---

社内AIガイドラインの整え方｜政府方針・他社事例から学ぶ策定7ステップ

「全社で生成AIを使わせたいが、何を許可して何を禁止すればいいのか分からない」

「AIエージェントを使いたいという現場の声が増えてきた。ガイドラインが追いついていない」

「他社がどう作っているのか、参考になる実例を知りたい」

——情シス・DX推進部門へのAIガバナンス支援の現場で、こうした相談を数多く受けてきました。

生成AIの業務利用は当たり前になりました。さらに Claude Code や Copilot のような 自律型AIエージェント まで現場に入り始めています。

社内AIガイドラインは「あれば良いもの」から「ないと危ないもの」に変わりました。

実際、総務省の調査では、生成AIの活用方針を策定済みの日本企業は 49.7% にとどまります。米国の84.8%、中国の92.8%と比べて大きく出遅れているのが現状です（総務省 令和7年版 情報通信白書）。

つまり、ガイドラインを整備できるかどうかが、AI活用を安全に加速できるかの分岐点 になっているのです。

本記事では、筆者が実際に社内AIガイドラインの策定を支援した経験をもとに、社内AIガイドラインの整備方法を解説します。

国の方針（AI新法・AI事業者ガイドライン）、文書のひな形となるJDLA「生成AIの利用ガイドライン」、他社の公開事例、大手メーカーの実例から抽出した設計パターン、そして整備の7ステップを体系的に扱います。

本記事のターゲット

• 社内の生成AI利用ルールを作る・見直す立場にある情シス・DX推進・法務担当
• 「原則禁止」のままでは現場が回らなくなってきた管理部門の方
• AIエージェント（自律型）の扱いをどうルール化するか悩んでいる方

まず押さえる：国としての方針

社内ガイドラインは自社で1から作成するのではなく、国の枠組みの上に載せるものです。

日本の方針は「規制」ではなく「推進＋ソフトロー」で構成されています。これを理解すると、社内ルールの力の入れどころが見えてきます。

AI新法（2025年9月全面施行）——推進法であり規制法ではない

「人工知能関連技術の研究開発及び活用の推進に関する法律」（通称：AI新法・AI推進法）は、2025年9月1日に全面施行されたAI基本法です（内閣府による概要）。

企業にとって重要なポイントは次の3つです。

ポイント	内容
推進法である	EUのAI Actのような罰則付き規制ではなく、「最もAIを開発・活用しやすい国」を目指す基本法
活用事業者の責務（第7条）	企業は基本理念にのっとり 積極的なAI活用による事業の効率化・高度化に努める とともに、国の施策に協力する責務を負う（条文：日本法令外国語訳DB）
国による調査・指導助言（第16条）	国は権利利益を侵害する事案等の情報収集・分析・調査を行い、事業者への指導・助言・情報提供等の必要な措置を 「講ずるものとする」 と規定

つまり国のメッセージは

「使え。ただし適正に」

と言えるでしょう。

社内ガイドラインを「禁止事項リスト」として作るのは国の方針ともズレており、活用を前提にリスクを制御する設計 が求められます。

AI事業者ガイドライン第1.2版（2026年3月）——社内ルールの参照元

「AI事業者ガイドライン」は、経済産業省・総務省が共同で策定する日本のAIガバナンスの統一指針です。2026年3月31日に第1.2版へ改訂され、AIエージェントに関する記載が拡充 されました。

法的拘束力はないソフトローですが、企業のガバナンス審ß査・調達基準・取引先からの選定要件で参照される 実務基準 になっています。

社内ガイドライン策定時に借用すべき考え方は次の3点です。

1. 立場の整理：事業者を「AI開発者」「AI提供者」「AI利用者」に分類し、それぞれの責務を定義している。自社がどの立場でAIに関わるかで、社内ルールの重心が変わる
2. 10の共通指針：人間中心・安全性・公平性・プライバシー保護・セキュリティ確保・透明性・アカウンタビリティ等。社内ガイドラインの「基本方針」章はここから引ける
3. チェックリストとワークシート：別添として実務用のチェックリストが提供されており、社内規定の網羅性確認に使える

