【2026年版】生成AIガイドラインのサンプル全文｜社内ルールの作り方と必須9項目

「社員が生成AIを使い始めているが、社内にルールがない」。この状態に不安を感じて、ガイドラインのサンプルを探している担当者は少なくありません。ゼロから条文を書き起こす時間はない、けれど何も定めないまま放置するのはもっと怖い。多くの企業がこの板挟みにあります。

総務省の令和8年版情報通信白書によれば、何らかの業務で生成AIを利用している日本企業は86.4%に達しました。前年度調査の55.2%から一気に伸びています。その一方で、業務変革について「組織的な取組はない」と答えた企業は27.0%。使っている企業は増えたのに、会社としてのルールが追いついていないという構図です。

この記事では、そのままコピーして使える生成AI利用ガイドラインのサンプル全文と、入力禁止情報リストのサンプルを掲載します。あわせて、必ず入れるべき9項目、策定から運用までの5ステップ、公的機関が公開している雛形の使い分けまで整理しました。

確認したいポイント	結論	詳細
生成AIガイドラインは必ず作るべき？	法的義務はないが実務上は必須	策定を直接義務づける法律はありません。ただし個人情報保護法や著作権法は当然に適用され、無策の状態は不利に働きます。
最低限どの項目を入れればいい？	入力禁止情報と出力確認の2つは必須	加えて許可ツールの指定、禁止事項、相談窓口、改定ルールを入れると、現場で機能する形になります。
サンプルはどこまで書き換えが必要？	社名・部署名・ツール名の3か所から	まず括弧部分を置き換えて叩き台を作り、そこから自社の業務実態に合わせて禁止事項を調整していきます。
作ったあとは何をすればいい？	説明会とセットで配り3か月ごとに見直す	配布するだけでは読まれません。法改正やツール追加のタイミングでは、臨時の見直しも必要になります。

この記事でわかること

• そのままコピーして使える生成AI利用ガイドラインのサンプル全文（全11条）
• 業種別の追加項目まで含めた「入力してはいけない情報」リストのサンプル
• ガイドラインに必ず入れておきたい9つの項目と、それぞれの書き方
• 策定から社内配布・定着までを進める5つのステップ
• 総務省・JDLA・IPAなど公的機関が公開している雛形の使い分け方

生成AIの社内ルールづくり、無料で相談できます 自社の利用実態に合わせた条文の設計から、社内への浸透までを現場に入って支援します。何から手をつけるべきかを整理する段階からご相談ください。

生成AIガイドラインがいま必要とされている理由

サンプルを見る前に、なぜいまガイドラインが求められているのかを整理します。「使っているかどうか」の段階はすでに終わり、論点は「どう使わせるか」に移ったというのが、2026年の状況を一言で表した見立てです。

ここでは統計で見た現在地、ルールがない状態で実際に起きるトラブル、そして法的な位置づけの3点を確認します。この背景を押さえておくと、後半のサンプルのどこを厚く書くべきかが判断できるようになります。

企業の86.4%が利用、それでも27%は組織的な取り組みがない

総務省が2026年7月24日に公表した令和8年版情報通信白書によると、何らかの業務で生成AIを利用している日本企業の割合は86.4%でした。2024年度調査の55.2%から大きく伸び、米国90.9%、ドイツ91.6%との差もかなり縮まっています。

活用方針を定めている企業も68.9%まで増えました。前年度の49.7%からの伸びです。規模別では大企業74.0%、中小企業58.1%となっており、伸び幅そのものは中小企業のほうが大きくなっています。

問題は次の数字です。業務変革について「組織的な取組はない」と回答した割合は、日本で27.0%。米国1.4%、ドイツ4.9%、中国2.6%と比べると、突出して高い水準です。個人が使い始める段階までは追いついたものの、会社として使い方を決める段階で止まっている企業が、なお4社に1社以上あるということになります。

ルールがない状態で実際に起きている4つのトラブル

ガイドラインがない企業で報告されているトラブルは、大きく4つに分類できます。情報漏洩、誤情報の社外流出、権利関係の事故、そして社内の不公平感です。

最も多いのが1つ目です。顧客の氏名や連絡先、取引先との契約内容、未公開の財務情報などを、社員が個人契約のAIツールに入力してしまうケース。会社が把握していないツールが使われる、いわゆるシャドーAIの状態では、そもそも入力内容を追跡できません。

