を一つに定め、旧版を誤って使わないよう周知しましょう。

緊急時の連絡と再開判断

誤入力や誤共有が疑われたら、社員が追加の入力・操作を止め、緊急連絡先へ報告できるようにします。履歴は自己判断で消さず、管理者の指示に従って必要な記録を保全します。

影響の調査、対外対応、利用再開は責任者が関係者と確認して判断します。初動と報告文例は、「AIで情報漏洩が起きたら？｜初動・報告文例・再発防止」を参照してください。

状況に合わせた実践記事

全体の方針を決めたら、現在の課題に合う具体的な手順へ進みましょう。

進めたいこと	参照する記事
利用目的・入力禁止情報・承認ツール・相談先を1枚にまとめたい	生成AI社内ガイドラインの作り方｜1枚にまとめる雛形と記入例
既存ルールを見直し、現場が使える状態にしたい	厳しすぎるAI社内ルールはDXを阻害する？｜活用を進める5つの見直しポイント
個人アカウントなどの無断利用を減らしたい	シャドーAI対策｜全面禁止の盲点と無断利用を減らす手順
誤入力・誤共有への対応を整えたい	AIで情報漏洩が起きたら？｜初動・報告文例・再発防止

導入全体の計画と合わせて進める場合は、「AI導入ロードマップの作り方｜全社展開につなぐ90日設計」も参考になります。

次の会議で決めること

まず、試したい仕事を一つ選び、五つの問いに答えてみてください。

1. 何を改善し、そのために誰の時間と予算を確保するか。
2. どの情報を、どの環境と権限で扱うか。
3. 誰が出力を確認し、どの範囲を承認するか。
4. 迷ったときと問題が起きたとき、誰へ連絡するか。
5. いつ、何を見て継続・改善・中止を判断するか。

決めた条件を1枚へ落とし込み、設定をそろえて試す。結果と現場の声を受けて、次に使える範囲を更新する。

一つの仕事でこの流れを回すことが、社内ガイドラインを日々の活用につなげる第一歩です。

「自社ではどこまで許可できるか」「推進担当と現場の役割をどう分けるか」「ルールと研修をどうつなげるか」で迷う場合は、ミチガエルへご相談ください。自社の業務に合った利用方針と、社員が実践できる進め方を一緒に整理しましょう。