社員が、顧客の名前を入れたままChatGPTに文章を作らせていないか。かといって全面禁止にしたら、誰も使わなくなった。生成AIの社内ルールづくりで、中小企業の経営者がいちばん迷うのはこの間の線引きではないでしょうか。
答えは「禁止」でも「放任」でもなく、1枚のルールから始めることです。何を入れてよいか、誰が確かめるかが決まると、社員は安心して使えるようになります。
この記事では、生成AIの社内ルールを1枚で作る5つの手順と、入力する情報の分け方、1枚に書く内容を、公的機関の資料と事例をもとに整理します。内容は2026年10月27日に各公式資料で確認しています。
なぜ中小企業の生成AIには「1枚の社内ルール」が効くのか
中小企業基盤整備機構(中小機構)の中小企業のAI等の利活用に係る実態調査(2026年3月)では、AI・ITの導入で情報漏えいなどに懸念がある企業が75.2%でした。一方、推進の専任担当者がいる企業は3.0%にとどまります。
不安はあるのに、ルールを考える担当者はいない。これが多くの中小企業の現状です。中小企業庁の2026年版 中小企業白書(第2-2-92図)でも、AIを業務で使っていない理由として「社内ルール・ガイドラインが整備されていない」が26.2%挙がっています。
ルールは、厳しければよいわけではありません。IPAが公開した『生成AIおよびAIエージェントを安全に活用するための手引書(第1版)』(2026年7月、同機構の人材育成プログラム参加者による成果物)は、過度に厳しいルールは会社が把握できない利用を増やし、かえってリスクを高めうると指摘しています。
同じ手引書は、最低限の内容から始めて更新していく運用が現実的だとしています。「禁止一辺倒ではなく、代わりの手段とセットで決める」。これが1枚から始める理由です。
生成AIの社内ルールを作る5つの手順
社長が決めて、1枚にまとめ、使いながら直す(出典:IPA『生成AIおよびAIエージェントを安全に活用するための手引書(第1版)』、長野県『生成AI業務利用ガイドライン(概要)』を基に当社作成)手順1: 決める人と目的を決める
ルールは、社長が責任者になって決めます。担当者に丸ごと任せると、「何かあったら困る」と禁止寄りになりがちだからです。
最初に、目的を一文で書きます。例えば「見積や提案書の下書き時間を半分にする(数値は説明用の仮定)」。目的があると、どこまで許すかの判断がぶれません。
手順2: 使うサービスと契約を決める
社員が個人のアカウントで使うと、何を入力したか会社が把握できません。会社で契約したサービスに絞り、入力した内容をAIの学習に使わない設定(オプトアウト)を有効にします。
使いたいサービスが増えたときの手順も決めておきます。「事前に責任者へ相談する」の一文で十分です。
手順3: 入力する情報を3つに分ける
個人情報保護委員会の注意喚起(2023年6月2日)は、個人データを含む指示を入力する場合、サービスの提供者がそのデータを機械学習に使わないことなどを十分に確かめるよう求めています。迷わず判断できるよう、情報を3つに分けます。
「入れない」だけでなく「加工すれば入れてよい」を決めると、使える場面が広がる(出典:個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」、東京都産業労働局「中小企業向けサイバーセキュリティ対策の極意」、IPA手引書を基に当社作成)ポイントは真ん中の区分です。取引先名を「A社」、金額を「X円」に置き換えれば、多くの相談をAIに任せられます。東京都産業労働局の中小企業向けの解説(2026年9月)も、この「匿名化して入力する」方法を示しています。
例えば、顧客からのお叱りのメールに返信するとき。顧客名や注文番号を消し、「商品の到着が3日遅れた」という事実だけを入れれば、おわびの文面の下書きを任せられます。仕上げと送信は担当者が行います。
迷う情報が出てきたら、その場で責任者に聞き、答えをルールの補足に書き足します。区分は最初から完璧でなくてかまいません。
手順4: 使う業務と確かめる人を決める
