生成AIの社内ルールは何から決める？
入力してよい情報の線引きから決めてください。使ってよいツールの選定より先に、情報の区分を決める方が手戻りが少なくなります。
社員がどのツールを使うかは、後から変わります。情報の区分は変わりません。
ツールの選定を先にすると起きること
よくあるのは、製品を1つ決めて導入した後に、「この情報を入れてよいのか」という質問が現場から出てくる進め方です。
このとき、答える側に判断の基準がありません。結果として、質問のたびに個別に判断することになります。判断が人によって変わり、ルールとして機能しません。
順序を逆にすると、ツールが変わっても判断の基準は残ります。
最初の1枚に書く3項目
何を書くか迷う場合は、社内の懸念から考えると決まります。総務省の令和7年版情報通信白書は、生成AI導入にあたっての懸念事項を調査しています。
日本で最も多かったのは「効果的な活用方法がわからない」で30.1%でした。次に「社内情報の漏洩などのセキュリティリスクがある」が27.6%です（出典: 総務省「令和7年版情報通信白書」図表Ⅰ-1-2-15）。
コスト面の懸念も挙がっています。「ランニングコストが掛かる」が24.9%、「初期コストが掛かる」が22.1%です（出典: 同）。
上位2つは、ルールで答えられる内容です。最初の1枚には次の3項目を書いてください。
- 使ってよいツールと、使ってよい業務の例（所要時間の目安: 1時間）
- 入力してはいけない情報の区分（所要時間の目安: 2時間）
- 判断に迷ったときの問い合わせ先（所要時間の目安: 10分）
1番目が「活用方法がわからない」への答えになり、2番目が漏えいへの懸念への答えになります。
3番目を省くと、現場は結局自分で判断します。担当者の名前を1つ書くだけで足ります。
情報の区分の決め方は、後述の見出しで扱います。
どれくらいの企業がルールを作っている？
方針を定めている企業は、日本全体で約半数です。企業規模によって差があります。
数値は総務省の令和7年版情報通信白書が示しています。
規模別の方針策定率
生成AIを活用する方針を定めている企業の比率は、2024年度の調査で約50%でした。2023年度の調査では約43%でしたので、1年で増えています（出典: 総務省「令和7年版情報通信白書 (概要)」）。
大企業では約56%です（出典: 同）。全体の約50%という水準と比べると、規模が大きい企業の方が先に方針を整えている形になります。
| 区分 | 方針を定めている企業の比率 |
|---|---|
| 日本全体 (2023年度調査) | 約43% |
| 日本全体 (2024年度調査) | 約50% |
| 日本の大企業 | 約56% |
半数が定めていないという読み方もできます。御社がまだ作っていないとしても、遅れているわけではありません。
企業規模による活用率そのものの差は、別記事「中小企業の生成AI活用率｜大企業との差を統計で解説」で扱っています。
策定していない企業で起きていること
方針がない状態で問題になるのは、禁止していないことが許可と受け取られる点です。
社員は目の前の仕事を進めるために、使えるツールを使います。禁止の指示もなければ、個人のアカウントで業務の文章を処理することになります。
この状態は、会社として何が入力されたかを把握できません。後から確認しようとしても、個人のアカウントの履歴は会社が見られません。
ですから最初の1枚は、禁止事項を並べるためではなく、把握できる状態にするために作ります。使ってよいツールを決めて、そこに集めるという考え方です。
運用の具体は後述します。
入力してよい情報の線引きはどう決める？
自社の情報を3区分に分け、区分ごとに可否を決めます。個人情報と取引先の非公開情報は、原則として入力しない区分に置いてください。
項目を細かく列挙するより、区分で決める方が運用できます。新しい書類が出てきても、どの区分かを判断すれば済みます。
情報を3区分に分ける手順
- すでに公開している情報を洗い出す（所要時間の目安: 30分）。自社サイトやカタログに載っている内容です。この区分は入力して構いません。
- 社内だけで使っている情報を洗い出す（所要時間の目安: 1時間）。手順書、議事録、社内の数値です。使ってよいツールに限って入力を認める区分にします。
- 他者の情報を洗い出す（所要時間の目安: 30分）。個人情報と、取引先から受け取った非公開の情報です。原則として入力しない区分にします。
3番目を最初に決めると、残りの線引きが楽になります。
個人情報保護委員会が注意喚起している点
個人情報保護委員会は、生成AIサービスの利用に関する注意喚起等を令和5年6月2日に公表しています（出典: 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」）。
個人情報を取り扱う場面では、この注意喚起の内容を踏まえた判断が必要です。社内ルールに「個人情報は入力しない」と1行書く場合も、根拠としてこの公表資料を挙げておくと、社内の説明が通りやすくなります。
国の考え方の全体像は、総務省と経済産業省の「AI事業者ガイドライン」が示しています。第1.2版が令和8年3月31日に公表されています（出典: 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」）。
つまずきやすい点: 「社外秘」の定義が社内で揃っていない
区分を決める作業でつまずくのは、2番目の社内情報です。
実際に洗い出すと、「社外秘」と書かれた書類と、書かれていないが社外に出せない書類が混在しています。表示の有無で判断すると、表示のない書類が公開扱いになります。
ですから、表示ではなく置き場所で決めてください。共有フォルダのどこに置かれているかで区分すると、判断が揺れません。
新しい書類の扱いは、置き場所を決めた時点で自動的に決まります。
データの保管場所は何を確認する？
入力したデータがどこに保存され、学習に使われるかを、利用するサービスの公式ドキュメントで確認します。提供元の紹介ページや営業資料だけでは足りません。
確認した内容は、社内ルールの「使ってよいツール」の根拠として残してください。
確認する4項目
- 入力したデータが保存される国または地域（所要時間の目安: 30分）
- 入力したデータが学習に使われるかどうか、使われない設定があるか（所要時間の目安: 30分）
- 保存される期間と、削除を依頼できるか（所要時間の目安: 30分）
- 管理者が利用状況を確認できる機能があるか（所要時間の目安: 30分）
4番目は見落としやすい項目です。誰がどのツールを使っているかを会社が把握できるかどうかは、ルールが守られているかの確認に直結します。
各項目の詳しい確認手順と、確認した内容の記録の仕方は、別記事「AIツール導入前のデータ保管場所の確認方法」で扱っています。本記事では、社内ルールの1項目としての位置づけに留めます。
なお、国の考え方の枠組みとしては、総務省と経済産業省の「AI事業者ガイドライン」第1.2版が参照できます。令和8年3月31日に公表されています（出典: 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」）。
実装者としての注意点: 無料版と法人向けプランで扱いが変わる
ここで実務上つまずくのは、同じサービス名でもプランによって扱いが違う点です。
無料版と法人向けプランでは、入力したデータの取り扱いが別の条件になっていることがあります。無料版の規約を読んで判断し、現場が法人向けプランを使っていた、またはその逆という食い違いが起きます。
ですから確認するときは、サービス名ではなくプラン名で記録してください。社内ルールにも、プラン名まで書いておきます。
もう1つは、設定の既定値です。学習に使わない設定が用意されていても、既定では有効になっていないことがあります。契約した時点で設定を確認し、誰が確認したかを残してください。
プランを変更したときは、同じ4項目をもう一度確認する必要があります。