【2026年版】企業の生成AIガイドライン｜必須項目・策定手順・公開事例まで解説

生成AIの業務利用が一般化するなかで、「うちにもルールが要るのは分かっている。ただ、何を土台にして、どこまで書けばいいのかが分からない」という声を多く聞きます。参考にできる文書は国からも民間からも公開されていますが、対象読者も粒度もばらばらで、どれを使えばよいのか判断しづらいのが実情です。

総務省の令和8年版情報通信白書によれば、何らかの業務で生成AIを利用している日本企業は86.4%に達しました。前年度調査の55.2%から大きく伸びています。その一方で、業務変革について「組織的な取組はない」と答えた企業は27.0%。米国の1.4%、ドイツの4.9%と比べると、突出して高い水準です。

この記事では、企業が生成AIガイドラインを整備すべき理由から、公的機関が公開している4つの文書の使い分け、必ず入れる7つの構成要素、従業員規模別の作り方、そして2026年の規制環境で押さえるべき論点までを整理します。

確認したいポイント	結論	詳細
企業に生成AIガイドラインは必要？	法的義務はないが実務上は必要	利用企業が86.4%に達する一方、組織的な取り組みがない企業は27.0%。取引先審査で問われる場面も増えています。
何を土台にして作ればいい？	AI事業者ガイドライン第1.2版が基準	総務省・経済産業省が2026年3月に公表した統一指針です。用途に応じてIPAやJDLAの文書を併用します。
企業規模で作り方は変わる？	体制は変わるが入れる項目は同じ	300名以上は部門横断の体制づくりから、50名未満はA4一枚から。構成要素そのものに大きな差はありません。
作ったあとに必要なことは？	教育と3か月ごとの見直しが不可欠	配布するだけでは使われません。制度改正やツール追加のたびに臨時の点検を行う運用が必要になります。

この記事でわかること

• 企業に生成AIガイドラインが求められている背景と、整備しない場合に生じる不利益
• 公的機関が公開している4つの文書の違いと、自社が土台にすべきものの選び方
• 企業のガイドラインに入れる7つの構成要素と、それぞれの具体的な書き方
• 従業員規模別（300名以上／50〜300名／50名未満）の作り方と推進体制
• AI推進法・個人情報保護法改正・EU AI Actなど2026年の規制環境で押さえる論点

生成AIガイドラインの整備、無料で相談できます どの公的文書を土台にすべきか、自社に必要な項目は何か。整理する段階からご一緒します。初回のご相談は無料です。

企業に生成AIガイドラインが求められている背景

最初に、なぜいま企業にルールの整備が求められているのかを整理します。理由は「事故が怖いから」だけではありません。取引や調達の場面で、ガイドラインの有無が問われ始めているという変化が起きています。

ここでは統計で見た現在地、取引上の位置づけ、そして実際に起きているリスクの3点を確認します。この背景を押さえておくと、社内で予算と時間を確保する際の説明材料にもなります。

利用率86.4%に対し、組織的な取り組みがない企業が27.0%

総務省が2026年7月24日に公表した令和8年版情報通信白書によると、何らかの業務で生成AIを利用している日本企業の割合は86.4%でした。2024年度調査の55.2%から一気に伸び、米国90.9%、ドイツ91.6%との差はかなり縮まっています。

活用方針を定めている企業も68.9%まで増えました。前年度の49.7%からの伸びです。規模別では大企業74.0%、中小企業58.1%で、伸び幅そのものは中小企業のほうが大きくなっています。

ただし、業務変革について「組織的な取組はない」と回答した割合は日本で27.0%。米国1.4%、ドイツ4.9%、中国2.6%と比較すると、際立って高い数字です。個人が使い始める段階までは各国に追いついたのに、会社として使い方を決める段階で足踏みしている、という構図が読み取れます。

ガイドラインを持たないことが取引上の不利になり始めた

見落とされがちなのが、この論点です。生成AIガイドラインの策定を直接義務づける法律はありません。しかし罰則とは別の経路で、未整備の企業が不利になる仕組みが整いつつあります。

具体的には、大手企業の調達条件、取引先のセキュリティ審査、サイバー保険の引受条件の3つです。発注側が「AIの利用ルールを整備しているか」を確認項目に加えるケースが増えており、回答できない企業は候補から外れる場面が出てきています。

