生成AIの社内ガイドラインの作り方｜中小企業がA4一枚から始める6項目

公開日：2026-08-12／最終更新：2026-08-12（JST）　制度・仕様は記事内に記載の時点の情報です。

「生成AIのルールを作っておいてくれ」。上からそう言われて、何を書けばよいか分からないまま手が止まっている——この相談が増えています。他社の規程を探しても出てくるのは大企業の十数ページの文書で、自社に置き換えられません。かといって空白のまま運用を続ければ、社員は個人アカウントで使い続けます。とくに専任の情シス担当者がいない中小企業では、この空白の期間が長くなりがちです。

結論から書きます。最初のガイドラインはA4一枚で十分です。むしろ一枚に収まらないものは、現場で読まれないという意味で失敗しています。以下では、その一枚に何を書き、何を書かないかを具体的に示します。

1. 結論：最初の社内ガイドラインはA4一枚でよい

ガイドラインの目的は、社員が判断に迷ったときに立ち返る場所を作ることです。網羅性ではなく、参照されることに価値があります。A4一枚を推す理由は3つあります。

なお本記事では、社内ルール（生成AIの利用規程）を一枚にまとめた文書を「ガイドライン」と呼びます。

1-1. A4一枚を推す3つの理由

第一に、読まれます。十数ページの規程は配布時に一度開かれるだけで、業務中に参照されません。第二に、作れます。総務担当者が他業務と並行して進められ、目安として着手から2週間程度で配布まで到達できます。第三に、直せます。生成AIは仕様の変化が速い分野です。分量が少ないほど改定の心理的な負荷が下がり、実際に更新され続けます。

1-2. よくある3つの失敗

法務文書として書き始める。責任範囲や免責を詰めようとすると、条文の体裁を整える作業に時間を取られ、肝心の「何を入力してよいか」に到達しないまま止まります。禁止事項だけを並べる。禁止しか書かれていない文書は、使ってよい範囲を示していないため、結局は使われないか、隠れて使われるかのどちらかになります。完成させてから配る。完璧を待つと配布が数か月先になります。その間に現場は個人の判断で使い続けます。

2. A4一枚に入れる6項目

社内ルールとして最低限そろえるべきは、次の6項目です。これ以上を最初から書こうとしないでください。各項目は2〜4行で足ります。

2-1. 6項目の一覧と文例

※文例は一般的な書き方の例であり、そのままの適用可否は自社の契約内容・業種の規制により異なります。個人情報や守秘義務が関わる部分は、必要に応じて弁護士等の専門家にご確認ください。

2-2. 最初の一枚に入れないもの

逆に、最初の一枚に入れないものも決めておきます。ツールごとの操作手順、プロンプト集、部署別の運用細則、罰則規定です。これらは一枚が定着したあとに、別紙として足していけば足ります。

3. 入力してよい情報の線引きを決める

6項目のうち、現場が最も迷い、事故が起きるのがこの③です。ここだけは時間をかけて決める価値があります。

3-1. 情報を3階層に分ける

「機密情報を入力しない」とだけ書いても、何が機密かの判断が人によって割れます。自社の情報を3つに分け、それぞれの扱いを一行で示してください。

3-2. 迷いやすい4類型を先に決めておく

実務では、次の4つが質問として上がりやすい類型です。ガイドラインに書くか、想定問答として用意しておきます。採用応募者の履歴書は個人情報であり、持ち出し禁止に入れます。取引先から受け取った見積書は、相手方の情報である以上、契約上の扱いを確認するまでは入力しません。社員の氏名を含む議事録は、氏名を役職や記号に置き換えれば社内限定として扱えます。自社の未公表の売上数値は、公表前は持ち出し禁止です。

3-3. 禁止リストより許可リストに寄せる

禁止事項の列挙は、書き漏れた瞬間に「書いていないから可」と解釈されます。「この3種類の情報は入力してよい。それ以外は管理部に確認する」という許可型の書き方のほうが、判断の迷いが減り、相談も集まります。相談が集まれば、次の改定で許可リストを増やせます。

3-4. 契約プランによって変わる部分がある

入力データの扱いは、同じサービスでも契約形態によって説明が分かれます。Anthropic のプライバシーセンターでは、個人向けプラン（Free・Pro・Max）に関する説明と、Claude for Work・API といった商用製品に関する説明が別の記事に分けて案内されています（2026年8月6日確認）。個人向けの説明をそのまま社内ガイドラインに書き写すと、法人契約の実態と食い違います。自社が契約しているプランの管理画面と、提供元の公式ページの両方で確認してから記載してください。

