生成AI利用規程のひな形｜中小企業が最初に決めるルール

導入

「生成AIを業務で使わせたいが、社内ルールがないまま解禁するのは怖い」。中小企業の経営者や情シス担当から、そんな相談が増えています。生成AI利用規程を作ればいいと分かっていても、法務部門もない中で一から書き起こすのは、時間も知識も足りません。

この記事では、生成AI利用規程のひな形を、中小企業がそのまま使える形で用意しました。何を書けばいいか分からなくても大丈夫です。まず押さえるべき7項目と、コピペして自社名を入れるだけで使える規程テキストを、公的機関の一次情報つきで解説します。

なお、そもそも生成AIをどの業務から使い始めるかを決めていない段階なら、先に生成AIを業務で活用する最初の一歩｜中小企業のAI導入の始め方を読んでください。ルール作りは、そこで紹介した「最初の一歩」を安全に踏み出すための土台です。

生成AI利用規程とは？中小企業が最初に決めるべきこと

生成AI利用規程とは、社員が生成AIをどこまで・どう使ってよいかを社内で明文化したルールのことです。ChatGPTのようなツールは、誰でもすぐ使えてしまいます。だからこそ、線引きが文書になっていないと、情報漏洩や誤情報の混入といったリスクが野放しになります。

とはいえ、最初から完璧な規程を目指す必要はありません。中小企業がまず決めるべきなのは、次の2つです。

• 入れていい情報と、絶対に入れてはいけない情報の線引き
• 誰が責任を持ち、何かあったときにどう対応するか

この2点さえ1枚の文書になっていれば、リスクの大半は抑えられます。そのうえで、承認・確認・記録・教育といった運用ルールを足していく。これが、無理なく続く生成AI利用規程の作り方です。

生成AI利用規程に最低限入れる7つの項目

生成AI利用規程に盛り込む項目は、突き詰めれば次の7つに整理できます。まずはこの骨組みを押さえてください。各項目の中身を、順番に見ていきましょう。

図1：生成AI利用規程に最低限入れる7項目

① 入力してはいけない情報

生成AI利用規程で最初に、そして最も明確に書くべき項目です。生成AIに入力した内容は、サービスによってはAIの学習データに使われることがあります。そのため、外に出て困る情報は入力しない、と決めておきます。

図2：生成AIに入力してよい情報・ダメな情報

具体的には、次のような情報を「入力禁止」として列挙します。

• 顧客・取引先の個人情報（氏名・連絡先・取引内容など）
• 自社の未公開情報・機密情報（財務数値・原価・図面・ソースコードなど）
• 契約書・見積書など、社外秘の文書
• 法律や契約で守秘義務のある情報

「禁止」だけでなく「入れてよい例」も併記すると、現場が迷いません。公開済みの情報や、社名・個人名を伏せた一般的な相談なら問題ない、といった形です。

② 利用してよい業務・ツールと承認

次に、どのツールを・どんな業務に使ってよいかを決めます。無数にあるAIツールを社員が各自バラバラに使うと、管理不能になります。会社として利用を認めるツールを指定し、それ以外は原則使わせない、とするのが基本です。

図3：生成AIツール利用の承認フロー

あわせて、新しいツールを使いたいときの承認ルートも定めます。「使いたいツールがあれば管理責任者に申請し、承認を得てから使う」と一文入れるだけで、把握できない野良利用（シャドーAI）を防げます。

③ 責任者・管理体制

生成AI利用規程は、守らせる人がいて初めて機能します。そこで、生成AIの利用を統括する管理責任者を1人決めます。中小企業なら、情シス担当や管理部門の責任者が兼任する形で構いません。

管理責任者の役割は、利用ツールの承認、問い合わせ対応、規程の見直しなどです。責任の所在をはっきりさせることは、後述する国のAI事業者ガイドラインでも「アカウンタビリティを果たす責任者を設定する」と明記されている考え方です。

④ 出力の確認義務

生成AIは、誤った内容を自信満々に返すことがあります（ハルシネーション）。そのため、AIの出力をそのまま使わず、必ず人が確認するという義務を生成AI利用規程に明記します。

とくに、顧客に出す文書、数値、法律や制度に関わる記載は、一次情報での裏取りを必須にします。「生成AIはたたき台を作る係であり、最終判断をする係ではない」——この原則を規程に書き込んでおきます。

⑤ 利用ログ・監査

何かあったときに「誰が・いつ・何に使ったか」を説明できる状態を作ります。法人向けプランには利用履歴が残るものもあります。そうしたログの保存と、定期的な棚卸し（監査）を生成AI利用規程に含めます。

