生成AI 社内ガイドライン禁止事項権限・ログ例外申請

生成AIの社内ガイドライン雛形｜禁止事項・権限・ログまで1枚で設計（2026年版）

最終更新日: 2026年2月18日

「現場がChatGPT/Claude/Copilotを使い始めたが、情シス・法務の不安が強く稟議が止まる」——中小企業では、この状態が最も多いです。重要なのは、禁止で止めることではありません。安全に使える状態を作り、統制しながら広げることです。

本記事では、社内共有にそのまま貼れる「1枚雛形（コピペ可）」と、30日で運用まで持っていく手順、部門別のOK/NG例、FAQとチェックリストをまとめます。情シス兼DX推進担当が、最短で合意形成できるように「決めること」と「決めないこと」の境界も明確にします。

社内ガイドラインは「禁止」ではなく「安全に使える状態」を作る

ガイドラインは「使っていい範囲」を先に定義し、権限とログで統制する文書です。禁止事項だけを増やすと、現場は個人アカウント（シャドーAI）へ逃げやすく、監査も教育もできません。

なぜ今「雛形」が必要か（現場は既に使っている）

現場は「便利だから」先に使い始めます。だからこそ、理想論の禁止ではなく「事故が起きる前に、最低限の境界線を引く」ことが優先です。雛形があると、法務・情シス・現場の議論が「言葉」ではなく「項目」に落ちるため、合意形成が一気に進みます。

この1枚で決めること／決めないこと（境界線）

決めること: 対象範囲（誰が/何を/どのツールで）、入力NGの基準（データ分類）、禁止事項（NG例）、権限、ログ、例外申請、インシデント初動。
決めないこと: すべての業務ユースケースの可否（最初から網羅しない）、完璧な法的判断（個別案件は法務レビューへ）、ツールの細かな設定手順（別紙の運用手順へ）。

まず決めるべき3点：入力ルール・権限・ログ

最初に決めるべきは、運用が崩れたときに戻せる「骨格」です。特にこの3点が曖昧だと、事故対応も改善もできません。

入力ルール

データ分類で「入力OK/NG」を判断。グレーは例外申請へ。

権限

誰がどの機能（連携/共有/ファイル）を使えるかを役割で分ける。

ログ

「目的・入力区分・利用ツール・出力用途」を残し、監査と改善に使う。

社内ガイドライン、まずは1枚でOKです

社内共有しやすい「1枚版」＋チェックリスト付き。まずは雛形だけ受け取って、稟議・合意形成を前に進めましょう。

雛形（Google Docs/Notion）をLINEで受け取る無料セミナーを見る

生成AIの社内利用で起きるリスクと、ガイドラインに落とす論点

ガイドラインは「事故を防ぐ」だけでなく、事故が起きたときに止血できるようにする設計です。起きるリスクから逆算して、必須項目を押さえます。

情報漏えい：何が漏れるか（機密/個人情報/取引先情報）

事故は「悪意」より「うっかり」で起きます。例えば、提案書の要約を依頼したつもりで、顧客名・単価・契約条件をそのまま貼り付けてしまうケースです。対策はシンプルで、入力データを区分し、入力OK/NGを明文化することです。

データ区分	例	入力可否（基本）
公開情報	自社サイト、公開プレス、公開FAQ	原則OK
社内情報（一般）	手順書、社内ルール、一般的な業務メモ	条件付き（ツール/権限/ログ前提）
社外秘・機微	契約、価格、未公開売上、設計、ソースコード、認証情報	原則NG（例外申請）
個人情報	氏名、住所、電話、メール、履歴書、健康情報	原則NG（原則入力しない）

著作権・商用利用・ブランド：生成物の扱いで揉めるポイント

文章・画像・動画・コードは、論点が少しずつ違います。共通するのは「生成物をそのまま採用しない」ことです。対外発信・商用利用は必ず人が確認し、必要なら出典やライセンスを確認する運用にします。画像/動画の商用利用の注意点は、以下の記事も参考になります。AI画像生成おすすめツール比較/AI動画生成ツールおすすめ比較

品質・説明責任：誤情報/差別/幻覚をどう扱うか

生成AIはもっともらしい文章を作れる反面、誤り（幻覚）や偏りが混ざることがあります。ガイドラインでは「最終責任は人」「対外文書はレビュー必須」を明文化し、レビューの粒度（誰が、何を、どの基準で見るか）を決めます。人事・採用ではバイアスや差別リスクが増えるため、後述の部門別運用例で具体的に扱います。

ツール連携（エージェント/自動化）が生む新しいリスク

RAGやエージェント、自動化ツール連携は、便利な一方で「権限委任」「ログ欠落」「意図しない外部送信」が新しい事故になります。例えば、社内データを検索して回答する仕組み（RAG）や、外部サービスへ自動投稿するエージェントは、接続先の権限と監査が最重要です。仕組みの基礎はRAG（検索拡張生成）とは？とAIエージェントとは？を押さえると理解が速いです。

