生成AIの社内ガイドラインとガバナンスの作り方｜入れる8項目・利用申請の流れ・見直しのきっかけ

生成AIの社内ガイドラインは、禁止事項を並べた1枚の文書ではなく、「入力してよい情報の区分」「利用申請と承認」「記録」「見直し」を1つの運用としてつなげたものとして作ります。何を書くかの骨格は、総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」と、デジタル庁が府省向けに定めた生成AIのガイドライン（2.0版）にほぼ出そろっています。

企業が自分で決めるのは、誰が承認するか、どの情報まで入れてよいか、いつ見直すかの3点です。ここが曖昧なままルールだけを配ると、申請の窓口が無いまま禁止だけが残り、現場は個人のアカウントで使い続けることになります。

AI法が事業者に求めているのは、使うことと国の施策への協力

AI法が事業者に求めるのは、AIの利用を控えることではなく、活用に努めることと国の施策への協力です。正式名は「人工知能関連技術の研究開発及び活用の推進に関する法律」で、2025年6月4日に公布・一部施行、同年9月1日に全面施行されました。

出所: 内閣府「ＡＩ法 全面施行 －次なるフェーズへ－」（2025年10月3日）

第7条は、AIを事業活動で使おうとする者を「活用事業者」と呼び、「自ら積極的な人工知能関連技術の活用により事業活動の効率化及び高度化並びに新産業の創出に努める」とともに、国や自治体の施策に協力しなければならないと定めています。条文に罰則の規定は無く、社内で何をどこまで決めるかは各社の判断です。

出所: e-Gov法令検索「人工知能関連技術の研究開発及び活用の推進に関する法律」（令和7年法律第53号）

同じ法律の第13条にもとづく指針として、人工知能戦略本部が2025年12月19日に決定したのが「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」です。AIを使った製品・サービスを開発・提供する活用事業者が特に取り組む事項の1つ目に「AIガバナンスによる俯瞰的な適正性の確保」を置き、中身として「経営層の関与したモニタリングや評価の仕組み、情報の適切な開示、教育・研修の実施等」を挙げています。

出所: 人工知能戦略本部「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」（2025年12月19日決定）

社内向けにAIの仕組みを作って配る企業も、この考え方をそのまま下敷きにできます。社内ルールの役割は、使わせないことより、使い続けられる状態を保つことです。

骨格は国の4つの資料から借りられる

社内ルールの項目は一から考えなくてよく、国が公表している4つの資料の該当箇所を組み合わせれば骨格ができます。

AI事業者ガイドラインの区分は「AI開発者」「AI提供者」「AI利用者」の3つです。生成AIのサービスを業務で使う企業は「AI利用者」に当たり、社内向けにAIを組み込んだ仕組みを作って配るなら「AI提供者」の事項も関わってきます。

10の共通の指針は、人間中心・安全性・公平性・プライバシー保護・セキュリティ確保・透明性・アカウンタビリティ・教育/リテラシー・公正競争確保・イノベーションの10個です。社内ルールに直接つながるのはアカウンタビリティの項目で、「AIガバナンスに関するポリシー、プライバシーポリシー等の方針を策定し、公表する」ことと、「関係する情報を文書化して一定期間保管」することが書かれています。

出所: 総務省・経済産業省「AI事業者ガイドライン（第1.2版）概要」（2026年3月31日）

デジタル庁のガイドラインは府省向けですが、構成は企業にも移せます。各府省のAI統括責任者（CAIO）が「生成AIシステムの利活用ルールひな形」にもとづいて職員向けの利用ルールを定め、システムを企画する部署がシステムごとに利用目的などのルールを定める、という2層の作りです。

出所: デジタル庁「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン2.0版について（概要）」（2026年6月）

社内ルールに入れる項目は8つ

入れる項目は、目的と対象・入力してよい情報・禁止事項・生成物の確認・利用申請・記録・事故の報告・見直しの8つです。デジタル庁のひな形は「ルールの目的」「利用前のルール」「利用中のルール（入力データ又はプロンプト／AI生成物の利用）」「問い合わせ先」で構成されており、これに申請・記録・見直しを足すと企業向けの形になります。

出所: デジタル庁「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン2.0版について（概要）」（2026年6月）

入力してよい情報は区分ごとに決め、個人情報には確認を1つ足す

入力の可否は「生成AIに入れてよいか」を一律に決めるより、社内の情報区分と使うツールの種類を掛け合わせて決めるほうが運用が回ります。下の表は設計の一例なので、区分の名前は自社の情報管理規程に合わせてください。

個人情報については、個人情報保護委員会が2023年6月に事業者向けの注意点を2つ出しています。1つは、個人情報を含むプロンプトを入れる場合に「特定された当該個人情報の利用目的を達成するために必要な範囲内であることを十分に確認すること」。

