生成AIの社内ルール作りで参照すべき公的ガイドライン｜6つの段階ごとに整理

「生成AI ガイドライン」で検索すると、総務省、経済産業省、デジタル庁、個人情報保護委員会、文化庁、IPA の資料が次々に出てきます。名称は似ていて、長いものは100ページを超えます。生成AIの社内ルール作りを任された担当者にとって、すべてを読む必要があるのか、どれが法律で義務づけられたものなのかを見分けるのは簡単ではありません。

結論から言うと、すべてを読む必要はありません。社内ルール作りを6つの段階に分けると、段階ごとに参照する資料は数本に絞れます。AIを利用するだけの企業であれば、開発者や提供者向けの資料は後回しにできます。

Aurant Technologies は、企業の生成AI利用ルールの策定と AI セキュリティ診断を支援しています。ガイドラインを作る側ではなく、ガイドラインを参照しながら各社のルールを組み立てる側です。2026年に入り、AI事業者ガイドラインの第1.2版（3月）とデジタル庁のガイドラインの第2.0版（6月）が公開され、IPA からも新しい資料が出ました。参照すべき資料が増えたため、当社がルールを作るときの流れに沿って、どの段階でどの資料を使うかを整理しました。規程が法的に十分かどうかの判断と、海外の規制は扱いません。

似た名前の資料は「誰に向けて書かれたか」で見分ける

資料を見分ける観点は2つあります。1つ目は、原文が誰を読み手として想定しているかです。AI事業者ガイドラインは、AIに関わる事業者を「AI開発者」「AI提供者」「AI利用者」の3つに分けており、文化庁や IPA などの資料もこの区分を使っています。生成AIのサービスを契約して社員に使わせる企業は「AI利用者」にあたります。2つ目は、法的な拘束力があるかどうかです。ここで取り上げる資料のうち、AIに関する法律はAI法だけです。企業に義務を課すのは、むしろ個人情報保護法や著作権法などの既存の法律で、個人情報保護委員会の注意喚起も、個人情報保護法の規律に従って取り扱うよう求めています。デジタル庁のガイドラインは政府にとっては守るべき規範ですが、適用対象は政府情報システムと政府職員で、民間企業は含まれていません。その他の資料は、原文で自らを参考資料や「非拘束的なソフトロー」と位置づけているか、拘束力について記載していません。

出典：各資料の発行元のページと本文。社内ルールのひな形（総務省・デジタル庁・JDLA）は、ひな形3つの比較の記事で扱っている。

この記事に関連するサービス

AI活用支援生成AIを、業務に組み込むところまで詳しく見る →Claude 導入支援Claudeを、会社の決まりの中で使える状態まで。詳しく見る →ChatGPT 導入支援ChatGPTを、会社の決まりの中で使える状態まで。詳しく見る →AIセキュリティ診断・規約・ルール整備AIを使う前に、出す前に。安全の確認と、規約・ルールの整備を詳しく見る →Microsoft 365 導入支援Exchange・SharePoint・Teamsの移行から権限設計・Copilot活用まで詳しく見る →

社内ルール作りの6つの段階ごとに、参照する資料を絞る

当社では、規程の文面を固める前に、導入予定のツールを少人数で試験導入し、管理者と利用者それぞれで何ができるか、全社に展開したときに何ができるかを実機で検証しています（進め方はひな形の比較の記事の後半で紹介しています）。下の3と4の段階がこの検証にあたり、前後の段階は、それを社内ルール作りの流れにつなげて当社がまとめたものです。段階ごとに、参照する資料と、そこで決めることを紹介します。

1. 役割と情報の機密区分を決める：AI事業者ガイドラインのワークシートと、個人情報保護委員会の注意喚起

最初に決めるのは、誰がルールを管理するかと、どの情報をAIに入力してよいかの区分です。AI事業者ガイドラインの別添7C「具体的なアプローチ検討のためのワークシート」（Excel）には「AI利用者（記載例）」のシートがあり、検討事項ごとに、具体的な取り組みと最終検討日（見直し日）を記入する列があります。記載例には、ワークシートの作成者、実施状況の確認者、責任者の欄もあるため、担当者を決める表のベースとして使えます。

情報の区分のうち個人情報については、個人情報保護委員会の注意喚起（別添1）にある2点をもとに決めます。1つは、個人情報を含むプロンプトを入力する場合は、利用目的の達成に必要な範囲内かを確認すること。もう1つは、本人の同意なく個人データを入力し、それが応答の出力以外の目的で取り扱われる場合は法律に違反する可能性があるため、サービス提供者が機械学習に利用しないことなどを確認することです。区分の表に、この2点を誰が確認するかまで書いておくと、3の段階で役立ちます。

