社内生成AIガイドラインの作り方―― 機密情報・禁止事項・プロンプトルールの雛形付き【2026年版】
無料相談 / ガイドライン策定＋研修
「何から決めればいいか分からない」「導入したが定着しない」——カトルセが、社内生成AIガイドラインの策定支援から社員研修・定着支援まで一気通貫で伴走します。まずは30分の無料相談から。
無料で相談する →- 企業に必要なのは「生成AIの全面禁止」ではなく、安全に使うための社内ガイドラインを作ることです。
- 良いガイドラインは①使ってよいこと ②注意すれば使ってよいこと ③原則禁止することの3分類で、社員が迷わず使える状態にします。
- 核になるのは入力禁止情報・禁止事項・プロンプトルール・AI回答の確認ルール・承認フロー。本記事はそのまま使える雛形付きです。
- ガイドラインは作って終わりではなく、研修・定着支援とセットで運用し、半年に1回見直すことで初めて機能します。
生成AIは「禁止」ではなく「ルール化」して使う時代へ
ChatGPT、Claude、Gemini、Copilot、NotebookLMなどの生成AIは、資料作成、議事録作成、メール文面作成、調査、企画立案、社内FAQ、営業提案など、さまざまな業務で活用されるようになっています。一方で、企業で導入する際に必ず出てくるのが、次のような不安です。
- 「社員が機密情報を入力してしまわないか」
- 「お客様情報や個人情報をAIに入れてもよいのか」
- 「AIの回答をそのまま使って問題にならないか」
- 「著作権や情報漏えいのリスクは大丈夫か」
- 「どこまで使ってよくて、どこから禁止なのか分からない」
この不安を放置すると、現場では2つの問題が起きます。1つ目は、リスクを恐れて誰も使わなくなること。せっかく導入しても「怒られそう」「危なそう」と感じて使われなければ、業務改善にはつながりません。2つ目は、ルールがないまま各自が勝手に使い始めること。個人アカウントで機密情報を入力したり、回答を確認せずに顧客へ送ったりすると、情報漏えいや誤情報のリスクが高まります。
総務省・経済産業省は、AIの開発・提供・利用に関する考え方を整理した「AI事業者ガイドライン」を公開しており、最新版ではチェックリストやワークシートも提供されています。社内ルールを整備する際も、こうした公的ガイドラインを参考にしながら、自社の業務に合わせて具体化することが重要です。
社内生成AIガイドラインとは？
社内生成AIガイドラインとは、社員が業務で生成AIを使う際のルールをまとめた文書です。どのツールを使ってよいか、どの業務で使ってよいか、入力してはいけない情報は何か、回答をどう確認するか、社外文書に使う場合の注意点、著作権・個人情報・機密情報の扱い、問題が起きた場合の報告先などを定めます。
重要なのは、単なる禁止リストにしないことです。制限ばかりにすると社員は使わなくなり、曖昧すぎると現場判断に依存してリスクが高まります。良いガイドラインは、次の3つを明確にします。
| 区分 | 例 |
|---|---|
| 使ってよいこと | 公開情報の要約、文章のたたき台作成、議事録の整形、アイデア出し、社内説明資料の構成案作成 |
| 注意すれば使ってよいこと | 顧客向け資料の作成、契約書の要約、社内データを使った分析、個人情報を含まない問い合わせ対応 |
| 原則禁止すること | 機密情報の入力、個人情報の無断入力、AI回答の無確認利用、法務・医療・財務など高リスク判断の丸投げ |
この3分類にすることで、社員は「何をしてよいか」が分かりやすくなります。
なぜ社内生成AIガイドラインが必要なのか
1. 情報漏えいを防ぐため
