生成AIに社外秘を入力させない社内利用規程の作り方｜中小企業向けひな形付き

社員がChatGPTなどの生成AIを使い始めたものの、社外秘や個人情報を入力しないか不安ではありませんか。情報漏えいを防ぐには、利用を全面禁止するのではなく、入力禁止情報や承認方法、誤入力時の報告先を明確にすることが重要です。本記事では、中小企業でも運用しやすい社内利用規程の作り方を、ひな形とチェックリスト付きで解説します。

なぜ生成AIの社内利用規程が必要なのか

生成AIは文章作成、要約、翻訳、アイデア整理などに利用できます。一方、入力欄を社内の検索窓のように考えると、取引先資料や顧客情報をそのまま貼り付ける可能性があります。ルールでは、禁止事項だけでなく、利用できる範囲、相談先、事故時の連絡手順まで示します。

IPAの「テキスト生成AIの導入・運用ガイドライン」は、組織で生成AIを運用する際の利活用ガイドラインやルールの策定・文書化、リスク管理などを扱っています。個人情報保護委員会も、生成AIサービス利用に関する注意喚起を公表しています。

社長と担当者の会話 社長「社員に『気をつけて使って』と伝えるだけでは駄目なのか？」 担当者「何が社外秘なのか、人によって判断が変わります。入力禁止情報を具体的に決める必要があります。」 社長「禁止事項だけでなく、使ってよい範囲も示した方がよさそうだな。」

ルールなく生成AIを使うと何が起こるのか

生成AIの利用ルールがない状態では、社員ごとに「入力してよい情報」「回答をどこまで信用するか」「どのサービスを使うか」の判断が分かれます。その結果、次のような問題が起こる可能性があります。

● 社外秘・個人情報の漏えい：顧客名簿、契約書、会議資料などをそのまま入力し、会社が把握しないまま外部サービスへ情報を渡してしまう可能性があります。

● 誤った回答の業務利用：生成AIの回答を確認せず、社外向けメール、提案書、手順書などに使うと、事実誤認や古い情報がそのまま伝わるおそれがあります。

● 著作権や契約上の問題：生成結果や第三者の資料を権利関係を確認せず利用すると、著作権、利用条件、NDAなどに抵触する可能性があります。

● 未承認サービスの常態化：社員が個人アカウントや無料サービスを使い始めると、会社が利用状況、保存先、退職時のアカウント停止を把握できなくなります。

● 事故対応の遅れ：誤入力時の報告先が決まっていないと、本人が履歴を削除して終わらせたり、報告をためらったりして、認証情報の変更や関係者への連絡が遅れる可能性があります。

● 業務品質のばらつき：確認方法や利用範囲が統一されていないと、担当者によって成果物の品質や安全性に差が生じます。

問題は「生成AIを使うこと」そのものではなく、利用範囲と確認手順が決まっていないことです。禁止だけで終わらせず、安全に使える用途、入力禁止情報、確認者、事故時の連絡先を明確にします。

生成AIに入力してはいけない情報

情報の種類	具体例
個人情報	顧客・社員の氏名、住所、メールアドレス、履歴書、人事情報
顧客・取引先情報	顧客一覧、商談記録、問い合わせ内容、受領資料
契約上の秘密情報	NDA対象資料、未公開設計書、取引条件、提案書
経営・営業情報	売上計画、原価、見積金額、未発表の事業計画
技術情報	ソースコード、システム構成図、脆弱性情報、開発中仕様
認証情報	ID、パスワード、APIキー、秘密鍵、接続情報
セキュリティ情報	管理者アカウント、権限一覧、ネットワーク構成

第三者から預かっている機密情報は、NDAや契約の目的外利用、第三者開示、返還・削除条件との関係を確認します。契約上の禁止が明確でない場合も、自己判断で入力せず、契約内容と利用サービスの条件を確認します。

匿名化すれば入力できるとは限らない

氏名をA社や担当者へ置き換えても、案件名、金額、日付、地域、経緯の組み合わせから対象を推測できる場合があります。複数の情報を組み合わせても対象を推測できない状態にし、入力する範囲を目的に必要な最小限へ減らします。

加工前	加工後
株式会社みどり商事の山田太郎さんから、8月20日納品予定の新製品Aについて苦情がありました。返信メールを作ってください。	取引先の担当者から納期に関する苦情がありました。相手を責めず、状況を確認する返信メールのひな形を作ってください。

社内利用規程を作る7つの手順

1. 利用状況を把握する

総務担当者が、利用サービス、契約形態、用途、ファイルアップロード、外部連携、利用端末を確認します。利用者を責める調査ではなく、安全に使う範囲を決める調査だと説明します。完了条件は、利用者・サービス・用途・契約者の一覧化です。

2. 利用を認めるサービスを決める

入力データの学習利用、保存期間、削除方法、管理者機能、多要素認証、退職者停止、ログ、問い合わせ先、契約条件を公式資料で確認します。有料版という理由だけで社外秘を入力できるとは判断しません。

3. 入力禁止情報を具体化する

既存の情報管理規程があれば分類を合わせます。「社外秘」だけで終わらせず、個人情報、契約情報、認証情報、未公開情報などを具体例付きで示します。

4. 認める使い方と禁止する使い方を決める

公開情報の要約、一般的な文章ひな形、架空データでの作業などは認めやすい用途です。顧客名簿、契約書、認証情報の入力、回答未確認での社外送付などは禁止例として示します。

5. 確認・承認の流れを決める

公開情報のみなら本人確認、社内資料の加工利用は部門責任者、新サービス導入や連携機能は管理責任者など、判断内容ごとの確認者を決めます。申請日、目的、入力情報、承認者を記録します。

