AI利用ポリシーの策定に必要な必須7項目を冒頭で示し、そのまま使える条文の雛形と、送信禁止情報・禁止行為の具体例を整理した。文化庁やJDLAなどの公開指針に沿い、承認フローと改訂運用まで解説する。
AI利用ポリシーは、利用してよいツール・送信してはならない情報・出力物の扱い・著作権・承認フロー・違反時の対応・運用責任者の7項目を定めれば、最低限の骨格になる。生成AI時代のルール設計で問われるのは、全面禁止か放任かではなく、現場が迷わず使える線引きである。本記事では7項目それぞれの条文の雛形と、禁止事項の具体例をそのまま転用できる形で示し、運用体制と改訂サイクルまで整理する。
AI利用ポリシーとは？
AI利用ポリシーとは、従業員が業務で生成AIを使う際に、使ってよいツール・入力してよい情報・出力物の扱い・違反時の対応を定めた社内規程である。社内では「生成AI利用規定」「AI利用ガイドライン」とも呼ばれる。
ポリシーがない状態は、整備が遅れているだけの問題ではない。情報セキュリティの構造的な穴である。統制がないまま、機密情報の漏洩・著作権問題・説明責任の不在が同時に積み上がる。
一方で「とりあえず全面禁止」も機能しにくい。禁止令は従業員を個人端末や個人アカウントへ追いやり、管理できない経路で情報が流れるシャドーAIを生む。AI利用ポリシーは、この両極の間に実務の線を引くための文書である。
AI利用ポリシーに最低限書くべき項目は？
最低限書くべき項目は、許可・禁止するAIツール、送信してはならない情報、出力物の取り扱い、著作権・知財、承認フロー、違反時の対応、運用責任者の7項目である。業種によって追加項目は変わるが、この7項目のどれかを欠くと、現場の判断が止まる。
| No. | 必須項目 | 決めること | 条文雛形の該当条 |
|---|---|---|---|
| 1 | 許可・禁止するAIツール | ツールごとの許可レベルと送信可能な情報の範囲 | 第3条・別表1 |
| 2 | 送信してはならない情報 | 入力禁止情報の具体的な一覧と判断例 | 第4条 |
| 3 | 出力物の取り扱い | 事実確認の責任者、外部公開前のレビュー、AI生成物の開示 | 第5条 |
| 4 | 著作権・知財 | 他者の著作物の入力可否、類似確認の手順 | 第6条 |
| 5 | 承認フローと例外対応 | 新規ツール導入の申請先、例外申請の承認者 | 第7条 |
| 6 | 違反時の対応 | 軽微・重大・情報漏洩それぞれの対応と報告経路 | 第8条 |
| 7 | 運用責任者と改訂プロセス | 責任者、相談窓口、定期改訂と臨時改訂の条件 | 第9条 |
7項目のうち、運用で最も問い合わせが集中しやすいのは「送信してはならない情報」である。抽象的な原則だけでなく、具体的な項目と判断例を併記すると、従業員の日常判断を支えられる。
そのまま使えるAI利用ポリシーの条文雛形は？
条文雛形は、目的・適用範囲・利用できるツール・入力禁止情報・出力物・著作権・申請と例外・違反時の対応・所管と改訂の9条と別表1で構成する。【】内を自社の名称に置き換えて使う。
この雛形は、JDLA『生成AIの利用ガイドライン』の構成と本記事の7項目をもとに編集部が整理したものであり、業界標準の書式ではない。法的な有効性は、自社の就業規則・情報セキュリティ規程と照らして法務部門が確認する前提である。
【会社名】生成AI利用ポリシー
第1条（目的） 本ポリシーは、当社の役員および従業員（以下「利用者」）が業務で生成AIを利用する際の遵守事項を定め、情報資産の保護と業務での適切な活用の両立を目的とする。
第2条（適用範囲） 本ポリシーは、業務目的で利用するすべての生成AIサービスに適用する。会社支給端末か個人端末か、有償か無償かを問わない。
第3条（利用できるツール） 利用者は、別表1に定める許可レベルの範囲内でのみ生成AIを利用する。別表1にないツールを業務で利用する場合は、第7条の申請を行う。
