生成AIの社内利用ガイドラインの作り方｜情報漏えい・著作権のリスクと規程に盛り込む項目

生成AIの社内利用ガイドラインとは、従業員が業務で生成AIを使うときの範囲・禁止事項・確認手順を会社として文書にしたものです。入力してよい情報の線引きがないまま使い始めると、個人情報や社外秘の流出、他者の著作権侵害につながるおそれがあります。本記事では、個人情報保護委員会・文化庁・経済産業省の資料で3つのリスクを確認し、規程に盛り込む10項目と作成の5ステップ、就業規則との関係までを整理します。

生成AIの社内利用ガイドラインとは？中小企業にも必要な理由

生成AIの社内利用ガイドラインとは、従業員が業務で生成AIを使うときの対象範囲・入力してよい情報・禁止事項・生成物の確認手順などを、会社として文書にまとめたもののことです。「規程」「利用ルール」「利用基準」と呼ばれることもありますが、役割は同じで、現場が迷わず安全に使えるようにするための共通の物差しです。

生成AIは、質問や作業指示（プロンプト）に応じて文章や画像を作るサービスです。メールの下書き、議事録の要約、求人票のたたき台など、総務・人事の業務とも相性がよい一方で、入力した情報は社外のサービスに渡ります。個人情報保護委員会も、生成AIサービスの普及を踏まえ、個人情報の取扱いについて事業者に注意を促しています。

従業員50〜300名規模の企業では、情報システム部門や法務部門が専任で置かれていないことが少なくありません。そのため、総務・人事の担当者が「何を入力してよいのか」「誰に確認すればよいのか」を文書で示しておくことが、現実的なリスク対策になります。生成AI導入の全体像や法的リスクの概要は、生成AI導入の決定版ガイドや人事課の生成AI利用領域の解説も参考になります。

ガイドラインで押さえるべき4つのリスク

ガイドラインに書く内容は、リスクを整理してから決めると抜け漏れを防げます。公的機関の資料で確認できる4つの論点を順に見ていきます。

リスク1：個人情報を入力してしまう

個人情報保護委員会は、令和5年6月2日の「生成AIサービスの利用に関する注意喚起等」で、個人情報取扱事業者に次の点を示しています。

個人情報を含むプロンプトを入力する場合は、特定された利用目的を達成するために必要な範囲内であることを十分に確認する。
あらかじめ本人の同意を得ずに個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合は、個人情報保護法の規定に違反する可能性がある。
そのため、このような入力を行う場合は、サービス提供事業者が個人データを機械学習に利用しないことなどを十分に確認する。

ガイドラインでは、この趣旨を踏まえて「顧客・取引先・従業員の個人情報は、会社が承認したサービスで、確認済みの設定のときだけ入力できる」といった形で入力のルールを具体化します。

リスク2：営業秘密・社外秘を入力してしまう

不正競争防止法では、営業秘密とは、秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないものをいうと定められています（同法第2条第6項）。

経済産業省は、営業秘密を「有用性」「秘密管理性」「非公知性」の3要件を満たす情報と説明しています。あわせて、秘密情報が不正に持ち出されるなどの被害にあったときに民事上・刑事上の措置をとるためには、その情報が営業秘密として管理されていることが必要だとしています。

生成AIへの入力は、社外のサービスに情報を渡す行為です。入力した情報の扱いがサービスの設定や規約に左右される以上、秘密として管理してきた情報を無制限に入力できる状態は避けるべきと考えられます。取引先から秘密保持契約のもとで預かった情報も、同様に入力の対象外にしておくと安全です。

リスク3：生成物が他者の著作権を侵害する

文化庁は令和6年3月15日に「AIと著作権に関する考え方について」を公表しています。AIの開発・学習段階と、生成・利用段階を分けて考える必要があると整理しており、社内で生成AIを使う企業に関係するのは主に生成・利用段階です。

この資料の概要では、生成した画像などをSNSなどに公表したり複製物を販売したりする場合は、通常の著作権侵害と同様の基準で侵害になるかどうかが判断されるとされています。具体的には、既存の著作物との類似性（創作的表現が共通していること）と依拠性（既存の著作物をもとに創作したこと）が認められ、権利制限規定の対象外であれば、著作権侵害になります。

依拠性については、生成物と類似する既存の著作物が学習データに含まれているか不明な場合でも、利用者がその著作物にアクセスできたことや、生成物との高度な類似性などから推認され得るとされています。また、生成すること自体が適法に行える場合でも、SNSへの投稿などの利用まで直ちに適法になるわけではなく、場面ごとに判断が必要です。なお、この「考え方」は法的拘束力を持つものではなく、公表時点での審議会の考え方を示したものです。