2つ目は、生成された内容を事実確認せずに社外向け資料に使ってしまう事故です。帝国データバンクの2026年3月調査でも、生成AIに関する懸念・課題として「情報の正確性」が50.4%で最多に挙がっています。

3つ目は著作権や商標の問題、4つ目は「使いこなし格差の拡大」です。同調査ではこの格差を課題に挙げた企業が18.8%にのぼりました。得意な社員だけが成果を出す状態は、組織としては脆い状態と言えます。

法律で義務づけられてはいないが、なくてよいわけではない

2026年時点で、生成AIの社内ガイドライン策定そのものを直接義務づける法律はありません。ただし、個人情報保護法、著作権法、不正競争防止法といった既存の法令は当然に適用されます。

加えて、人工知能関連技術の研究開発及び活用の推進に関する法律（AI推進法）が2025年6月に公布、同年9月に全面施行されています。また総務省・経済産業省の「AI事業者ガイドライン」は、事業者が自主的に取り組むべき指針を示す文書として、2026年3月31日に第1.2版へ改定されました。

義務ではないからやらなくてよい、とはなりません。事故が起きたときに「何も定めていなかった」という状態は、社内外の説明において明確に不利に働きます。ルールを持っていること自体が、企業としての防御線になります。

出典：総務省「令和8年版 情報通信白書」（2026年7月24日公表）／帝国データバンク「生成AIに関する企業の動向調査（2026年3月）」

▶ 関連記事：中小企業が月120時間を削った、生成AI活用30の現場

生成AIガイドラインに必ず入れる9つの項目

サンプルを自社用に書き換えるとき、どの項目を削ってよくて、どの項目は残すべきかの判断基準が必要になります。ここでは実務で機能するために欠かせない9項目を、それぞれの書き方とあわせて整理します。

9項目すべてを最初から完璧に書く必要はありません。特に重要なのは3つ目の入力禁止情報と4つ目の出力確認で、この2つが抜けているガイドラインは事故を防げません。

項目1｜目的と適用範囲

何のためのルールで、誰に適用されるのかを冒頭で示します。適用範囲でよく漏れるのが、派遣社員・業務委託・アルバイトの扱いです。正社員だけを対象にしたルールでは、実際に業務に関わる人の一部が抜け落ちます。

また、会社が貸与する端末だけでなく、個人の端末から業務のために利用する場合も対象に含めるかどうかを明記してください。ここが曖昧だと、私用端末経由の利用が野放しになります。

項目2｜利用を許可するAIツールの指定

使ってよいツールを列挙する方式が基本です。すべてを禁止すると現場は隠れて使うようになるため、「承認済み」「申請すれば使える」「禁止」の3区分にしておくと運用しやすくなります。

承認の判断基準は、入力データが学習に使われない契約形態になっているか、ログが残るか、管理者が利用状況を把握できるかの3点です。無料版と法人版で条件が異なるサービスが多いため、プラン名まで含めて指定してください。

項目3｜入力してはいけない情報

ガイドラインの中核です。抽象的に「機密情報は入力しないこと」と書いても、現場は判断できません。具体的な項目名で列挙することが必須です。

顧客の氏名・住所・電話番号・メールアドレス、従業員の個人情報、取引先との契約内容、未公開の財務情報、社外秘のソースコード、といった粒度まで落とし込みます。後ほどサンプルを掲載しますので、そのまま流用してください。

項目4｜出力物の確認と責任者

生成AIは事実と異なる内容を、もっともらしい文章で出力することがあります。これを技術的に完全に防ぐ方法は現時点でありません。したがってルールは「誰が何を確認するか」を決める方向で書きます。

社外に出る文書、数値を含む資料、法令や契約に関わる内容については、人による確認を必須にします。逆に社内向けのアイデア出しや草案作成であれば、確認の負荷を下げてよいと明記しておくと、現場の使い勝手が上がります。

項目5｜著作権と権利関係の取り扱い

生成物を社外向けに使う場合の判断基準を定めます。商用利用の可否、権利の帰属、既存著作物との類似性チェックの3点について、社内での確認手順を書いておく必要があります。