【コピペ可】生成AI 社内利用ガイドライン雛形（1枚版）

まずは最小セットで暫定運用し、ログを見ながら改定するのが現実的です。以下はそのまま社内文書に貼れる「1枚版」です（穴埋め前提）。

対象範囲（対象者・対象ツール・対象データ）

ここが曖昧だと、例外が増えて運用が崩れます。「誰が」「どのツールで」「どのデータを扱うか」を先に固定し、例外は申請で拾います。

禁止事項（入力NG／出力NG／共有NG）

禁止事項は抽象的に書かず、現場が判断できるNG例で書きます。特に「入力NG」と「生成物をそのまま外に出す禁止」の2つが重要です。

権限・ログ・承認（最低限の運用要件）

「個人利用」から「業務利用」へ上げる分岐点は、権限とログです。誰が何をしたかが追えないと、監査も再発防止もできません。

例外申請とインシデント対応（止血の手順）

例外が発生するのは正常です。重要なのは、グレーを放置せず、申請で可視化すること。インシデントは「初動テンプレ」があるだけで被害が小さくなります。

# 生成AI 社内利用ガイドライン（1枚版／雛形）

## 1. 対象範囲
- 対象者: （例）全社員／一部部署（    ）／委託先（可/不可）
- 対象ツール: ChatGPT / Claude / Gemini / Copilot / その他（    ）
- 対象データ: 公開情報／社内情報（区分により制限）／個人情報（原則禁止）

## 2. 入力ルール（データ分類）
- 入力OK: 公開情報／自社が公開済みの情報
- 原則NG: 個人情報、社外秘、機微情報（契約・価格・設計・ソースコード・認証情報 等）
- 例外: 申請/承認フローを通し、ログ保存と影響範囲確認の上で実施

## 3. 禁止事項（コピペして使えるNG例）
- 入力NG: 顧客名・住所・電話・メール、契約書、未公開の売上/原価、認証情報（APIキー/パスワード）
- 出力NG: 生成物を「事実確認なし」で外部公開、著作権/ライセンス不明の画像・文章を商用利用
- 共有NG: 生成結果を社外に転送、個人アカウントでの業務データ取り扱い（許可なし）

## 4. 権限・ログ・承認（最低限）
- アカウント: 会社管理アカウントを原則とする（個人アカウント利用は条件付き）
- 権限: 役割に応じて機能制限（例）外部連携/API、ファイルアップロード、共有
- ログ: 目的・入力区分・利用ツール・出力の用途を記録（監査用）
- 承認: 対外公開物/顧客向け成果物は人のレビューを必須とする

## 5. 例外申請とインシデント対応
- 例外申請: 目的／対象データ／代替策／リスク／承認者（    ）／ログ保存の方法
- インシデント初動: ①利用停止 ②関係者連絡 ③ログ保全 ④影響範囲確認 ⑤再発防止
- 連絡先: 情シス（    ）／法務（    ）／現場責任者（    ）

補足: 実運用では「入力データ分類表」「例外申請フォーム」「インシデント初動手順」を別紙で持つと、現場が迷いません。参考としてAIエージェントの作り方の「権限/ログ設計」の考え方も同じです。

禁止事項・権限・ログまで“穴埋め式”で完成

入力データ分類表／例外申請フォーム／インシデント初動手順もセットで用意すると、社内展開が一気に楽になります。

穴埋めテンプレ一式をLINEで受け取る中小企業の生成AI導入ガイドを見る

最短導入ステップ：30日でガイドラインを「運用」まで持っていく

文書を作るだけで終わらせず、PoC→定着までを30日で回すのが最短です。ポイントは「使い方研修」より「事故らない運用研修」を軸にすることです。

0〜7日：現状把握（シャドーAI/利用ツール/用途）と方針決定

「誰が何を使っているか」を棚卸し（禁止ではなく実態把握から）。
まずは対象範囲を限定（例: 提案書の下書き、社内FAQの要約など）。
入力NGの基準（データ分類）を暫定で決め、グレーは例外申請に逃がす。

8〜14日：入力データ分類＋権限設計（誰が何をできるか）

データ分類表を作り、部署×役割×データ種別でマトリクス化する。
会社管理アカウントと個人アカウントの扱いを決める（業務は原則会社管理）。
対外公開物の承認者（レビュー責任）を決める。

15〜30日：ログ/監査＋教育（研修）＋定着施策

ログの粒度を決める（目的・入力区分・出力用途・共有先）。
「OK例/NG例」の社内ナレッジを作り、現場の判断を統一する。
教育は「プロンプト技術」より「事故らない運用」を優先。社内研修の設計は社内AI研修の始め方が参考になります。
研修を体系化したい場合は法人向けAI研修で成果を出す完全ガイドも合わせて確認してください。

