ChatGPTなどの生成AIを、メールの下書きや資料の作成、ホームページの原稿づくりに使う社員が増えています。便利な道具である一方、顧客の情報や社内の資料をそのまま入力してしまう、AIが作った文章を確かめずに公開してしまう、といった使い方は、情報漏えいや誤った情報の発信につながります。IPAの情報セキュリティ10大脅威2026（組織編）でも、「AIの利用をめぐるサイバーリスク」が3位に入りました。
この記事の要点
- 社内ルールの中心は「入力してよい情報と、入力してはいけない情報の線引き」と「AIが作ったものを人が確かめる手順」の2つです。
- 個人情報、取引先の機密、未公開の社内情報は、原則として入力しないか、使ってよいサービスと設定を限定します。
- ホームページの文章や画像にAIを使う場合は、事実の確認、権利の確認、表現の確認を人が行ってから公開します。
- ルールは一度作って終わりではなく、使えるサービスや社会の決まりの変化に合わせて見直します。国の「AI事業者ガイドライン」は2026年3月に第1.2版が取りまとめられています。
この記事は、社内で生成AIの使い方のルールを作ろうとしている中小企業の経営者や総務・情報システムの担当者、ホームページの担当者向けです。ルールに入れる項目と、ホームページの制作や更新にAIを使うときの確認の手順を、例とともに整理します。最終的な判断が必要な法律の解釈は、専門家に確認してください。
なぜ社内ルールが必要なのか
生成AIは、入力した内容をもとに文章や画像を作ります。サービスによっては、入力した内容がサービスの改善に使われる設定になっていることがあります。社員が善意で業務に使っていても、何を入力してよいかが決まっていなければ、顧客の情報や取引先の資料が社外のサービスに渡ってしまうおそれがあります。
個人情報保護委員会は、生成AIサービスの利用に関する注意喚起の中で、事業者が個人情報を含むプロンプトを入力する場合には、利用目的の範囲内かどうかを十分に確認することなどを求めています。また、生成AIは事実と異なる内容をもっともらしく作ることがあります。確かめずに公開すれば、会社の信用に関わります。ルールは、社員の利用を止めるためではなく、安心して使うためのものです。使ってよい範囲がはっきりすれば、社員は迷わずに業務の効率を上げられ、会社は情報の流出や誤った発信のリスクを抑えられます。
ルールに入れる主な項目
社内ルールは、長い規程にするより、1〜2枚で読める形にした方が守られます。既に情報セキュリティの規程がある会社は、その中に生成AIの項目を追加する形でも構いません。次の項目を入れると、多くの場面に対応できます。
| 項目 |
決めること |
| 使ってよいサービス |
会社として認めるサービスと、入力内容の扱いに関する設定（学習に使わない設定など） |
| 入力してはいけない情報 |
個人情報、取引先の機密、未公開の社内情報、パスワードなど |
| 使ってよい業務 |
文章の下書き、要約、アイデア出し、翻訳の参考など |
| 人が確かめる手順 |
社外に出す前に、事実・権利・表現を誰が確認するか |
| 表示のルール |
AIを使ったことを社内外にどう示すか |
| 困ったときの相談先 |
判断に迷ったとき、誤って入力したときの連絡先 |
| 見直しの時期 |
ルールを見直す頻度と担当 |
Service
AI時代のWEBのご相談はフェニックスデザインへナレッジベースを運営するフェニックスデザインが、今のサイトの数字を見るところから対応します。URLを入れるだけの無料簡易診断から。
入力してよい情報、いけない情報の線引き
線引きは、具体例があると迷いにくくなります。次のような区分を社内で共有します。
- 入力してよい: 公開済みのホームページの文章、一般的な質問、個人や会社が特定されない形に書き換えた内容。
- 条件付きで入力してよい: 社内の資料の一部。会社が認めたサービスと設定で、上長の了承を得た場合に限る。
- 入力してはいけない: 顧客や社員の個人情報、取引先から預かった資料、契約の内容、未発表の製品や決算の情報、パスワードやアクセス用の情報。
