生成AIの社内ルールは3つで足りる｜急ぐ義務はまだない

「うちはまだ生成AIのルールが無いので」

この一言で止まっている会社を、いくつも見てきました。禁止しているわけではありません。ただ、何も決まっていない。だから誰も最初の一人になりたがらない。

そのあいだにも、社員は個人のアカウントで勝手に使っています。会社が把握していないだけです。ルールが無い状態は「使っていない状態」ではなく、見えていない状態です。

何から決めればいいのか

ルールを作ろうとすると、たいてい大きな文書を作る話になります。禁止事項を並べ、リスクを列挙し、承認フローを描く。そして完成しないまま半年が経ちます。

先に結論を書きます。最初に決めるのは3つだけで足ります。

法律は、実はまだ何も強制していない

まずここを確認します。多くの記事が「法律が変わったので、今すぐ社内ルールを整備すべきだ」と書いていますが、事実は少し違います。

AI推進法に罰則はない

2025年6月4日に公布され、同年9月1日に全面施行されたのが、正式名称を「人工知能関連技術の研究開発及び活用の推進に関する法律」といういわゆるAI推進法です。名前のとおり推進のための法律です。

事業者について定めた第7条は、国や自治体の施策に「協力しなければならない」としています。努力目標ではなく義務の書き方です。ただしこの法律に罰則の規定はありません。全28条を通して、罰金も過料も置かれていません。

そして、ここが大事なところですが、社内ルールを作れとはどこにも書かれていません。協力を求めているのは国の施策に対してであって、各社の運用に踏み込む条文ではありません。

国のガイドラインにも強制力はない

総務省と経済産業省が「AI事業者ガイドライン」を出しています。最新は2026年3月31日公表の第1.2版です。これはよくできた文書ですが、法的な拘束力を持つものではありません。

ただし、使わない手はありません。第1.2版には別添としてチェックリストとワークシートが付いています。ゼロから考えるより、これに目を通してから自社の言葉に直すほうが早く終わります。無料です。

改正個人情報保護法は、まだ施行されていない

ここが誤解されやすいところです。個人情報保護法の改正法は、2026年7月10日に成立し、7月17日に公布されました。課徴金制度の新設などが含まれています。

しかし施行はまだです。個人情報保護委員会の資料では、施行期日は「原則として公布の日から起算して2年を超えない範囲内」とされています。具体的な日は政令で定められますが、その政令はまだ出ていません。

「原則として」と付いているとおり、一部には別の扱いがあります。罰則に関する改正だけは「公布の日から起算して6か月を経過した日」、つまり2027年1月17日と、法律上すでに日付が決まっています。

ただしこれは罰則規定そのものの話で、中小企業が先取りで手を打つべき項目が示されているわけではありません。

だからルールを作る理由は、別のところにある

法律に怒られないためではありません。社員が迷わずに使えるようにするためです。

ここを取り違えると、出来上がるものが変わります。法令対応のつもりで作ると、禁止事項ばかりの分厚い文書になります。読まれず、守られず、結局は元の「なんとなく使わない」に戻ります。

まず決める3つ

1. 入れていい情報の線引き

一番効くのはこれです。そして、これだけでも決まっていれば現場は動けます。

決め方は単純で、社外に出したら困る情報を書き出して、それを入れないと決めるだけです。顧客の氏名や連絡先、見積の金額、未発表の企画、といった具合に。

抽象的な「機密情報は入力しない」では判断できません。何が機密かの解釈が人によって違うからです。自社で実際に使っている書類の名前で書いてください。「見積書の中身は入れない」なら誰でも判断できます。

2. 出てきたものを誰が確認するか

生成AIは間違えます。これは前提であって、欠陥ではありません。問題になるのは、確認されないまま外に出たときだけです。

そこで決めるのは「誰が確認するか」の一点です。社外に出る文書は必ず担当者が読んでから出す。社内で完結するものは本人の判断でよい。この程度の線引きで足ります。

承認フローを何段も作ると、使うのが面倒になって誰も使わなくなります。それは安全になったのではなく、止まっただけです。

3. 使っていいツールを1つに絞る

最初は1つでいいです。理由は3つあります。

学習に使われるかどうかの設定を、ツールごとに確認する手間が消えます。トラブルが起きたときにどこを見ればいいか分かります。そして、社内で「あれどうやるの」を聞き合えるようになります。

複数を並行させるのは、使いこなせるようになってからで間に合います。

ここまで読んで、自社だとどう書けばいいか迷われた場合は、相談から一度お話を伺います。いまのやり方を伺うところから始めます。

テンプレートをそのまま使うと形骸化する

検索すれば、ガイドラインのテンプレートはいくらでも出てきます。使うこと自体は構いません。ただ、そのまま配ると、ほぼ確実に読まれずに終わります。

分量が違う

世に出回っているテンプレートの多くは、法務部と情報システム部門がある会社を想定しています。運用する人がいる前提の分量です。

人手の足りない場所に同じものを持ち込むと、作った時点で誰も管理できません。大きな会社でうまくいったやり方は、そのままでは持ち込めません。

自社の業務名で書く

同じ「生成AIの利用ルール」でも、扱っている情報が違えば線引きは変わります。設計図を扱う会社と、患者情報を扱う会社と、求人原稿を書く会社では、危ないところが違います。

同じような悩みでも、一社一社やり方が違います。テンプレートの構成だけ借りて、中身は自社の書類名・業務名で書き直してください。A4で1枚に収まるはずです。

今日からやること

1日で終わります。完璧な文書を目指すより、動き出すほうが先です。

よくある質問

社員が個人のアカウントで使っているのは、止めるべきですか

止めるより、会社のアカウントを用意するほうが早く解決します。禁止しても見えなくなるだけで、使用そのものは止まりません。会社が用意すれば、設定も履歴も会社側で管理できます。

入力した内容は学習に使われますか

サービスと契約形態によって違います。法人向けのプランでは学習に使わない設定が既定になっていることが多いですが、必ず自社が契約している画面で確認してください。ここは伝聞で判断しないほうがいい部分です。

ルールは誰が作るべきですか

実際に業務でその情報を扱っている人です。情報システム担当や外部の人間だけで作ると、現場で何が飛び交っているかが反映されません。書くのは1人でよいので、線引きだけは現場に確認してください。

AI事業者ガイドラインは読んだほうがいいですか

全部読む必要はありません。第1.2版に付いているチェックリストとワークシートに目を通すだけで十分です。自社に関係のない項目は飛ばして構いません。

ルールを作ったあと、更新は必要ですか

改正個人情報保護法が施行される時期には見直しが要ります。原則として公布から2年を超えない範囲で施行されるので、それまでに一度見直す前提で作ってください。施行日を定める政令が出た時点で見直せば間に合います。いま先取りする必要はありません。

まとめ

生成AIの社内ルールが無いことで止まっているなら、原因は法律ではありません。線引きが無いことです。

AI推進法に罰則はなく、社内ルールを作れという条文もありません。改正個人情報保護法も施行前です。だからルールを作る理由は、法令対応ではなく、社員が迷わずに使えるようにすることにあります。

入れていい情報、確認する人、使うツール。この3つだけ先に決めてください。A4で1枚、1日で作れます。

足りない部分は、使いながら足していけば間に合います。

---

出典

• 人工知能関連技術の研究開発及び活用の推進に関する法律（e-Gov法令検索）
• AI事業者ガイドライン（総務省 AIネットワーク社会推進会議）
• 「個人情報の保護に関する法律等の一部を改正する法律」の公布について（個人情報保護委員会）