生成AIの最大のリスクの1つが、機密情報や個人情報の入力です。顧客名、取引条件、見積金額、契約書、社内会議資料、未公開の事業計画などを外部AIサービスに入力すると、情報管理上の問題につながる可能性があります。個人情報保護委員会も、生成AIサービスに個人情報を含むプロンプトを入力する場合は利用目的の範囲内であることを確認する必要があり、個人データが回答生成以外の目的で扱われる場合には本人同意やサービス提供事業者の機械学習利用有無などを十分確認する必要があると注意喚起しています。そのため、「入力してよい情報」と「入力してはいけない情報」を明確に分ける必要があります。
2. AIの誤回答をそのまま使わないため
生成AIは便利ですが、常に正しい回答を出すわけではありません。存在しない制度を説明したり、古い情報をもとに回答したり、もっともらしい文章で誤った内容を出すことがあります。特に法務・税務・医療・採用・投資・契約・セキュリティなどの領域では、回答をそのまま使うことは危険です。ガイドラインでは、AIの回答は「最終成果物」ではなく「たたき台」として扱い、必ず人間が確認することを明記します。
3. 著作権・知的財産リスクを抑えるため
生成物をそのまま商用利用する場合には、既存著作物との類似性、第三者の権利侵害、利用規約、社外公開時の責任などを確認する必要があります。文化庁は、生成AIと著作権に関する考え方やチェックリスト・ガイダンスを公開しています。社内ルールとしては、「AI生成物をそのまま公開しない」「既存キャラクター・ロゴ・著名人・他社デザインに似せた生成を禁止する」「商用利用前に確認する」といった運用が重要です。
4. 社員が安心してAIを使えるようにするため
ガイドラインは社員を縛るためのものではなく、むしろ安心して使うためのものです。「この範囲なら使ってよい」「この情報は入れてはいけない」「この場合は確認する」とルールが明確になると、現場は迷わず使えるようになり、AI活用が一部の詳しい社員だけでなく全社に広がりやすくなります。
社内生成AIガイドラインに入れるべき項目
最低限、次の項目を入れることをおすすめします。
- 目的：「リスクを防ぐため」だけでなく「安全かつ効果的に活用し、業務効率化・品質向上・新たな価値創出につなげるため」と書く
- 対象者：正社員・契約社員・派遣・業務委託・インターン・外部パートナー・グループ会社社員など。委託先は秘密保持義務や成果物の権利関係とも関わるため明確に
- 対象ツール：会社が承認したツールに限定し、個人アカウント・無料版の業務利用範囲を決める
- 利用可能な業務：「AIに任せてよい業務」ではなく「AIを補助的に使ってよい業務」と表現する
- 入力禁止情報（最重要）
- 禁止事項（曖昧な「不適切な利用は禁止」ではなく具体的に）
- プロンプト入力ルール（良いプロンプトの書き方も示す）
対象ツールの分類例
| 区分 | 利用可否 | 例 |
|---|---|---|
| 会社承認済みツール | 利用可 | 法人契約済みChatGPT、Copilot、Geminiなど |
| 条件付き利用ツール | 条件付き可 | 個人情報・機密情報を入れない範囲での無料AI |
| 未承認ツール | 原則不可 | 出所不明のAI、利用規約が不明なAI、個人開発ツール |
入力禁止情報・禁止事項
入力禁止情報
次のような情報は、原則として外部の生成AIに入力しないルールにするのが安全です。
- 顧客名、担当者名、メールアドレス、電話番号
- 個人情報、従業員情報、採用候補者情報
- 契約書、見積書、請求書、注文書
- 未公開の売上情報、利益情報、経営計画
- 新商品・新規事業・研究開発情報
- 社内会議の非公開議事録
- ID、パスワード、APIキー、認証情報
- ソースコードのうち非公開部分／セキュリティ設定情報
- 顧客から秘密保持義務を負っている資料
ただし、法人契約のAIや社内環境で学習利用されない設定が確認できている場合は、利用範囲を広げられることもあります。その場合でも、入力可能な情報の範囲、ログ管理、アクセス権限、利用目的を明確にしておく必要があります。
禁止事項（具体的に書く）
- 機密情報を外部AIに入力すること
- 個人情報を本人同意や社内承認なく入力すること