第4条（入力禁止情報） 利用者は、次の情報を生成AIに入力してはならない。ただし、別表1で個別に許可された範囲を除く。 (1) 個人情報（氏名、連絡先、マイナンバー、健康情報等） (2) 秘密保持契約の対象となる顧客・取引先の情報 (3) 未公開の財務情報、経営戦略、製品・サービス情報 (4) パスワード、APIキー、アクセストークン等の認証情報 (5) 利用許諾のない第三者の著作物
第5条（出力物の取り扱い） 利用者は、生成AIの出力を業務に用いる前に、事実関係と適切性を自ら確認する。社外に公開・提出する成果物は、【所属長】の確認を経る。出力の誤りによる責任は、出力を採用した利用者および承認者が負う。
第6条（著作権・知的財産） 利用者は、生成AIの出力が既存の著作物に類似していないかを確認する。類似の疑いがある場合は利用を中止し、【法務部】に相談する。
第7条（申請と例外） 新しい生成AIツールの利用、および第4条の例外となる利用を希望する者は、【情報システム部】に申請し、【情報セキュリティ責任者】の承認を得る。
第8条（違反時の対応） 本ポリシーへの違反を認めた者は、速やかに【相談窓口】へ報告する。情報漏洩のおそれがある場合は、【インシデント対応規程】に従う。違反の程度に応じて、再教育または就業規則に基づく処分を行う。
第9条（所管と改訂） 本ポリシーは【情報セキュリティ責任者】が所管し、年1回定期に見直す。法令・公的ガイドラインの改訂や重大なインシデントがあった場合は、随時改訂する。
別表1（ツール別許可レベル） 次の表を参照し、自社で契約済みのツール名を記入する。
第3条の別表1は、ツールを一律に許可・禁止するのではなく、用途と情報の機密度に応じた階層で設計する。
| 許可レベル | 対象ツール | 送信可能な情報 |
|---|---|---|
| 全社許可 | 法人契約済みツール | 社内情報（機密情報を除く） |
| 条件付き許可 | プロジェクト単位で審査済みのツール | 用途に応じて制限 |
| 原則禁止 | 個人向け無料版・未審査のツール | 公開情報のみ |
| 禁止 | セキュリティ上の懸念が確認されたツール | なし |
法人契約を結ぶ際は、入力データを学習に使わない設定、データ保持期間、閉域接続の可否、データセンターの所在地を確認する。これらは別表1の許可レベルを決める判断材料になる。
生成AIの利用で禁止すべき事項の具体例は？
禁止事項は「機密情報を入力しない」のような抽象表現で終わらせず、業務場面ごとの具体例で書く。具体例がないと、従業員は自分の作業が該当するかを判断できず、萎縮か無視のどちらかに振れる。
| 区分 | 禁止事項 | 具体例 | 代わりの対応 |
|---|---|---|---|
| 個人情報 | 個人を特定できる情報の入力 | 顧客リストを貼り付けてメール文面を作らせる | 氏名・連絡先を伏せ字にしてから入力する |
| 取引先の秘密 | 秘密保持契約の対象情報の入力 | 取引先から受領した仕様書を要約させる | 契約の範囲を法務に確認し、許可ツールのみで扱う |
| 未公開情報 | 未公開の財務・戦略・製品情報の入力 | 決算発表前の数値で説明資料を作らせる | 公開後に入力するか、条件付き許可ツールで扱う |
| 認証情報 | 認証情報を含むコード・ログの入力 | APIキーを含む設定ファイルのエラーを質問する | キーを削除・置換してから入力する |
| 著作権 | 許諾のない著作物の入力と類似物の利用 | 他社の記事全文を入力して書き換えさせる | 自社で権利を持つ素材のみ入力する |
| 出力の扱い | 未確認の出力をそのまま社外に出す | 生成した回答を確認せず顧客へ送る | 事実確認と所属長の確認を経てから送る |
| ツール | 未承認ツールの業務利用 | 個人アカウントの無料版で議事録を要約する | 第7条の申請を行い、許可ツールを使う |
| 判断の委任 | 人事・与信等の判断をAIに任せる | 応募者の合否をAIの出力だけで決める | AIの出力は参考情報とし、判断は人が行う |
