生成AIの社内ガイドラインと情報漏洩対策

※本記事は一般的な情報の提供を目的としています。掲載する社内規程ひな形は一般例であり、最終的な社内規程やNDA・就業規則との整合は、弁護士・社会保険労務士・情報システム部門等への確認を前提にしてください。AIの定義・ガバナンスは「AI事業者ガイドライン（経済産業省・総務省）」、個人情報の取扱いは個人情報保護委員会の公式情報でご確認ください。

まず結論

生成AIの情報漏洩対策は、「禁止」だけでは防げません。禁止しても社員が個人アカウントでこっそり使う「シャドーAI」が起きるためです。実効性のある対策は、許可ツール・入力ルール・安全な代替環境をセットで用意し、会社の社内ガイドライン（規程）として明文化することです。規程は6章あれば中小企業には必要十分で、本記事ではコピーして自社化できるひな形まで用意しています（2026年6月時点）。

図解：情報漏洩の3経路

生成AIで情報が漏れる経路は、大きく次の3つです。それぞれ対策が異なるため、まず仕組みを理解します。

• 経路①（学習利用）：入力した内容が学習に使われる設定だと、他のユーザーの回答に影響する可能性があります。入力を学習に使わない組織向けプランを使います。
• 経路②（脆弱性・誤設定）：提供側の不具合や、共有リンク・権限の誤設定で外部に出ることがあります。信頼できる提供元と共有範囲を確認します。
• 経路③（生成物への混入）：AIの出力に、他者の個人情報や著作物が混じることがあります。出力は人が確認してから使います。

シャドーAIという落とし穴

「シャドーAI」とは、会社が許可していないのに、社員が個人アカウントで生成AIを業務に使ってしまう状態です。全面禁止にするほどシャドーAIは見えにくくなり、かえって管理できなくなります。禁止ではなく、安全に使える環境とルールをセットで用意することが対策になります。

• 許可ツールを明示：業務で使ってよいAI（組織向けプラン）を具体名で示します。
• 入力ルールを周知：入れてはいけない情報を全社員が分かる形で共有します。
• 教育・注意喚起：なぜ危険か・何がOKかを定期的に伝えます。
• 安全な代替環境：学習に使われない組織向けの環境を用意し、「使うなら、ここで」を示します。

社内ガイドライン（規程）の作り方：6章構成

会社全体の社内ガイドライン（規程）は、次の6章があれば中小企業には必要十分です。各章を1〜2行で決めていきます。

• 第1章 目的：なぜ生成AIを使うのか、基本方針（安全に活用する／禁止ではなく管理する）を示します。
• 第2章 許可ツール：業務で使ってよいAI（学習に使わない組織向けプラン）を具体名と利用範囲で定めます。個人アカウントでの業務利用は禁止と明記します。
• 第3章 入力禁止情報：入れてはいけない情報のリストを作ります。個別の入力可否（この情報は入れてよいか）の判定は、ChatGPTでビジネス文書（入れてはいけない情報の判定表）とChatGPT導入ガイドを参照してください（本記事では判定表は再掲しません）。
• 第4章 出力確認：生成物は下書きとして扱い、事実・数値・法令は人が一次情報で確認してから使うことを定めます。
• 第5章 トラブル報告：誤入力や漏洩のおそれがあったとき、ただちに停止して報告する窓口（情報システム部門・管理責任者）を決めます。
• 第6章 違反対応：違反時は就業規則に基づき対応すること、規程を定期的に見直すことを定めます。

会議の録音・議事録でAIを使う場合の機密度の判定は、AI議事録の始め方もあわせて確認してください。

コピペできる「社内規程ひな形」

下のひな形は、6章の規程本文を穴埋め式にしたものです。「コピー」を押すと全文をコピーできます。これはプロンプト（AIへの指示文）ではなく、社内規程の文面です。［　］と『　』の部分を自社の実態に合わせて差し替えて使います。

生成AI利用規程（ひな形）　［会社名］

第1章（目的）
本規程は、［会社名］における生成AIサービスの業務利用について、情報漏洩を防ぎ安全に活用するための基本ルールを定める。生成AIの利用を一律に禁止するのではなく、許可した範囲で安全に活用することを方針とする。

第2章（許可ツールと利用範囲）
業務で利用してよい生成AIは『［許可ツール例：ChatGPT Business、Microsoft 365 Copilot 等、入力を学習に使わない組織向けプラン］』に限る。個人アカウントでの業務利用は禁止する。新たなツールの利用は［承認者：情報システム部門／管理責任者］の承認を得る。

第3章（入力してはいけない情報）
次の情報は入力しない。個人情報（氏名・連絡先・マイナンバー等）、顧客・取引先の非公開情報、未公開の財務・人事情報、ID・パスワード等の認証情報、契約やNDAで秘密と指定された情報。個別の可否判断は別途定める一覧・関連資料による。

第4章（出力の確認）
生成物は下書き・たたき台として扱い、事実・数値・法令は担当者が一次情報で確認してから使用する。生成物に他者の著作物・個人情報が混入していないかを確認する。

第5章（トラブル時の報告）
誤入力、漏洩のおそれ、不審な挙動を認めた場合は、ただちに利用を停止し、［報告先：情報システム部門／管理責任者］へ報告する。

第6章（違反時の対応と見直し）
本規程に違反した場合は就業規則に基づき対応する。本規程は最低年1回、および法令・公的ガイドラインの改定時に見直す。

附則　本規程は［施行日：　年　月　日］から施行する。

整備の進め方（ガバナンス）

規程は、現場任せにせず会社として整えるのが基本です。次の5ステップで進めます。ツールの導入手順そのものはChatGPT導入ガイドを参照し、ここでは規程づくり（ガバナンス）に絞ります。

漏洩・違反が起きたときの初動

導入前チェックリスト

社内ガイドラインを整える前に確認したい項目です。画面上でチェックできます（保存機能はありません）。

参考リンク（公式）

• 経済産業省：AI事業者ガイドライン（第1.2版・2026年3月31日公表）（2026年6月時点）
• 個人情報保護委員会：生成AIサービスの利用に関する注意喚起等について（2026年6月時点）
• 個人情報保護委員会：生成AIサービスの利用に関する注意喚起（リーフレットPDF）（2026年6月時点）

まとめ

生成AIの情報漏洩対策は、「禁止」ではなく「管理して活用」が基本です。漏洩の3経路（学習利用・脆弱性・生成物への混入）を理解し、シャドーAIを防ぐために許可ツール・入力ルール・教育・安全な代替環境をセットで用意します。会社の社内ガイドラインは6章で必要十分で、本記事のひな形をコピーして自社化できます。規程は一般例のため、NDA・就業規則・個人情報保護法との整合は弁護士・社会保険労務士・情報システム部門等への確認を前提にしてください（AI事業者ガイドライン・個人情報保護委員会の公式情報を参照。2026年6月時点）。

この記事は一般的な情報の提供を目的としています。掲載の規程ひな形は一般例であり、最終的な社内規程・NDA・就業規則・個人情報保護法との整合は、最新の公式情報（AI事業者ガイドライン、個人情報保護委員会）および弁護士・社会保険労務士・情報システム部門等の専門家へ確認してください。

運営者・編集方針について