情シス担当者のための生成AI社内利用ルールの作り方を解説

「社員がすでに生成AIを使っているのに、会社としての利用ルールが整備されていない。」

この状態に気づいたとき、情シス担当者は大きな不安を感じるのではないでしょうか。

現場では、提案書作成や議事録の要約に生成AIを使い始めている一方で、会社として利用ルールがないと、顧客情報や機密情報を入力していないか把握できません。
情報漏洩や著作権トラブルが起きた際、対応を求められるのは情シスです。

さらに最近では、「AIではこう言っていたのですが、この設定で問題ないですか」といった問い合わせも増えています。生成AIの回答には、根拠が不明確な情報や、自社環境に合わない内容が含まれることもあり、情シス側の確認・調査負荷が増える原因にもなります。

だからこそ、生成AIの利用ルールでは、情報漏洩対策だけでなく、「AIの回答を鵜呑みにしない」「社内ルールや公式情報を優先する」といった確認ルールも明文化しておくことが重要です。

とはいえ、最初から完璧な規程を作る必要はありません。
必要なのは、生成AIを「使わせない」ルールではなく、「安全に活用してもらう」ためのルールです。

この記事では、情シスとして最低限決めておくべき社内利用ルール、入力禁止情報の線引き、利用OK／NG事例、社員への周知方法まで、今日から使える形でまとめます。

なお、情シス業務で生成AIをどのように活用できるかを知りたい方は、以下の記事もあわせてご覧ください。
情シスのAI活用でできること完全ガイド｜業務効率化の具体的な方法

情シスが最低限整備すべき生成AI社内利用ルールとガイドライン

完璧なマニュアルより、今日使えるルールでいい理由

生成AIの社内利用ルールを作ろうとすると、「情報セキュリティの専門知識がないと作れないのでは」と身構えてしまう方が少なくありません。
しかし、最初の段階で目指すべきは、分厚いガイドラインや法務レビュー済みの規程ではなく、A4数枚程度で社員が読んで理解できる暫定ルールです。

理由は単純です。すでに現場では生成AIの利用が始まっており、ルール整備を検討するだけでは間に合わない段階に来ているからです。
今日も誰かが無料版の生成AIサービスに業務情報を入力している可能性があるため、完成度よりもスピードを優先する必要があります。

また、最初から完璧を目指すと、関係部署との調整に時間がかかり、いつまでもルールが公開されないというパターンに陥りがちです。
まずは「入力してはいけない情報」と「最低限の利用範囲」を明文化し、運用しながら改善していく方が、結果的に現場に定着しやすいルールになります。

最低限入れるべき9項目一覧

暫定ルールとして最初に整備すべき項目は、次の9つです。
この9項目を満たしていれば、現場で運用できる最低限のルールとして機能します。

項目	内容
目的	なぜこのルールを定めるのか（禁止ではなく安全な活用が目的であることを明記）
対象となる生成AIサービス	ChatGPT、Gemini、Copilot、Claudeなど代表的なツールを列挙し、「その他、文章・画像・音声・コードなどを自動生成するAIサービスを含む」と補足
利用できる業務範囲	どの業務で、どの程度まで利用してよいか
入力禁止情報	顧客情報、個人情報、契約書、社内機密情報など
禁止行為	機密情報の入力以外に、避けるべき具体的な行為
生成物の確認義務	AIが出力した内容を人が必ず確認するというルール
社外向け利用時の注意	顧客向け資料などに使う場合の追加ルール
相談・確認フロー	判断に迷う場合の相談先や手続き
問い合わせ先	ルールに関する質問や違反時の報告先

情報漏洩リスクをどう防ぐか｜入力禁止情報チェックリスト

原則入力禁止にすべき情報（顧客名・契約書・個人情報・売上データなど）

生成AI社内利用ルールの中で、最初に決めるべき項目は「入力禁止情報」です。
利用範囲や相談・確認フローよりも先に、まず何を入力させてはいけないかを明確にすることが優先されます。