2. ひな形で叩き台を作る：総務省・デジタル庁・JDLA のひな形と、IPA のコラム

叩き台は、公開されているひな形をもとに作ります。自治体向けの総務省のひな形、府省向けのデジタル庁のひな形、業界団体の JDLA（日本ディープラーニング協会）による企業向けのひな形のどれをベースにするかは、ひな形3つを項目ごとに比較した記事で解説しています。社内の情報セキュリティ規程から作る場合は、IPA の「中小企業の情報セキュリティ対策ガイドライン」第4.0版の付録に規程のサンプル（Word）があります。ただし、このサンプルには生成AIの条項がないため、本編のコラム「生成AI の利用とサイバーセキュリティ」にある4つの注意点（利用規約の事前確認、機密性の高い情報や個人情報を入力しない、成果物は人が確認する、出力はあくまで補助として使う）を加えます。

3. ツールを小規模に試験導入する：経済産業省の契約チェックリストと、文化庁のチェックリスト

試験導入の段階では、ツールの画面とあわせて、契約と利用規約を確認します。経済産業省の契約チェックリストは、汎用的なAIサービスを利用規約に基づいて使う場合を「利用型契約」として区別しており、開発契約の項目を読まなくても主な条件をひととおり確認できる構成です。入力データの利用目的、学習など本来の目的以外に使われるか、保持期間と削除、第三者への提供を、条項ごとに確認します。入力データが汎用的な学習に使われる場合は、不要な情報を入力しないことを基本とし、そのための社内体制の整備と周知が重要だとしています。

文化庁のチェックリストの「AI利用者（業務利用者）のリスク低減方策」は、利用しようとする生成AIの仕組みや利用規約の確認と、従業員への著作権教育から始まります。試験導入の段階で、利用規約のどこを読むべきかの手がかりになります。画面上で何ができるかを検証する例は、当社が Claude の Team プランで管理者とメンバーのアカウントを分けて検証した管理者に会話は見えるのかを検証した記事で紹介しています。

4. 全社展開時の機能を確認する：AI事業者ガイドラインの別添5と、デジタル庁の調達・契約チェックシート

全社に展開する前に、記録と監督の仕組みを確認します。AI事業者ガイドラインは第1.2版で、AIエージェントなどを念頭に、AI利用者向けの別添5に4つの留意事項を追加しました。自律的に動作するAIについて操作履歴を定期的に確認・報告すること、出力によって重大な影響が生じうる場合は人の判断を介在させる仕組みに基づいて判断すること、意図しない情報漏えいの被害を抑えるためにデータを最小限にすること、AIエージェントでコードを作りやすくなる分、生成物の保守が難しくなりうるため社内にノウハウを蓄積すること、の4点です。全社展開時に、利用するツールで操作履歴の確認、人の判断を介在させる仕組み、データの最小化が実現できるかを確認します。経済産業省の契約チェックリストも、認証・アクセス・操作のログの保存を提供者に求めることも考えられる、としています。

デジタル庁のガイドラインの別紙3（調達チェックシート）と別紙4（契約チェックシート）は、府省が生成AIシステムを調達する際に事業者に求める項目と、契約に盛り込むことを検討する事項をまとめた Excel です。このガイドラインの適用対象は政府情報システムと政府職員で（2.2.1、2.2.3）、民間企業は含まれていません。開発を伴う調達向けの項目も多いため、上位プランや追加の契約を検討するときに、該当する項目だけを社内の導入審査の様式に取り入れます。社内文書を読み込ませて回答させる仕組み（RAG）を自社で構築する場合は、総務省のAIセキュリティの技術的対策ガイドラインに、社内向けチャットボットの想定事例があります。

5. 項目ごとに対応を決めて確定する：デジタル庁の高リスク判定シートと、AI事業者ガイドラインのチェックリスト

検証結果を規程の項目ごとに、設定で制限するか、規程に書くか、社員に周知するかに振り分けて確定させます。用途ごとに追加の確認が必要かを判断するときは、デジタル庁の別紙1「高リスク判定シート」（Excel）が使えます。3つの観点に答えると、高リスクに該当する可能性を簡易的に判定できるシートで、観点の内容はひな形の比較記事で紹介しています。企業で使う場合は、観点の言葉を自社の業務に置き換え、判定が高く出た用途にだけ追加の確認手順を設けます。

確定した文面が、指針の観点（人間中心、安全性、公平性など）から漏れていないかは、AI事業者ガイドラインの別添7Aのチェックリスト（全主体向け）で確認します。文面をチェックリストの項目と1つずつ照らし合わせ、触れていない項目があれば、自社には該当しないのか、書き漏れなのかを判断します。著作権については、文化庁のチェックリストが、生成AIの利用に関する社内ルールを作ること、既存の著作物と類似していないかを確認すること、プロンプトなど生成の過程を検証できる状態にしておくことを挙げています。