- AIの回答を確認せずに顧客へ送信すること
- AIに法的・税務・医療判断などを丸投げすること
- 他社の著作物・ロゴ・キャラクターに酷似した成果物を作成・公開すること
- 差別的・攻撃的・違法・不正行為につながる内容を生成すること
- APIキー、パスワード、認証情報を入力すること
- 社内システムの脆弱性情報を外部AIに入力すること
- 会社の承認を得ずにAIツールへ業務データを連携すること
- AI生成物を自分の確認なしに「正しい情報」として扱うこと
プロンプト入力ルール
生成AIは、入力するプロンプトによって回答品質が大きく変わります。ガイドラインでは「使ってよい・悪い」だけでなく、良いプロンプトの書き方も示すべきです。基本ルールは次の通りです。
- 目的を明確に書く／前提条件を書く／出力形式を指定する／対象読者を指定する
- 機密情報や個人情報は入れない／固有名詞は匿名化する
- 数字や事実は後で確認する／重要な判断は人間が行う
悪い例：
この顧客への提案書を作って。添付の契約書と見積書を参考にして。
良い例：
BtoB企業向けに、業務効率化ツールの提案書構成案を作成してください。対象は情報システム部門の責任者です。顧客名、金額、契約条件などの機密情報は含めず、一般的な提案構成として出力してください。
このように、具体性を高めつつ、機密情報を入れない形に変換することが重要です。
社内生成AIガイドラインの作り方 5ステップ
ステップ1｜現場で使われているAIツールを把握する
会社が正式導入していなくても、社員が個人でChatGPTやGemini、Claude、画像生成AI、AI議事録ツールなどを使っているケースは少なくありません。どの部署で・どのツールを・無料版か有料版か・個人か会社アカウントか・どの業務で・どんな情報を入力し・成果物を社外に出しているかを確認します。ここを把握せずに作ると、実態とかけ離れたルールになってしまいます。
ステップ2｜情報分類を決める
AIに入力してよい情報・注意が必要な情報・入力禁止の情報を、次の4段階で分類するのがおすすめです。
| 情報区分 | 内容 | AI入力ルール |
|---|---|---|
| 公開情報 | Webサイト、公開資料、一般情報 | 入力可 |
| 社内一般情報 | 社内マニュアル、一般的な業務手順 | 承認済み環境なら可 |
| 社外秘・機密情報 | 顧客情報、契約、売上、経営情報 | 原則禁止 |
| 個人情報・認証情報 | 氏名、連絡先、人事情報、ID、パスワード | 原則禁止 |
ステップ3｜利用シーン別のルールを作る
部署や業務によって使い方は異なります。全社共通ルールに加えて、利用シーン別のルールを作ると実用性が高まります。
| 業務 | 利用可否 | 注意点 |
|---|---|---|
| メール文面作成 | 可 | 顧客名・個人情報は匿名化する |
| 議事録要約 | 条件付き可 | 機密会議は承認済みツールのみ |
| 契約書レビュー | 条件付き可 | 法的判断は専門部署が確認 |
| 提案書作成 | 可 | 顧客固有情報は入力しない |
| 採用評価 | 原則不可 | 候補者情報・評価判断に注意 |
| セキュリティ相談 | 条件付き可 | 脆弱性情報や構成情報は入れない |
| 画像生成 | 条件付き可 | 著作権・商標・肖像権に注意 |
ステップ4｜承認フローを決める
すべての利用に承認を求めると現場で使われなくなります。リスクに応じて承認フローを分けることで、スピードと安全性を両立できます。
| リスク | 例 | 承認 |
|---|---|---|
| 低 | 公開情報の要約、文章の言い換え | 承認不要 |
| 中 | 顧客向け資料のたたき台、議事録要約 | 上長確認 |
| 高 | 個人情報、契約書、機密資料の利用 | 情シス・法務・管理部門確認 |
| 禁止 | パスワード、APIキー、未公開情報の外部入力 | 利用不可 |