この変化は、自社が生成AIを使うかどうかとは無関係に効いてきます。使っていなくても「使わない方針である」ことを文書で示せなければ、審査上は同じ扱いになるためです。

企業が実際に直面している4つのリスク

ルールがない状態で報告されている問題は、大きく4つに分類できます。情報漏洩、誤情報の社外流出、権利関係の事故、そして社内の使いこなし格差です。

1つ目は、顧客情報や未公開の財務情報を、社員が個人契約のツールに入力してしまうケースです。会社が把握していないツールが使われている状態、いわゆるシャドーAIでは、入力内容を追跡することすらできません。

2つ目については、帝国データバンクの2026年3月調査で、生成AIに関する懸念・課題として「情報の正確性」が50.4%と最多に挙がっています。3つ目は著作権や商標に関わる問題です。

4つ目の使いこなし格差は、同調査で18.8%の企業が課題として挙げました。特定の社員だけが成果を出している状態は、組織としては再現性のない状態であり、その社員が異動すれば効果は消えます。

出典：総務省「令和8年版 情報通信白書」（2026年7月24日公表）／帝国データバンク「生成AIに関する企業の動向調査（2026年3月）」

▶ 関連記事：中小企業が月120時間を削った、生成AI活用30の現場

企業が参照すべき公的ガイドラインと使い分け

自社のルールをゼロから発明する必要はありません。国や公的機関が公開している文書を土台にすれば、法的・倫理的な論点の抜けを防げます。いずれも無料で参照でき、社内資料への引用も可能です。

問題は、どれを使えばよいかが分かりにくいことです。ここでは代表的な4つの文書について、対象読者と使いどころを整理します。すべてを読む必要はなく、自社の立場に合うものを1つ選んで深く読むほうが実務的です。

AI事業者ガイドライン（第1.2版）｜全事業者の土台

総務省と経済産業省が共同で取りまとめている、AIを開発・提供・利用するすべての事業者向けの統一的な指針です。2024年4月の第1.0版から更新が重ねられ、2026年3月31日に第1.2版が公表されました。

特徴は、事業者を「開発者」「提供者」「利用者」の3区分に分け、それぞれに求められる取り組みを整理している点です。生成AIを業務で使うだけの企業であれば、利用者の項目を読めば足ります。

第1.2版では、AIエージェントの実装が広がった現場の実態に合わせた記述が加えられました。人間による監視をどう運用するか、学習データの追跡可能性をどう確保するかといった論点が明確化されています。2025年以前に社内ルールを作った企業は、この版に照らした見直しを推奨します。

別添にはチェックリストとワークシートが用意されており、自社のガイドラインを作ったあとに抜けを点検する用途に向いています。

IPA「テキスト生成AIの導入・運用ガイドライン」｜導入担当者向け

情報処理推進機構（IPA）が2024年7月に公開した文書です。企業でテキスト生成AIを導入・運用する担当者を対象としており、導入担当者・運用担当者・セキュリティ担当者それぞれの考慮事項が章立てで整理されています。

セキュリティリスクに焦点を当てているのが最大の特徴で、RAG（検索拡張生成）を社内に構築する場合に新たに発生するリスクについても記載があります。社内データと連携させる構成を検討している企業には、この文書が最も実務的です。

リスクマトリクスに沿ったリスク管理手法も示されているため、情報システム部門が主導して整備を進める場合の骨格として使えます。

JDLA「生成AIの利用ガイドライン」｜利用者向けの雛形

日本ディープラーニング協会が2023年5月に公開し、その後第1.1版に改訂された利用ガイドラインの雛形です。生成AIの利用者（ユーザー）を対象としており、企業が自社ルールを作る際の出発点として広く使われています。

無料でダウンロードでき、そのまま自社向けに書き換えることが想定された構成です。条文の形が固まっているため、まず「ある状態」を早く作りたい企業に向いています。

デジタル庁・東京都｜公共性の高い事業を行う企業向け

デジタル庁は「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン」を整備しており、利活用ルールのひな形も含まれています。東京都デジタルサービス局も、都の各部門向けに「AI導入・活用ガイドライン」を策定・公開しています。