個人情報は、名前を消すだけでは特定できなくならない場合があります。住所の一部、勤務先、珍しい出来事などの組み合わせで個人が分かることがあるため、書き換えるときは、本人が分かる手がかりを広く外すようにします。「迷ったら入力しない」を基本の考え方として明記しておくと、判断が速くなります。誤って入力してしまった場合は、隠さずに相談先へ連絡するよう決めておきます。
ホームページの文章や画像にAIを使うときの確認
ホームページの原稿の下書き、記事の構成案、画像の作成に生成AIを使う会社が増えています。公開する前に、次の3つを人が確かめる手順を決めます。
- 事実の確認: 数字、日付、制度、料金、製品の仕様など、事実に関わる部分は、元の資料や公式の情報で確かめます。AIは存在しない制度や数字を書くことがあります。
- 権利の確認: AIで作った文章や画像が、他人の著作物に似ていないかを確かめます。文化庁の「AIと著作権について」では、生成物の利用が著作権の侵害に当たるかは、人が作った場合と同様に、既存の著作物との類似性などで判断されるとされています。
- 表現の確認: 誇大な表現、根拠のない「No.1」、景品表示法などの決まりに触れる表現がないかを確かめます。業界ごとの広告の決まりがある場合は、その確認も必要です。
確認の担当者は、AIに詳しい人である必要はありません。元の資料と照らし合わせる、社内の言葉づかいに合っているかを見る、といった確認は、その業務をよく知る人の方が得意です。AIで作った文章は、会社の言葉としての個性が薄くなりがちです。社員や顧客への取材で得た具体的な話を加えることで、ほかの会社と区別できる内容になります。原稿の作り方はホームページの原稿の書き方でも紹介しています。
ルールを決める人と、決め方
ルールは、情報システムの担当者だけで決めるより、実際にAIを使う部署の人を交えて決める方が、現場で守られます。まず各部署に、今どんな業務でAIを使っているか、使いたいかを聞き取り、その結果をもとに線引きと確認の手順を決めます。決めたルールは経営者が承認し、全社に知らせます。小さな会社なら、経営者と各部署の代表が1時間ほど話し合うだけでも、実情に合ったルールの骨組みが作れます。
部署ごとの使い方の例
同じ生成AIでも、部署によって使い方と注意点が違います。部署ごとに「こう使ってよい」「ここに注意する」を例として示すと、ルールが現場の言葉になります。
| 部署 |
使い方の例 |
注意すること |
| 営業 |
提案書の構成案、メールの言い回しの見直し |
顧客名や見積もりの金額、商談の内容を入力しない |
| 広報・ホームページ担当 |
記事の構成案、見出しの案、文章の読みやすさの確認 |
事実と数字は元の資料で確認。他社の文章に似ていないか確かめる |
| 人事・採用 |
求人票の表現の見直し、説明会の案内文の下書き |
応募者の情報を入力しない。差別的な表現がないか人が確認する |
| 総務・経理 |
社内の案内文の下書き、手順書の整理 |
社員の個人情報、取引の金額、口座の情報を入力しない |
| 技術・製造 |
一般的な技術の調べもの、文章の翻訳の参考 |
図面や未公開の仕様、取引先から預かった資料を入力しない |
社内ルールの例（ひな型）
次は、中小企業の社内ルールの例です。自社の業務に合わせて書き換えて使ってください。
| 番号 |
ルールの例 |
| 1 |
業務で生成AIを使うときは、会社が認めたサービスを、会社が指定した設定で使う |
| 2 |
顧客・社員の個人情報、取引先の資料、未公開の社内情報、パスワードは入力しない |
| 3 |
AIが作った文章や画像を社外に出すときは、担当者と上長が事実・権利・表現を確認する |
| 4 |
AIの答えを根拠として、契約や価格、法律の判断をしない |
| 5 |
誤って入力したとき、判断に迷ったときは、すぐに相談先に連絡する |
| 6 |
このルールは半年ごとに見直す |
AIで作った原稿を公開するまでの流れ
ホームページの原稿にAIを使う場合は、公開までの流れを決めておくと、確認の漏れを防げます。
- 担当者が、伝えたいことと、元になる資料（社内の資料、取材のメモ、公式の情報）を用意する。