厳密な監視までは不要でも、「管理責任者が定期的に利用状況を確認する」と一文あるだけで、統制の実効性が上がります。

⑥ 違反時の扱い

ルールは、破ったときの扱いを決めておいて初めて実効性を持ちます。禁止情報を入力してしまった場合の報告義務と、対応の窓口を生成AI利用規程に定めます。

ここで大切なのは、罰することより「まず報告してもらう」文化を作ることです。隠されるのが一番危ない。だからこそ、報告ルートを明確にし、早く気づける体制にします。

⑦ 教育

最後に、生成AI利用規程を配って終わりにしないための教育です。入社時や年1回など、タイミングを決めて周知します。

生成AIは進化が速く、ルールも一度で完成しません。そのため、教育の機会を規程に組み込み、定期的に内容を見直す前提にしておきます。

そのまま使える生成AI利用規程のひな形【コピペ用テンプレート】

上の7項目を、そのままコピーして使える生成AI利用規程のひな形にまとめました。◯◯（自社名）や日付、部署名を自社に合わせて置き換えれば、たたき台として使えます。まずはこの1枚から始めてください。

──────────────────────────────
◯◯株式会社　生成AI利用規程（ひな形）
制定日：20XX年X月X日／管理責任者：（部署・役職）
──────────────────────────────

第1条（目的）
本規程は、当社における生成AIサービスの適正な利用について必要な
事項を定め、情報漏洩その他のリスクを防止しつつ、業務の効率化を
図ることを目的とする。

第2条（適用範囲・管理体制）
1. 本規程は、当社の全役員および全従業員（派遣・業務委託を含む）に
   適用する。
2. 生成AIの利用を統括する管理責任者を（部署・役職）に置く。
   管理責任者は、利用ツールの承認、問い合わせ対応、本規程の見直しを
   行う。

第3条（利用してよいツールと承認）
1. 業務で利用してよい生成AIサービスは、会社が指定したものに限る。
   （例：△△、□□）
2. 前項以外のサービスを利用する場合は、事前に管理責任者へ申請し、
   承認を得なければならない。

第4条（入力してはいけない情報）
次に掲げる情報を生成AIサービスに入力してはならない。
　(1) 顧客・取引先の個人情報（氏名・連絡先・取引内容等）
　(2) 当社の未公開情報・機密情報（財務・原価・図面・ソースコード等）
　(3) 契約書・見積書その他の社外秘文書
　(4) 法令または契約により守秘義務を負う情報
　※ 公開済みの情報、または固有名詞を伏せた一般的な相談は、この限り
　　 ではない。

第5条（出力の確認義務）
1. 生成AIの出力は、そのまま最終成果物として用いてはならない。
   利用者は内容を必ず確認し、必要な修正を行う。
2. 数値・固有名詞・法令や制度に関わる記載は、一次情報で裏取りする。

第6条（利用ログと監査）
1. 会社は、生成AIの利用状況（ログ）を必要な範囲で記録・保存する。
2. 管理責任者は、定期的に利用状況を確認する。

第7条（禁止事項）
利用者は、第4条の違反のほか、法令違反・権利侵害・当社の信用を害する
目的での利用をしてはならない。

第8条（違反時の扱い）
1. 本規程に違反し、または違反のおそれに気づいた者は、速やかに
   管理責任者へ報告しなければならない。
2. 会社は、違反の内容に応じて必要な措置を講じる。

第9条（教育）
会社は、入社時および年1回以上、本規程および生成AI利用上の注意点に
ついて周知・教育を行う。

第10条（改定）
本規程は、生成AIをめぐる技術・法令・社内状況の変化に応じて随時見直す。

附則　本規程は 20XX年X月X日から施行する。
──────────────────────────────

このひな形は、中小企業が最初のたたき台として使うことを想定した一般的なサンプルです。実際の運用にあたっては、自社の業種・契約・利用ツールに合わせて調整し、必要に応じて弁護士・社労士など専門家に確認してください。

証拠：公的機関も生成AI利用規程づくりを後押ししている

「まず社内ルールを決める」という進め方は、GSIだけの見解ではありません。公的機関や専門団体の資料も、同じ方向を示しています。

入力してはいけない情報の根拠は、個人情報保護委員会にあります。同委員会の注意喚起リーフレットは、入力した情報が学習データとして使われる予定の場合、利用者から提供者へ個人データを「提供した」ことになる、と説明しています。そのうえで、個人データを第三者に提供するときは原則としてあらかじめ本人の同意が必要（個人情報保護法第27条・第28条）と示しています。つまり、顧客の個人情報を安易に入力してはいけない、という規程①の裏付けです。

出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（2023年6月2日公表／2026年7月26日確認）。同委員会の注意喚起リーフレット（PDF）は、利用者に対し「利用規約を確認するなどした上でサービスを利用する」「特定された利用目的の達成に必要な範囲内で個人情報を取り扱う」ことを求めています。

責任者・出力確認・教育といった管理の枠組みも、国のガイドラインと同じ方向です。総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」は、AIを開発・提供・利用する各主体が念頭に置く「共通の指針」として、人間中心・安全性・公平性・プライバシー保護・セキュリティ確保・透明性・アカウンタビリティの7つを挙げ、さらに社会と連携して取り組むことが期待される事項に教育・リテラシーを置いています。アカウンタビリティの項目には「各主体においてアカウンタビリティを果たす責任者を設定する」とあり、これは規程③の管理責任者そのものです。

出典：総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（2026年3月31日公表／2026年7月26日確認・本編PDFの「C. 共通の指針」を参照）

