「機密は入力禁止」の2行では現場が動けない｜ガイドライン待ちで止まらない生成AI利用ルールの作り方【2026年10月版】

株式会社AIworker

2026年10月27日 07:53

「機密情報は入力しないでください」と案内したものの、議事録、見積書、顧客メールはどこまで使えるのか。現場から質問が相次いでいないでしょうか。

反対に、「正式なガイドラインができるまで利用禁止」としたまま、半年近く何も始まらない会社もあります。生成AIの社内利用ルールは、禁止事項を増やすより、現場が自分で判断できる手順を示すほうが機能します。

この記事では、情報の区分とAIの利用条件を組み合わせた判断表、迷ったときの問い、親会社へ説明する項目、暫定版から改訂を回す手順まで整理します。

この記事の要点

✅ 利用ルールは「禁止の一覧」ではなく、現場がOK・条件付き・NGを判定する手順にする
✅ 情報を3〜4段階に分け、会社契約のAIと個人利用のAIを同じ基準で扱わない
✅ 完成を待たず、今すぐ使える範囲を暫定版で出し、3か月ごとに見直す

「機密は入力禁止」だけでは、なぜ判断できないのか

「機密」という言葉が広すぎるからです。

社外秘の営業資料、公開前の見積、取引先から預かった仕様書、採用候補者の履歴書。どれも社外へ無断で出すべき情報ではありません。しかし、情報の重さも、利用目的も、会社が契約したAIの設定も異なります。

現場が知りたいのは、抽象的な注意ではありません。「この議事録を要約してよいか」「この顧客メールの下書きを作ってよいか」という、目の前の判断です。そこへ「機密は禁止」とだけ返すと、安全を優先して使わなくなる人と、自分の解釈で使う人に分かれます。

ガバナンスの打合せでも、同じ問題が繰り返し出ます。議事録・見積・顧客メールのどれが使えるか判断できず、正式な利用を諦める。一方で仕事を早くしたい人は、会社が把握していない個人のAIを使ってしまう。曖昧な禁止は、利用を止めるだけでなく、利用実態を見えにくくします。

だから、ルールの中心は「何を禁止するか」ではなく、「何を見て判断するか」に置きます。

判断の起点は「利用目的」と「学習利用」の2点

生成AIへ情報を入力する前に、少なくとも次の2点を確かめます。

その使い方は、情報を集めた目的や社内で認めた利用目的の範囲内か
入力した情報が、サービス提供者の学習に使われる条件か

1つ目は、情報の出どころと使い方の確認です。業務上受け取った情報を、別の目的へ無制限に転用してよいわけではありません。個人情報、取引先との契約、社内規程が関わる場合は、法務・情報システム部門など所管部署へ確認します。

2つ目は、使うAIの契約と設定の確認です。「同じ製品名だから同じ扱い」とは限りません。会社契約の環境と個人の無料版では、管理者設定、保存、学習利用、ログ、アクセス管理などの条件が異なる場合があります。製品名ではなく、契約・設定・利用者まで確認する必要があります。

なお、「学習に使われない設定」だけで安全と決めることはできません。保存、共有範囲、アクセス権、誤送信、出力の誤りといった別の論点が残るためです。詳しくは、「学習させない設定」なら生成AIは安全かで整理しています。

情報の段階とAIの種類を組み合わせて決める

現場向けのルールでは、まず情報を3〜4段階へ分けます。名称は既存の情報管理規程に合わせてください。新しい言葉を増やすより、社内で使われている区分と対応させたほうが迷いません。

次の表は、社内で議論を始めるためのたたき台です。各社の契約、就業規則、情報管理規程、取引先との契約に応じて調整する必要があります。

この表で大切なのは、すべてを一律にOKまたはNGへ寄せないことです。たとえば、公開済みの商品説明をもとに文章案を作る仕事と、顧客から預かった未公開資料を分析する仕事では、同じAIを使う場合でも確認事項が違います。

また、「会社契約なら何でも入力可」という意味でもありません。会社契約のAIであっても、契約内容、管理者設定、利用規約、データの保存や学習利用の条件を公式情報で確認します。必要に応じて、入力前の匿名化や固有名詞の削除、利用範囲の限定を行います。

情報区分だけで決めず、情報区分と利用環境の組み合わせで決める。 ここまで落とすと、現場の質問に具体的に答えられます。

現場が迷ったときの3つの問い

判断表だけでは扱いきれない案件も出ます。そのため、ルール本文とは別に、現場が30秒で確認できる問いを置きます。

1. その情報は、社外へ公開してよいものか。誰かから預かった情報や個人情報を含まないか。
2. 使うAIは会社が認めたものか。入力情報の保存・学習利用・共有範囲を確認できているか。
3. 出力をそのまま使わず、事実・権利・宛先を人が確認できるか。