生成AIサービスへの個人情報の入力については、PPCが利用者向けに注意喚起を出している（出典：個人情報保護委員会『生成AIサービスの利用に関する注意喚起等について』2023年6月、PPC）。禁止事項の表を作る際は、この注意喚起と自社の個人情報の取扱規程を突き合わせる。
許可する使い方も同じ粒度で書く
許可する使い方は、禁止事項と同じ粒度で「推奨する活用例」として明記する。禁止事項だけを並べたポリシーは現場の萎縮を生み、結果として活用が進まない。
推奨する活用例として、次のような業務を挙げると判断の目安になる。
- 業務メールや社内文書の下書き（入力禁止情報を含まないもの）
- 議事録の要約（会議参加者の個人情報を伏せたもの）
- 定型文書のドラフト作成
- 公開情報の調査と整理
- 自社で権利を持つコードのレビュー補助
設計の考え方は、すべてを疑うのではなく「どのツールで何をしてよいか」を明示する階層的な信頼である。従業員の判断負担を下げることが、実効性のある運用につながる。
出力物の扱いと違反時の対応はどう定めるか？
出力物は「確認責任は採用した人にある」と明記し、著作権は入力と類似出力の2点に分けて規定する。承認フローは部署名で書き、違反時の対応は軽微・重大・情報漏洩の3段階に分ける。
出力物と著作権
社外公開前には、出力物の追加レビューを定める。文化庁は、生成AIと著作権の関係を学習段階と生成・利用段階に分けて整理している（出典：文化庁『AIと著作権に関する考え方について』2024年3月、文化庁）。ポリシーに織り込むべき観点は次の4点である。
- 著作物をプロンプトに含める場合の扱い
- 生成物が既存の著作物に類似した場合の確認手順
- 生成物の著作権の扱い（人間の創作的な関与の有無）
- 第三者に提供・販売する業務での追加確認
AI生成物であることを社内外に開示するかどうかも、出力物の条項で決めておく。法的論点の詳細は生成AIの著作権・法的リスクで整理している。
承認フロー
承認フローでは「誰に申請し、誰が承認するか」を部署名で書く。曖昧なままだと、新しいツールの申請も違反の報告も止まる。定める事項は次の通りである。
- 新規ツール導入時の申請・審査の流れ
- 機密情報を扱う業務での追加承認
- 例外申請の承認ルート
- 緊急時の対応手順
違反時の対応
違反時の対応は、程度に応じて次のように分ける。
| 違反の程度 | 例 | 対応 |
|---|---|---|
| 軽微 | 許可ツールで判断に迷う情報を入力した | 相談窓口への報告と再教育 |
| 重大 | 未承認ツールに機密情報を繰り返し入力した | 利用停止、就業規則に基づく処分の検討 |
| 情報漏洩 | 第三者への情報流出が疑われる | インシデント対応、関係先への連絡、法的対応 |
違反の報告を罰だけに結びつけると、隠蔽が起きやすくなる。自己申告を受け付ける内部通報の経路も、あわせて定めておく。
AI利用ポリシーはどの手順で策定するか？
AI利用ポリシーは、現状把握、骨子作成、条文化、関係部署レビュー、周知・研修、運用開始の6段階で策定する。雛形から書き始めるのではなく、現状把握から始める点が要である。
- 現状把握：部署ごとに、どのAIツールが何の業務で使われているかを調べる
- 骨子作成：7項目それぞれの方針と、別表1の許可レベルを決める
- 条文化：本記事の雛形やJDLAの雛形をもとに、自社の用語で条文を書く
- 関係部署レビュー：法務・情報システム・人事・事業部門が条文を確認する
- 周知・研修：研修とあわせて配布し、相談窓口を開設する
- 運用開始と見直し：相談記録とインシデントを蓄積し、改訂に反映する
ガバナンス全体の体制設計から検討する場合は、AIガバナンス・フレームワーク構築ガイドとあわせて進めると手戻りが少ない。
策定でよくある失敗
よくある失敗は、テンプレートの丸写し、禁止事項だけの構成、周知・教育の欠落、改訂の停滞の4つである。いずれも、文書を作った時点で策定が終わったと扱うことから生じる。
- テンプレートの丸写し：雛形や他社事例をそのまま流用し、自社の業務に合わず形骸化する。雛形は出発点とし、情報区分と承認者を自社に合わせて書き換える。