リスク4：生成物に誤りが含まれる

個人情報保護委員会の注意喚起は、生成AIサービスの応答結果に不正確な内容が含まれることがあると指摘しています。生成AIは確率的な相関関係に基づいて文章を生成するため、自然な文章でも内容が正しいとは限りません。

社内文書や取引先への提出物にそのまま使うと、誤った制度説明や数値が外部に出てしまうおそれがあります。ガイドラインには、利用者が事実関係を一次資料で確認することを義務として明記します。

規程に盛り込む項目は？10項目のチェックリスト

規程に盛り込む項目は、次の10項目を基本にすると整理しやすくなります。社名や業種に合わせて、項目名や粒度を調整してください。

項目	定める内容の例
1. 目的・適用範囲	対象者（正社員、パート、派遣社員、委託先など）と、対象とする生成AIサービスの範囲
2. 利用できるサービス	会社が承認したサービスの一覧。承認前に利用規約・プライバシーポリシーと、入力情報が機械学習に使われないかを確認する
3. 入力禁止情報	個人データ、営業秘密、取引先から預かった秘密情報、未公表の経営情報など
4. 条件付きで入力できる情報	匿名化・要約した情報など、承認サービスで事前申請のうえ入力できるもの
5. 生成物の確認義務	事実関係・数値・法令の記述を一次資料で確認すること
6. 生成物の利用・公表	社外への公表や提出の前に、上長の承認と類似性の確認を行うこと
7. 著作権への配慮	他者の記事・画像・資料を入力する場合の可否と、特定の作品に似せた生成を指示しないこと
8. 責任者と相談窓口	判断に迷ったときの連絡先と、事故が起きたときの報告ルート
9. 違反時の取扱い	就業規則の懲戒規定との関係（後述）
10. 見直しの時期	年1回など、定期的な改定と、利用サービスの追加・変更時の見直し

入力してよい情報は3区分で整理する

従業員が迷いやすいのは「この情報は入力してよいのか」という判断です。次のように3区分で示すと、現場で使いやすくなります。

入力禁止：個人データ、営業秘密、取引先から預かった秘密情報。承認された例外を除き入力しない。
条件付きで入力可：個人や取引先を特定できないよう加工した情報。承認済みのサービスで、事前に申請して入力する。
入力可：すでに公表されている情報や、一般的な文章の推敲、アイデア出しなど。

区分ごとに具体例を2〜3個ずつ載せておくと、解釈の違いによる事故を減らせます。

著作物を扱うときの注意点

文化庁の資料の概要では、AIの生成物が著作物にあたるかどうかは、別の問題として考える必要があるとされています。人が何ら指示を与えず、あるいは簡単な指示を与えるだけで「生成」ボタンを押して出力されたものは、著作物に該当しないと考えられるとされています。

一方で、人が思想や感情を創作的に表現するための「道具」としてAIを使ったと認められれば著作物に該当し、利用者が著作者になると考えられます。人が生成物に創作的表現といえる加筆・修正を加えた場合は、通常、その部分に著作物性が認められるとされています。ただし、判断は個々の生成物ごとに行われます。

この点は、広報物や資料を社内で作る場面で重要です。「生成AIで作った文章や画像は自社が自由に独占できる」と思い込まないよう、ガイドラインでは「社外に出すものは、人が内容を確認し、必要な修正を加える」というルールにしておくと安全です。

また、同じ資料は、検索拡張生成（RAG）などのうち、既存の著作物の創作的表現の全部または一部を生成AIに出力させることを目的とするものは、著作権法第30条の4の対象外と考えられるとしています。社内の文書検索などにRAGを使う場合でも、他社の記事や書籍をそのまま出力させる使い方は避けるよう、ルールに入れておきましょう。

生成AIの社内ガイドラインの作り方：5ステップ

作成の手順は、現場の利用実態の把握から始め、小さく決めて運用しながら見直す流れが現実的です。

ステップ1：利用実態を把握する。すでに個人のアカウントで使っている従業員がいないか、どの業務で使っているかを、アンケートや聞き取りで確認します。
ステップ2：利用目的と対象サービスを決める。会社として使ってよい業務と、承認するサービスを決めます。承認の前に、サービス提供事業者の利用規約やプライバシーポリシーを読み、入力した情報が機械学習に利用されないかを確認します。
ステップ3：入力情報の区分と禁止事項を決める。前述の3区分に、自社の実際の情報（顧客リスト、給与データ、評価情報、見積書など）を当てはめて具体例を作ります。
ステップ4：就業規則・他の規程との整合を取る。個人情報の取扱規程、秘密保持の規程、情報セキュリティの規程と矛盾がないかを確認し、違反時の扱いを就業規則と合わせます。
ステップ5：周知し、見直しの仕組みを作る。説明会や短い研修で、禁止事項と相談窓口を従業員に伝えます。利用状況や事故・ヒヤリハットを集め、定期的に改定します。

