生成AIの社内ルールに何を入れるか：AI推進法・AI事業者ガイドライン・文化庁など、公的な指針7つを読んで確かめた（ひな形つき）

「生成AIの社内ルールを作っておいて」。上司や経営者からこう言われた総務や情報システムの担当者は、まずひな形を探すでしょう。ひな形は見つかります。ただ、そこに並んでいる項目が何を根拠にしているのか、自社に当てはめてよいのかまでは、ひな形を見ても分かりません。

そこでこの記事では、2026年11月時点で公表されている公的な指針を7つ開き、それぞれが生成AIを使う会社に何を求めているかを読みました。法律、国のガイドライン、著作権と個人情報の資料、業界団体のひな形、IPA の資料です。読んだうえで、中小企業の社内ルールに入れる項目を、根拠の指針つきで一覧にし、そのまま使えるひな形にまとめます。

この記事は、生成AIの社内ルールを作るよう任された担当者や、今あるルールが公的な指針に沿っているかを確かめたい方に向けて書いています。社内ルールの作り方と現場に定着させる進め方は、SucSak の「生成AI社内ガイドラインの作り方と現場定着のポイント」にまとまっています。Claude Code の具体的な設定と社内ルールは「Claude Code を会社で安全に使う」で書きました。この記事は、その間にある「何を根拠に、何を入れるか」の話です。

結論：7つの指針が共通して求めているのは6つ

先に結論を書きます。7つの指針を並べると、社内ルールに入れる項目は、おおむね次の6つに集まります。

1. 使ってよいサービスを決める：会社で認めたサービスとプランだけを使う
2. 個人情報と機密情報を不適切に入力しない：入力してはいけない情報を、具体的に書く
3. 生成物を盲信せず、人が確かめる：事実、数字、根拠を自分で確かめてから使う
4. 他人の著作物に似たものを、そのまま使わない：作品名などを入力しない、生成の過程を残す
5. サービスの規約を守る：商用利用、入力したデータの扱い、禁止の用途
6. ルールを見直し続ける：半年に一度など、見直す時期を決める

これに、AIにコードを書かせる会社は「AIコーディング」の項目を足します。AIコーディングに絞った国内の公的な資料は見当たらなかったので、ツールの公式の説明をもとに、使ってよいプラン、読ませない情報、人によるレビューを決めます。

社内ルールは、どのくらい作られているか

まず、今の状況を数字で見ておきます。

IPA の「DX動向2026」（2026年7月公表、調査は2026年4〜6月）は、AIを導入・試験利用・検討している企業に、AIに関するポリシーやルールの整備状況を聞いています。「社内ガイドラインやルールは全社的なものを定めている」が32.5%で最も多く、「AIポリシーを定め、社内に周知している」が28.8%、「どちらも定めていない」が16.7%でした。同じ調査で、AIの導入・運用の課題として「適切な利用を管理するためのルールや基準の作成が難しい」を挙げた企業は39.7%にのぼります。

総務省の『令和8年版 情報通信白書』（2026年1〜2月の企業向け調査）では、生成AIの活用方針を定めている割合は、大企業で74.0%、中小企業で58.1%でした。これはルールそのものではなく「活用の方針」を聞いた数字ですが、同じ白書は、生成AIの活用に組織的に取り組んでいないと答えた割合が日本で27.0%と約3割にのぼり、中小企業で特に高い傾向があるとしています。

ルールを作りたいが、何をどう決めればよいかが難しい。数字からは、そういう会社が少なくないことが分かります。

読んだ7つの指針

読んだのは次の7つです。版と日付は、2026年11月11日に各機関のページで最新版を確かめたものです。

個人情報保護委員会と JDLA の資料は2023年のもので、少し古くなっています。どちらも、委員会と協会のページで確かめた限りでは、これより新しい版は出ていませんでした。そのため、この記事でも使っていますが、新しい指針と食い違う所がないかを確かめながら読みました。