特に画像生成は、既存の作品と類似した出力が生じる可能性があります。公開前の確認工程を設けるか、社外向けには使用しないと決めるか、どちらかの方針を明確にしてください。

項目6｜禁止事項

禁止事項は多く書けばよいものではありません。3〜5項目に絞り、日常業務の言葉で書くのが、実際に守られるルールの条件です。10項目を超えると読まれなくなります。

優先度が高いのは、他者の著作物をそのまま生成させて社外公開すること、採用の合否や人事評価をAIの出力だけを根拠に決めること、そして人の承認なしにAIに外部送信や購買を実行させることの3つです。

項目7｜相談と報告のルート

判断に迷ったときの相談先と、やってしまったときの報告先を明示します。ここで重要なのは、報告したことで不利益な取り扱いをしないと明記することです。

報告しづらい空気があると、入力してはいけない情報を入れてしまった事実が隠されます。隠されるほうが、入れてしまったこと自体よりはるかに深刻です。この一文があるかないかで、運用の実効性は大きく変わります。

項目8｜AIエージェント・自動実行の扱い

2026年に入り、指示を受けて自律的にタスクを実行するAIエージェントの業務導入が広がりました。外部システムを操作する権限をAIに渡すという点で、従来のチャット利用とはリスクの性質が異なります。

ガイドラインには、どの操作までを自動実行してよいか、人の承認を挟む工程はどこか、実行ログをどこに残すかを書き加えてください。メール送信、外部への投稿、購買、ファイルの削除といった不可逆な操作は、承認必須にしておくのが安全です。

▶ 関連記事：Claude Code企業導入｜セキュリティ・運用・ROI設計

項目9｜見直しの頻度と担当部門

生成AIをめぐる状況は年単位ではなく月単位で変わります。2026年だけでも、3月にAI事業者ガイドラインが第1.2版へ改定され、7月には個人情報保護法の改正法が成立・公布されました。年1回の見直しでは制度の動きに追いつきません。

推奨は3か月ごとの定期見直しです。あわせて、新しいツールを導入したとき、法令やガイドラインが改定されたとき、社内でトラブルが起きたときは臨時に見直すと明記しておきます。

自社に合ったガイドラインの形を、一緒に決めませんか 利用実態の把握から条文の作成、社内説明会の設計まで、現場に入って伴走します。初回のご相談は無料です。

【サンプル全文】そのまま使える生成AI利用ガイドライン

ここからが本題です。以下は、そのままコピーして叩き台にできる生成AI利用ガイドラインのサンプル全文です。【　】の部分を自社の情報に書き換えるだけで、社内文書として成立する構成にしてあります。

総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」の考え方と整合するように設計していますが、最終的な内容については、必要に応じて顧問弁護士や情報セキュリティの専門家にご確認ください。

第1条〜第4条｜目的・適用範囲・許可ツール・入力情報

生成AI利用ガイドライン 制定日：【　　年　月　日】／改定日：【　　年　月　日】 所管部門：【情報システム部／総務部／経営企画部】  第1条（目的） 本ガイドラインは、【会社名】（以下「当社」という）の役員および従業員が、業務において生成AIサービスを安全かつ効果的に利用するために必要な事項を定めることを目的とする。  第2条（適用範囲） 1. 本ガイドラインは、当社の役員、正社員、契約社員、パート・アルバイト、派遣社員および業務委託先の担当者（以下「従業員等」という）に適用する。 2. 適用対象は、当社が貸与する端末からの利用に加え、個人が所有する端末から当社の業務を目的として生成AIサービスを利用する場合を含む。  第3条（利用を許可するサービス） 1. 従業員等が業務で利用できる生成AIサービスは、次の各号に掲げるものとする。　 （1）承認済み：【ツール名／プラン名】　 （2）申請により利用可：【ツール名】（利用前に【所管部門】へ申請し、承認を得ること）　 （3）上記以外のサービスは、業務目的での利用を禁止する。 2. 前項の承認は、入力データが学習に利用されない契約形態であること、利用ログが保全されること、管理者が利用状況を把握できることを条件として行う。  第4条（入力してはならない情報） 1. 従業員等は、次の各号に掲げる情報を生成AIサービスに入力してはならない。　 （1）顧客および取引先の個人情報（氏名、住所、電話番号、メールアドレス等）　 （2）従業員等の個人情報および人事評価に関する情報　 （3）取引先との契約内容その他、秘密保持義務を負う情報　 （4）未公開の財務情報、経営計画および投資家向けの未公表資料　（5）当社が保有するソースコードのうち、社外秘に指定されたもの （6）その他、社外への開示が禁じられている情報 2. 入力の可否について判断に迷う場合は、入力する前に【所管部門】へ相談すること。