1つでも分からなければ入力せず、相談先へ確認する。

この3問は、万能な法務判断を現場へ任せるためのものではありません。明らかに使える範囲を自分で判定し、判断できない案件を相談先へ正しく持ち込むための入口です。

相談時の様式も決めておくと、確認が速くなります。「利用するAI」「契約・設定」「入力したい情報」「利用目的」「出力の使い道」の5点を添えてもらえば、情シスや法務が状況を聞き直す手間を減らせます。

ガイドラインに入れる7項目

分厚い文書を作ること自体が目的ではありません。現場版は短く、管理部門向けの詳細版と分けても構いません。ただし、次の7項目は抜かないようにします。

違反時の項目は、罰則だけを書かないでください。誤って入力したとき、誰へ、どの情報を、どの順番で報告するかを示します。隠されることが最も危険だからです。

出力の確認も欠かせません。生成AIは自然な文章を返しますが、事実が正しいとは限りません。顧客へ送る文面、意思決定に使う要約、契約や人事に関わる出力では、人が確認し、最終判断する範囲を明記します。

親会社・グループへは1枚で説明できるようにする

グループ会社では、自社だけで利用可否を決められないことがあります。食品グループの子会社では、親会社へ出す確認項目の一覧が求められました。承認側が知りたいのは「生成AIを使いたい」という希望ではなく、何を、どの条件で管理するのかです。

説明資料は、少なくとも次の項目を1枚にまとめます。

使うAIの名称、契約主体、利用する機能
入力する情報の区分と、入力しない情報
入力情報が学習に使われるか、その確認元
データの保存場所、保存期間、削除条件
利用者と管理者のアクセス権
利用ログ・監査ログの取得範囲と確認担当
退職・異動時のアカウント停止と権限変更
問い合わせ、事故報告、定期見直しの責任者

個別製品の条件は変わるため、社内の記憶で埋めず、契約書、利用規約、公式の管理者向け資料で確認します。親会社のポリシーがより厳しい場合は、その範囲内でできる業務を組み直します。

外資系のサービス業では、グローバルの方針により一部のエージェント機能が使えませんでした。そこで「使えないから停止」ではなく、許可された機能だけで実行できる業務を整理し直しました。制約の中で使える範囲を具体化することも、推進担当の仕事です。

一方、部署ごとに別々の説明を始めると、同じ情報でも判断が変わります。卸売業の現場でも、部署別の案内ではなく、セキュリティを含む全社共通ルールが求められました。個別業務の補足は部署で作っても、情報区分とAIの利用条件は全社でそろえます。

完成を待たず、「暫定版」を先に出す

ガイドラインを作る担当者ほど、抜け漏れをなくしてから公開したくなります。しかし、すべての業務とAI機能を事前に洗い出すのは困難です。検討中にも、現場の利用は進みます。

最初は、今すぐ使ってよい範囲だけを小さく決めた暫定版を出します。たとえば、公開情報を使った文章の下書き、個人情報を含まない会議案内、架空データでの操作練習など、判断しやすい業務から始めます。

暫定版には、「許可する範囲」「禁止する範囲」「迷ったときの相談先」「次回の改訂日」を必ず入れます。期限のない暫定版は、そのまま放置されるからです。

運用開始後は、3か月ごとを目安に次の記録を見ます。

現場から寄せられた質問と、判断に迷った情報
実際に使われた業務と、使われなかった業務
誤入力、誤送信、出力確認漏れなどの事象
新しく導入・変更されたAIの契約や機能
親会社、取引先、社内規程から追加された条件

ここで改訂するのは、文章だけではありません。質問が集中する場所は判断表へ例を足し、使われない許可業務は研修へつなぎ、相談が滞るなら窓口や回答期限を直します。ルールと教育、運用は分けずに見ます。

うちの場合はどこから手をつければいいか、30分で一緒に整理します。業務のどこにAIを入れると何時間減るかの試算メモを、診断後2日以内にお送りします。

▶️ AI業務診断（30分・無料）を予約する

「守られている」と「活用されている」は別の状態

官公庁系IT企業・約400名の匿名事例では、社内アンケートでルール遵守92.5%、生成AIの利用率73%、利用意向86%でした。数字だけを見ると、ルールも利用も広がっているように見えます。

ところが、有償のCopilotは議事録作成程度にしか使われていませんでした。これは支援前の調査であり、支援後の成果を示す数字ではありません。それでも、1つの注意点は見えます。守らせるルールだけでは、使い方は広がらないということです。

安全な範囲が分かっても、自部署のどの業務へ使うか、出力をどう確かめるかが分からなければ、利用は浅いままです。ガイドラインの公開後には、実際の帳票、会議資料、メールなどを使った演習が必要になります。架空の例だけでは、職場へ戻った瞬間に判断できません。

ルールの成果は、違反件数の少なさだけで測らないほうがよいでしょう。利用率、利用業務、相談件数、確認漏れ、削減時間などを合わせて見ます。違反がゼロでも、誰も使っていないなら、導入目的は達成していません。

