社内生成AIガイドラインの作り方。A4一枚で足りる理由

生成AIを社内に入れるとき、最初に決めるのはツールではない。ルールである。

商工中金が2026年1月に中小企業約3,700社へ行った調査では、生成AIについて「会社での導入はなく、使用は個人の判断に任せている」が64.9%で最も多かった。同じ調査で、導入後の課題の1位は「社内ルールや方針整備が追い付かない」25.1%である。ツールは配れる。配ったあとに、使ってよい範囲を誰も決めていない。この状態が7割近い会社で続いている。

Strickland が中小企業の担当者と話していて繰り返し聞くのは、「顧客名を入れていいのか分からないから、使っていない」という声だ。ルールが無いと困るのは、不真面目な社員ではなく真面目な社員である。 安全側に倒す人ほど、使わないという判断をする。

なぜルールが無いと使われないのか

ルールが無いと、誰が困るのか

困るのは真面目な社員である。生成AIに何を入力してよいかが決まっていない会社では、判断を個人が背負う。顧客名を入れて問題になるのが怖いから入れない。入れないなら使う意味が薄いから使わない。こうして、会社が禁止していないのに使われない状態ができる。

逆に、ルールに慎重でない人は、決まりが無くても個人契約のサービスに業務の文書を貼る。会社はそれを止められないし、貼られたことを知ることもできない。ルールの不在は、慎重な人の手を止め、慎重でない人の手を止めない。最悪の組み合わせである。

A4一枚に何を書くか

ガイドラインに最低限必要な項目は何か

6項目で足りる。目的、使ってよいサービス、入れてよい情報と入れてはいけない情報、出力の扱い、責任者と相談先、見直しの時期。この6つが1枚に収まっていれば、社員は「入れてよいか」を自分で判断できるようになる。

順番にも意味がある。最初に目的を書くのは、このルールが禁止のためではなく、安心して使うためのものだと読み手に伝えるためだ。禁止事項から始まる規程は、読む前に閉じられる。

「入れてはいけない情報」はどう線を引くか

線は3本でよい。顧客や取引先の名前と個人情報。未公開の売上・原価・人事の数字。パスワードや契約書の原本。この3本の外側は入れてよい、と書く。

大事なのは、線の細かさより「迷ったら誰に聞くか」が書いてあることだ。線引きを完璧にしようとすると規程は長くなり、長い規程は読まれない。迷ったら入力する前に責任者に確かめる、迷ったまま入力しない、の2行があれば、線の隙間は埋まる。

出力の扱いで事故の大半は防げる

入力より事故が起きやすいのは出力の側である。生成AIが作った文章の数字が間違っていた、存在しない条文を引いていた、という事故は、社外に出てから見つかる。

書くことは4つ。出力は下書きである。事実と数字は元の資料で確かめる。社外へ出す文書は人が読んでから出す。根拠になった資料が分かる場合は資料名を残す。この4行は、生成AIを使う全員に共通で、業種を問わない。

長い規程にしないほうがよい理由

ガイドラインは読まれて初めて機能する。10ページの規程は、作った人以外は読まない。読まれない規程は、事故が起きたあとに「規程に書いてあった」と言うためだけに存在することになる。

もう1つの理由は更新である。生成AIのサービスは数ヶ月で変わる。1枚なら3ヶ月ごとに見直せるが、10ページは誰も見直さない。見直しの時期を本文に書いておき、期日が来たら1枚を差し替える。この運用が続く長さにしておく。

もちろん、一枚では足りない会社もある

個人情報保護法の対象になるデータを日常的に大量に扱う会社、金融や医療のように業界の規制がある会社は、1枚では足りない。既に情報セキュリティ規程を持っている会社なら、生成AIの項を独立させるより、既存規程の一節として組み込むほうが整合が取れる。

ただしそういった会社でも、現場に配る「1枚」は別に要る。規程本体は法務のためのもので、現場が毎日見るものではない。本体と1枚の二層にする、と考えると両立する。

Strickland の雛形

Strickland では、社内向け生成AI「PalAssistant」を導入する手順の中に、この1枚を御社の形に直す工程を入れている。管理者アカウントを設定する回と同じ日に、空欄を埋めてもらう。ツールを渡すのとルールを渡すのを分けない、という考え方である。

その雛形は 社内生成AI利用ガイドラインの雛形 として公開している。6項目、空欄つき、A4一枚。Word版もそのまま使える。PalAssistant を使わない会社でも、そのまま配ってもらって構わない。ルールが先にあれば、どのツールを選んでも、真面目な社員が使い始める。

よくある質問

ガイドラインは誰が書くべきか

情報システムの担当者がいれば、その人でよい。いなければ総務か経営者本人でよい。専門知識より、社内の業務の流れを知っていることのほうが要る。雛形の空欄は、会社名、許可するサービス名、責任者、見直し時期の4か所しかない。

個人契約の生成AIを禁止すべきか

業務の情報を入れることは禁止したほうがよい。個人契約のサービスでは、入力内容が学習に使われる設定が既定になっているものがあるうえ、会社が利用状況を把握できない。会社が契約したサービスに限る、と1行で書けば足りる。

見直しはどのくらいの頻度がよいか

3ヶ月ごとを目安にする。生成AIのサービスは機能と料金が数ヶ月単位で変わる。見直しの日付を本文に書いておくと、期日が来たことに気づける。