いずれも行政向けの文書ですが、調達時に事業者へ求める要件の整理は、民間企業がツール選定基準を作る際にも参考になります。自治体案件や公共性の高い事業を手がける企業は、これらを基準に据えると対外的な説明がしやすくなります。

どれを土台にすべきかの判断基準

迷ったときの選び方はシンプルです。社内で使うだけならJDLAの雛形、社内データと連携させるならIPAの文書、対外的な説明責任を負う立場ならAI事業者ガイドライン、という切り分けで問題ありません。

ただし、どれを土台にしても、最終的にAI事業者ガイドラインとの整合は取っておくべきです。取引先から根拠を問われたときに、国の指針に沿っていると説明できることが、そのまま信頼の担保になります。

どの文書を土台にすべきか、一緒に整理しませんか 自社の事業内容と利用形態から、参照すべき文書と必要な条項を切り分けます。初回のご相談は無料です。

企業のガイドラインに入れる7つの構成要素

土台となる文書が決まったら、次は自社の文書に何を書くかです。ここでは企業のガイドラインに欠かせない7つの構成要素を、それぞれの書き方とあわせて整理します。

分量の目安はA4で2枚以内です。詳細は別紙に逃がし、本体は原則だけを短く保つと、現場で参照される文書になります。

要素1｜基本方針

冒頭に、会社としてどういう姿勢で生成AIに向き合うのかを1段落で書きます。ここで禁止の列挙から入らないことが重要です。「安全に使うためのルールである」と明示するだけで、現場の受け取り方は大きく変わります。

推進の姿勢を示したうえで、最終的な判断と責任は利用者が負うという原則を添えます。この2文があるだけで、以降の禁止事項が納得されやすくなります。

要素2｜利用可能なツールの区分

使ってよいツールを列挙します。全面禁止にすると現場は隠れて使うようになるため、「承認済み」「申請すれば使える」「禁止」の3区分にしておくと運用しやすくなります。

承認の判断基準は、入力データが学習に利用されない契約形態か、利用ログが保全されるか、管理者が利用状況を把握できるかの3点です。無料版と法人版で条件が異なるサービスが多いため、プラン名まで含めて指定してください。

個人アカウントではなく会社ドメインのアカウントを使うこと、可能な範囲でシングルサインオンを利用することも、あわせて明記しておくと管理が楽になります。

要素3｜入力情報の取り扱い

ガイドラインの中核です。「機密情報は入力しないこと」と抽象的に書いても現場は判断できません。顧客の氏名や連絡先、従業員の個人情報、契約内容、未公開の財務情報、社外秘のソースコードといった粒度で列挙します。

本体を短く保つため、詳細な一覧は別紙にするのが現実的です。条文には「別紙に定める情報を入力してはならない」と書き、判断に迷う場合の相談先を添えてください。

要素4｜出力物の確認と人の関与

生成AIが事実と異なる内容を出力することを、技術的に完全に防ぐ方法は現時点でありません。したがってルールは「誰が何を確認するか」を決める方向で書きます。AI事業者ガイドラインが重視する人間による監視の考え方も、実務ではここに落ちてきます。

社外に出る文書、数値を含む資料、法令や契約に関わる内容は、人による確認を必須にします。逆に社内向けのアイデア出しや草案作成は確認を要しないと明記しておくと、現場の使い勝手が上がります。

採用の合否や人事評価など、人に関する最終判断をAIの出力だけを根拠に行わないことも、この項目に含めます。EU AI Actでも採用や人事評価は高リスク用途に位置づけられており、国内でも同様の慎重さが求められる領域です。

▶ 関連記事：人事AI活用で採用→育成まで半自動化｜中小企業実装ガイド

要素5｜権利と法令の遵守

生成物を社外向けに使う場合の判断基準を定めます。商用利用の可否、権利の帰属、既存の著作物との類似性の3点について、確認手順を書いておく必要があります。

特に画像生成は、既存の作品と類似した出力が生じる可能性があります。公開前の確認工程を設けるか、社外向けには使用しないと決めるか、どちらかの方針を明確にしてください。

要素6｜推進体制と責任分担

企業のガイドラインで最も抜けやすいのがこの項目です。所管部門はどこか、承認の権限は誰にあるか、相談と報告はどこへ上げるのかを明記します。担当が曖昧なルールは、運用されないまま形骸化します。