禁止事項だけのルールは、社員を萎縮させます。「積極的に使う業務」を先に書きます。文章の下書き、要約、翻訳、アイデア出しなどです。
あわせて、社外に出す前に確かめる人を決めます。代表の井下はYouTubeで、AIは責任を取れないため出力を丸投げせず、最終判断は人が行うべきだと解説しています。見積なら、AIで60〜70点まで引き上げ、残りを社長が仕上げる分担です。
広告やホームページに使う文章・画像は、権利の確認も加えます。文化庁のAIと著作権に関するチェックリスト&ガイダンス(2024年7月)は、公開前に既存の作品と似ていないかを確かめるよう示しています。
手順5: 周知して、見直す日を決める
1枚を配って終わりにせず、朝礼や勉強会で説明します。迷ったときの相談窓口も決めます。最初の見直しは3か月後に置くと、現場の質問がたまった時点で直せます。
1枚の社内ルールに書く内容
公的機関のルールの骨格を見ると、項目はそれほど多くありません。長野県の職員向け生成AI業務利用ガイドライン(概要)は、使えるサービス、入力の扱い、出力の扱い、積極的に使う業務を1枚にまとめています。
| 項目 | 書き方の例 |
|---|
| 目的と対象者 | 書く・まとめる仕事の時間を減らすため、全社員とパート・派遣社員を対象にする |
| 使ってよいサービス | 会社で契約したサービスのみ。学習に使わない設定を有効にする。ほかを使いたいときは責任者に相談 |
| 入力する情報 | 3区分で示す。個人情報と取引先の秘密は入れない |
| 積極的に使う業務 | 文章の下書き、要約、翻訳、アイデア出し、表計算の関数づくり |
| 出力の扱い | 数字・固有名詞・制度は元の資料で確かめる。社外に出すものは担当者が確認する |
| 公開物の扱い | 広告やサイトに使う前に、似た作品や登録商標がないか確かめる |
| 相談窓口と見直し | 迷ったら責任者に相談。3か月後に見直し、その後は半年に1回 |
出典:IPA『生成AIおよびAIエージェントを安全に活用するための手引書(第1版)』表2-2、長野県『生成AI業務利用ガイドライン(概要)』(2026年8月改定)を基に当社整理
東京都産業労働局の解説も、中小企業のルールはA4で1〜2ページ程度にまとめることを勧めています。AIエージェントを使う会社は、ここに「人が承認する操作」を1行加えます(後述)。
ルールを決めて活用が進んだ事例
公的機関が公表した資料から、ルールを決めたことで安心して使えるようになった4つの例を紹介します。
機械器具卸売業(33名):確認のルールを決め、問い合わせが月5件から多い月45件に
中小企業庁の2026年版 中小企業白書(事例2-2-3)の会社です。営業担当者が英語の論文を読み込む負担と、広告づくりが課題でした。
社長が率先して使い、指示文の書き方の勉強会を開きました。AIが出した情報は必ずファクトチェックすることを徹底しています。広告の反応は平均2倍以上になり、月平均5件程度だった広告からの問い合わせは、多い月で45件に達しました。
住宅・介護などの企業グループ:最低限のルールで、年2,247時間を削減
総務省の令和8年版 情報通信白書が紹介する中小企業です。AIツールは入れていたものの、個人の利用にとどまっていました。
過度な恐れで活用が止まらないよう、「個人情報を入力しない」「学習に使わせない設定を必ず行う」といった最低限のルールを周知しました。社内で使っていない新しいツールは、安全面を確かめ、専門家にも相談してから使う手順です。各事業部の有志21名による1年間の取り組みで、年2,247時間の業務時間を削減しています(数値は同社提供、2026年4月1日時点)。
プラスチック製造業(22人):一文の原則から始めた小さな会社
東京商工会議所の中小企業のための「生成AI」活用入門ガイド(第7版、2025年8月)に載っている会社です。社長を含め、興味のある社員が、あいさつ文やお礼状、英文の翻訳、事業アイデアの検討に使っています。
決めている原則は「回答をうのみにせず、アドバイザーとして使う」ことです。規程がなくても、全員が守れる一文があれば使い始められる例です。