もう1つは、本人の同意なく個人データを含むプロンプトを入れ、それが応答の出力以外の目的で扱われると個人情報保護法に違反する可能性があるため、サービスの提供事業者が「当該個人データを機械学習に利用しないこと等を十分に確認すること」です。

出所: 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023年6月2日）

デジタル庁のひな形は、利用前に理解しておく事項を4つ挙げており、そのうち入力の可否に関わるのは次の2つです。「約款型クラウドサービスは原則として要機密情報を扱えない」ことと、国外サーバを使う生成AIでは現地政府による「データの検閲や接収を受ける可能性」があることです。

出所: デジタル庁「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン2.0版について（概要）」（2026年6月）

企業の場合も、ツールの規約でデータの保存先・学習利用の有無・保存期間を確かめてから、どの区分まで入れてよいかを決める順番になります。

禁止事項は「想定外の使い方」と「人が決めること」に分けて書く

禁止事項は、思いつくものを並べるより、「ツールが想定していない使い方」と「AIの出力だけで決めてはいけないこと」の2つに分けたほうが、現場が判断しやすくなります。

AI事業者ガイドラインがAI利用者に求めるのは、「AI提供者が設計において想定した範囲内で利用」することです。AIの出力を特定の個人や集団の評価の参考にする場合は「人間による合理的な判断のもと、説明責任を果たす」ことも書かれています。

出所: 総務省・経済産業省「AI事業者ガイドライン（第1.2版）概要」（2026年3月31日）

適正性確保に関する指針も、AIの提供者が利用者に渡す注意喚起の例として「雇用、人事評価等における不当な偏見・差別」を挙げています。

出所: 人工知能戦略本部「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」（2025年12月19日決定）

2つに分けた書き方の例が次の表です。

生成物は、確認する人と社外に出す前の手順を決める

生成物のルールで決めるのは、事実確認を誰がするかと、社外に出す前に著作権を確かめる手順です。デジタル庁のひな形は「出力結果の正確性や根拠、事実関係等を必要に応じ確認」し、問題があれば「必ず加除修正の上で利用すること」を求めています。

出所: デジタル庁「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン2.0版について（概要）」（2026年6月）

生成AIを使った場合でも、利用者が既存の著作物を認識していて、その創作的表現を持つものを生成させたときは依拠性が認められ、利用者による著作権侵害が成立する、というのが「AIと著作権に関する考え方について」の整理です。例に挙がっているのは、既存の著作物そのものや「既存の著作物の題号などの特定の固有名詞を入力する場合」です。

出所: 文化審議会著作権分科会法制度小委員会「AIと著作権に関する考え方について」（2024年3月15日）

社内ルールでは、他社の作品名・商品名・人名をプロンプトに入れて作った画像や文章を社外に出す使い方を、用途の申請の対象にしておくと事故を防ぎやすくなります。

利用申請は「ツールの審査」と「用途の申請」に分ける

利用申請は、1枚の申請書で全部を見るより、ツールを入れるときの審査と、業務で使い始めるときの用途の申請に分けたほうが、承認が詰まりにくくなります。ツールの審査は情報システム部門と法務が一度行えば済み、用途の申請は業務ごとに軽く回せるからです。

ツールの審査で確かめる項目は、デジタル庁の契約チェックシートが参考になります。生成AIシステムのインプットに関する取り決め（学習の有無、データの保存方法等）、アウトプットの権利帰属、インシデントが発生した場合の事業者の対応義務などが、その項目です。

用途が高リスクかどうかを分ける観点として、同じガイドラインの高リスク判定シートは「生成AI利活用業務の性格」「利用範囲」「出力結果の政府職員等による判断を経た利活用」の3つを挙げています。

出所: デジタル庁「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン2.0版について（概要）」（2026年6月）

この3つを企業に置き換えた例が次の表です。

低リスクの用途は届出だけで使い始め、高リスクの用途だけをAI統括責任者や審査の会議にかける形にしておくと、承認の手間が本当に確かめるべき案件に集まります。試作の時点で用途の申請を出しておけば本番へ移るときに審査をやり直さずに済むので、PoC で止まらない進め方の記事とあわせて設計しておくと手戻りが減ります。

Offers AX は、ルールの上で動く仕組みを顧客の環境に作る

Offers AX は、株式会社overflow が提供する全社のAI導入支援で、コンサルティング・AIエージェント開発・内製化支援の3つを柱にしています。社内ルールとの関係で言えば、ツールの審査で問われる「データをどこに置くか」「ログを誰が見られるか」に、設計の最初から答えられる形で仕組みを作ります。

• 構築先: お客様の既存環境（GCP・Azure・AWS）。当社の環境には顧客データを持たない
• 構成: お客様環境の中に、エージェントと認証・監査ログを含むAI処理基盤を置く
• 高機密の案件: クラウドのLLMが使えない場合に、貸与PCの中で処理を完結させ、外部への通信を無効にした構成で対応した実績
• AIの出力の位置づけ: 下書き・参考情報。事実認定・合否・処遇は人が判断する
• 内製化支援: 引き継ぎ文書と社内の運用体制の設計。契約終了後も資産はお客様の環境に残る

