meguli
業務効率化読了 約11分

生成AI社内規程サンプルを自社用に直す前の適用範囲チェック

生成AI社内規程のサンプルを自社用に直す前に、対象者・業務・ツール・情報の4軸で適用範囲を整理。雇用形態や委託先、個人アカウント、ログ確認まで、規程に反映する観点を解説します。

こんにちは、平岡です。生成AI社内規程のサンプルを自社用に直すときは、条文の言い回しより先に、誰が、どの業務で、どのツールを使い、どんな情報を扱うのかを決めます。雛形の対象範囲と実際の利用状況がずれたままでは、現場が規程を守れるか判断しにくくなるためです。

まずは「人・業務・ツール・情報」の4軸で適用範囲を決め、その後に入力ルールや承認手順を自社の運用に合わせて書き換えます。この記事では、正社員以外の従業者、委託先や派遣スタッフ、個人アカウント、ログ確認を含め、規程を直す前の判断手順を解説します。

生成AI社内規程サンプルは適用範囲から見直す

雛形を自社用に直す前の確認

サンプルを読み始めたら、禁止事項の文言を直す前に、規程が適用される範囲を確認します。たとえば、営業担当が提案書の下書きに使う場合と、総務が社内文書を要約する場合では、扱う情報や確認する人が異なります。

弊社では、最初に部門ごとの利用状況を聞き取り、利用者・業務・使用ツール・入力情報を並べます。雛形に「従業員は生成AIを利用する際、次の事項を遵守する」とだけ書かれている場合、その「従業員」に誰が含まれるか、どの業務が対象かを自社で補う必要があります。

経済産業省・総務省の「AI事業者ガイドライン」は、2026年3月31日に第1.2版が公表され、チェックリストとワークシートも掲載されています。規程の適用範囲を洗い出す際に、こうした資料を検討の補助として参照できます。

最初に決めること

条文を整える前に、現場で使っている人・業務・ツール・情報を一覧にします。サンプルの想定と自社の実態が異なる箇所を特定してから、条文の修正に進むと判断がぶれにくくなります。

適用対象を「人・業務・ツール・情報」で分ける

適用範囲を分解する4つの軸

適用範囲は、次の4軸を別々に書き出します。「社内の生成AI利用全般」のようにまとめると、対象外の人や業務、入力してよい情報の判断が曖昧になりやすいためです。

  • 人：正社員、短時間勤務者、役員、業務委託先、派遣スタッフなど、誰が対象か
  • 業務：提案書作成、問い合わせ文の要約、翻訳など、どの仕事で使うか
  • ツール：会社が承認したサービスに限るのか、個人アカウントでの利用も含むのか
  • 情報：顧客情報、従業員情報、社外秘の資料など、入力する情報をどう区分するか

個人情報を含むプロンプトについて、個人情報保護委員会は、特定済みの利用目的の達成に必要な範囲内かを確認するよう求めています。顧客からの問い合わせを要約する業務なら、入力する情報がその問い合わせ対応の利用目的に照らして必要かを、規程や業務手順で判断できるようにします。

さらに、個人データを含むプロンプトが応答出力以外の目的で扱われる場合、本人同意なしでは個人情報保護法違反となる可能性があり、学習利用の有無などの確認が必要とされています。個人情報を含む入力では、サービス側のデータ利用条件を確かめないまま利用可と決めないことが重要です。

雇用形態別に対象者を決める

誰に規程を適用するか

対象者を「社員」とだけ書くと、契約社員、パート、アルバイト、役員が含まれるのか読み手によって解釈が分かれることがあります。人事部門が雇用形態ごとの利用実態を確認し、対象者の名称と周知方法を規程に反映します。

個人情報保護委員会のQ&Aでは、個人情報保護法上の「従業者」は、事業者の指揮監督を受けて業務に従事する者等であり、雇用契約の有無を問わないと説明されています。ただし、これは同法上の「従業者」の説明です。社内規程で誰を対象にするかは、法律上の用語だけで決めず、自社の業務上の関係と利用実態に沿って明記します。