ここからは、1つずつ、会社のルールに関わる所を読んでいきます。

1. AI推進法：活用に努め、国の施策に協力する

2025年に成立した AI推進法は、2025年6月4日に公布され、9月1日に全面施行されました。第7条は、AIを事業活動で活用しようとする事業者（活用事業者）の責務として、積極的な活用によって事業活動の効率化や高度化に努めることと、国の施策に協力することを定めています。

一方で、社内ルールを作ることを義務にした条文はありません。罰則で縛るのではなく、活用を進めながら国の指針に沿ってもらう、という作りの法律です。

社内ルールに関わるのは、基本理念のほうです。第3条第4項は、AIの技術が不正な目的や不適切な方法で使われると、個人情報の漏えいや著作権の侵害などが起きるおそれがあるとして、透明性の確保などの施策を求めています。法律が挙げているこのリスクが、そのまま社内ルールの中心になります。

法律に基づいて決められた「人工知能基本計画」は、2025年12月に最初の計画が閣議決定され、2026年7月14日に第Ⅱ期の計画が決まりました。中堅・中小企業や地域を含めた、すそ野の広いAIの実装が求められているとし、計画は当面毎年変えるとしています。国の方針が毎年変わる前提なので、社内ルールも見直す前提で作るのが筋です。

2. AI事業者ガイドライン：「AI利用者」に求める事項

総務省と経済産業省の「AI事業者ガイドライン」は、2026年3月31日に第1.2版に改定されました。このガイドラインは、AIに関わる事業者を「開発者」「提供者」「利用者」に分けています。生成AIのサービスを業務で使う一般の会社は、「AI利用者」（事業活動において、AIシステムやAIサービスを利用する事業者）に当たります。

AI利用者に求めている事項のうち、社内ルールに直接関わるのは次のものです。

また、ガイドラインは、人間の判断を介在させることで、予期せぬ事故を防ぐことができるとしています。生成物をそのまま使わず、人が確かめてから使う、という項目の根拠になります。

3. デジタル庁のガイドライン：利用前・利用中・問い合わせ先

デジタル庁の「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン」（DS-920）は、2025年5月の初版を経て、2026年6月12日に第2.0版が決まり、9月1日から施行されています。国の府省庁のためのガイドラインですが、組織として生成AIのルールを作るときの考え方が、そのまま参考になります。

参考になる点は3つあります。

まず、ルールの章立てです。ガイドラインは、各府省庁が別紙のひな形をもとに職員向けの利活用ルールを作るとしていて、その構成は、目的、利用前のこと、利用中のこと（入力するとき、生成物を使うとき）、問い合わせ先、となっています。社内ルールも、この「使う前」「入力するとき」「出てきたものを使うとき」「困ったら」の順に並べると、読む人が迷いません。

次に、機密情報の扱いです。ガイドラインは、規約への同意だけで使えるクラウドサービス型の生成AIを業務で使う場合には、原則として要機密情報を扱うことはできないとしています。中小企業でいえば、個人の無料アカウントで使えるサービスに、取引先の情報や社内の秘密を入れない、ということです。

最後に、ルールを見直し続けることです。ガイドラインは、利活用のルールを、ガイドラインの改定や生成AIの最新の動向、利活用の状況を踏まえて随時改定するとしています。また、生成AIの便益だけでなくリスクにも留意し、利活用とリスク管理を表裏一体で進めることが必要だとしています。

4. 文化庁：似たものを使わない、生成の過程を残す

文化庁の「AIと著作権に関するチェックリスト＆ガイダンス」（2024年7月31日）は、生成AIを使う人と会社に向けて、著作権の注意をまとめた資料です。同じ文化庁の「AIと著作権に関する考え方について」（2024年3月15日）の内容を、立場ごとに整理しています。