この確認作業を体系的に進めたい場合は、契約層・設定層・運用層に分けて点検するClaude 法人導入のセキュリティチェックリストを先に通すと、ガイドラインに書くべき事実が揃います。当社のClaude 法人導入支援でも、初回のご相談でセキュリティ上の論点をあわせて確認しています。

4. 出力物の確認責任を決める

生成AIは、事実と異なる内容をもっともらしい文章で出力することがあります（ハルシネーション）。この性質は指示の書き方で減らせても、ゼロにはなりません。したがってガイドラインには「精度を高める」ではなく「誰がどこまで確認するか」を書きます。

4-1. 責任は利用した本人に置く

「AIが間違えた」という説明は、社外に対して成立しません。出力をそのまま提出した場合でも、責任は提出した本人が負います。この一行を最初に置くと、以降の確認手順が自然に守られます。

4-2. 確認の強度を3段階に分ける

すべての出力に同じ確認を求めると、現場は守れません。行き先で強度を変えます。

4-3. 確認の記録をどこまで求めるか

最初の版では、確認記録の様式を作らないことをおすすめします。記録の運用は負荷が高く、形骸化しやすいためです。まずは社外提出物について「上長の承認を経る」とだけ定め、記録の要否は運用が回り始めてから判断します。

4-4. AI利用の開示をどう扱うか

顧客への提出物に生成AIを使ったことを開示するかは、業界慣行と取引先との契約により異なります。全社一律で決めず、「顧客との契約に開示や利用制限の定めがある場合はそれに従う」と書いたうえで、該当しそうな契約を営業部門に洗い出してもらうのが現実的です。当サイトは記事制作に Claude／Claude Code を用い、その工程を編集方針として公開しています。開示の書き方に迷う場合の一例として参照できます。

5. 周知と教育：30分で終わる説明会の型

配布しただけのガイドラインは読まれません。かといって半日研修は開催の合意が取れません。30分の説明会を部署単位で行うのが、最も実行しやすい形です。

5-1. 配る資料は2枚に絞る

ガイドライン本体のA4一枚と、入力可否の3階層表を1枚。この2枚だけを配ります。説明会用のスライドを別途作ると準備が重くなり、開催そのものが遅れます。

5-2. 個人アカウントの利用を責めない

ルールが無い期間に個人アカウントで使っていた社員は、多くの場合ルール違反ではありません。説明会の場で追及すると、以降の申告が止まります。「今日から会社契約に切り替えてください。移行の相談は管理部へ」という案内に留めるのが、実態を把握するうえで有効です。プロンプトや使い方の共有も、この場で歓迎する姿勢を示しておくと社内に蓄積が生まれます。

6. 改定の周期と、公的ガイドラインとの接続

6-1. 四半期ごとの定例見直しと、事象ベースの臨時改定

定例は四半期に1回で足ります。加えて、次の事象が起きたら周期を待たずに改定します。契約プランの変更、提供元のデータ取り扱いに関する変更、社内で判断が割れた相談が発生したとき、そして関係する法令・公的ガイドラインが更新されたときです。改定日と変更点は本体の末尾に3行程度で残します。履歴があると、監査や取引先からの照会に対して経緯を説明できます。

6-2. 公的な資料を参照先として書いておく

自社ガイドラインにすべてを書き切る必要はありません。総務省が掲載している「AI事業者ガイドライン」は、掲載ページで第1.2版（令和8年3月31日公表）が公開されており、チェックリストとワークシートも別添として提供されています（2026年8月6日確認）。自社の一枚に「詳細は本ガイドラインおよび下記の公的資料に従う」と参照先を明記しておけば、記載を最小限に保ったまま裏付けを持たせられます。

個人情報の取り扱いについては、個人情報保護委員会が令和5年6月2日付で「生成AIサービスの利用に関する注意喚起等について」を公表しています。個人データを取り扱う業務で生成AIを使う場合は、この資料を確認したうえで自社の線引きを決めてください。個別の事案が法令上どう扱われるかの判断は、所管官庁の公表資料と、弁護士等の専門家への確認が前提になります。

6-3. よくある失敗の3パターン

作って終わり。改定日が入っていない文書は、半年後に誰も従わなくなります。担当が決まっていない。「管理部」ではなく個人名または役職で相談先を書きます。例外の申請経路がない。禁止情報を扱う必要が業務上発生したとき、申請する先が無ければ、現場は黙って使うか、業務を諦めるかのどちらかになります。例外を認める手続きを1行入れておいてください。

6-4. ガイドラインの次に着手すること

一枚が配り終わったら、次は運用の器を整えます。会社契約への一本化、席の配分、管理者の設定といった実務は、ルールと同時に進めると定着が速くなります。契約作業の順番はClaude Team プランの始め方に、組織としての導入手順はClaude Code 法人導入の手順【全6ステップ】にまとめています。