第4条第1項第4号の「投資家向け未公表資料」など、自社に該当しない項目は削除して構いません。むしろ、該当しない項目を残しておくほうが、ルール全体の信頼性を下げます。

第5条〜第8条｜出力確認・禁止事項・権利関係・報告

第5条（出力物の確認） 1. 従業員等は、生成AIの出力をそのまま最終成果物として使用してはならない。内容の正確性、妥当性および表現の適切性について、必ず人による確認を行う。]2. 次の各号に該当する場合は、【所属長】の確認を経たうえで使用するものとする。　 （1）社外に提出、公開または送付する文書　 （2）数値、統計または法令の解釈を含む資料　 （3）契約、労務または安全に関わる内容 3. 社内向けの草案作成、アイデア出しおよび情報整理については、前項の確認を要しない。  第6条（禁止事項） 従業員等は、業務における生成AIの利用にあたり、次の行為を行ってはならない。　 （1）第4条に定める情報を入力すること　 （2）他者の著作物を実質的にそのまま生成させ、社外に公開すること　（3）採用の合否、人事評価その他、人に関する最終判断を、生成AIの出力のみを根拠として行うこと　 （4）人の承認を経ずに、AIエージェント等に外部への送信、投稿、購買またはデータの削除を実行させること  第7条（生成物の権利の取り扱い） 1. 生成AIの出力を社外向けの制作物に使用する場合は、事前に【所管部門】へ確認を行う。 2. 前項の確認においては、利用するサービスの規約上の商用利用の可否、権利の帰属、既存の著作物との類似性の有無を点検するものとする。  第8条（相談および報告） 1. 従業員等は、本ガイドラインの解釈または適用について疑義がある場合、【所管部門】へ相談することができる。 2. 本ガイドラインに反する利用を行った場合、または行ったおそれがある場合は、速やかに【所管部門】へ報告しなければならない。 3. 前項の報告を行ったことを理由として、当社は当該従業員等に不利益な取り扱いを行わない。

第8条第3項は、サンプルのなかで最も削ってはいけない一文です。この一文がないガイドラインは、事故が起きたときに報告が上がってこない構造になります。

第9条〜第11条｜教育・違反時の取り扱い・改定

第9条（教育） 1. 当社は、従業員等に対し、生成AIの適切な利用に関する説明の機会を設ける。 2. 【所管部門】は、部門ごとの活用例および推奨されるプロンプトを整備し、社内で共有する。  第10条（違反時の取り扱い） 本ガイドラインに違反した場合、就業規則その他の社内規程に基づき、必要な措置を講じることがある。ただし、第8条第2項に基づく自主的な報告があった場合は、その事情を考慮するものとする。  第11条（改定） 1. 本ガイドラインは、3か月ごとに内容を点検し、必要に応じて改定する。 2. 前項にかかわらず、次の各号に該当する場合は、その都度速やかに見直しを行う。　 （1）利用を許可するサービスを追加または変更する場合　 （2）関係法令または国が公表するガイドラインが改定された場合　（3）社内で生成AIの利用に関する事故または苦情が発生した場合  附則　本ガイドラインは、【　　年　月　日】から施行する。

サンプルを自社用に書き換えるときの3つのポイント

1つ目は、完璧を目指さないことです。7割の完成度で公開し、運用しながら直していくほうが、半年かけて完璧な条文を作るより早く現場が守れる状態になります。

2つ目は、自社に該当しない項目を削ることです。金融機関でない会社が金融向けの条項を残していると、現場は「うちのために作られたルールではない」と受け取ります。読まれないルールは存在しないのと同じです。

3つ目は、条文の外に補足を置くことです。禁止事項の背景や、なぜその判断基準なのかは、条文ではなく説明会や社内ポータルの補足文で伝えます。条文本体は短く保ってください。