出所: 株式会社overflow「Offers AX」サービスページ（2026年10月28日時点）

情報システム部門や法務へ説明する材料を、作る側がはじめから用意しておく進め方です。支援の中身はOffers AX のサービスページにまとめています。自社のルールに合わせてどの業務から始めるかを相談したい場合は、無料相談を申し込むからお問い合わせください。

記録は利用台帳とログの保存期間から始める

記録で最初に用意するのは、どの部門がどのツールを何の業務に使っているかの利用台帳と、ツール側のログをどれだけ保存するかの取り決めの2つです。

デジタル庁の枠組みでは、各府省が生成AIの利活用の一覧とリスク対応の状況をデジタル庁へ報告し、高リスクの生成AIは個別に報告します。リスクケースが生じた場合は、提供者と利用者が各府省のAI統括責任者に報告し、提供者が必要な対応をとる流れです。

出所: デジタル庁「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン2.0版について（概要）」（2026年6月）

企業では、用途の申請がそのまま台帳に載る形にしておくと、AI統括責任者が全社の利用状況を一覧で見られます。事故の報告も同じ台帳につなげ、「誤った出力が社外に出た」「入れてはいけない情報を入れた」の2つを最低限の報告対象にして、報告の期限とツールを止める判断者を書いておきます。

体制は、ルールの持ち主と承認者を分けて置く

体制で決めるのは、全社ルールの持ち主を1人にすることと、用途の承認を部門に任せる範囲です。デジタル庁の枠組みでは、各府省のAI統括責任者（CAIO）が生成AIの利活用を把握・推進し、ガバナンスとリスク管理を総括します。

AI事業者ガイドラインも、AIガバナンスの構築を経営層のリーダーシップのもとで進めるよう求め、「経営層のコミットメント」として戦略・体制への落とし込みと各組織の文化としての浸透を挙げています。

出所: 総務省・経済産業省「AI事業者ガイドライン（第1.2版）概要」（2026年3月31日）

企業に置き換えると、全社ルールの持ち主はAI統括責任者かAI推進室の責任者、低リスクの用途の承認は部門長、高リスクの用途は情報システム・法務・人事・事業部門が入る審査の会議、という分け方が一例です。AI推進の組織の作り方はAI CoE の記事で扱っています。

見直しは、定期と臨時の2本立てにする

見直しは、年に1〜2回の定期の見直しと、決まったきっかけで行う臨時の見直しを分けて決めておきます。下敷きにしている国の資料そのものが、短い間隔で改訂されているためです。

AI事業者ガイドラインは、2024年4月19日の第1.0版から、2024年11月22日の第1.01版、2025年3月28日の第1.1版、2026年3月31日の第1.2版と、約2年で3回改訂されました。

出所: 総務省「AI事業者ガイドライン」掲載ページ（2026年10月28日確認）

ガイドライン自身も「Living Document」として「アジャイル・ガバナンスの思想を参考にしながら適宜、更新」するとしており、AIガバナンスの構築も「環境・リスク分析」「ゴール設定」「システムデザイン」「運用」「評価」を回し、外部環境の変化を受けて分析からやり直す輪として描かれています。社内ルールの見直しは、この輪の「評価」と「環境・リスク分析」に当たる作業です。

出所: 総務省・経済産業省「AI事業者ガイドライン（第1.2版）概要」（2026年3月31日）

デジタル庁のガイドラインも2025年5月に運用を始めたあと、2.0版を2026年9月1日から施行しています。2.0版の対象は、原則として「入力はテキスト及び音声、出力はテキスト、画像又は音声が可能な生成AIシステム」です。

出所: デジタル庁「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン2.0版について（概要）」（2026年6月）

臨時に見直すきっかけの例は次の5つです。

あわせて利用台帳を四半期ごとに棚卸しし、申請されたまま使われていない用途と、申請の無いまま続いている利用を洗い出すと、ルールと実態のずれが早く見つかります。

AIエージェントを入れるときは、権限と承認の項目を足す

AIが文章を返すだけでなく、メールを送る・システムのデータを書き換えるといった操作まで行うAIエージェントを使うときは、8項目に「AIに渡す権限」と「人の承認を挟む操作」を足します。

適正性確保に関する指針は、人間中心の要素として「AIを活用する範囲や条件については、人間自らが最終的な判断を行うこと」を挙げています。AIエージェントに当てはめると、どの操作をAIに任せ、どの操作の前に人の承認を挟むかを、用途の申請の時点で書いてもらうことです。

出所: 人工知能戦略本部「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」（2025年12月19日決定）

足す項目は次の3つです。

業務に入るAIエージェントの作り方と発注の仕方は、AIエージェント開発の記事にまとめています。全社のAI導入のほかの論点は同じカテゴリの記事一覧から辿れます。