会社として利用方針を決めないまま放置していると、社員が個人で判断し、無料版の生成AIに業務情報を入力し続ける状態が広がります。
気づいたときには、どの社員がどの情報を入力したか把握できず、情報漏洩が起きても発覚が遅れるという事態になりかねません。

原則として入力禁止にすべき情報は、次の通りです。

• 顧客名、取引先名
• 個人情報（氏名、連絡先、採用候補者の履歴書情報など）
• 契約書、見積書、請求書
• 商談内容、社内会議の議事録
• 社内の売上、原価、利益情報
• 未公開の事業計画、新商品情報
• ID、パスワード、APIキー
• 社内システムの構成やセキュリティ設定情報

これらは、社員が「ちょっとだけなら」と判断してしまいやすい情報でもあります。
ルールに列挙するだけでなく、後述する周知文や教育の中で、具体的にイメージできる形で伝えることが重要です。

入力してよい情報との線の引き方

入力禁止情報だけを並べると、現場からは「結局、何に使えるのか分からない」という反応が出やすくなります。
生成AIを業務効率化に活用してもらうためには、入力禁止情報と対になる「入力してよい情報」も合わせて示す必要があります。

線引きの基本的な考え方は、情報が特定の個人や企業に紐づいているかどうかです。
固有の顧客名や金額、契約内容など特定性の高い情報は禁止とし、それらを取り除いた一般化された文章であれば利用を認める、という整理が現実的です。

入力してよい情報の例は、次の通りです。

• 個人名や会社名を含まない、一般化された文章
• すでに公開されている情報（プレスリリース、Webサイトの内容など）
• 自分自身で作成した汎用的な文章やアイデア
• 社内の専門用語ではない、一般的なビジネス文書の表現確認

このような基準を社員にも伝えておくと、個別の判断がしやすくなり、情シスへの問い合わせも減らせます。

利用OK／NG具体例｜業務シーンごとに整理した活用事例集

営業・マーケティング部門での利用OK／NG例

ルールに「入力禁止情報」を列挙しても、実際の業務に当てはめて考えられないと、社員は判断に迷ってしまいます。
特に生成AIの利用が先行している営業部やマーケティング部については、具体的な業務シーンに沿ったOK／NG例を示すことが効果的です。

利用OK例

• 顧客情報を含まないメール文面のたたき台作成
• 一般的なビジネスマナーや言い回しの確認
• Excel関数やPowerPoint構成の相談
• 公開情報をもとにした市場調査の要約
• 社内研修資料の一般的な構成案の作成
• 個人名や会社名を匿名化した文章の言い換え

利用NG例

• 顧客名や商談内容を含む提案書をそのまま入力する
• 契約書や見積書を丸ごとアップロードする
• 採用候補者の履歴書を要約させる
• 社内会議の議事録をそのまま入力する
• 未公開の新商品情報を入力してキャッチコピーを作らせる
• AIの出力結果を確認せずに、そのまま顧客へ提出する

営業部向けには、特に「提案書作成でどこまで使ってよいか」を明確にしておく必要があります。
たとえば「顧客固有の情報を含む資料をそのまま入力してはいけない。ただし、顧客名や金額、課題、商談経緯を匿名化・一般化した上で、文章構成や表現の改善に使うことは可能」というように、条件付きで利用を認める書き方が現場に受け入れられやすくなります。

「匿名化・一般化すれば使える」という考え方

OK／NG例を作る際の土台になるのが、「匿名化・一般化すれば使える」という考え方です。
具体的には、次のようなことを社員に意識してもらいます。

• 「A社の田中様から、来月の契約更新について値下げ要望があった」という商談内容は入力禁止
• 「ある取引先から、契約更新時の価格交渉があった」という一般化した内容であれば相談可能

この考え方を周知しておくと、社員自身が「この情報はそのまま入力してよいか」を判断する基準を持てるようになります。
結果として、情シスへの個別相談を減らしつつ、現場での生成AIの活用を止めずに進めることができます。