社内ルールに関わるのは、次の点です。

• 侵害になる条件：著作権侵害には、既存の著作物との「類似性」と「依拠性」の両方が必要です
• 作品名を入れない：既存の著作物の題名やキャラクターの名前などを入力すると、依拠性が認められやすくなるとしています
• 知らなくても侵害になりうる：「考え方」は、利用者が既存の著作物を知らなくても、AIの学習データに含まれていれば、通常、依拠性があったと推認され、利用者による著作権侵害になりうるとしています
• 生成の過程を残す：依拠性がないことを説明できるよう、生成に使ったプロンプトなど、生成の過程を確認できる状態にしておくよう努めることが望まれる、としています
• 社内ルールを作る：生成AIの利用に関する内部的ルールの策定など、著作権侵害に対する適切な予防措置を講じることが望まれる、としています

特に3つ目は、社員が「知らなかった」では済まないことを示しています。生成物を社外に出す前に、既存の作品に似ていないかを確かめる手順が要ります。

5. 個人情報保護委員会：利用目的と、学習に使われないこと

個人情報保護委員会は、2023年6月2日に「生成AIサービスの利用に関する注意喚起等」を出しています。2026年10月までの委員会の注意情報を見た限り、生成AI全般についての注意喚起は、これが最新でした。

会社に向けた注意は、個人情報を含むプロンプトを入力する場合は、その個人情報の利用目的を達成するために必要な範囲内であることを十分に確認すること、そして、個人データを入力する場合は、サービスを提供する事業者がそのデータを機械学習に利用しないことなどを十分に確認すること、です。

つまり、個人情報は「入れてはいけない」の一律ではなく、利用目的の範囲で、学習に使われないサービスに限って、という条件つきの扱いです。社内ルールでは、個人情報を入れてよいサービスとプランを、ほかのサービスと分けて書くのが分かりやすくなります。

6. JDLA のひな形：入力してはいけない情報の分け方

日本ディープラーニング協会（JDLA）の「生成AIの利用ガイドライン」は、会社が社内ルールを作るためのひな形として広く使われてきました。最新版は2023年10月6日の第1.1版で、協会のページで確かめた限り、これより新しい改訂は出ていません。例として挙げるサービスが当時のものなので、そこは今のサービスに読み替えます。

ひな形の中で、今も使えるのは次の3点です。

使ってよいサービスの決め方：業務で生成AIの利用を許可する場合は、利用してよいサービスを特定して列挙する方式（ホワイトリスト方式）を勧めています。

入力してはいけない情報の分け方：第三者が著作権を持つデータ、登録商標や意匠、著名人の顔写真や氏名、個人情報、秘密保持契約で受け取った秘密情報、自社の機密情報、の6つに分けています。

生成物を使うときの注意：虚偽が含まれる可能性、権利を侵害する可能性、著作権が発生しない可能性、商用利用できない可能性、サービスのポリシーによる制限、の5つです。生成物の内容を盲信せず、必ず根拠や裏付けを自ら確認するよう求め、生成物はそのまま使わず、できるだけ加筆・修正するよう勧めています。

7. IPA の豆知識：利用者が気をつけること

IPA と AIセーフティ・インスティテュートは、2026年4月2日に「AI利用者のためのセキュリティ豆知識」を公開しました。スライドの見出しには、「クラウドAIに営業秘密は教えない」「AIブラウザは社内用と社外用を分ける」「RAG使用時は『混ぜるな危険』」などが並びます。IPA の公開ページでは、「情報セキュリティ10大脅威2026」の組織向けで「AIの利用をめぐるサイバーリスク」が3位に入ったことにも触れています。

社内ルールの本文に書くというより、社員に配る注意の一覧として使いやすい資料です。

社内ルールに入れる項目と、根拠の指針

7つの指針を並べて、社内ルールに入れる項目と、その根拠をまとめると次のようになります。

AIコーディングの項目

生成AIにコードを書かせる「AIコーディング」については、国内の公的な資料で、これに絞ったものは見当たりませんでした。そのため、主なツールの公式の説明をもとに、ルールに入れる項目を決めます。

