生成AIの業務利用が急速に広がる一方で、ルールが未整備のまま現場が使い始め、機密情報の入力・著作権侵害・誤情報の利用といったリスクが顕在化しています。生成AI利用規程は、利便性を活かしつつリスクを管理するための社内ルールです。
本記事では、生成AI利用規程の作り方を、入力禁止情報・出力物の取扱い・関連法令への対応とあわせて整理します。
規程整備の背景
関連法令・指針の状況
- AI推進法（人工知能関連技術の研究開発及び活用の推進に関する法律）：2025年6月公布、2025年9月全面施行。理念法（基本法）であり、企業に直接的な規制義務を広く課すものではないが、AI活用事業者の責務が定められている。2025年12月には適正性指針が決定
- 個人情報保護法：個人情報を生成AIに入力する場合の利用目的・第三者提供の論点
- 著作権法：学習・生成・利用の各段階での権利関係
- EU AI Act：EU向けにサービス・製品を提供する場合は域外適用にも留意
日本のAI推進法は規制色が薄いため、**企業の自主的なルール整備（規程）**の重要性がむしろ高まっています。
規程に盛り込むべき項目
1. 目的・適用範囲
- 生成AIの安全・適切な業務利用を目的に明記
- 対象（全従業員・業務委託先）と対象ツール
2. 利用できるツール・利用申請
- 会社が承認したツールのみ利用可（シャドーAI対策）
- 法人向けプラン／API利用（入力データを学習に使わない設定）の推奨
- 新規ツール利用時の申請・承認フロー
3. 入力してはいけない情報
最重要項目です。次の情報の入力を原則禁止とします。
- 個人情報・特定個人情報（マイナンバー）
- 顧客・取引先の機密情報、秘密保持義務の対象情報
- 自社の未公開の機密情報（技術情報・財務情報・人事情報）
- 第三者の著作物（許諾なく入力できないもの）
法人向け・API利用で学習に使われない設定の場合の例外も、範囲を明確にして定めます。
4. 出力物の取扱い
- ファクトチェック義務：生成物は誤り（ハルシネーション）を含み得るため、人による確認を必須に
- 著作権・権利侵害の確認：生成物が既存著作物に類似していないか
- 生成物を社外公表・納品物に使う場合の追加確認
- 生成物であることの明示が必要な場面の整理
5. 責任の所在
- 生成AIを使っても、最終的な成果物の責任は利用者・会社にある旨
- 業務判断をAI出力のみに委ねない旨
6. ログ・監査
- 利用状況の記録・モニタリング（必要に応じて）
- 不適切利用への対応
7. 教育
- 全従業員へのリテラシー教育（リスク・禁止事項・正しい使い方）
- 部門別の活用ガイドライン
部門別のガイドライン
規程は全社共通のルールにとどめ、具体的な使い方は部門別ガイドラインで補うと運用しやすくなります。
- 開発：コード生成時のライセンス・機密コードの取扱い
- マーケ：生成画像・文章の著作権、景表法・ステマ規制
- 人事：応募者情報の入力禁止、評価へのAI利用の是非
ありがちな失敗
1. 全面禁止で形骸化（シャドーAI化）
リスクを恐れて全面禁止にすると、現場が個人アカウントでこっそり使う「シャドーAI」を招きます。承認ツールを用意して安全に使わせる方が安全です。
2. 入力禁止情報が曖昧
「機密情報は入れない」だけでは現場が判断できません。具体例で示します。
3. 出力をそのまま使う
ハルシネーションや権利侵害のリスクがあるため、人によるチェックを必須にします。
規程ログでの整備
規程ログには、生成AI利用規程をはじめ情報セキュリティ関連規程のテンプレートが揃っており、規程体系の整合を確認しながら整備できます。技術の進展や指針改定に合わせた頻繁な改訂を、改訂履歴と全従業員への周知・既読証跡とともに残せます。
まとめ
生成AI利用規程は、①承認ツールの限定、②入力禁止情報の明確化、③出力物のファクトチェック・権利確認、④責任の所在、⑤教育を柱に整備します。日本のAI推進法は理念法であり、企業の自主的なルール整備が要です。全面禁止ではなく「安全に使える環境」を整え、技術の進展に合わせて改訂し続けましょう。
※ 本記事は一般的な情報整理を目的としています。著作権・個人情報保護法・AI関連指針の適用は、最新の法令・指針の確認と、弁護士等の専門家による確認を推奨します。