生成AI利用ガイドラインのひな形｜そのまま使える項目と記入例

「生成AIの社内ルールを作りたいが、白紙から書き起こす時間がない」——これは中小・中堅企業のDX・情シス・法務の担当者から最も多く寄せられる相談のひとつです。実際、ガイドラインは論点さえ押さえれば、ゼロから発明する必要はありません。国際的な枠組みと国内の指針が「何を決めるべきか」をすでに整理しているからです。

この記事では、生成AI利用ガイドラインに必要な9つの項目を示し、各項目にそのまま書き写せる記入例を用意しました。まず全体像をひな形としてコピーし、後述の調整ポイントで自社仕様に整えれば、実務で使える初版が半日で組み上がります。脅すためではなく、事実 → リスク → 次の一手の順で、迷いなく手を動かせる形にしています。

なお本記事は、NIST（米国立標準技術研究所）が公開する AI リスクマネジメントフレームワーク（AI RMF 1.0） と、総務省・経済産業省による AI事業者ガイドライン（第1.0版） を根拠にしています。前者はAIリスクを「統治（Govern）・特定（Map）・測定（Measure）・管理（Manage）」の4機能で扱う枠組み、後者は日本企業がAIを利用する際の共通指針を示す公的文書です。

生成AI利用ガイドラインに必要な9項目（ひな形の骨格）

まずは骨格です。次の9項目を見出しとして並べれば、抜け漏れのない構成になります。各項目が「NIST AI RMFのどの機能」「経産省ガイドラインのどの考え方」に対応するかも添えました。

ポイントは、「禁止」だけでなく「許可の範囲」を必ず書くことです。禁止事項だけのルールは現場を萎縮させ、結果として無許可ツールの私的利用（シャドーAI）を増やします。使ってよい道を示すことが、実はセキュリティ対策になります。

そのまま書き写せる記入例（コピー用サンプル）

以下は各項目の記入例です。自社の実態に合わせて【　】部分を置き換えれば、そのまま初版として使えます。

1. 目的

本ガイドラインは、当社における生成AIの安全かつ効果的な活用を促進するとともに、情報漏えい・著作権侵害・誤情報の利用といったリスクを未然に防ぐことを目的とする。

2. 適用範囲

本ガイドラインは、当社の全役職員（正社員・契約社員・派遣社員を含む。以下「利用者」という）が、業務上、生成AIサービスを利用するすべての場合に適用する。業務委託先が当社の情報を扱う場合も、本ガイドラインに準じた取り扱いを求める。

3. 利用可否・ホワイトリスト

業務で利用できる生成AIサービスは、情報システム部が承認した以下のツールに限る（ホワイトリスト方式）。記載のないツールを業務利用する場合は、事前に情報システム部へ申請し、承認を得ること。

4. 入力禁止事項

次の情報を生成AIに入力してはならない。

• 氏名・連絡先などの個人情報、マイナンバー等の特定個人情報
• 顧客・取引先から預かった機密情報、秘密保持義務のある情報
• 未公開の財務・人事・M&A等の経営情報
• 秘密として管理しているソースコード・設計情報
• 第三者の著作物を、権利処理せずに複製・改変させる目的の入力

5. 出力の扱い

生成AIの出力は、必ず利用者本人が内容を確認したうえで利用する。事実誤り（ハルシネーション）・著作権侵害・偏りの有無を点検し、未確認のまま社外文書や意思決定に用いてはならない。出力を最終成果物として利用する責任は、利用者および所属部門が負う。

6. アカウント・権限

業務利用は、会社が契約した法人アカウントで行う。個人の無料アカウントによる業務利用を禁止する。学習・再学習にデータが使われない設定（オプトアウト）を標準とし、アカウントの共有を禁止する。退職・異動時は速やかに権限を停止する。

7. インシデント時の対応

情報漏えい等のインシデント、またはその疑いを認知した場合、利用者は直ちに当該利用を停止し、【○時間】以内に情報システム部（連絡先：【　】）へ報告する。事実確認・影響範囲の特定・再発防止は情報システム部が主管する。速やかに報告した者が、報告を理由に不利益な取り扱いを受けることはない。