情シス・部門長・利用者の管理体制と責任分担

情シスがすべてを管理する体制は破綻する理由

生成AIの利用は、特定の部署や業務に限定されるものではなく、社内のさまざまな業務に広がっていきます。
そのため、情シスがすべての利用シーンを把握し、すべての出力内容まで責任を持つという体制は、現実的に成立しません。
特に情シス担当者が一人、あるいは兼務で対応している中小企業では、この体制を目指した時点で運用が止まってしまいます。

ルールを設計する際は、「情シスがすべてを管理する」のではなく、「情シスはルールと環境を整備し、各部門は業務上の判断を行い、利用者本人は入力内容と出力結果の確認に責任を持つ」という形で、役割を分けて整理することが重要です。

三者の責任範囲をルール文に落とし込む

責任分担をルールの文章に落とし込む際は、次のような形で、利用者本人、部門長、情シス・管理部の三者に分けて明記します。

利用者本人の責任

• 入力禁止情報を入力しない
• AIの出力結果を鵜呑みにせず、事実確認を行う
• 著作権や第三者の権利に注意する
• 顧客向けに使用する場合は、上長の確認を受ける

部門長の責任

• 部署内での生成AIの利用状況を把握する
• 顧客向け利用や重要業務での利用を承認する
• 部署メンバーにルールを守らせる

情シス・管理部の責任

• 利用ルールを整備し、最新の状態に保つ
• 利用可能なツールや禁止事項を社内に周知する
• 必要に応じてセキュリティ設定やアカウント管理を行う
• リスクの高い利用について、相談を受けて助言する

このように責任範囲を分けて明記しておくことで、「情シスが全部見ているわけではない」という前提を、社内全体で共有しやすくなります。
なお、すべての利用を申請制にすると運用負荷が高くなるため、日常的な文章作成や誤字脱字チェックは申請不要とし、顧客向け資料や個人情報を扱う可能性がある利用のみ、事前相談の対象にするなど、リスクに応じて線引きしておくとよいでしょう。

ルールを定着させる教育・周知の進め方

社員向け周知文テンプレート例

社内ルールを整備しても、社員に届かなければ意味がありません。規程をそのまま社内ポータルに掲載するだけでは、ほとんど読まれずに終わってしまいます。
まずは、短く分かりやすい周知文として伝えることが効果的です。

周知文の方向性としては、次のような内容を含めます。

ポイントは、「禁止します」という言葉だけで終わらせないことです。
生成AIの利用自体は認めつつ、守るべきルールがあることを伝える構成にすることで、社員の納得感を得やすくなります。

「禁止」ではなく「活用」として伝える工夫

周知や教育を行う際、生成AIを危険なものとして扱う伝え方をすると、社員が「使ってはいけないもの」と捉えてしまい、隠れて利用を続ける可能性があります。
これは、ルールを作る前よりも状況を悪化させてしまうため、避けるべき伝え方です。

伝える際は、次のような工夫を意識します。

• 「禁止」ではなく、「安全に活用するためのルール」という位置づけで説明する
• 生成AIで業務効率化できた具体的な活用例を、合わせて紹介する
• ルール配布だけでなく、短時間の説明会や研修を併せて実施する
• 部署ごとに利用シーンが異なるため、部門別の説明機会を設ける

ルールの目的は利用を制限することではなく、安全に活用してもらうことです。この姿勢を伝え方に反映させることで、ルールが現場に定着しやすくなります。

よくあるご質問（FAQ）

Q1. 全社展開の前に、一部の部署だけで試してもよいでしょうか？

問題ありません。すでに生成AIの利用が先行している営業部やマーケティング部から先に説明し、運用しながら課題を洗い出した上で、全社展開に進めるという進め方は現実的です。
むしろ、利用実態がある部署から優先して整備する方が、ルールの実効性を確認しやすくなります。

