生成AI利活用ガイドラインとは｜企業の作り方と公的ひな形の使い方

生成AI利活用ガイドラインとは、社内で生成AIを使うときの線引きを定めたルールです。決めるのは「入力してよい情報」「出力の確認方法」「使えるツール」の3点で、公的なひな形を土台に自社版へ直すのが近道になります。

この記事は、社内ルールを作る立場になった情シス・総務・経営企画・DXの担当者と、中小企業の経営者に向けて書いています。文科省・デジタル庁・東京都・IPA・JDLAの公的資料の使い分けと、自社版を作る手順、作った後の運用までを順に整理します。

ガイドラインづくりは、AI導入全体のなかの一工程です。導入全体の流れは、詳しくはAI導入の進め方

「利活用ガイドライン」は公的文書と社内ルールの両方を指す

「生成AI利活用ガイドライン」や「生成AI活用ガイドライン」という言葉は、2種類の文書に使われています。1つは、文科省の「生成AIの利活用に関するガイドライン」のように、官公庁や団体が公表する公的文書です。もう1つは、企業が自社用に定める生成AIの社内ガイドラインです。

検索すると公的文書の配布ページが上位に並びます。ただ、そこには企業が「どれを、どう使うか」までは書かれていません。この記事は社内ルールを作る人に向けて、公的文書の使い方もあわせて整理します。

決めるのは入力・出力・ツールの3点

社内ガイドラインで決めることは、入力してよい情報、出力の確認方法、使えるツールの3点に絞れます。条文の数が増えても、現場が迷う場面はこの3点のどれかに関わります。

• 入力してよい情報：機密情報や個人情報など、生成AIに入れてよい情報と入れてはいけない情報の区分です。
• 出力の確認方法：生成された文章や数値を、誰がどの手順で確かめてから使うかの決まりです。
• 使えるツール：会社が承認したサービスと契約形態、未承認のツールを使いたいときの申請先です。

企業が社内ルールを定める理由

ルールが無いと、入力や確認の判断が一人ひとりに委ねられます。生成AIは個人のアカウントでもすぐ使い始められるので、会社が把握しないまま業務の情報が入力されることがあります。ガイドラインは禁止のためだけの文書ではなく、安心して使える範囲を示す文書でもあります。

私たち株式会社くるみは、AI導入を支援するなかで、一律禁止から始めた組織に隠れた利用が残りやすい様子を見てきました（匿名の自社支援記録で第三者未検証）。線引きを示すほうが、利用の実態を会社が把握しやすくなります。この点は後半の運用の節で具体的に書きます。

企業がまず参照するのは、JDLAのひな形と東京都の手引き、IPAの手順書です。文科省とデジタル庁の資料は想定読者が学校と行政機関なので、該当する場面に絞って読みます。

このほか、総務省と経済産業省が「AI事業者ガイドライン」を公表しています。AIを開発・提供・利用する事業者全般に向けた上位の指針で、社内ルールの前提になる考え方を確かめるときに参照します。

5つの資料は、発行元、想定読者、企業にとっての使い所の3つで整理できます。JDLAは「ひな形の土台」、IPAは「導入運用の手順」というように、使い所で選びます。

• 文科省：想定読者は学校・教委です。企業は、年少者への配慮が必要なサービスや教材を扱うときに読みます。
• デジタル庁：想定読者は行政機関です。生成AIサービスを選ぶときの、調達とリスク管理の考え方を借ります。
• 東京都：想定読者は都の職員です。組織向けと個人向けに分けた、利用ルールの型を参考にします。
• IPA：想定読者は導入する組織です。導入運用の手順を確かめる資料として使います。
• JDLA：想定読者は企業全般です。条項がそのまま並んでいるので、自社版のひな形の土台にします。

公的資料どおりの項目は、どの会社にも必須の「入場券」にあたります。差が付く部分は、自社の業務に合わせた具体例をどこまで書き込めるかです。

資料名と版、入手先は次のとおりです（2026年9月時点。版は各公式ページで確認してください）。

文科省：生成AIの利活用に関するガイドライン Ver.2.0

正式名称は「初等中等教育段階における生成AIの利活用に関するガイドライン（Ver.2.0）」です。令和5年7月の暫定版を改訂したもので、生成AIの概要と基本的な考え方、利活用する場面や主体に応じた留意点が示されています（文部科学省｜生成AIの利用について）。

対象は学校現場なので、企業がそのまま社内ルールに使う資料ではありません。教育サービスを提供する企業や、年少者が使うサービスを持つ企業が、年少者への配慮や保護者への説明を考えるときの参考になります。

デジタル庁：生成AIの調達・利活用に係るガイドライン

政府の行政機関が生成AIを調達し、利活用するときの指針です。令和7年5月に策定され、2026年6月12日に第2.0版へ改定されました（2026年9月時点、デジタル庁の公式サイトで公開）。

企業が読む価値があるのは、生成AIサービスを選んで契約するときのリスク管理の考え方です。本体と別紙の元ファイルがWord・Excel形式でも配布されているので、自社の確認項目を作るときの下敷きにできます。