文書のまとめかた：JDLAひな形に準拠する

利用ガイドライン本文をどうまとめるか

——ここでも1から作成する必要はありません。JDLAが公開している「生成AIの利用ガイドライン」ひな形の章立てに準拠するのが最短ルートです（JDLA公式サイトの資料ページ）。

ひな形は2種類が公開されています。

テキスト中心の「生成AIの利用ガイドライン」第1.1版（2023年10月公開）と、「生成AIの利用ガイドライン（画像編）」第1版（2024年2月公開）です。

どちらも【】内を自社の状況に差し替えて使う設計で、条文ごとに法的根拠の解説が付いています。

基本形は「入力」と「生成物」の2部構成

ひな形の設計思想はシンプルです。

生成AIはどのサービスも「データを入力→処理→生成物を得る」という構造をとります。だから注意事項も データ入力時 と 生成物の利用時 の2パートに分けて書く、という整理です。

ひな形の章	まとめかたのポイント
1. 目的	「業務効率化に役立つ反面、法令違反・権利侵害の可能性がある」という活用前提のトーンで書く
2. 対象とする生成AI	ホワイトリスト方式（利用してよいサービスを列挙）で指定し、それ以外は問い合わせ先へ誘導する
3. 禁止される用途	「生成AIの利用自体の禁止」か「生成AIのみで作った生成物の禁止」かを明示する
4. データ入力時の注意	入力に注意が必要なデータを類型別に列挙する（下表の6類型）
5. 生成物利用時の注意	虚偽・権利侵害・著作権不発生・商用利用制限・ポリシー制限の5点を押さえる

データ入力時の注意は「6類型」で書く

ひな形は、入力に注意が必要なデータを6類型に整理しています。

ポイントは、「入力自体はセーフでも、生成物の利用でアウトになり得る」類型がある ことです。禁止の理由を条文ごとに書き分けられます。

類型	ひな形のスタンス
第三者の著作物	入力自体は原則適法（著作権法30条の4）。類似物を作る目的での入力はアウト
登録商標・意匠	入力は侵害にならないが、類似する生成物の商用利用は侵害になる
著名人の顔写真・氏名	入力はパブリシティ権侵害でないが、生成した肖像等の商用利用はアウト
個人情報	学習に使われるサービスでは本人同意が必要になるため、原則入力禁止
NDAで預かった秘密情報	生成AI提供者という第三者への「開示」に当たり得るため入力禁止
自社の機密情報	法令違反ではないが、営業秘密の保護や特許出願に支障が出るため入力禁止

個人情報とNDA情報を「原則禁止＋例外は個別判断」とする構造は、後述するA社のパターン3と同じです。ひな形の6類型を自社の情報分類に対応づければ、Step4の入力マトリクスの行がそのまま埋まります。

生成物利用時の注意は「5点」で書く

生成物側の注意事項として、ひな形は次の5点を挙げています。

• 虚偽の可能性：ハルシネーションを前提に、根拠・裏付けの確認を義務づける
• 権利侵害の可能性：既存の著作物・商標・意匠に類似しないか、公開前に調査する
• 著作権が発生しない可能性：人の創作的寄与がないと保護されないため、生成物はそのまま使わず加筆・修正する
• 商用利用できない可能性：利用規約で生成物の商用利用条件を確認する
• サービスポリシー上の制限：禁止用途や「AI利用の明示」義務など、規約独自の制限を確認する

この5点は、Step5で作る出口チェックリストの確認項目にほぼそのまま流用できます。

画像生成AIを使うなら「画像編」で3点を足す

画像編は、生成物を対外公開する機会が多い画像生成のリスクに合わせた続編です。

「強制力のある社内規程として策定すべき場合も多い」と踏み込んでおり、テキスト版に次の3点を追加する構成になっています。

1. 利用AIの審査・承認制：学習データ・作風模倣の意図・入力データの用途や保存先・プロンプト記録の管理機能・商用利用条件など8観点で事前審査する。審査は法務・セキュリティ部門だけでは完結せず、ビジネスとAI倫理の観点も必要
2. AI生成物の区別管理：AI生成物には著作権が発生しない可能性があるため、人が作ったコンテンツと管理簿や専用フォルダで区別して保存する
3. 対外公開の許可制と明示：公開前に利用したAIとプロンプトを添えて申請し、公開時はAI生成である旨を合理的な方法で明示する