ステップ5｜研修と定期見直しを行う
ガイドラインは作って終わりではありません。生成AIツールは機能・利用規約・セキュリティ設定・法規制・社内の利用実態が日々変わるため、最低でも半年に1回は見直すべきです。また、配布するだけでは現場に定着しません。生成AIの基本理解、入力してよい情報・禁止情報の判断、安全なプロンプトの書き方、AI回答の確認方法、部署別の活用事例、トラブル時の報告方法などを扱う研修が効果的です。特に初期導入企業では、「危ないから使うな」ではなく「このルールなら安心して使える」と伝える研修が重要です。
CATORCE SERVICE ／ 法人向け生成AI研修 ガイドラインは、研修とセットで初めて定着する。 カトルセの生成AI研修は、入力禁止情報の判断・安全なプロンプトの書き方・AI回答の確認方法・部署別の活用事例まで、ガイドラインを「現場で使える行動」に落とし込みます。「このルールなら安心して使える」と社員が感じられる研修で、ガイドラインの形骸化を防ぎます。 研修サービスを見るそのまま使える｜社内生成AIガイドライン雛形
以下は、社内でそのまま活用できる生成AIガイドラインの雛形です。自社の業種、利用ツール、情報管理規程に合わせて修正してください。
1. 目的
本ガイドラインは、当社の役職員等が業務において生成AIを安全かつ効果的に活用するための基本ルールを定めるものです。生成AIの活用により、業務効率化、品質向上、ナレッジ共有、新たな価値創出を推進するとともに、機密情報、個人情報、著作権、誤情報、セキュリティ等に関するリスクを適切に管理することを目的とします。
2. 適用対象
本ガイドラインは、当社の役員、正社員、契約社員、派遣社員、業務委託、インターン、その他当社業務に関与する者に適用します。
3. 対象となる生成AIツール
本ガイドラインの対象となる生成AIツールは、文章、画像、音声、動画、コード、要約、翻訳、検索補助等を生成または支援するAIサービス全般とします（ChatGPT、Claude、Gemini、Microsoft Copilot、NotebookLM、画像生成AI、AI議事録ツール、AIチャットボット、コード生成AI、その他会社が承認したAIツール）。業務で利用できるツールは、原則として会社が承認したものに限ります。未承認ツールを業務利用する場合は、事前に上長または管理部門の確認を得るものとします。
4. 基本方針
当社では、生成AIを業務効率化と品質向上のための補助ツールとして活用します。ただし、生成AIの回答は常に正確であるとは限らないため、最終判断および成果物の責任は利用者本人および承認者が負うものとします。生成AIの回答をそのまま社外に提出・公開してはならず、必ず人による確認、修正、必要に応じた承認を行うものとします。
5. 利用可能な用途
文章のたたき台作成、メール文面の作成、社内資料の構成案作成、議事録の要約・整形、アイデア出し、調査観点の整理、企画案の壁打ち、FAQ案の作成、マニュアルの作成補助、翻訳・要約、Excel関数や業務効率化の相談、プログラムコードの作成補助、プレゼン資料の構成案作成などに利用できます。ただし、いずれの場合も、本ガイドラインに定める入力禁止情報を含めてはなりません。
6. 入力禁止情報
以下の情報は、会社が承認した安全な環境を除き、生成AIに入力してはなりません。顧客名・取引先名・担当者名、メールアドレス・電話番号・住所等の個人情報、従業員情報・人事評価・給与情報、採用候補者情報、契約書・見積書・請求書・注文書、未公開の売上・利益・財務情報、経営計画・事業戦略・新規事業情報、研究開発情報・技術情報・設計情報、社外秘資料・社内限定資料、顧客から秘密保持義務を負っている情報、ID・パスワード・APIキー・認証情報、セキュリティ設定・脆弱性情報、非公開のソースコード、その他会社が機密情報と指定する情報。やむを得ず業務上必要な情報を利用する場合は、匿名化・要約化・抽象化を行い、必要に応じて上長または管理部門の承認を得るものとします。