あわせて、報告したことで不利益な取り扱いをしないと書いておいてください。報告しづらい空気があると、入力してはいけない情報を入れた事実が隠されます。隠されるほうが、入れてしまったこと自体よりはるかに深刻です。

要素7｜教育と見直しの頻度

配布しただけのルールは読まれません。説明の機会を設けること、部門ごとの活用例を整備して共有することを、条文に書き込んでおきます。禁止事項だけを伝えると利用が萎縮するため、使ってよい具体例を同時に示すのが定着のコツです。

見直しの頻度も条文に入れます。2026年だけでも、3月にAI事業者ガイドラインが第1.2版へ改定され、7月には個人情報保護法の改正法が成立・公布されました。年1回の点検では制度の動きに追いつきません。3か月ごとを推奨します。

▶ 関連記事：Claude Code企業導入｜セキュリティ・運用・ROI設計

企業の公開事例から読み取れること

先行企業のなかには、ガイドラインや運用方針を外部に公開しているところがあります。公開されている事例を見ると、成果を出している企業に共通する設計が浮かび上がります。

ここでは代表的な3つの型を取り上げ、最後に共通点を整理します。自社の文書を作る際、どの型を目指すかを決める材料にしてください。

型1｜全社展開と効果の数値公表を両立させた事例

パナソニック コネクトは、2023年2月から社内向けAIアシスタントを国内全社員約11,800人に展開し、活用実績を毎年公表しています。同社の発表によれば、2025年度のAI活用による総労働時間の削減効果は78.8万時間、年間総労働時間の3.4%に相当します。

この型の特徴は、シャドーAIの利用リスク軽減を導入目的の1つとして明示している点です。「禁止して守る」のではなく、安全なツールを会社が用意して全員をそちらへ寄せるという発想でリスクを下げています。

加えて、社内向けの活用ガイドブックを整備し、社外にも考え方を公開しています。公開すること自体が、顧客からの問い合わせに対する説明コストの削減につながるという副次効果も生まれています。

型2｜AI倫理の観点まで含めて外部公開している事例

富士通グループは、AIの仕組みや倫理的・法的なリスクを具体的な事例とともに解説した「AI倫理ガイドライン」を策定し、外部にも公開しています。正確性、バイアス、著作権、悪用といった論点を社員教育の教材として使える形にまとめているのが特徴です。

この型は、AIを提供する側の立場にある企業に向いています。顧客に対して自社のAIガバナンスを説明する必要がある場合、公開文書があること自体が営業上の資産になります。

型3｜自治体・公共部門の事例

神奈川県横須賀市は2023年4月から全庁的にChatGPTの活用実証を行い、6月に公表した結果報告で年間22,700時間の業務時間短縮が見込まれると示しました。入力情報が二次利用されない方式を採用し、個人情報や機密情報の入力を禁止するルールを敷いたうえでの運用です。

注目すべきは定着の施策です。庁内向けの活用事例集を定期発行し、活用コンテストを実施し、外部アドバイザーを迎えて研修を行っています。ツールの導入より、使い方を広げる仕掛けに手をかけているのが特徴です。

3つの型に共通していること

型は違っても、共通点は明確です。いずれも「禁止事項の周知」で終わらせず、使ってよい範囲と具体例をセットで示しているという点です。

もう1つの共通点は、効果を数値で把握していることです。削減時間や利用回数を測っているからこそ、次の投資判断ができ、社内での説明も通ります。ガイドラインを作る段階で、何を測るかも同時に決めておいてください。

▶ 関連記事：コードを書かないチームがClaude Codeで月80時間を取り戻した現場記録

先行企業の設計を、自社の規模に合わせて置き換えます 公開事例をそのまま真似ても機能しません。自社の体制と業務実態に合わせた形への置き換えを、現場に入って支援します。

従業員規模別のガイドラインの作り方

同じ項目を入れるとしても、推進体制と分量は企業規模で変えるべきです。300名の会社の進め方を30名の会社が真似ると、体制づくりの段階で止まります。

ここでは3つの規模帯について、現実的な進め方と分量の目安を整理します。

従業員300名以上｜部門横断の体制を先に作る

この規模では、法務・人事・情報システム・現場部門の利害が分かれます。条文を書き始める前に、各部門から1名ずつ推進担当を出してもらう体制を先に作るほうが、結果的に早く進みます。