他社はどう作っているか：公開事例

国の枠組みを押さえたら、次は先行企業の公開事例です。

ここではアプローチの異なる3社を取り上げます。それぞれ「現場が判断できる」「仕組みで守らせる」「二層で構える」という異なる型を持っています。

企業	型	社内ガイドラインに移植できる学び
パナソニック コネクト	ケーススタディ型	利用シーン別に判断基準を示し、現場が迷わない
日清食品グループ	仕組み＋教育型	システムへの組み込みと研修で「守らせて使わせる」
KDDI	二層構造型	恒久原則とツール別ルールを分け、改訂を軽くする

パナソニック コネクト——「ケーススタディ型」で現場が判断できる

パナソニック コネクトは「生成AI利活用ガイドブック」を 一般公開 しています。

特徴は、抽象的な原則ではなく 利用シーン別のケーススタディ（社内利用／社外公開文書／お客様向けシステム／外販サービス等）で構成されている点です。

• 「鵜呑みにしない」「人が最終確認・判断する」「入力不可の情報は入れない」「AIを利用したことのログを残す」といった行動レベルの原則
• 自社が契約主体になる場合の、生成AIベンダとの契約条件チェックの観点
• 全社導入の目的に「シャドーAI利用リスクの軽減」を明記——会社が把握・許可していないAIサービスを、従業員が個人アカウント等で業務に使ってしまう状態を禁止するより公式ツールを配る方が安全、という思想（パナソニック コネクトのプレスリリース）

個人契約のChatGPTに社外秘資料を貼り付ける、無料のAI翻訳に契約書を入れる、といった行為が典型です。入力内容がサービス側の学習に使われ、情報漏洩につながるリスクがあります。禁止ルールだけで公式に使える環境がないと、かえってシャドーAIが増えます。

だからこそ「安全な公式ツールを配ること」が最大の対策になるという考えです。

日清食品グループ——専用環境＋仕組みで守らせ、教育で使わせる

日清食品グループは、Azure OpenAI Service上に構築した自社専用環境「NISSIN-GPT」（現：NISSIN AI-chat）を2023年4月に社員約3,600人へ公開しました（日清食品グループのニュースリリース）。

ガイドライン運用の特徴は2つあります。

• 仕組みで守らせる：ログイン時にコンプライアンスの確認質問を表示し、回答しないと使えない設計。「ガイドラインや説明会だけでは忘れてしまう」という法務部門の意見を反映する（ITmedia エンタープライズのイベントレポート）
• 教育で使わせる：部門別の利用シーンを想定した150種類以上のプロンプトテンプレートと、レベル別プロンプト研修を全社員向けに実施（Business Insider Japanの取材記事）

ガイドラインを「守らせる文書」で終わらせず、システムへの組み込みと教育とセット で展開しているのがポイントです。

KDDI——原則を先に、生成AI特化ルールを後から

KDDIは2021年8月30日に「KDDIグループAI開発・利活用原則」を策定・公開しました（KDDIのニュースリリース）。人間の尊厳・適正な利用・人間の判断の介在・安全性とセキュリティ・プライバシー・公平性など9項目の原則です。

生成AIブーム以前に恒久的な原則を固め、その傘の下に生成AI特化の社内整備を追加していく二層構造をとっています（総務省AIネットワーク社会推進会議でのKDDI発表資料）。恒久的な原則（変わらない）と、ツール別ルール（頻繁に変わる）を分ける 構成は、改訂運用を軽くする定石です。

共通項

各社に共通するのは次の4点です。

• 入力情報の機密レベル管理（何をどのAIに入れてよいか）
• AI出力のファクトチェック・人による最終判断の義務化
• 著作権・肖像権等の法的リスクへの対応手順
• 定期的な見直しを前提とした改訂運用

実例から抽出した設計パターン：大手メーカーA社の場合

ここからは、筆者が実際に関わった大手メーカー（以下A社）の社内ガイドラインから、設計パターンとして一般化できるエッセンス を紹介します。

パターン1：AIを種類別に分類し、方針を分ける

A社のガイドラインは、冒頭でAIを 従来型の予測AI／生成AI／ワークフロー型エージェント／自律型エージェント といった複数の種類に定義し、種類ごとにリスク評価と利用方針を変えています。