7. 個人情報の取り扱い
個人情報を含む情報を生成AIに入力してはなりません。業務上、個人情報を含む情報をAIで処理する必要がある場合は、利用目的の範囲内であること、本人同意の要否、利用するAIサービスの規約、入力データが学習利用されないこと、データの保存期間、アクセス権限、社内承認の有無を確認するものとします。判断に迷う場合は、自己判断せず、上長または管理部門に確認してください。
8. 禁止事項
機密情報を外部生成AIに入力すること、個人情報を承認なく入力すること、AIの回答を確認せずに社外へ送信・公開すること、AIに法務・税務・医療・投資・人事評価等の重要判断を丸投げすること、AI生成物を自社作成物として無確認で公開すること、他社の著作物・ロゴ・キャラクター・デザインに酷似した成果物を生成・利用すること、差別的・攻撃的・違法・不正行為につながる内容を生成すること、ID・パスワード・APIキー等の認証情報を入力すること、会社の承認なくAIツールと社内システムを連携すること、生成AIを利用して社内規程・契約・法令に違反する行為を行うことを禁止します。
9. プロンプト作成ルール
目的を明確にする、前提条件を具体的に書く、出力形式を指定する、対象読者を指定する、機密情報を含めない、個人情報を含めない、固有名詞は匿名化する、金額・契約条件・社名などは必要に応じて仮名化する、AIの回答は必ず確認する、重要な判断は人間が行う、というルールを守ってプロンプトを作成してください。
良いプロンプト例：
あなたは法人営業の提案書作成を支援するアシスタントです。中堅企業の情報システム部門向けに、生成AI研修を提案する資料構成案を作成してください。顧客名、金額、契約条件などの機密情報は含めず、一般的な提案構成として、見出しと各スライドの要点を表形式で出力してください。
悪いプロンプト例：
株式会社〇〇向けの見積書と契約書を貼るので、この内容をもとに提案書を作って。
10. AI回答の確認ルール
生成AIの回答を利用する場合は、事実関係が正しいか、古い情報ではないか、数字や固有名詞に誤りがないか、法令・規程・契約に反していないか、著作権や商標権を侵害していないか、顧客に誤解を与える表現がないか、差別的・不適切な表現が含まれていないか、社外秘情報が含まれていないか、会社として発信して問題ない内容かを確認してください。顧客提出資料、契約関連文書、対外発信文書に利用する場合は、必要に応じて上長または関係部門の確認を受けるものとします。
11. 社外公開・顧客提出時のルール
AIの出力をそのまま使わない、内容を人間が確認・修正する、顧客情報や機密情報が含まれていないか確認する、著作権・商標・肖像権に注意する、必要に応じて上長承認を得る、会社の品質基準に合う表現に整える、を守ってください。
12. トラブル時の報告
機密情報や個人情報を誤ってAIに入力した、AIの回答をもとに誤情報を社外に送った、著作権侵害の可能性がある成果物を作成した、不審なAIツールを業務利用した、AIツールから不適切な出力があった、取引先からAI利用について問い合わせを受けた、といった事象が発生した場合、速やかに上長または管理部門に報告してください。報告者を不当に責めるのではなく、早期発見・早期対応を優先します。
13. 教育・研修
会社は、生成AIを安全かつ効果的に活用するため、必要に応じて社員向けの研修を実施します。研修では、生成AIの基本理解、業務活用事例、入力禁止情報、個人情報・機密情報の扱い、安全なプロンプト作成、AI回答の確認方法、トラブル時の対応を扱います。
14. 見直し
本ガイドラインは、生成AI技術、法令、利用規約、社内利用状況の変化に応じて、定期的に見直します。原則として半年に1回、または重要な変更があった場合に改定を行います。
生成AIガイドライン運用時のチェックリスト
社内展開前に、以下を確認しましょう。