8. 教育・リテラシー

全利用者は、年1回のAIリテラシー研修を受講する。新規利用者は、利用開始前に本ガイドラインの確認を行う。研修では、入力禁止事項・出力確認・インシデント報告経路を重点的に扱う。

9. 改定・運用

本ガイドラインは、技術動向・法規制・利用実態の変化に応じ、少なくとも年1回見直す。所管は【部署名】とし、改定履歴を記録して最新版を全社へ周知する。制定日：【　】／最終改定日：【　】。

自社に合わせる調整ポイント

ひな形はあくまで「たたき台」です。次の観点で自社仕様に整えてください。

• 業種・規制：金融・医療・自治体案件などは、業界ガイドラインや委託元の情報管理規程を上乗せする。
• ツールの実態：現場が実際に使っているツールを棚卸しし、ホワイトリストに反映する。理想論のリストは形骸化します。
• 既存規程との接続：就業規則・情報セキュリティ規程・秘密保持規程と矛盾しないよう、参照関係を明記する。
• 役割分担：NIST AI RMFのGOVERNが求めるとおり、情シス・法務・事業部門の横断体制で所管と承認フローを決める。
• 粒度：本文はA4数枚に収め、詳細な手順やQ&Aは別紙に逃がす。読まれない長文は運用されません。

項目ごとの設計思想や決め方の順序は、AI利用ガイドラインの作り方（詳細手順）で工程順に解説しています。根拠となる枠組みそのものを押さえたい場合はNIST AI RMFとはもあわせてご覧ください。

よくある失敗

• 禁止一辺倒：許可範囲を書かず「使うな」だけ。結果、私物端末での無許可利用（シャドーAI）が増える。
• 固有名詞で固定：特定サービス名を本文に埋め込み、更新が追いつかず陳腐化する。ホワイトリストは別表にし、更新責任者を置く。
• 責任の空白：出力の最終責任者を決めず、誤情報が社外に出て初めて所在を探す。
• 作って終わり：教育と改定を欠き、1年後には実態と乖離する。GOVERNは「継続的な運用」を前提としています。
• 法務だけで完結：現場のユースケースを聞かずに作り、実務と噛み合わない。策定段階で利用部門を巻き込むことが要です。

よくある質問

Q1. ひな形をそのまま社内展開してよいですか。 初版のたたき台としては可能ですが、適用範囲・ホワイトリスト・連絡先・改定所管は必ず自社の実態に置き換えてください。空欄【　】を埋めないまま配布すると運用できません。

Q2. 無料の生成AIは全面禁止すべきですか。 一律禁止は、かえって無許可利用を地下に潜らせます。法人契約＋学習オフを標準とし、「使ってよいツール」を明示するホワイトリスト方式のほうが、実効性の高いセキュリティになります。

Q3. どの部署が作るべきですか。 情シス単独ではなく、法務・事業部門を含む横断体制が望ましいです。NIST AI RMFのGOVERN機能も、AIリスクを組織横断で統治する体制を求めています。

Q4. 罰則条項は必要ですか。 就業規則との整合が前提です。まずは教育と周知を厚くし、故意・悪質な違反のみ既存の懲戒規定に接続する設計が現実的です。罰則から入ると利用が萎縮します。

Q5. 分量はどれくらいが適切ですか。 本文はA4で数枚が目安です。詳細な手順・ツール別の注意・Q&Aは別紙へ切り出し、本体は「読まれる長さ」を優先してください。

まとめ

生成AI利用ガイドラインは、目的・適用範囲・利用可否・入力禁止・出力の扱い・アカウント権限・インシデント対応・教育・改定という9項目を押さえれば、抜け漏れなく初版を組めます。本記事の記入例をコピーし、【　】を自社仕様に置き換えるだけで、実務で回せるたたき台が完成します。

大切なのは、禁止で縛るのではなく「安全に使ってよい道」を示すこと。そして作って終わりにせず、教育と改定で運用し続けることです。これはNIST AI RMFと経産省AI事業者ガイドラインが共通して求める姿勢でもあります。

自社の実態に合わせた策定に不安があれば、まずは現状のリスクを可視化するところから始めましょう。AIガバナンス大学の無料診断では、貴社のAI利用状況をNIST AI RMFの観点でチェックし、優先して整備すべき項目を提示します。ガイドラインのひな形や研修資料をまとめた資料請求もあわせてご利用ください。