- 個人や取引先が特定されない形にしたうえで、AIに構成案や下書きを作らせる。
- 担当者が下書きを読み、事実を元の資料で確かめ、自社ならではの情報を書き足す。
- 上長や関係部署が、表現と権利、業界の決まりに触れないかを確認する。
- 公開し、AIを使ったこと、確認した人と日付を社内の記録に残す。
WordPressにもAIの機能が加わりつつあります。管理画面の中でAIを使う場合も、同じ流れで確認します。WordPressの動きはWordPressのAI機能で紹介しています。
誤って入力してしまったときの対応
ルールがあっても、うっかり入力してしまうことはあります。大切なのは、隠さずにすぐ相談できる雰囲気と手順です。
- 入力した内容、使ったサービス、日時を、相談先に伝える。
- サービスに履歴の削除の機能があれば、指示に従って削除する。
- 個人情報が含まれていた場合は、漏えいに当たるかどうかを確認し、必要な対応を検討する。対応の考え方は問い合わせフォームから個人情報が漏れたらも参考になります。
- 同じことが起きないよう、ルールや研修の内容を見直す。
国のガイドラインを参考にする
総務省と経済産業省は、AIを開発・提供・利用する事業者向けのAI事業者ガイドラインを公表しており、2026年3月に第1.2版が取りまとめられています。活用の手引きやチェックリストも掲載されているため、社内ルールに足りない観点がないかを確かめるときに使えます。ガイドラインは改定されることがあるため、見直しの時期に最新の版を確認します。
IPAの情報セキュリティ10大脅威2026では、組織編の3位に「AIの利用をめぐるサイバーリスク」が入りました。10大脅威の全体とホームページへの影響は情報セキュリティ10大脅威2026：企業サイトで対策することでまとめています。
よくあるご質問
生成AIの利用を禁止した方が安全ではありませんか？
禁止すると、社員が個人のアカウントで隠れて使う、いわゆる「シャドーAI」が起きやすくなります。会社として使い方を決め、安全な使い方を広める方が、結果的に情報を守りやすくなります。
AIで書いた記事をホームページに載せても検索で不利になりませんか？
Googleは、作り方より内容の質を重視するとしています。ただし、確かめていない情報や、ほかのサイトと同じような内容は評価されにくくなります。人が事実を確かめ、自社ならではの情報を加えることが大切です。AI検索での見え方はAIによる概要・AIモードで引用されるにはも参考になります。
AIで作った画像は自由に使えますか？
サービスの利用規約で商用の利用が認められているか、既存の作品に似ていないかを確かめてから使います。人物の画像は、実在の人と誤解されないよう注意します。社員の写真をAIで加工する場合は、本人の了承を得ます。
取引先から、AIの利用について確認されることはありますか？
あります。委託した業務でAIを使うかどうか、使う場合に預けた情報を入力しないか、を契約や質問票で確認する取引先が増えています。社内ルールがあれば、その内容を示して説明できます。
無料のサービスと有料のサービスで、ルールは変わりますか？
入力した内容の扱いや、管理者が利用の状況を確認できるかどうかは、サービスや契約の種類によって違います。会社として使うサービスは、利用規約とデータの扱いの説明を確認したうえで選び、社員が個人で契約したサービスを業務に使うかどうかもルールで決めておきます。
ルールを作ったら、社員にどう伝えればよいですか？
1〜2枚の資料にまとめ、短い説明会を開くと伝わりやすくなります。入力してよい例、いけない例を具体的に見せると、判断の基準が共有できます。新しく入社した人にも、最初の研修で同じ資料を渡します。
まとめ
- 社内ルールの中心は、入力してよい情報の線引きと、AIが作ったものを人が確かめる手順です。
- 個人情報、取引先の機密、未公開の情報、パスワードは原則として入力しません。
- ホームページに使う場合は、事実・権利・表現の3つを人が確かめてから公開します。
- 1〜2枚の読めるルールにし、国のガイドラインを参考に半年ごとに見直します。
- 部署ごとの使い方の例と、誤って入力したときの連絡の手順も一緒に示します。