学習に使われるかは、プランで変わる：Anthropic の Claude Code の説明では、商用の条件（Team・Enterprise・API など）で送られたコードやプロンプトは、生成モデルの学習に使わないとしています。GitHub は、Copilot Business と Enterprise のデータはモデルの学習に使わないとしています。一方で、GitHub は2026年3月25日の告知で、Copilot の Free・Pro・Pro+ では4月24日から操作のデータを学習に使う（利用者が断ることはできる）としていて、Business と Enterprise は対象外としています。個人のプランと会社のプランで扱いが違うので、ルールでは「使ってよいプラン」まで書きます。

読ませない情報を、設定で守る：Claude Code では、管理者が配る設定（managed settings）で、権限や読み取りの禁止を全員に強制できます。.env などの鍵のファイルを読ませない設定の例も、公式の説明に載っています。GitHub Copilot には、指定したファイルを Copilot に使わせない「コンテンツの除外」がありますが、公式の説明は、これはファイルシステムのセキュリティの境界ではないとしています。設定に頼りきらず、鍵や個人情報をそもそもリポジトリに置かないことも、ルールに書いておきます。

書かれたコードは、人がレビューする：Claude Code の説明は、提案されたコードやコマンドを承認する前に安全を確かめるのは利用者の責任だとしています。AIが書いたコードも、人が書いたコードと同じく、レビューを通してから本番に入れる、と決めておきます。

Claude Code の設定の具体例は「Claude Code を会社で安全に使う」で、全員に設定を配って定着させる進め方は「Claude Code を社内に広げて定着させる進め方」で書いています。

社内ルールのひな形

ここまでの項目を、そのまま使える形にまとめました。〔　〕の所を自社に合わせて書き換えてください。章の並びは、デジタル庁のひな形の構成（目的、利用前、利用中、問い合わせ先）に合わせています。

# 生成AIの利用ルール

〔会社名〕　〔制定日〕制定　〔次の見直し：制定日の6か月後〕

## 1. 目的と対象
このルールは、業務で生成AIを安全に、効果的に使うためのものです。
社員・契約社員・派遣社員など、業務で生成AIを使うすべての人が対象です。

## 2. 使う前に
(1) 業務で使ってよいのは、別表「使ってよいサービス」に載っているサービスとプランだけです。
(2) 個人のアカウントや無料のプランを、業務で使ってはいけません。
(3) 別表にないサービスを使いたいときは、〔担当部署〕に申請します。

## 3. 入力するとき
(1) 次の情報は、入力してはいけません。
  ・お客様・取引先・社員の個人情報（別表で「個人情報を入力してよい」とされたサービスを除く）
  ・秘密保持契約で受け取った、取引先の秘密情報
  ・社内の機密情報（未発表の計画、価格、契約の条件など）
  ・パスワード、API キーなどの鍵
  ・他人が著作権を持つ文章や画像（引用の範囲を超えるもの）
(2) 既存の作品の題名やキャラクターの名前を入れて、似たものを作らせてはいけません。

## 4. 生成物を使うとき
(1) 生成物には、誤りが含まれることがあります。事実・数字・根拠は、必ず自分で確かめます。
(2) 社外に出す文章・画像・資料は、既存の作品に似ていないかを確かめ、使ったプロンプトを残します。
(3) 生成物は、そのまま使わず、自分の言葉で直してから使います。
(4) サービスの規約（商用利用・禁止の用途）を守ります。

## 5. AIにコードを書かせるとき
(1) 使ってよいのは、別表のプランに限ります。
(2) 鍵や個人情報のファイルを読ませない設定を、〔担当部署〕が配ります。設定を外してはいけません。
(3) AIが書いたコードは、人がレビューしてから本番に入れます。