分量はA4で2〜4枚。本体に加えて、入力禁止情報リストとツール一覧を別紙にする構成が標準です。承認フローが複数階層になるため、誰がどこまで判断できるかの権限表も用意してください。

この規模帯では、対外的な説明を求められる場面も出てきます。AI事業者ガイドラインとの対応関係を社内で整理しておくと、取引先審査への回答が短時間で済みます。

従業員50〜300名｜所管部門を1つ決めて短く作る

最も動きやすい規模帯です。所管部門を1つに決め、そこが起案して経営層が承認するという流れにすれば、2か月程度で運用開始まで到達できます。

分量はA4で2枚以内に収めてください。この規模ではまだ全社員の顔が見えるため、細かい承認フローより「迷ったらここに聞く」という相談先を1つ決めるほうが実効性があります。

総務省の白書で中小企業の活用方針策定率が58.1%と、大企業の74.0%に比べて低い水準にとどまっているのは、この規模帯の企業が多く含まれるためです。裏を返せば、整備するだけで同業他社に対する差になります。

▶ 関連記事：外注ゼロでAIを回す会社がやっている、内製化5段階のステップ

従業員50名未満｜A4一枚から始める

小規模企業に必要なのは、網羅性ではなく即応性です。入力してはいけない情報、出力を必ず人が確認すること、迷ったときの相談先。この3つだけを書いたA4一枚で十分に機能します。

完璧を目指して半年かけるより、7割の完成度で今週配ったほうが、リスクは確実に下がります。運用しながら追記していく前提で構いません。

帝国データバンクの調査では、生成AIを活用している小規模企業は28.0%にとどまっています。ルールがないから使えないのか、使っていないからルールを作っていないのか。多くの場合は前者であり、A4一枚が利用開始の後押しになります。

策定から定着までの進め方

文書ができても、配って終わりでは機能しません。ここでは利用実態の把握から運用開始後の見直しまでを4つの段階で整理します。全体で6〜8週間が目安です。

専任の担当を置けない企業でも回せる粒度にしてあります。順序を飛ばさないことだけを意識してください。

段階1｜利用実態を把握する

机上で条文を書く前に、いま社内で誰が何を使っているかを調べます。個人契約のツールが使われている状態を把握しないままルールを作ると、実態と噛み合わない文書ができあがります。

調査は簡単なアンケートで足ります。使っているツール名、使っている業務、入力している情報の種類の3つを聞くだけで、リスクの所在はほぼ見えます。この段階では、個人契約で使っていた社員を咎めないでください。正直に答えられる空気をつくることが唯一の目的です。

段階2｜起案と関係部門のレビュー

土台にする公的文書を決め、7つの構成要素に沿って初版を書きます。そのうえで、法務・人事・情報システム・現場部門の4者でレビューします。特に現場部門のレビューを飛ばさないことが重要です。

管理部門だけで作ったルールは、ほぼ確実に現場の実態と乖離します。すでに使われている業務が禁止対象になる場合は、必ず代替手段をセットで示してください。「このツールは使えないが、承認済みのこちらで同じことができる」という形にすれば、現場は素直に移行します。

段階3｜配布と教育

30分でよいので説明会を設定し、なぜその禁止事項なのかという背景を口頭で伝えます。理由がわかるルールは守られます。文書だけを配っても、読まれない前提で考えてください。

あわせて、部署ごとに使えるプロンプトを5つずつ用意して配ると効果があります。ゼロから考えさせるのではなく、コピーして少し直せば使える状態にして渡す。これだけで利用率は明確に変わります。

▶ 関連記事：Claude Codeチーム導入｜社内展開90日ロードマップ

段階4｜運用と3か月ごとの見直し

運用開始後は、3か月ごとの点検を仕組みにします。点検項目は、新しく使われ始めたツールはないか、相談窓口に同じ質問が繰り返されていないか、法令や公的ガイドラインの改定はないかの3点です。