一から書くのが不安なら、公開されているひな形を土台にする手もあります。たとえば日本ディープラーニング協会（JDLA）は、組織がそのままカスタマイズして使える「生成AIの利用ガイドライン」のひな形を、Word形式で無償公開しています。

出典：日本ディープラーニング協会（JDLA）「生成AIの利用ガイドライン（資料室）」（第1.1版・2023年10月公開／2026年7月26日確認）

【2026年版】AI法の施行で、生成AI利用規程は義務になった？

ここは誤解が多いところなので、正確に書きます。2025年6月4日に「人工知能関連技術の研究開発及び活用の推進に関する法律」（令和7年法律第53号。通称AI法）が公布され、2025年9月1日に全面施行されました。

結論：AI法に罰則はなく、生成AI利用規程の作成義務もない

まず結論です。この法律に罰則の規定はありません。生成AIの利用規程の作成を直接義務づける条文もありません。

そのため「AI法ができたから規程が必須になった」という説明を見かけたら、それは正確ではないと考えてください。あわてて形だけ整える必要はありません。

条文が定めているのは「活用事業者の責務」

では何が書かれているのか。罰則ではなく責務です。第7条（活用事業者の責務）は、AIを事業活動で活用しようとする者について、自ら積極的に活用して事業活動の効率化・高度化と新産業の創出に努めるとともに、国および地方公共団体の施策に協力しなければならない、と定めています。

つまり、AIを業務で使う中小企業も、ここでいう活用事業者にあたります。条文の向きは「使うな」ではなく「積極的に活用してほしい」です。

出典：e-Gov法令検索「人工知能関連技術の研究開発及び活用の推進に関する法律」（令和7年法律第53号／2026年7月26日に条文全文を確認。罰則規定は置かれていません）。全面施行日は内閣府「ＡＩ法 全面施行 －次なるフェーズへ－」（2026年7月26日確認）による。

国も「自主的に進める」と書いている＝A4一枚で始めてよい

AI事業者ガイドラインも同じ立て付けです。第1.2版は、これらの取組について「各主体の資源制約を考慮しながら自主的に進めることが重要」と明記しています。

つまり国も、中小企業に大企業と同じ体制を求めてはいません。身の丈のA4一枚から始めてよいという判断の根拠が、ここにあります。

ただし、規程がないままだと困ることもあります。何かあったとき「うちはこう決めていました」と示せる文書が、社内に一つもない状態になるからです。義務ではないからこそ、自分で作っておく価値があります。

AIエージェント時代に効いてくるのは第5条と第6条

もう一つ、第1.2版で押さえたい変化があります。同版は「AIエージェント」を、特定の目標を達成するために環境を感知し自律的に行動するAIシステム、と定義しています（参考としてISO/IEC 22989:2022の定義も併記）。

指示するたびに答えを返す生成AIから、自分で手順を判断して動くAIへ。業務での使われ方は広がりつつあります。そうなるほど、生成AI利用規程の第5条「出力は必ず人が確認する」と第6条のログが効いてきます。

だからこそ、改定を前提にした第10条を最初から入れておいてください。

本記事は法令・ガイドラインの一般的な説明であり、個別の法的助言ではありません。自社への当てはめは、必要に応じて弁護士等の専門家にご確認ください。

生成AI利用規程は「作って終わり」にしない

生成AI利用規程は、作った瞬間がゴールではありません。むしろスタートです。よくある失敗は、立派な規程を作ったのに現場に浸透せず、誰も見ないまま形骸化することです。

そうならないために、大切なのは次の3つです。短く始めること（最初はA4一枚で十分）。周知すること（配って終わりにせず説明する）。そして定期的に見直すこと。生成AIの進化は速く、半年前のルールがもう合わない、ということも起こります。だからこそ、⑦の教育と第10条の改定を、最初から前提に組み込んでおきます。

まとめ

生成AI利用規程は、完璧を目指すより「まず1枚」から始めるのが、中小企業には現実的です。入力してはいけない情報・利用ツールと承認・責任者・出力確認・ログ・違反時対応・教育の7項目を押さえれば、リスクの大半は抑えられます。国が示しているのも、罰則付きの完璧な体制ではなく、自社の資源に合った自主的な取組です。

本記事のひな形をたたき台に、自社の状況に合わせて調整してください。そのうえで、どの業務から実際に使い始めるかは生成AIを業務で活用する最初の一歩｜中小企業のAI導入の始め方にまとめています。どこから手をつけるか迷ったら、一度相談してみるのがおすすめです。

あわせて読みたい（関連記事）

• 生成AIを業務で活用する最初の一歩｜中小企業のAI導入の始め方（シリーズのハブ。どの業務から始めるかはこちら）
• Google Workspaceの有料版と無料版の違い（⑤の利用ログが残る法人向けプランを選ぶときの参考に）
• ベンダーロックインのリスクと回避方法（②で会社として認めるツールを決めるときの注意点）

▶ DX・システム開発を相談する （任意）▶ ユルっとGSIを見る

---