【サンプル】入力してはいけない情報リスト

第4条をより具体的に運用するために、入力禁止情報を一覧にした別紙を用意することを推奨します。条文よりも一覧のほうが、現場では圧倒的に参照されます。

ここでは全社共通で禁止すべき項目と、業種ごとに追加したい項目を分けて掲載します。自社に該当する行だけを残して、A4一枚にまとめてください。

全社共通で入力を禁止する情報

【入力禁止情報リスト（別紙）】  ■ 個人に関する情報 ・顧客、取引先担当者の氏名、住所、電話番号、メールアドレス ・従業員、応募者の氏名、経歴、評価、健康情報 ・顔写真、音声、その他個人を識別できるデータ  ■ 取引・契約に関する情報 ・秘密保持契約の対象となる情報 ・契約書の全文または実質的な内容 ・見積金額、原価、仕入条件  ■ 社内情報 ・未公表の財務数値、経営計画、組織改編の情報 ・社外秘に指定されたソースコード、設計書、仕様書 ・システムのIDおよびパスワード、APIキー  ■ その他 ・官公庁または顧客から提供を受け、目的外利用を禁じられている情報 ・判断に迷うすべての情報（入力前に【所管部門】へ相談）

業種別に追加したい項目

上記の共通項目に加えて、業種特有の情報を1〜3行だけ足します。医療であれば診療情報、金融であれば口座や与信に関する情報、製造であれば図面と製造条件が該当します。

建設業であれば施工図と積算内訳、人材業であれば求職者の登録情報、士業であれば依頼者から預かった資料が対象です。自社が扱う情報のなかで「外部に出たら最も困るもの」を3つ挙げれば、ほぼ漏れなくカバーできます。

判断に迷ったときの相談フロー

禁止リストをどれだけ詳細に作っても、判断に迷う場面はなくなりません。だからこそ、迷ったときの行き先を1つに決めておくことが重要です。

推奨する運用は、社内チャットに相談用のチャンネルを1つ作り、そこに質問を集約する形です。過去のやり取りが蓄積され、同じ質問への回答を検索できるようになります。相談件数が減ってきたら、そのままFAQとしてガイドラインの別紙に追加してください。

▶ 関連記事：コードを書かないチームがClaude Codeで月80時間を取り戻した現場記録

ガイドラインの内容について、専門家の目を入れませんか サンプルの書き換えでは判断がつかない論点や、自社固有のリスクについてのご相談は、お問い合わせフォームから承ります。

策定から運用までの5ステップ

サンプルがあっても、そのまま配って終わりでは機能しません。ここでは現状把握から定着までの5ステップを、おおよその所要期間とあわせて整理します。

全体で6〜8週間を見ておけば、無理のないペースで進められます。専任担当を置けない企業でも回せる粒度にしてあります。

ステップ1｜現状の利用実態を把握する（1〜2週間）

机上でルールを作る前に、いま社内で誰が何を使っているかを調べます。個人契約のツールが使われている状態、いわゆるシャドーAIを把握しないままルールを作ると、実態と噛み合わないものができあがります。

調査方法は簡単なアンケートで十分です。使っているツール名、使っている業務、入力している情報の種類、この3つを聞くだけで、リスクの所在はほぼ見えます。

この段階では、個人契約のツールを使っていた社員を咎めないでください。正直に答えられる空気をつくることが、この調査の唯一の目的です。

▶ 関連記事：人を増やせない地方の中小企業が、AIで現場を回し始めるまでの3週間

ステップ2｜たたき台を作る（1週間）

本記事のサンプルをコピーし、【　】の部分を自社の情報に置き換えます。会社名、所管部門名、ツール名の3か所を埋めるだけで、その日のうちに叩き台の初版が完成します。

そのうえで、ステップ1の調査で見えた実態に合わせて、入力禁止情報と禁止事項を調整します。実際に使われていた業務が禁止対象になる場合は、代替手段をセットで示してください。

ステップ3｜関係部門でレビューする（1〜2週間）

法務、人事、情報システム、そして実際に使っている現場部門の4者でレビューします。特に現場部門のレビューを飛ばさないことが重要です。

管理部門だけで作ったルールは、ほぼ確実に現場の実態と乖離します。各部門から1名ずつ推進担当を出してもらい、条文が業務のどこで引っかかるかを具体的に出してもらってください。