ガイドラインに違反した場合の扱いは？就業規則との関係

ガイドラインに違反した従業員に懲戒処分を行う可能性を残すなら、就業規則との関係を整理しておく必要があります。労働基準法第89条は、常時10人以上の労働者を使用する使用者に、就業規則の作成と行政官庁への届出を義務づけています。同条第9号は、表彰及び制裁の定めをする場合には、その種類及び程度に関する事項を就業規則に記載するよう求めています。

また、同法第90条は、就業規則の作成または変更について、労働者の過半数で組織する労働組合がある場合はその労働組合、ない場合は労働者の過半数を代表する者の意見を聴かなければならないと定めています。ガイドラインを就業規則に組み込む、または懲戒規定を改める場合は、この手続きが必要になります。

ガイドラインを就業規則本体に入れるのか、別規程として定めて就業規則から参照させるのかは、会社の状況によって適切な形が異なります。特に懲戒の定めの見直しは、個別の事情によって判断が分かれるため、社会保険労務士などの専門家に確認することをおすすめします。

ネクストプレナーズの見解：最初から完璧を目指さず、3つだけ決める

中小企業の実務では、網羅的な長い規程を作ろうとして、いつまでも公開できないケースが少なくありません。当社は、最初の版では「利用してよいサービスの指定」「入力してはいけない情報」「生成物の内容を人が確認する義務」の3点に絞って決め、運用しながら見直すことをおすすめします。

また、利用を全面的に禁止するだけでは、従業員が個人のアカウントで使い続け、かえって会社が実態を把握できなくなるおそれがあると考えます。禁止する情報を明確にしたうえで、安全に使える環境と窓口を用意する方が、現場に定着しやすいと考えています。

運用で形骸化させないためのチェックポイント

ガイドラインは作って終わりにせず、次の点を定期的に点検します。

承認したサービスの利用規約・プライバシーポリシー・入力情報の扱いに変更がないか。
従業員が、入力禁止情報と相談窓口を答えられるか。
事故やヒヤリハットの報告が、責任者に集まる仕組みになっているか。
個人情報保護委員会や文化庁など、公的機関の資料に更新がないか。
新しい利用場面（採用、評価、労務など）が増えたときに、区分を見直しているか。

本記事は公的機関の公表資料等を基にした一般的な情報です。個別の制度設計・手続きは専門家にご確認ください。

監修

監修：仙頭武宏（株式会社ネクストプレナーズ代表取締役社長）

東京工業大学（現・東京科学大学）工学部制御システム工学科卒業。日本オラクル株式会社でエンジニア、コンサルタントを経て経営企画室マネージャを務める。一橋大学大学院商学研究科（現・一橋ビジネススクール）経営学修士（MBA）修了。独立コンサルタントを経て、2012年より株式会社ネクストプレナーズ代表取締役社長。

プロフィールを見る

よくある質問

Q. 生成AIの社内ガイドラインは就業規則に入れる必要がありますか？

就業規則本体に入れるか別規程にするかは会社の判断ですが、違反に懲戒処分を行う場合は就業規則への記載が関係します。労働基準法第89条第9号は、制裁の定めをする場合にその種類及び程度を就業規則に記載するよう求めており、第90条は作成・変更時に過半数組合または過半数代表者の意見を聴くよう定めています。具体的な規定の置き方は社会保険労務士などにご確認ください。

Q. 顧客や従業員の個人情報を生成AIに入力してもよいですか？

無条件には入力できません。個人情報保護委員会は、個人情報を含むプロンプトの入力は利用目的の達成に必要な範囲内であることを確認し、本人の同意なく個人データを入力して応答出力以外の目的で取り扱われる場合は法違反となる可能性があるため、サービス提供事業者が機械学習に利用しないことなどを確認するよう示しています。社内ルールでは、原則禁止とし、承認サービスでの例外を限定するのが安全です。

Q. 生成AIで作った文章や画像は、会社の著作物になりますか？

個別の事情によって判断が分かれます。文化庁の資料の概要では、人が簡単な指示だけで「生成」ボタンを押して出力されたものは著作物に該当しないと考えられる一方、人が創作的に表現するための道具としてAIを使ったと認められれば著作物に該当し、利用者が著作者になると考えられるとされています。社外に出すものは、人が内容を確認し、必要な修正を加える運用が安全です。

Q. 生成AIが作った文章や画像が、他人の著作権を侵害することはありますか？

あります。文化庁の資料の概要では、生成物を公表したり販売したりする場合は、通常の著作権侵害と同様に、既存の著作物との類似性と依拠性が認められ、権利制限規定の対象外であれば侵害になるとされています。生成すること自体が適法でも、公表などの利用まで直ちに適法になるわけではないため、社外に出す前の確認ルールが必要です。