失敗しやすい5つの作り方

1. 禁止事項だけを並べる

「機密禁止」「個人情報禁止」「出力を信用しない」と書くだけでは、議事録や見積の扱いを判断できません。情報区分、AIの利用条件、具体例まで対応させます。

2. 全部決めるまで公開しない

完成を待つ間に、正規利用が止まり、把握できない利用が残ります。明らかに使える範囲を暫定版で出し、相談記録を材料に改訂します。

3. 部署ごとに別の基準を作る

営業ではOK、管理部門ではNGという状態になると、異動や部門横断業務で混乱します。全社共通の情報区分と利用環境を決め、部署固有の例だけを追加します。

4. 作ったきり改訂しない

AIの機能、契約、社内の利用業務は変わります。本文に責任者と次回見直し日を入れ、変更があった場合の臨時改訂も決めておきます。

5. 守らせることを最終目的にする

ルール遵守は必要条件です。ただし、業務で安全に使われ、品質や時間の変化につながらなければ、導入目的には届きません。ルール、研修、業務での実践を一つの運用として設計します。

なお、複数のAIが部署ごとに導入され、契約や管理者が分からなくなっている場合は、ルール改訂の前に棚卸しが必要です。社内にAIツールが乱立したらもあわせてご覧ください。

明日から始める5つの手順

1. 現在使われているAIを棚卸しする

正式導入したものだけでなく、個人利用や試用も含めて確認します。製品名、契約者、管理者、利用部署、使っている機能、入力している情報を一覧にします。

2. 既存の情報区分を集める

情報管理規程、個人情報の取扱い、取引先との契約、親会社の方針を確認します。新しい区分を一から作る前に、社内で既に使われている分類を基準にします。

3. 情報区分×AIの判断表を作る

この記事の表をたたき台にし、OK・条件付き・NGを置きます。条件付きには「匿名化すれば可」「所管部署の承認があれば可」など、次の行動を書きます。

4. 暫定版と相談窓口を同時に出す

許可業務を2〜3個に絞り、判断表、3つの問い、相談先、次回改訂日を1つの文書にします。相談を受ける担当と回答の進め方も決めます。

5. 3か月後の見直し予定を入れる

質問、利用業務、事故・ヒヤリハット、契約変更を集めます。会議日だけでなく、誰が記録し、誰が改訂案を作り、誰が承認するかまで決めます。

最初の成果物は、完璧な規程ではありません。現場が明日使える判断表と、迷ったときに止まれる相談経路です。

よくある質問

Q. 生成AIの社内ガイドラインは何ページ必要ですか？

ページ数より、現場が必要な箇所へすぐ到達できることを優先します。現場向けの要約版は、判断表、3つの問い、相談先を1〜2ページに収め、詳細な管理基準や確認記録を別紙に分ける方法があります。

Q. 「個人情報はすべて入力禁止」とすれば十分ですか？

それだけでは不十分です。個人情報以外にも、取引先から預かった情報、未公開資料、認証情報などがあります。また、個人情報に当たるかを現場だけで判断できない場合もあるため、具体例と相談先を示してください。法令や契約上の扱いは、最新の公式情報と所管部署へ確認します。

Q. 会社契約のAIなら、社内情報を入力してよいですか？

一律には決められません。契約、管理者設定、保存、学習利用、アクセス権、ログなどを確認し、情報区分と利用目的を組み合わせて判断します。サービスの条件は変わり得るため、利用規約と公式情報を確認してください。

Q. 親会社の承認が出るまで、何も始められませんか？

親会社の方針に反しない範囲で、公開情報や架空データを使った操作練習など、承認対象を明確にした小さな開始案を相談できます。使うAI、設定、情報、管理方法を1枚にまとめると、承認側も判断しやすくなります。

Q. ガイドラインはどのくらいの頻度で改訂すべきですか？

まず3か月ごとを目安に運用上の質問を回収し、組織に合う周期へ調整します。AIの契約・機能変更、事故、親会社方針や社内規程の変更があった場合は、定期改訂を待たずに確認します。

Q. ルールを作った後、利用を広げるには何が必要ですか？

許可業務を読むだけでなく、自部署の実物を使った演習が必要です。入力してよい情報へ整える方法、指示の出し方、出力を人が確かめる手順を、実際の業務に沿って練習します。

AIworkerのご支援

AIネイティブX伴走

現行ルール、親会社の方針、利用中のAI、現場の質問を整理し、判断表と暫定版の作成を支援します。公開して終わりではなく、実際の相談や利用状況を見ながら改訂を回します。

AIネイティブX研修

社内ルールを踏まえ、どの情報をどう整えて使うか、出力をどう確認するかを実務で練習します。部署ごとの実物を使い、操作説明だけで終わらせません。

業務AIプロ

ルールの範囲内で、特定業務に合わせたAIの仕組みを設計・開発します。業務の流れ、入力情報、人が判断を残す工程、運用担当まで整理し、現場で使い続けられる形を一緒に作ります。

▶️ サービス資料のダウンロード（資料請求）

▶️ 無料カウンセリング・AI活用診断のご予約

著者情報