- 禁止事項だけの構成：許可される使い方が曖昧で、従業員が萎縮して活用が進まない。推奨する活用例を併記する。
- 周知・教育の欠落：ポリシーを作ったが、大多数の従業員が読んでいない。研修に組み込み、理解度を測る仕組みを作る。
- 改訂の停滞：技術と制度が変わる中、ポリシーだけが古いまま残る。年1回の定期改訂を運用カレンダーに組み込む。
参照すべき公開ガイドラインは？
参照すべき主な公開資料は、文化庁、JDLA、PPC、NIST、OWASPの5つである。それぞれ扱う論点が異なるため、ポリシーのどの条に反映するかを決めて読む。
| 資料 | 発行者 | ポリシーへの反映先 |
|---|---|---|
| AIと著作権に関する考え方について | 文化庁 | 第6条（著作権・知的財産） |
| 生成AIの利用ガイドライン | 日本ディープラーニング協会（JDLA） | 全体構成・条文の書き方 |
| 生成AIサービスの利用に関する注意喚起等について | 個人情報保護委員会（PPC） | 第4条（入力禁止情報） |
| AI Risk Management Framework（AI RMF 1.0） | NIST（National Institute of Standards and Technology） | 第9条（所管と改訂）・ガバナンス体制 |
| OWASP Top 10 for LLM Applications | OWASP | 別表1（ツール審査の技術的観点） |
JDLAは、企業が自社の生成AI利用ルールを作る際のひな形を公開している（出典：日本ディープラーニング協会『生成AIの利用ガイドライン』第1.1版 2023年10月、JDLA）。
NISTはAI RMFを公開している（出典：NIST『AI Risk Management Framework（AI RMF 1.0）』2023年1月、NIST）。AI RMFは、Govern・Map・Measure・Manageの4機能で、組織のAIリスク管理を体系化している。
OWASPはLLMの10大リスクを示す（出典：OWASP『OWASP Top 10 for Large Language Model Applications』2025年版、OWASP）。LLMアプリケーション特有のセキュリティリスクを、一覧で確認できる。技術面の対策はLLMセキュリティ設計の記事で扱っている。
業種によって追加すべき項目は？
業種別には、金融・医療・製造・法務・教育の5業種で、7項目に業種固有の規制とガイドラインへの対応を条文として追加する。代表例は金融の説明責任と製造の輸出管理である。
主な追加観点は次の通りである。
金融
- 金融庁のAIに関する考え方への対応
- 個人情報保護法と金融分野ガイドライン
- 犯罪による収益の移転防止に関する法律（犯収法）との関係
- 顧客と監督当局への説明責任
医療・ヘルスケア
- 医療情報の取扱いに関するガイドライン
- 医師法・医療法との関係（AIによる診断補助の範囲）
- 患者情報の匿名化要件
製造業（防衛・重要インフラ）
- 輸出管理（技術情報の海外送信）
- 安全保障貿易管理
- 重要インフラ分野のサイバーセキュリティガイドライン
法務・コンサル
- 弁護士法（業務独占）との関係
- 守秘義務
- 利益相反
教育
- 生徒・学生の個人情報保護
- 文部科学省のAI利用ガイドライン
運用体制と改訂サイクルはどう設計するか？
運用体制は、経営層・法務・情報システム・人事・事業部門の5者に役割を割り当て、月次・四半期・年次の3つの周期で回す。ポリシーの実効性は、文書の出来よりも運用体制で決まる。
| 役割 | 責任 |
|---|---|
| 経営層（CEO・CIO・CISO） | ポリシーの承認、改訂の最終責任 |
| 法務 | 法的リスクのレビュー、ガイドライン改訂の反映 |
| 情報システム | 技術的な統制、ツール選定と監査 |
| 人事・研修 | 従業員教育、啓発 |
| 各事業部門 | 現場での運用、一次相談の受付 |
運用の周期は次の通りに設計する。
- 月次：インシデントと相談への対応、ツール利用状況のモニタリング