東京都：AI導入・活用ガイドラインと生成AI利用の手引き

東京都は2つの資料を公開しています。「AI導入・活用ガイドライン」は、都庁の各部門が事業にAIを導入・活用するための実践的な指針です。「生成AI利用の手引き」は、各職員が業務で安全かつ効果的に使うための対応策をまとめたものです（東京都デジタルサービス局）。

「AI導入・活用ガイドラインに基づく生成AI利用の手引き」や「AI導入・利用ガイドライン」という語で探す人もいますが、指しているのはこの2資料です。東京都が先に公表した「文章生成AI利活用ガイドライン」の名前で探した場合も、現在の公式ページに並ぶのは上の2資料です（2026年9月時点）。

企業にとっての使い所は、組織向けの指針と個人向けの手引きを分ける2層の構造です。部門の責任者が読む文書と、社員一人ひとりが読む文書を分けると、どちらも短くできます。

IPA：テキスト生成AIの導入・運用ガイドライン

IPA（独立行政法人情報処理推進機構）が公開している、文章を生成するAIを組織に導入して運用するための資料です。PDFはIPAの公式サイトで配布されています。版と更新日は公式ページで確認してください（2026年9月時点）。

企業は、導入前の検討から運用までの流れを確かめる資料として使います。ひな形ではないので、条文づくりはJDLAの資料、進め方の確認はIPAの資料、と役割を分けて読むと迷いません。

JDLA：生成AIの利用ガイドライン

JDLA（一般社団法人日本ディープラーニング協会）が、組織向けの利用ガイドラインのひな形として公開している資料です。第1.1版には【条項のみ】と【簡易解説付】の2種類があり、画像生成を扱う画像編と「作成にあたって」の文書も並んでいます（JDLA｜資料室）。

JDLAは、このひな形を組織内の活用目的に照らし、必要な追加や修正を加えて使うよう案内しています。企業が自社版を作るときは、この条項を土台にして自社の言葉へ置き換えていきます。置き換え方は後半の手順の節で書きます。

主なリスクは4つで、盛り込む項目は5つです。リスクは入力、出力、権利、ツールのそれぞれで起き、盛り込む項目はその裏返しとして決まります。

生成AIの業務利用で起きる4つのリスク

生成AIを業務で利用するときのリスクは、次の4つに整理できます。

• 機密・個人情報の入力：顧客情報や未公開の資料を入力し、社外のサービスに情報が渡る。
• 誤情報をそのまま使う：ハルシネーション（もっともらしい誤りを生成する現象）に気づかず、社外へ出す。
• 著作権・商標の侵害：既存の著作物や登録商標に似た生成物を、確認せずに公開する。
• 未承認ツールの利用：会社が把握していないサービスに、業務の情報が入力される。

それぞれのリスクに対して、ガイドラインで決めることは次の表のとおりです。

著作権は、文章より画像生成で問題になりやすい領域です。JDLAも画像編のひな形を別に用意しています。広告の画像に生成AIを使うときの注意は、詳しくはMeta広告（旧Facebook広告）での生成AIクリエイティブ活用

事故事例は2つの類型で押さえる

1つ目の類型は、機密の入力による流出です。2023年に、海外の大手電機メーカーで、従業員が社内のソースコードなどを対話型AIに入力したと報じられました。同社はその後、社内での生成AI利用を制限したと伝えられています。

2つ目の類型は、誤情報の提出です。同じ2023年に米国の連邦地裁で、弁護士が生成AIの示した実在しない判例を書面に引用して提出し、裁判所から制裁を受けました。

社名や経緯の細部は報道によって差があるため、ここでは類型として扱います。どちらも、入力の区分と出力の確認手順が決まっていれば防ぎやすい類型です。

盛り込む5項目は、固定と見直しで分ける

AIの弱点には「待てば解決する側」と「待っても解決しない側」があります。精度やツールの機能は前者なので、定期に見直す前提で書きます。機密の扱いと「最終責任は人」は後者なので、固定ルールとして書きます。

私たちは、支援の場でガイドラインの項目をこの2分法で分けると決めています。全部を同じ重さで書くと、改訂のたびに全文を見直すことになり、更新が止まりやすいからです。

盛り込む項目は、入力情報の区分、最終責任は人、出力の確認手順、使えるツール、業務別の使用例の5つです。図の左の記号は固定する度合い、右の記号は見直す度合いを表します。

• 入力情報の区分：機密と個人情報の線引きは、AIが進化しても変わらないので固定します。区分ごとの例示だけを見直します。
• 最終責任は人：生成物を使った結果の責任は、使った人と組織が負います。ここは見直しの対象にしません。
• 出力の確認手順：確認すること自体は固定し、手順の細かさは精度や機能の変化に合わせて見直します。
• 使えるツール：承認制という仕組みは固定し、ツール名と契約形態は更新のたびに書き換えます。
• 業務別の使用例：現場の使い方に合わせて増やしていく部分で、もっとも頻繁に見直します。