対象に含めた人には、どの規程を、どの方法で伝えるかもセットで決めます。個人情報保護委員会は、事業者に対し、従業者への個人データの適正な取扱いの周知徹底と適切な教育を求めています。規程を配布して終わりにせず、入力してよい情報の例を使った説明や問い合わせ先の案内まで検討します。

用語を分ける

規程の「対象者」と、法令やガイドラインにおける用語の範囲は同じとは限りません。条文では、対象とする雇用形態や業務上の立場を具体的に列挙し、曖昧な「社員」だけで済ませない方法があります。

業務委託先・派遣スタッフなど社外人材の扱い

社外人材の利用範囲を整理

委託先や派遣スタッフが自社業務で生成AIを使う可能性があるなら、社内規程をそのまま適用できるかだけで判断せず、契約・業務指示・情報の扱いを並べて検討します。たとえば、委託先が自社の資料を使って納品物を作る場合、どの情報を入力できるか、利用するツールを誰が決めるかを契約や業務上の取り決めと照らします。

経済産業省の「AIの利用・開発に関する契約チェックリスト」は、提供データの利用範囲、サービス水準、AI生成物の利用条件などを検討するための資料として公表されています。委託契約の確認では、これらの観点を手がかりに、自社が渡すデータや生成物の扱いを整理できます。

派遣スタッフについては、厚生労働省掲載の派遣元事業主向け指針が、派遣元による派遣労働者の個人情報の適切な管理と、秘密情報を正当な理由なく他人に知られないよう厳重に管理することを求めています。派遣先での利用ルールとの関係や、周知・指示の分担は、契約内容を見たうえで関係部門に確認します。

契約終了後についても、アカウントの停止や共有資料の返却・削除を誰が扱うか、あらかじめ論点に含めます。契約終了時の具体的な義務は契約内容によるため、一律の条文を加えるのではなく、担当部門や法務への確認が必要な項目として分けておきます。

個人アカウント・私物端末の利用をどう扱うか

個人利用と業務利用の境界

個人アカウントや私物端末での業務利用は、「許可」「禁止」「申請制」のどれにするかを決めます。たとえば、会社の資料を個人アカウントで要約するケースを認めないなら、その禁止対象を規程に記載し、業務で使えるツールの確認先も示します。

利用状況を把握する目的でログ取得や端末確認を検討する場合は、利用許可のルールと、モニタリングのルールを分けて設計します。個人情報保護委員会のQ&Aでは、個人データを取り扱う従業者のモニタリングについて、目的を事前に特定し、社内規程等に定めて従業者に明示することが考えられるとしています。

同Q&Aは、モニタリングの重要事項を定める際、労働組合等への事前通知と必要に応じた協議、決定事項の従業者への周知が望ましいともしています。ここで示されているのは個人データ取扱い従業者のモニタリングに関する考え方です。ログの範囲や端末確認を規程に加えるときは、目的・対象・周知方法を明文化し、法務や関係部門にも相談します。

ログ確認の前に

利用状況の把握を定めるなら、「何を防ぐために、どの範囲を確認するのか」を先に特定します。確認の目的や方法を従業者に伝えないまま、広いモニタリングを規程に加えるのは避け、必要な通知・協議について関係部門に確認します。

対象ツールと業務用途の境界を明文化する

対象ツールと用途を区別

ツールの名称だけを規程に書くのか、利用形態や契約条件も含めて対象を定めるのかを決めます。承認済みのサービスであっても、個人アカウントと会社契約のアカウントを同じ扱いにするかは、自社の運用に合わせて明記します。サービスの追加・変更を誰が承認するかも、規程または関連手順の中で示します。

経済産業省の生成AIガイドブックは、利用規約で確認する観点として、商用利用、知的財産権、生成AI利用の表示義務、学習利用、秘密保持、禁止事項、準拠法などを示しています。導入するサービスを選ぶときは、これらの項目を規約や契約条件で確認し、社内で許可する用途と結び付けます。