同じ質問が繰り返されている項目は、条文の書き方が曖昧である証拠です。次の改定でその部分を具体化すれば、ガイドラインは運用するほど精度が上がっていきます。

あわせて、効果の測定も継続してください。利用率、削減時間、相談件数の3つを追っていれば、次年度の投資判断に必要な材料は揃います。

▶ 関連記事：そのAI、何ヶ月で元が取れますか。投資回収を3分で見える化する計算式

策定から社内定着まで、現場に入って伴走します 利用実態の調査、条文の起案、関係部門のレビュー設計、説明会の実施、運用開始後の見直しまで。使われるルールをご一緒に作ります。ご相談はお問い合わせフォームからも承ります。

2026年の規制環境で企業が押さえる論点

ガイドラインを3か月ごとに見直すべき理由は、制度が動き続けているからです。ここでは2026年時点で企業が押さえておくべき3つの動きを整理します。

いずれも直ちに条文の全面改定を要するものではありませんが、次回の見直しで確認しておくべき論点です。

AI推進法と国内の枠組み

人工知能関連技術の研究開発及び活用の推進に関する法律（令和7年法律第53号）は、2025年6月に公布され、同年9月に全面施行されました。罰則を伴う規制法ではなく、研究開発と活用の推進を目的とした枠組み法という位置づけです。

この法律のもとで、内閣に設置された組織が基本計画や指針を定めていく建て付けになっています。企業が直ちに何かを義務づけられるわけではありませんが、今後の国内ルールの土台になる法律であることは押さえておいてください。

個人情報保護法の改正

個人情報保護法の改正法が2026年7月10日に成立し、同月17日に公布されました。3年ごとの見直し規定に基づく大規模な改正で、データ利活用の促進と、違反行為への抑止力強化の2つが柱になっています。

施行は公布から2年以内とされ、遅くとも2028年7月17日までに全面施行される予定です。罰則規定の整理など一部の条項は、公布から6か月を経過した2027年1月17日に先行して施行されます。

実務上の判断基準の多くは、今後の政令・委員会規則・ガイドラインで確定します。現時点で条文を書き換える必要はありませんが、施行までにデータの取り扱い体制を点検しておく必要はあります。

EU AI Actの域外適用

EU AI Actは域外適用の仕組みを持つため、EU子会社がある企業、EU域内の顧客にサービスを提供している企業は対象になり得ます。AIを開発・提供する側だけでなく、業務で使う導入者にも義務が及ぶ点が見落とされがちです。

2026年8月2日からは透明性義務などの適用が始まりました。高リスクAIに課される適合性評価などの実体義務は、その後の制度改正で2027年以降へ後ろ倒しになっていますが、猶予が生まれただけで要求水準が下がったわけではありません。

EUと接点がある企業がまず着手すべきは、社内で使っているAIの棚卸し、用途ごとのリスク分類、社内ガバナンスの整備、従業員へのリテラシー教育の4点です。この4点は国内向けのガイドライン整備とほぼ重なるため、二重に作業する必要はありません。

▶ 関連記事：採用を諦めた中小企業社長が、AIで人手不足を埋めるまで

まとめ

企業の生成AIガイドラインについて、背景・参照すべき公的文書・7つの構成要素・規模別の作り方・進め方・規制環境まで整理しました。まず決めるべきは、どの文書を土台にするかと、所管部門をどこにするかの2点です。

社内利用が中心ならJDLAの雛形、社内データと連携させるならIPAの文書、対外的な説明責任を負うならAI事業者ガイドライン。この切り分けで土台は決まります。あとは7つの構成要素に沿って、A4で2枚以内にまとめてください。

総務省の令和8年版情報通信白書が示すとおり、生成AIを使う企業は86.4%に達しました。それでも組織的な取り組みがない企業が27.0%残っています。使うかどうかを議論する段階はすでに終わり、会社としてどう使わせるかを決める段階に来ています。

株式会社LiftBaseは、AI導入をPoCで止めないことを掲げ、現場に常駐して業務フローの設計から社内ルールの整備、定着までを伴走しています。文書を作ったあと、実際に使われる状態まで持っていく段階のご相談も承っています。

▶ 関連記事：AI導入支援・コンサルティングのサービス詳細はこちら

生成AIガイドラインの整備を、現場から支援します 利用実態の把握から土台となる文書の選定、条文の起案、社内教育、運用開始後の見直しまで。企業規模と業務実態に合った形をご一緒に設計します。初回相談は無料です。