- 利用可能なAIツールを定義している
- 無料版・個人アカウント利用の扱いを決めている
- 入力禁止情報を明確にしている
- 個人情報の扱いを定めている
- 機密情報の扱いを定めている
- AI回答の確認責任を明確にしている
- 社外提出時の承認ルールを決めている
- 著作権・商標・肖像権への注意点を入れている
- トラブル時の報告先を決めている
- 社員向け研修を実施する予定がある
- 半年ごとの見直しルールがある
よくある質問
Q1. 無料版のChatGPTを業務で使ってもよいですか？
会社としては、無料版や個人アカウントの業務利用には慎重になるべきです。公開情報の要約や一般的な文章作成であれば利用可能とする企業もありますが、機密情報・個人情報・顧客情報・契約情報を入力することは避けるべきです。業務利用を本格化する場合は、法人向けプランやデータ保護設定が確認できるサービスを利用することをおすすめします。
Q2. 顧客名を匿名化すればAIに入力してもよいですか？
匿名化すればリスクは下がります。「株式会社〇〇」「A社」「製造業の中堅企業」のように置き換えることで個社が特定されにくくなります。ただし、業界・地域・売上規模・取引内容・固有の課題などを組み合わせると特定できる場合があります。匿名化しても、重要な機密情報は入力しないことが基本です。
Q3. AIが作った文章をそのまま顧客に送ってもよいですか？
推奨されません。AIの文章には、誤情報、不自然な表現、過剰表現、事実と異なる内容が含まれることがあります。顧客に送る前に、必ず人間が確認し、自社の言葉に修正する必要があります。
Q4. 社内ガイドラインを作ればAI導入は進みますか？
ガイドラインだけでは不十分です。ガイドラインは「安全に使うためのルール」です。実際に社内定着させるには、研修、活用事例の共有、部署別テンプレート、プロンプト集、相談窓口、定期的なフォローアップが必要です。特に初期導入では、「何が禁止か」だけでなく「どう使えば業務が楽になるか」をセットで伝えることが重要です。
まとめ：生成AIガイドラインは、リスク対策ではなく活用推進の土台
社内生成AIガイドラインは、単なるリスク管理文書ではありません。本来の目的は、社員が安心して生成AIを使い、業務効率化や品質向上につなげることです。重要なのは次の5つです。
- 使ってよいことを明確にする
- 入力してはいけない情報を明確にする
- AI回答を人間が確認するルールを作る
- 部署別・業務別に具体例を示す
- ガイドラインと研修をセットで運用する
カトルセでは、社内生成AIガイドラインの策定支援から、社員向け生成AI研修、部署別活用ワークショップ、プロンプトテンプレート作成まで一貫して支援しています。「まず何から決めればよいか分からない」「社員に安全な使い方を教えたい」「ChatGPTやCopilotを導入したが定着していない」といった企業様は、社内ルール作りと研修をセットで進めることをおすすめします。まずはお問い合わせからお気軽にご相談ください。
※ 本記事に登場するChatGPT、Claude、Gemini、Microsoft Copilot、NotebookLMその他のプロダクト名・サービス名は、各提供元の商標または登録商標です。本記事の雛形は一般的な参考例であり、法的助言ではありません。ガイドラインの整備にあたっては、総務省・経済産業省「AI事業者ガイドライン」、個人情報保護委員会の注意喚起、文化庁「AIと著作権」に関する考え方など各一次情報を確認のうえ、必要に応じて専門家にご相談ください。2026年6月時点の情報です。
よくある質問
カトルセの支援サービス
社内生成AIガイドラインは、策定だけでなく「研修・定着支援」とセットで初めて機能します。カトルセは、AI顧問（ガイドライン策定支援）・法人向け生成AI研修・社内FAQ/RAG構築・ローカルAI議事録まで、安全な社内活用を一気通貫で伴走します。