用途も「生成AIの利用」と一括りにせず、文章作成、要約、翻訳のように分けます。営業提案書の下書きなら顧客情報を入力するか、生成結果を誰が確認して社外に出すかを定めます。翻訳なら、原文に秘密情報が含まれる場合の扱いを別に決めるなど、用途ごとに入力情報と出力確認の担当を結び付けます。

サンプル条文を自社用に直すチェックリスト

条文を直すときの確認事項

適用範囲を決めたら、雛形の条文を次の観点で点検します。「入力禁止」とだけ書くのではなく、どの情報を誰が判断し、迷ったときにどこへ相談するのかまで具体化すると、部署ごとの運用に落とし込みやすくなります。

  • 対象者：正社員以外、役員、委託先、派遣スタッフを含めるか
  • 対象業務・ツール：許可する用途、承認済みツール、追加・変更の手順
  • 入力情報：個人情報、個人データ、秘密情報などの扱いと禁止範囲
  • 出力確認：内容の正確性や社外公開の可否を誰が確認するか
  • 相談・報告：判断に迷ったとき、誤入力などが起きたときの連絡先
  • 周知・教育：対象者に規程をどう伝え、利用方法をどう説明するか

規程に転記する前に、社内の役割や承認手順に置き換えます。たとえば「上長の承認」と雛形にある場合、部門長なのか、情報システム部門なのか、案件責任者なのかを決め、承認が必要な業務を具体的にします。

対象者：＿＿＿＿
対象業務：＿＿＿＿
利用できるツール・アカウント：＿＿＿＿
入力できる情報／禁止する情報：＿＿＿＿
出力確認の担当者：＿＿＿＿
社外公開前の承認者：＿＿＿＿
相談・報告先：＿＿＿＿

例外・周知・見直しまで運用設計に含める

規程を運用につなげる

規程の対象外となる業務や、未承認のツールを一時的に使う必要がある場合に備え、相談先・申請方法・承認者を決めておきます。「例外は上長に相談」とするだけでなく、申請時に用途、入力情報、利用期間を伝える形にすれば、承認の判断材料をそろえられます。

周知では、規程の対象者に加えて、相談窓口と報告先も案内します。IPAの「テキスト生成AIの導入・運用ガイドライン」は、組織での生成AI利用ルールの策定・文書化を運用担当者の考慮事項として扱っています。ルールを文書にまとめ、利用者が参照できる場所と問い合わせ先を一緒に知らせます。

見直しのきっかけは、利用部門や用途、ツール、契約条件が変わったときなど、社内で把握できるタイミングとして設定します。たとえば、利用ツールの追加申請や、業務で扱う情報の変更を受けた担当者が規程改定の要否を確認する流れを作ります。

まとめ

生成AI社内規程のサンプルは、そのまま採用するのではなく、対象者・業務・ツール・情報を自社の利用実態と照らしてから修正します。雇用形態ごとの対象範囲、委託先や派遣スタッフとの契約、個人アカウント、ログ確認は、それぞれ判断の前提が異なるため、ひとつの条文でまとめず論点を分けます。

まずは部門や雇用形態ごとの利用状況を一覧にし、入力情報・出力確認・相談先まで決めてから条文を書き換えましょう。契約、個人情報、モニタリングに関わる項目は、担当部門や法務に確認し、決まった内容を周知と見直しの手順につなげます。

参考・出典

#生成AI#社内規程#AIガバナンス
この記事をシェア
𝕏 でポストB! はてブ
m
株式会社meguli

AI×DXで、社会の巡りをよくする。中小企業の現場で使えるAI活用・業務改善の実践情報を発信しています。

ご相談・お問い合わせはこちら →

あわせて読みたい

AI開発の費用対効果をどう測る？PoCの評価指標と継続判断の考え方

コンサルとAI導入、内製か外部支援か？判断軸と役割分担

Gemini 情報漏洩が心配なとき、入力前に決める情報の境界

記事一覧へ戻る