ステップ4｜説明会とセットで配布する（1週間）

配布だけでは読まれません。30分でよいので説明会を設定し、なぜその禁止事項なのかという背景を口頭で伝えてください。理由がわかるルールは守られます。

あわせて、部署ごとに使えるプロンプトを5つずつ用意して配ると効果があります。禁止事項だけを伝えると利用が萎縮するため、「これは使ってよい」の具体例を同時に示すのが定着のコツです。

ステップ5｜3か月ごとに見直す（継続）

運用開始後は、3か月ごとの点検を仕組みにします。点検項目は、新しく使われ始めたツールはないか、相談チャンネルに同じ質問が繰り返されていないか、法令やガイドラインの改定はないかの3点です。

同じ質問が繰り返されている項目は、条文の書き方が曖昧である証拠です。次の改定でその部分を具体化すれば、ガイドラインは使うほど精度が上がっていきます。

▶ 関連記事：Claude Codeチーム導入｜社内展開90日ロードマップ

参考にできる公的機関のガイドラインと雛形

自社のガイドラインを作る際、国や専門機関が公開している文書を土台にすると、法的・倫理的な論点の抜けを防げます。いずれも無料で参照でき、社内資料への引用も可能です。

ここでは代表的な4つの文書について、それぞれ何を参照すべきかを整理します。すべてを読む必要はありません。自社の立場に合うものを1つ選んで、深く読むほうが実務的です。

総務省・経済産業省「AI事業者ガイドライン（第1.2版）」

AIを開発・提供・利用するすべての事業者を対象とした、日本におけるAIガバナンスの統一的な指針です。2024年4月の第1.0版から更新が重ねられ、2026年3月31日に第1.2版が公表されました。

本編と別添の二層構造になっており、別添にはチェックリストとワークシートが用意されています。自社のガイドラインを作ったあと、抜けがないかを確認する用途に向いています。

第1.2版では、AIエージェントの実装が広がった現場の実態に合わせた記述が加えられました。自動実行を伴う利用を検討している企業は、この版を参照してください。

JDLA「生成AIの利用ガイドライン」

日本ディープラーニング協会が2023年5月に公開し、その後第1.1版に改訂された利用ガイドラインの雛形です。生成AIの利用者（ユーザー）を対象としており、企業が自社ルールを作る際の出発点として広く使われています。

無料でダウンロードでき、そのまま自社向けに書き換えることが想定された構成になっています。本記事のサンプルと見比べて、必要な条項を足し引きする使い方が効率的です。

IPA「テキスト生成AIの導入・運用ガイドライン」

情報処理推進機構（IPA）が2024年7月に公開した文書で、企業でテキスト生成AIを導入・運用する担当者を対象としています。JDLAの文書が利用者向けなのに対し、こちらは導入側の視点で書かれている点が違いです。

セキュリティリスクに焦点を当てており、RAG（検索拡張生成）を社内に構築する場合に新たに発生するリスクについても記載があります。社内データと連携させる構成を検討している企業には、この文書が最も実務的です。

デジタル庁の行政向けガイドライン

デジタル庁は「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン」を整備しており、利活用ルールのひな形も含まれています。行政機関向けの文書ですが、調達時に事業者へ求める要件の整理は、民間企業がツール選定基準を作る際にも参考になります。

自治体や公共性の高い事業を行う企業は、この文書を基準に据えると、対外的な説明もしやすくなります。

▶ 関連記事：地方は補助金より相談先がない。地銀・商工会議所・経産局を順に動かすAI実装術

運用でつまずく3つのパターン

ガイドラインを作ったのに機能していない、という相談は少なくありません。原因は条文の質ではなく、運用の設計にあることがほとんどです。

ここでは現場で繰り返し見てきた3つの失敗パターンと、その回避方法を整理します。策定前にこの3点を意識しておけば、形骸化のリスクは大きく下がります。

つまずき1｜禁止事項が多すぎて誰も読まない

リスクを網羅しようとするほど条文は長くなり、長くなるほど読まれなくなります。A4で2枚を超えたガイドラインは、現場ではほぼ参照されません。

対処は、本体を短く保ち、詳細は別紙に逃がすことです。入力禁止情報リストを別紙にする構成にしているのは、この理由からです。本体は原則だけを書き、判断の材料は一覧に置いてください。