Q2. AIが作成した文章を顧客に送って間違いがあった場合、責任は誰にありますか？

ルール上は、AIの出力結果を確認せずに提出した利用者本人に一次的な責任があると整理するのが基本です。
そのため、ルールの中に「生成物の確認義務」を明記し、顧客向けに使用する際は必ず人が内容を確認すること、重要な資料については上長の確認を経ることをセットで定めておく必要があります。

Q3. ルールを配布するだけでなく、研修も必要でしょうか？

可能であれば実施をおすすめします。
規程を配布するだけでは読まれずに終わることが多いため、15分から30分程度の短い説明会を部署ごとに行い、入力禁止情報の具体例とOK／NG事例を中心に伝えると、定着しやすくなります。
全社一斉の研修が難しい場合は、まず利用が先行している部署から始めても構いません。

Q4. 社員が誤って機密情報を入力してしまった場合、どう対応すべきでしょうか？

軽微な見落としであっても、インシデントとして扱い、記録に残すことをおすすめします。
対応の流れとしては、入力した情報の内容と範囲を確認し、必要に応じてサービス提供事業者へのデータ削除依頼や、関係者への報告を行います。
あらかじめルールの中に「違反時の対応」や「問い合わせ先」を明記しておくことで、発生時に迷わず対応できます。

Q5. 社員から「AIではこう言っていた」と問い合わせを受けた場合、どう対応すべきですか？

AIの回答だけで判断せず、公式マニュアルやベンダー情報、社内ルールと照らし合わせて確認する必要があります。
また、社員から問い合わせを受ける際は、AIの回答だけでなく、対象システム名、利用目的、参考にした公式情報なども一緒に伝えてもらうルールにしておくと、情シス側も対応しやすくなります。

生成AI社内利用ルールは、まず小さく始めることが大切

生成AIの社内利用ルールは、最初から完璧なものを目指す必要はありません。
すでに現場で利用が始まっている以上、まずはA4数枚の暫定ルールとして、入力禁止情報、利用OK／NGの具体例、責任分担を明文化することが優先されます。
今回紹介した内容を踏まえると、最初に整備すべきものは次の4点です。

• 生成AI社内利用ルール
• 入力禁止情報チェックリスト
• 利用OK／NG事例集
• 社員向け周知文

そして、運用しながら余裕が出てきた段階で、部門長向けの判断基準や生成AIツールの利用台帳、インシデント発生時の対応フローといった項目を追加していくことで、無理なく整備を進めることができます。

生成AIを全面的に禁止するのではなく、機密情報や個人情報の入力を禁止しつつ、業務効率化のための活用は認めていく。この方針を軸に、情シスとしてできる範囲から着手していくことが、現場にも受け入れられやすいルール作りにつながります。

アウトソーシングを活用する選択肢もある

生成AIの社内利用ルールは、文書を作って終わりではありません。
社員への周知、問い合わせ対応、利用ツールの確認、インシデント発生時の対応、既存の情報セキュリティ規程との整合性確認など、運用面まで含めて考える必要があります。

特に一人情シスや兼任情シスの体制では、通常のシステム運用やヘルプデスク対応に加えて、生成AIのルール整備まで行うのは大きな負担になります。
さらに、社員から「AIではこう言っていた」という問い合わせが増えると、その内容の正誤確認や、社内環境への適用可否を調べる作業にも時間を取られてしまいます。

私たち情シスパートナーは、こうした情シス部門の実務負荷を踏まえた支援を行っています。
単にルールのひな形を提供するだけでなく、企業ごとの利用環境や情報管理体制に合わせて、生成AIの利用ルール作成から社員向け周知、問い合わせ対応、運用改善まで一貫してサポートできる点が強みです。

生成AIの活用を止めるのではなく、安全に使える状態を整える。そのためには、情シスがすべてを一人で抱え込むのではなく、必要に応じて外部の専門的な支援を活用することも有効な選択肢のひとつです。

アウトソーシングをご検討の方は、お気軽にお問い合わせください。