6. 誤入力時の報告手順を決める

追加入力を止め、入力内容・時刻・サービス・アカウントを記録し、上長と管理者へ報告します。認証情報なら直ちに変更・無効化し、顧客情報や個人情報を含む場合は責任者が追加対応を判断します。

7. 周知・教育・見直しを行う

入力禁止情報、加工例、承認済みサービス、生成結果の確認、相談先、事故報告を短時間で説明します。半年ごとの定期見直しに加え、新サービス導入、規約変更、事故発生時にも見直します。

情報分類の運用例

分類	情報の例	生成AIへの入力
公開情報	自社Webサイト、公開済みパンフレット	承認済みサービスに入力可
社内情報	社内手順書、議事録、社内連絡	原則禁止。必要時は承認
機密情報	個人情報、顧客情報、契約情報、認証情報	入力禁止

これは社内運用の一例です。既存の情報管理規程がある場合は、その分類を優先してください。

生成AIサービス社内利用規程のひな形

以下は従業員10〜100人程度の中小企業を想定した簡易版です。自社の契約、情報管理規程、業務内容に合わせて変更してください。

第1条　目的

本規程は、当社の役員および従業員が生成AIサービスを業務で利用する際の基本的なルールを定め、当社、顧客、取引先および従業員の情報を適切に取り扱うことを目的とする。

第2条　対象者

本規程は、当社の役員、従業員、派遣社員、業務委託者その他当社の情報を取り扱う者に適用する。

第3条　利用できるサービス

業務で利用できる生成AIサービスは当社が承認したサービスに限る。個人契約または未承認のサービスを業務目的で利用してはならない。新サービスの利用希望者は、利用目的と取扱情報を明らかにし、管理者の承認を受ける。

第4条　入力を禁止する情報

個人情報、契約上の秘密情報、社外秘・秘密・極秘情報、未公開の経営・営業・技術・人事・財務情報、認証情報、未公開のソースコードやシステム構成、権限未確認の第三者著作物、管理者が禁止した情報を入力またはアップロードしてはならない。

第5条　入力情報の削減

入力は目的達成に必要な最小限とし、氏名、会社名、案件名、金額、日付等は可能な範囲で削除または一般化する。削除後も対象を推測できる場合は入力しない。判断できない場合は入力前に上長または管理者へ確認する。

第6条　生成結果の確認

生成結果には誤りが含まれる可能性があるため、利用者が内容を確認する。専門的判断はAI回答だけで行わない。社外送付・公開前に、担当者が事実、権利関係、社内ルールとの整合を確認する。

第7条　ファイル・外部連携

管理者の承認なく、社内ストレージ、メール、顧客管理システムその他の社内サービスを生成AIへ連携してはならない。

第8条　事故発生時の報告

禁止情報を誤入力した者は、追加入力と共有を中止し、直ちに上長および管理者へ報告する。発生日時、サービス、入力内容、添付の有無、実施対応を記録する。

第9条　教育

当社は利用者に対し、本規程、入力禁止情報、誤入力時の対応、生成結果の確認方法に関する教育を行う。

第10条　管理と見直し

管理者は利用サービス、利用者、利用目的を把握する。本規程はサービス仕様、契約条件、法令、利用状況、事故状況に応じて見直し、改定内容を周知する。

よくある失敗

「社外秘を入力しない」としか書かない

判断基準が人によって変わるため、資料や情報の具体例を示します。

無料版だけを禁止して終わる

契約形態だけでなく、入力データの取扱い、保存、管理機能も確認します。

規程を配布するだけで説明しない

入力できる例・できない例を使って説明します。

生成結果の確認ルールがない

誤情報、権利関係、個人情報、契約条件を誰が確認するか決めます。

誤入力時の報告先がない

削除や報告を利用者任せにせず、責任者と記録項目を決めます。

全面禁止で実態が見えなくなる

禁止理由、対象、相談先、代替手段を明確にします。

よくある質問

小規模な会社でも規程は必要ですか

業務で生成AIを利用しているなら、簡単なルールから始めることをおすすめします。利用サービス、禁止情報、確認者、事故時の連絡先を1ページにまとめる方法でも構いません。

有料版なら社外秘を入力できますか

有料版であることだけでは判断できません。契約プランごとのデータ取扱い、保存、学習利用、管理機能を確認し、自社の契約と情報分類に照らして決めます。

氏名を消せば個人情報を入力できますか

氏名以外の所属、役職、案件、地域、日付などから個人を推測できる場合があります。必要のない情報を削除し、判断できない場合は入力しません。

取引先資料を要約させてもよいですか

契約と利用条件を確認できるまで無断で入力しません。第三者開示、目的外利用、再委託などの制限を確認します。

外部IT業者へ任せればよいですか

技術確認は依頼できますが、利用目的や入力可能情報は自社でも決めます。最終的な業務ルールは経営者と情報管理部門が判断します。

誤入力後、履歴を削除すれば終わりですか

履歴削除だけで終了せず、社内責任者へ報告します。認証情報は変更・無効化し、顧客情報や個人情報を含む場合は追加対応の要否を判断します。

まとめ

生成AIに社外秘データを入力させないためには、利用できるサービス、入力禁止情報、匿名化・置換、承認方法、生成結果の確認、誤入力時の報告、教育と見直しを明文化します。まずは社員が利用している生成AIサービスを一覧にし、正式な規程ができるまで「未承認の生成AIへ社外に公開していない情報を入力しない」と周知しましょう。

参考情報

• IPA「テキスト生成AIの導入・運用ガイドライン」 https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2024/generative-ai-guideline.html
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」 https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/

注：利用予定サービスの最新の利用規約、プライバシー関連資料、自社の契約条件を確認してください。本記事は一般的な実務整理であり、個別案件の法的判断を示すものではありません。