2023〜2024年頃のガイドラインは「生成AIか否か」の一軸が主流でしたが、2026年現在は 自律型エージェントを別枠で扱う のが実務の最前線です。チャットとエージェントではリスクの質（情報漏洩に加え、意図しないシステム操作・自動実行）が違うためです。

パターン2：サービスを管理レベルで区分し、責任分界を明示する

利用可能なAIサービスを、IT部門の管理がどこまで及ぶかで複数の区分（ホワイトリスト／ホワイトリスト外）に整理しています。そのうえで、契約管理・セキュリティ監視・インシデント対応・サポートの責任が区分ごとに誰にあるか を表形式で明示しています。区分は「サービスの優劣ではなく管理レベルの違い」と位置づけられています。

特に参考になるのは、どの区分でも「生成物を利用する責任は利用部署にある」と一貫させている 点です。どんなに管理されたツールでも、出力の利用は当事者で柔軟にコントロールできるため、責任は現場にあります。

——ここが曖昧なガイドラインは形骸化すると考えたためです。

パターン3：入力ルールは「情報分類×サービス区分」で決める

何をAIに入力してよいかを、既存の情報分類（個人情報・機密情報・社外秘等）とサービス区分の掛け合わせで定めています。個人情報は原則入力禁止（申請ベースで例外）、機密性の高い情報ほど管理レベルの高いサービスに限定する、という構造です。

取引先から預かった情報はNDA等の契約に応じて判断し、迷ったら法務に相談するルートも定めています。

また、細かい点では、生成AIに対するフィードバックは再学習に使われるリスクがあると考え禁止としています。

パターン4：生成物の「出口」で人によるチェックを義務化する

生成物を社外に出す前に、人による目視・検査を義務化しています。

確認項目は 著作権／商標・意匠／特許／偽情報 など の観点で列挙されています。

加えて、誤認リスクのあるコンテンツにはAI生成である旨の表示を追加するとしました。

パターン5：自律型エージェントと市民開発は「出口つきの原則禁止」

自律型AIエージェントの利用や現場開発AIを原則禁止としています。

注目すべきは 禁止の伝え方 です。「リスクの影響範囲を評価できるまでの暫定措置」という理由を明示し、利用希望者向けの相談窓口を案内し、将来的には管理された形での展開を予定していることまで示しています。「ダメ」ではなく「今はダメ、ここに相談、いずれ解禁」

——まさに現場のシャドーAI化を防ぐ設計です。

パターン6：本文の外に「運用装置」をセットで持つ

ガイドライン本文のほかに、現場の問い合わせを反映したFAQ、各種書類サンプル、利用申請窓口が整備されています。制定後まもなく改訂にも着手しています。

6つのパターンを整理すると次のとおりです。

パターン	一言でいうと
1. AIの種類別分類	チャットとエージェントを同じルールで縛らない
2. サービス区分と責任分界	「誰の責任か」を表で先に決める
3. 入力マトリクス	情報分類×サービス区分で入力可否を即答できる
4. 出口チェック	社外に出す前の人による確認を義務化
5. 出口つきの原則禁止	「今はダメ、ここに相談、いずれ解禁」
6. 運用装置	FAQ・申請フロー・改定で育てる

整備の進め方：7ステップ

国の方針・JDLAひな形・他社事例・A社の実例を踏まえると、社内AIガイドラインの整備は次の7ステップに整理できます。

各ステップのアウトプットを先に示します。

ステップ	主なアウトプット
Step1 上位方針	AI基本方針（1枚）
Step2 AI分類	種類別の定義と方針
Step3 サービス区分	サービス×責任区分表
Step4 入力ルール	入力可否マトリクス
Step5 出口チェック	生成物チェックリスト・表示ルール
Step6 禁止の出口設計	相談窓口・解禁ロードマップ
Step7 運用装置	FAQ・申請フロー・改定履歴