6. 全社に展開し、定期的に見直す：IPA の研修用スライドと、契約チェックリストの規約変更の項目

全社展開時の研修には、IPA の「AI利用者のためのセキュリティ豆知識」が使えます。AIにもセキュリティにも詳しくない利用者向けに、社内研修にも使えるスライド形式で作られており、営業秘密をクラウドのAIに教えない、社内文書を読み込ませる仕組みでは検索範囲の制限も検討する、といった項目があります。自社の研修資料には、5の段階で「社員に周知する」に振り分けた項目を加えます。

見直しのきっかけは、資料の改訂とツールの利用規約の変更の両方に置きます。経済産業省の契約チェックリストは、利用規約は定期的に変更されうるため変更状況を随時確認すべきだとし、規約の更新を確認する担当者や部署を検討することも一案としています。AI事業者ガイドラインは2024年4月の策定後に改訂され、第1.2版（令和8年3月31日）でAIエージェントの記載が加わりました。ワークシートの「最終検討日（見直し日）」の列を、この確認の記録に使えます。

読まなくてよい資料と、読む前に位置づけを知っておくべき資料

AIセーフティ・インスティテュートの評価観点ガイドとレッドチーミング手法ガイド、総務省のAIセキュリティの技術的対策ガイドラインは、AIの開発者と提供者を想定読者としています。評価観点ガイドは、AI利用者が自社での使い方を評価する際に参照することもできるとしていますが、契約したサービスを社員に使わせるだけの企業であれば後回しにできます。レッドチーミング手法ガイドも、AI利用者がAIシステムを調達する際に参照することもありうるとしているため、4の段階で上位プランや追加の契約を検討するときに目次を確認する程度で十分です。

IPA のページにある「テキスト生成AIの導入・運用ガイドライン」（2024年7月）と「生成AIおよびAIエージェントを安全に活用するための手引書」（2026年7月31日）は、IPA の中核人材育成プログラムの受講者による卒業プロジェクトの成果物で、どちらも IPA の意見を代表するものではなく著者の見解であると明記されています。いずれも有効期限は発行日から2年間とされており、2024年7月版は2026年7月ごろに期限を迎えています。新しい手引書には、全社のAI利活用ガイドラインの作り方と、許可されていないAIの利用（シャドーAI）への方針に関する節があります。読む場合は、公的な指針ではないことを前提に、考え方の参考として使います。

AI法は、第7条で「活用事業者」の責務を定めています。活用事業者には、AIを使った製品やサービスを開発・提供する者のほか、「事業活動において活用しようとする者」も含まれます。条文は、AIの活用による事業の効率化や高度化については「努める」、国や自治体の施策への協力については「しなければならない」と書き分けています。法文に罰則規定は見当たりません。AI法に基づくAI指針は、AIを使う範囲や条件は人が最終的に判断することなど、すべての主体に求める考え方を示していますが、活用事業者向けの節はAIを開発・提供する事業者を想定した書き方です。各府省のガイドラインの一覧は、内閣府の AI指針のページにあります。

まず手をつけるなら、1の段階で紹介した AI事業者ガイドラインのワークシートを開き、「AI利用者（記載例）」のシートを自社用にコピーして、作成者・確認者・責任者の欄に誰を入れるかを決めるところから始めましょう。Microsoft 365 Copilot を導入している企業で、どの項目を管理画面の設定で制限し、どれを規程に書くかはCopilot の社内利用ルールの作り方で、自治体で庁内のガイドラインを整備する手順は自治体の生成AI活用ガイドライン整備の進め方で解説しています。この流れに沿って、叩き台の作成からツールの検証、規程の確定までを進める支援は、AIセキュリティ診断・ルール策定でご相談を承っています。

この記事で確認した資料

2026年11月8日時点で、表に挙げた各資料の発行元のページと本文（PDF・Word・Excel）を確認し、版と日付、原文が想定する読み手、拘束力に関する記載、企業が参照すべき箇所を調べました。AI法の罰則規定の有無は、e-Gov の法令全文を「罰」「過料」「科料」「懲役」「拘禁」で検索して確認しました。社内ルール作りの6つの段階は、当社が規程の文面を固める前に行っている検証（3・4の段階）を、社内ルール作りの流れにつなげてまとめたものです。各段階に割り当てた資料は、原文の想定読者と内容から当社が選びました。資料は改訂されることがあるため、利用前に各ページで最新版をご確認ください。