## 6. 困ったとき・事故のとき
(1) 迷ったら、使う前に〔担当部署・連絡先〕に相談します。
(2) 入力してはいけない情報を入れてしまったときは、すぐに〔担当部署・連絡先〕に知らせます。

## 7. 見直し
このルールは、〔6か月〕ごと、または法令・国の指針・使っているサービスが変わったときに見直します。

## 別表：使ってよいサービス
| サービス | プラン | 個人情報を入力してよいか | 管理者 |
|---|---|---|---|
| 〔サービス名〕 | 〔会社のプラン名〕 | 〔可・不可〕 | 〔担当者〕 |

ひな形を使うときの注意

• 別表が本体：ルールの本文より、別表の「使ってよいサービス」のほうが、社員の行動を決めます。サービスごとに、入力したデータが学習に使われるか、どこにどれだけ保存されるかを、公式の説明で確かめてから載せます
• 個人情報の可否は、サービスごとに：個人情報保護委員会の注意どおり、利用目的の範囲と、学習に使われないことを確かめたサービスだけを「可」にします
• 見直しの日を先に書く：制定日の6か月後など、次の見直しの日を最初に書いておくと、そのまま放っておかれにくくなります

作った後に、すること

ルールは作って配っただけでは使われません。作った後にすることを3つ挙げます。

1. 説明の場を持つ：全員に15分でも説明します。何を入れてはいけないかを、自社でよくある場面（見積書を作る、取引先にメールを書く、会議のメモをまとめる）で示すと伝わります
2. 別表を最新に保つ：サービスのプランや規約は変わります。GitHub Copilot の個人プランのように、学習の扱いが変わることもあります。別表の管理者が、少なくとも見直しのたびに確かめます
3. 困ったことを集める：「このサービスを使いたい」「これは入れてよいか」という相談を記録し、見直しのときにルールに反映します

現場に定着させる進め方は、SucSak の「生成AI社内ガイドラインの作り方と現場定着のポイント」が詳しく扱っています。

おわりに

生成AIの社内ルールに入れる項目は、公的な指針を並べると、おおむね共通しています。使ってよいサービスを決める、個人情報と機密情報を不適切に入力しない、生成物を人が確かめる、他人の著作物に似たものを使わない、規約を守る、見直し続ける。これに、AIにコードを書かせる会社は、使ってよいプラン、読ませない情報、人によるレビューを足します。

どの指針も、ルールを作って終わりではなく、動向に合わせて見直すことを前提にしています。この記事のひな形も、2026年11月時点の指針をもとにしたものです。見直しの日を決めて、自社に合わせて育ててください。

AIを入れる前に、会社として決めておくことを確かめたい方のために、50項目のチェックリストを用意しています。社内ルールの項目と合わせて、準備の抜けを確かめるのに使えます。

出典（2026年11月11日に確認）

• 「人工知能関連技術の研究開発及び活用の推進に関する法律」（令和7年法律第53号）
• 内閣府「人工知能基本計画」（2026年7月14日 閣議決定）
• 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（2026年3月31日）
• デジタル庁「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン」（第2.0版、2026年6月12日）
• 文化庁「AIと著作権に関するチェックリスト＆ガイダンス」（2024年7月31日）、「AIと著作権に関する考え方について」（2024年3月15日）
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023年6月2日）
• 日本ディープラーニング協会「生成AIの利用ガイドライン【簡易解説付】」（第1.1版、2023年10月6日）
• IPA・AIセーフティ・インスティテュート「AI利用者のためのセキュリティ豆知識」（2026年4月2日）
• IPA「DX動向2026」（2026年7月）
• 総務省「令和8年版 情報通信白書」（2026年7月）
• Anthropic「Claude Code のドキュメント」（data-usage・admin-setup・security）、GitHub「Copilot のドキュメント」（コンテンツの除外・Copilot Business）と変更履歴（2026年3月25日）