Step1　上位方針を先に固める（AI基本方針）

ツール別ルールの前に、変わらない上位方針（AI活用の目的・人間中心・最終判断は人が行う等）を1枚で定めます。

AI事業者ガイドラインの10指針から自社に関係する項目を引くのが近道です。KDDIの二層構造（恒久原則＋ツール別ルール）が参考になります。

Step2　AIの種類を定義し、種類ごとに方針を分ける

「生成AI一律」のルールはもう古い。

予測AI／生成AI／ワークフロー型エージェント／自律型エージェント といった種類別の分類（A社のパターン1）を土台にします。

自社で使う可能性のあるAIを棚卸しして、種類ごとのリスクと方針を決めます。

Step3　サービス×責任区分を表にする

「ホワイトリスト・ホワイトリスト外」のような管理レベル別の区分を作ります。

契約管理・セキュリティ監視・障害対応・サポート・生成物責任 の5項目について、誰が責任を負うかを表で明示します。

「生成物の利用責任は常に利用部署」の一行は必ず入れるようにします。

Step4　情報分類×サービス区分の入力マトリクスを作る

既存の情報分類ガイドライン（機密・社外秘・公開等）とサービス区分を掛け合わせ、「どの情報を・どのAIに・入れてよいか」を一覧化します。

行の粒度はJDLAひな形の入力6類型（著作物・商標／意匠・肖像／氏名・個人情報・NDA情報・自社機密）が参考になります。

個人情報は原則禁止から始め、申請ベースで緩める運用が安全です。

Step5　生成物の出口チェックリストを整備する

著作権／商標・意匠／特許／偽情報・倫理などの観点のチェックリストと、AI生成である旨の表示ルールを定めます。

JDLAひな形の生成物5点（虚偽・権利侵害・著作権不発生・商用利用制限・ポリシー制限）も確認項目に取り込んでください。

パナソニック コネクトのように ケーススタディ（社内利用／社外公開／顧客向け）別 に濃淡をつけると現場が判断しやすくなります。

Step6　「原則禁止」には必ず出口をつける

自律型エージェントや現場開発を禁止する場合は、理由＋相談窓口＋解禁の見通し をセットで書きます。

出口のない禁止はシャドーAIを生みます。

パナソニック コネクトが全社導入の目的に「シャドーAIリスクの軽減」を掲げたように、公式に使える環境を用意することが最大のセキュリティ対策 です。

Step7　FAQ・申請フロー・改定履歴で「運用」に落とす

• 現場からの問い合わせをFAQとして蓄積し、ガイドライン本文に還流する
• ライセンス申請・用途申請をワークフロー化する
• 生成AIに伴う書類フォーマットを用意する
• 版数・文責・改訂日を残すなど更新を前提とする

A社が制定後まもなく改訂を重ねていたように、初版の完成度より 改訂が回る体制 の方が重要です。

AI新法もAI事業者ガイドラインも「状況に応じた見直し」を前提としています。

ガイドラインは作って終わりの文書ではなく、育てることを前提に作成しましょう。

まとめ

• 国の方針は「使え。ただし適正に」：AI新法は推進法であり、活用事業者には積極活用の責務がある。禁止一辺倒のガイドラインは国の方針ともズレる
• 参照元はAI事業者ガイドラインとJDLAひな形：10の共通指針を基本方針に、ひな形の「入力6類型＋生成物5点」を条文の骨格に使う
• 他社事例の共通項：入力情報の分類管理・人による最終判断・法的リスク対応・定期見直し
• 実例（A社）から学べる型：AIの種類別分類／管理レベル別のサービス×責任区分／入力マトリクス／出口チェックリスト／出口つきの原則禁止／FAQ・改定履歴
• 整備は7ステップ：上位方針 → AI分類 → サービス区分 → 入力ルール → 出口チェック → 禁止の出口設計 → 運用装置

自律型AIエージェントの業務利用は、これから1〜2年で「原則禁止」から「管理下で解禁」へ移る過渡期にあります。いま整備するガイドラインには、その解禁を受け止められる構造（種類別の分類と、区分を追加できるサービス管理の枠組み）を最初から仕込んでおくことをおすすめします。

生成AIの活用方針を策定済みの日本企業は、まだ49.7%です。裏を返せば、いま整えることが取引先審査や採用での信頼のアドバンテージになります。

ガイドラインは禁止のためのコストではなく、AI活用を加速するための投資対効果の高い基盤 です。

まずは、変わらない上位方針を1枚にまとめるところから始めてみてください。

よくある質問