- 四半期：運用レビュー、研修内容の更新
- 年次：ポリシーの定期改訂、全社研修の実施
従業員が「これは入力してよいのか」と迷ったときの相談窓口も設ける。相談の実績は、次の改訂で禁止事項の具体例を増やす材料になる。
ポリシー文書を配布するだけでは実効性を確保できないため、教育プログラムと一体で設計する。
- 新入社員研修：基本的なAI利用ルール
- 全社員研修：年1回、ポリシー改訂を反映
- 管理職研修：チーム運用と判断のポイント
- 専門職研修：業務別の応用知識
研修の設計は企業のAI研修プログラム設計で詳しく扱っている。
Farleapが提案するAI利用ポリシー策定の進め方
※ご提案です。当社の実施実績ではありません。
株式会社ファーリープ（Farleap）は、AI利用ポリシーを単体で作らず、教育・ガバナンスと一体で設計する方針である。文書を作って配布するだけでは従業員の行動は変わりにくい。研修・運用体制・定期レビューを同時に設計し、組織として機能する統制を目指す。
想定する支援の範囲は次の通りである。
- 現状アセスメント（既存の規程、利用実態、リスク）
- ポリシー策定（業種・業務の特性に応じた条文化）
- 運用体制の設計（役割、相談窓口、改訂プロセス）
- 従業員研修の設計と実施
- 定期レビューの運用支援
AI導入全体の中での位置づけはAI導入・DXサービスにまとめている。
まとめ
AI利用ポリシーは、制約ではなく組織のAI活用の土台である。許可・禁止するツール、送信禁止情報、出力物の扱い、著作権、承認フロー、違反時の対応、運用責任者の7項目を条文に落とし、禁止事項は具体例で示す。全面禁止と放任のどちらにも寄らない階層的な設計が、実務に耐える運用を支える。
雛形と公開ガイドラインを出発点に、自社の業務と情報区分に合わせて書き換えることが、持続的なAI活用の第一歩になる。DX・AI導入に関する他の記事はDXカテゴリの記事一覧から参照できる。
本記事は一般的な情報提供を目的としたもので、法的・税務的助言に代わるものではない。実際の規程化にあたっては、自社の法務部門や専門家に確認してほしい。
よくある質問
AI利用ポリシーは本当に必要か？全面禁止ではだめなのか？
必要である。ポリシーがないと、情報漏洩・著作権・説明責任のリスクを個人の判断に委ねることになる。全面禁止も機能しにくく、従業員が個人端末や個人アカウントで使い続けるシャドーAIを招く。許可ツールを整備し、使い方を明文化する方が統制が効く。
AI利用ポリシーには最低限何を書くべきか？
許可・禁止するAIツール、送信してはならない情報、出力物の取り扱い、著作権・知財、承認フローと例外対応、違反時の対応、運用責任者と改訂プロセスの7項目が最低ラインである。業種や業務の特性に応じて、規制対応などの項目を追加する。
AI利用ポリシーのテンプレートはそのまま使ってよいか？
出発点として使い、そのまま導入はしない方がよい。JDLAの雛形や本記事の条文例は汎用的に書かれており、自社の契約済みツール・情報区分・承認者を書き込まない限り現場で判断できない。最低でも別表の許可ツール一覧と相談窓口は自社の実態に合わせて埋める。
どのAIツールを許可・禁止にすればよいか？
入力データを学習に使わない設定ができるか、データ保持期間を短くできるか、保存先の地域を選べるかを基準に、情報の機密度に応じて許可レベルを階層化するのが実務的である。許可と禁止の二分ではなく、全社許可・条件付き許可・原則禁止・禁止の4段階で設計する。
AI利用ポリシーは策定後どう運用・更新すればよいか？
配布だけでは定着しないため、新入社員・全社員・管理職・専門職の研修に組み込み、相談窓口を置く。改訂は年1回の定期改訂に加え、法令やガイドラインの改訂、新ツール導入の際に臨時改訂する。相談の記録は次の改訂の材料になる。
更新履歴
- 2026-04-05 初稿公開。
- 2026-10-17 対策キーワードを「AI利用ポリシー 策定」に合わせて全面改稿。必須7項目の一覧、条文の雛形、禁止事項の具体例、策定手順を追加し、FAQを5問に統合した。