つまずき2｜現場の実態と乖離している

管理部門だけで作ると、すでに現場で当たり前に使われている業務が、いきなり禁止対象になることがあります。この状態が起きると、ルールを守る側が「見つからないように使う」方向に動きます。

禁止するなら、必ず代替手段をセットで示してください。「このツールは使えないが、承認済みのこちらなら同じことができる」という形にすれば、現場は素直に移行します。

つまずき3｜作ったまま更新されていない

制定から1年が経ち、条文に書かれたツール名がすでに社内で使われていない、という状態はよく見かけます。更新されていないルールは、守る対象として認識されなくなります。

対策として、第11条のように改定の頻度を条文自体に書き込んでおくことを推奨します。担当者が変わっても、文書に書いてあれば引き継がれます。加えて、点検の担当部門を明記しておけば、誰の仕事かが曖昧になりません。

▶ 関連記事：外注ゼロでAIを回す会社がやっている、内製化5段階のステップ

作ったガイドラインが機能していない、と感じていませんか 利用実態の再調査から条文の見直し、社内への浸透施策まで、現場に入って立て直しを支援します。初回のご相談は無料です。

2026年に押さえておきたい法制度の動き

ガイドラインを3か月ごとに見直すべき理由は、制度が動き続けているからです。ここでは2026年時点で押さえておくべき2つの動きを整理します。

いずれも直ちに条文の全面改定を要するものではありませんが、次回の見直しのタイミングで確認しておくべき論点です。

個人情報保護法の改正

個人情報保護法の改正法が2026年7月10日に成立し、同月17日に公布されました。3年ごとの見直し規定に基づく大規模な改正で、データ利活用の促進と、違反行為への抑止力強化の2つが柱になっています。

施行は公布から2年以内とされ、遅くとも2028年7月17日までに全面施行される予定です。罰則規定の整理など一部の条項は、公布から6か月を経過した2027年1月17日に先行して施行されます。

実務上の判断基準の多くは、今後の政令・委員会規則・ガイドラインで確定します。現時点で条文を書き換える必要はありませんが、施行までにデータの取り扱い体制を点検しておく必要はあります。

AI推進法とAI事業者ガイドラインの更新

人工知能関連技術の研究開発及び活用の推進に関する法律（令和7年法律第53号）は、2025年6月に公布され、同年9月に全面施行されました。罰則を伴う規制法ではなく、研究開発と活用の推進を目的とした枠組み法という位置づけです。

あわせて、AI事業者ガイドラインは「Living Document」として継続的に更新される方針が示されています。第1.0版から第1.01版、第1.1版、そして第1.2版へと年1回程度のペースで改定されてきました。次回の更新時期に合わせて自社の文書を点検する、という運用が現実的です。

▶ 関連記事：そのAI、何ヶ月で元が取れますか。投資回収を3分で見える化する計算式

まとめ

生成AIガイドラインのサンプル全文と、入力禁止情報リストのサンプルを掲載しました。【　】の3か所を書き換えれば、その日のうちに叩き台が完成します。まずは「ある状態」にすることを優先してください。

総務省の令和8年版情報通信白書が示すとおり、生成AIを使う企業は86.4%に達しました。それでも組織的な取り組みがない企業が27.0%残っています。使うかどうかを議論する段階はすでに終わり、どう使わせるかを決める段階に来ています。

必ず入れるべきは、入力禁止情報と出力確認の2項目です。そして、報告した社員を不利に扱わないという一文。この3つが揃っていれば、最低限の防御線としては機能します。あとは3か月ごとの見直しで精度を上げていってください。

株式会社LiftBaseは、AI導入をPoCで止めないことを掲げ、現場に常駐して業務フローの設計から社内ルールの整備、定着までを伴走しています。ガイドラインを作ったあと、実際に使われる状態まで持っていく段階のご相談も承っています。

▶ 関連記事：AI導入支援・コンサルティングのサービス詳細はこちら

ガイドラインの策定から、社内定着まで支援します 利用実態の調査、条文の作成、関係部門のレビュー設計、社内説明会の実施、そして運用開始後の見直しまで。現場に入って、使われるルールをご一緒に作ります。初回相談は無料です。