部門別の運用例（営業/人事/開発）

「うちはどこまでOK？」は、部門の業務データと責任の置き方で変わります。ここではOK例・NG例の粒度まで落とします。

営業：提案書/メールでのOK例・NG例（顧客情報の扱い）

営業は顧客情報が混ざりやすい領域です。ポイントは「顧客固有情報を入れない」形に分解してAIに投げることです。

OK例

公開情報をもとに競合比較表の叩き台を作る。
提案書の構成案を作る（固有名詞・単価・契約条件は伏せる）。
メール文面のトーン調整（宛先名や案件固有情報は入れない）。

NG例

顧客名・担当者名・メール・住所をそのまま貼り付ける。
契約書/見積/単価表をそのままアップロードする（原則NG）。
生成した提案文を事実確認なしで顧客へ送る。

人事・採用：求人票・スクリーニング・評価の注意点

人事は個人情報と差別リスクが強く、ガイドライン上は「原則NG」が増えます。個人情報を入力しない設計（匿名化・要約）と、評価の説明責任を守るレビュー体制が重要です。実務の活用例はAI × 人事・採用の実践ガイドも参考になります。

求人票のたたき台作成はOK（公開情報と自社の公開可能情報で）。
履歴書や評価コメントの入力は原則NG（個人情報・機微が混ざる）。
スクリーニングは「補助」まで（最終判断は人／根拠の記録を残す）。

開発：Copilot/AIコーディングの情報管理とレビュー運用

開発はソースコードや認証情報の混入が最大リスクです。運用の基本は「秘密情報を入力しない」「生成コードをレビューする」「ライセンス/脆弱性の観点を含める」です。チーム導入時のルールはGitHub Copilotの使い方に詳しくまとめています。

最小運用ルール（開発）

APIキー/秘密鍵/パスワード/顧客データをプロンプトに貼らない。
生成コードは必ずレビューし、テストを通す（“動く”と“正しい”は別）。
外部送信や自動実行を伴う連携は、権限とログの設計を先にする。

よくある質問（FAQ）＋チェックリスト

反対意見（法務/情シス/現場）を先回りして、意思決定を加速させます。迷うポイントは「データ分類」と「例外申請」に寄せて整理するとブレません。

7つのFAQ

Q. 生成AI（ChatGPT等）に社内情報を入力しても大丈夫ですか？: A. 原則はデータ分類で判断します。社外秘・個人情報・機微情報は入力禁止とし、例外が必要な場合は申請/承認フロー（目的・対象データ・代替策・ログ保存）を通して判断します。
Q. ガイドラインは「禁止」中心にした方が安全では？: A. 禁止だけだと現場のシャドーAIが増えやすく、結果的に統制不能になります。安全に使える範囲を定義し、ログと権限で統制する方が現実的です。
Q. ガイドラインに最低限入れるべき項目は何ですか？: A. 「入力ルール（データ分類）」「禁止事項（NG例）」「権限」「ログ/監査」「例外申請」「インシデント対応」の6点が最小セットです。
Q. 生成物（文章/画像/コード）はそのまま社外に出してよいですか？: A. 原則は人の確認を必須にし、第三者権利・機密混入・誤情報のチェック工程を定義します。用途により承認レベルを分けて運用します。
Q. どの部署がガイドラインの責任者になるべきですか？: A. 情シス/セキュリティ、法務、現場（利用部門）の三者で役割分担し、最終責任（改定責任者）を1名に明確化します。
Q. どれくらいの頻度で見直すべきですか？: A. 原則は四半期〜半期で定期レビューし、ツール変更・事故発生・法令/社内規程変更があれば随時改定します。
Q. まず何日で導入できますか？: A. 1枚雛形での暫定運用は最短1〜2週間、ログ/権限/教育まで含めた運用定着は30日を目安に設計します。

導入チェックリスト（最低限）

1枚雛形を作ったら、次に「運用できるか」を確認します。以下が埋まっていれば、暫定運用を開始できます。

対象範囲（対象者・対象ツール・対象データ）が明文化されている
入力NGの基準がデータ分類で定義され、例外申請の導線がある
禁止事項がNG例で書かれている（現場が判断できる）
会社管理アカウント/個人アカウントの扱いが決まっている
権限（連携/共有/ファイル）と承認（レビュー責任者）が定義されている
ログの保存項目（目的・入力区分・出力用途）が決まっている
インシデント初動の連絡先と手順（止血）が用意されている
見直し頻度（四半期/半期）と改定責任者が決まっている

稟議が止まるポイント、先に潰します

現状ヒアリング→社内向け叩き台まで最短で整理。ガイドライン整備、研修、導入設計まで一緒に進めたい方はご相談ください。

無料相談（ガイドライン整備・研修・導入）に進む無料セミナーを見る