社内AI利用ガイドラインの作り方 | コピペで使えるテンプレ付き【2026年版】

なぜ今、規程が要るのか

理由は2つあります。第一に、規程がない会社でもAIはすでに使われています。禁止すれば止まるのではなく、個人アカウントに潜って会社の目が届かなくなるだけです。線引きを示す方がリスクは下がります。

第二に、AIの提供条件そのものが動く時代になりました。2026年はモデルが政府の規制で止まり(AI輸出規制とは)、料金や提供形態が数週間単位で変わっています(Fable 5の例)。何を使ってよいかを1度決めて終わりにできない以上、判断の手順を文書にしておく必要があります。

決める項目は8つ

(1)適用範囲、(2)データの区分、(3)許可ツール、(4)権限と申請、(5)人間の承認が必要な場面、(6)ログと記録、(7)事故対応、(8)見直しサイクル。この8つが骨格です。逆に、この8つに答えない細則をいくら足しても現場は守れません。

作り方: 5ステップ

1. 現状把握(30分)。部署ごとに「誰が・何のツールを・どの業務で」使っているかを聞き取ります。ここを飛ばすと、実態と乖離した規程になります。

2. データの線引き。入力してよい情報を3区分で決めます。公開情報は自由、社外秘は許可ツールのみ、個人情報・機密は入力禁止(または自社環境のみ)。迷ったら止まれる程度の粗さで十分です。

3. 許可ツールの指定。会社契約のツールを明示し、それ以外は申請制にします。禁止リストではなく許可リストで書くのがこつです。機密度の高い業務は自社環境の選択肢も検討します(ローカルLLMの判断基準)。

4. 承認とログ。AIの出力をそのまま社外に出す場面、AIに操作を任せる場面には人間の承認点を置きます。エージェント型ツールを使うなら権限とログの設計まで踏み込みます(エージェント導入チェックリスト)。

5. 周知と見直し。全文を読ませるより、1枚の早見表(やってよい/だめ/申請)を配る方が守られます。見直しは四半期ごと+前提が変わったとき臨時で。

テンプレート(コピーして使えます)

そのまま社内文書に貼り、[ ]を自社の内容に置き換えてください。

第1条(目的と適用範囲) 本ガイドラインは、業務における生成AIの安全な利用条件を定める。対象は[全役職員・委託先を含む]とする。

第2条(データの区分) AIへの入力は次の区分に従う。(a)公開情報: 制限なし。(b)社外秘: 第3条の許可ツールに限り入力可。(c)個人情報・顧客データ・[機密指定情報]: 入力禁止。ただし[自社管理環境]での利用は情報システム部門の承認を得て可とする。

第3条(許可ツール) 会社が契約する[ツール名を列挙]を業務利用の標準とする。その他のツールは[申請窓口]への申請と承認を経て利用できる。個人アカウントでの業務利用は禁止する。

第4条(権限と申請) ツールの管理者権限・API利用・外部システム接続は[情報システム部門]が管理し、最小権限で付与する。

第5条(人間の承認) 次の場合は、実施前に責任者の確認を要する。(a)AIの出力を社外向け成果物にそのまま使用するとき。(b)AIに社内システムの操作・データ変更を実行させるとき。(c)[自社で追加]。

第6条(記録) 業務利用は会社アカウントで行い、利用ログを[保存先]に[期間]保存する。

第7条(事故対応) 誤入力・情報漏えいの疑い・AIの誤動作を認めたときは、直ちに[報告先]へ報告する。報告者に不利益は課さない。

第8条(見直し) 本ガイドラインは[四半期]ごとに見直す。利用ツールの提供条件・規制・料金に重要な変更があった場合は臨時に見直す。

よくある失敗3つ

全面禁止。現場は個人スマホで使い続け、可視性だけが失われます。細かすぎる規程。20ページの文書は読まれません。8項目+早見表1枚が現実的な上限です。作って放置。第8条の見直し条項が実は最重要です。半年前の規程は、ツールの料金も提供条件も変わった今の実態に合っていない可能性が高いからです。

どう見るか

AI利用規程は「リスク対策の文書」と捉えられがちですが、実際には利用を広げる装置です。線引きが明文化されて初めて、現場は安心してAIを業務に使えます。規程づくりの本当の成果物は紙ではなく、「ここまでは自由にやっていい」という共通認識です。

関連する用語とレビュー

AIエージェント社内導入チェックリスト / ローカルLLMのメリット・デメリット / MCPとは(用語解説) / 実務ガイド一覧

出典

IPA(情報処理推進機構) / 経済産業省(AI事業者ガイドライン)