長野県:試行の後に1枚のガイドラインで本格利用、改定で範囲を広げる
企業ではありませんが、ルールを育てる手本になる公的機関の例です。長野県は2023年5月から2024年12月まで職員の業務利用を試行し、ガイドラインを作って2025年1月10日から本格利用を始めました。
2026年8月3日の改定版は、1枚の概要に「使えるサービス」「入力しない情報」「出力の確かめ方」「積極的に使う業務」を並べています。画像や音声を使うときはAIを使ったことを表示し、外部に出すときは所属長の承認を受けるなど、使える範囲を広げながら確認の手順を足しています。
4つの例に共通するのは、ルールが「使ってはいけない」ではなく「こう使えば大丈夫」を示していることです。
ルールを「使われるもの」にする運用
IPAの手引書は、禁止事項を押し付けるだけでなく「この安全策があるから安心して使える」と前向きに伝えるほうが、ルールが守られやすいとしています。
迷った場面を集めて、決めた日に書き足す(出典:IPA『生成AIおよびAIエージェントを安全に活用するための手引書(第1版)』、東京都産業労働局「中小企業向けサイバーセキュリティ対策の極意」を基に当社作成。期間は説明用の目安)- 周知: 1枚を配り、勉強会で「使ってよい業務」から説明する
- 相談窓口: 迷った質問は責任者が受け、答えをルールの補足に書き足す
- 事例の共有: うまくいった指示文や使い方を、月1回の会議で紹介する
- 見直し: 3か月後に1回目、その後は半年に1回。新しいサービスや公的な指針の改定があればその都度
社員への研修や助成金の活用はAI研修で内製化か、専門家と協働か、定着の仕組みはAI導入が定着しない原因と運用設計で解説しています。
AIエージェントを使う場合は「承認する操作」を決める
メールの送信や表への入力まで自動で進めるAIエージェントを使うなら、人が承認する操作を1行で決めます。IPAの手引書は、決済、データの外部送信、システム設定の変更、顧客への回答送信を、実行前に人の承認が必要な操作に挙げています。
| 操作 | 決め方の例 |
|---|
| 社外へのメール・回答の送信 | 送信前に担当者が承認する |
| 支払い・決済、データの削除、設定の変更 | 実行前に責任者が承認する |
| 社内向けの下書き、調べもの、集計 | AIに任せ、まとめて確認する |
出典:IPA『生成AIおよびAIエージェントを安全に活用するための手引書(第1版)』を基に当社作成
承認は、すべてにかけると回りません。当社でもAIにメルマガやチラシづくりを分担させ、すべて社長の確認待ちにしたところ、確認の順番待ちがたまったと代表がYouTubeで紹介しています。手引書も、承認の対象は重要度で絞るのが実効性の鍵だとしています。
経営者が今日決める3つのこと
5つの手順のうち、経営者が今日決められることは3つです。
- 責任者と目的: 社長が責任者になり、何の時間を減らすかを一文で書く
- 入れない情報: 個人情報と取引先の秘密は入れない。この一行から始める
- 見直しの日: 3か月後の日付をカレンダーに入れる
どの業務から使うかは中小企業のAI導入の進め方、生成AIの基本と注意点は生成AIとは?中小企業の活用事例と安心して使うコツをご覧ください。
まとめ
- 生成AIの社内ルールは、禁止でも放任でもなく、1枚から始めて使いながら育てる
- 作る手順は、責任者と目的、使うサービス、入力情報の3区分、使う業務と確かめる人、周知と見直し日の5つ
- 入力情報は「加工すれば入れてよい」を決めると、安全に使える場面が広がる
- 公的機関の事例でも、最低限のルールと確認の手順を決めた会社ほど活用が進んでいる
- AIエージェントは、人が承認する操作を重要なものに絞って決める
株式会社ウェルティイノベーションでは、公認会計士が、生成AIを使う業務の選定から、社内ルールの設計、社員向けの研修、現場への定着まで、経営と財務の視点からご相談をお受けしています。いま社内でAIをどう使っているか、どこに不安があるかをお知らせください。
関連記事
関連動画