固定する項目は本則に、見直す項目は別紙にまとめると、改訂のときに別紙だけを差し替えられます。

現状の把握から定期の見直しまで、5つの工程で作ります。白紙から書くのではなく、公的なひな形を土台にして自社の言葉へ置き換えていく進め方です。

工程は、現状の把握、情報の区分、ひな形を直す、周知と研修、定期の見直しの順に進みます。前の工程の結果が次の工程の材料になるので、順番は入れ替えません。

• 現状の把握：誰が何に使うかを、部署ごとに調べます。
• 情報の区分：社内の情報を分類し、区分ごとに入力可否を決めます。
• ひな形を直す：公的ひな形の条項を、自社の語に置換します。
• 周知と研修：条文だけでなく、業務の例つきで伝えます。
• 定期の見直し：ツールの機能更新に合わせて、見直す項目を改訂します。

1. 現状の把握：誰が何に使うか

最初に、社内で生成AIが今どう使われているかを調べます。部署、用途、使っているツール、個人契約か法人契約かを聞き取ります。責める目的の調査ではないと先に伝えると、実態が集まりやすくなります。

この結果が、使えるツールの一覧と業務別の使用例の材料になります。使われていない会社でも、使いたい業務を聞いておくと後の工程が進めやすくなります。

2. 情報の区分：入力可否を決める

次に、社内の情報を区分し、区分ごとに入力してよいかを決めます。たとえば、公開済みの情報、社内限りの情報、顧客や取引先から預かった情報、個人情報といった分け方です。

既に情報管理規程がある会社は、その区分をそのまま使います。新しい区分を作ると、社員が覚える分類が2つに増えてしまうからです。

3. ひな形を直す：自社の語に置換

JDLAの【条項のみ】版を土台にし、【簡易解説付】版で条項の意図を確かめながら直します。ひな形には、対象とする生成AI、入力時の注意、生成物を利用するときの注意といった条項が並んでいます（第1.1版、2026年9月時点）。置き換える箇所は次の4つです。

• 対象とする生成AIの条項：自社の承認済みツール名と契約形態に置き換えます。
• 入力時の注意の条項：工程2で決めた自社の情報区分に置き換えます。
• 生成物を利用するときの注意の条項：自社の確認手順と確認者を書き加えます。
• 禁止する用途の条項：自社の業務に即した例に書き換えます。

東京都の「生成AI利用の手引き」からは、個人に向けた書き方を借ります。組織の決まりを定めた本則と、社員が手元で読む短い手引きを分ける構成です。

承認済みツールを決めるには、法人向けの契約プランを選ぶ作業が先に必要になります。プランの選び方は、法人契約を扱う兄弟記事で整理する予定です。

4. 周知と研修：例つきで伝える

条文を配るだけでは、現場の判断は変わりません。「この議事録は入力してよいか」「この見積書はどうか」といった業務の例を添えて伝えます。

研修は長い講義より、部署ごとの例を使った短い説明のほうが質問が出やすくなります。出た質問は、そのまま業務別の使用例に追記します。

5. 定期の見直し：機能更新に合わせる

見直す時期は、作る時点で決めておきます。対象は、使えるツール、出力の確認手順、業務別の使用例の3つです。入力情報の区分と「最終責任は人」は固定なので、原則として触りません。

ツールの規約や機能が変わったときは、定期の時期を待たずに別紙だけを改訂します。

作り方の選択肢は、内製、ひな形利用、外部の伴走の3つです。内製は情報管理規程が整っていて法務や情シスの担当者がいる会社に、ひな形利用は早く初版を出したい会社に向きます。外部の伴走は、情報の区分や業務例の洗い出しに社内の手が回らない会社に向きます。どの方法でも、情報区分とツール名を決めるのは自社です。

中小企業は、A4数枚の初版から始めて問題ありません。3点の線引きが書いてあれば機能し、使用例は運用しながら足せます。中小企業のAI導入の進め方は、兄弟記事で別に扱う予定です。

業務ごとの線引き、相談先の一本化、定期の改訂の3つで回します。生成AIの社内ガイドラインは、配った日から古くなり始める文書なので、更新の仕組みごと設計します。

一律禁止で始めると隠れ利用が残りやすい

よく見るパターンがあります。リスクを避けるために一律禁止で始めると、個人のアカウントを使った隠れた利用が残りやすい、というものです。これは複数の支援で見た傾向をまとめたもので、匿名の自社支援記録にもとづく第三者未検証の整理です。

原因は個人の意識ではなく、構造にあります。使えば仕事が速くなる道具が手元にあり、相談できる窓口が無いと、利用は見えない場所に移ります。会社は利用を把握できず、入力された情報も確認できなくなります。

運用の出発点は、一律禁止と、線引きして使うの2つに分かれます。違いは、会社が利用の実態を把握できるかどうかです。

• 一律禁止：ルールは単純ですが、利用が見えなくなり、入力された情報を会社が確認できません。
• 線引きして使う：入力してよい情報と使えるツールを示すので、利用が承認済みの環境に集まります。

私たちの回し方：3つの運用

私たちは、自分たちの業務と支援の場の両方で、次の3つを運用の軸に決めています。

• 業務ごとに入力してよい情報を決める：「機密は不可」のような抽象的な文言で終わらせず、議事録、見積、顧客対応といった業務の単位で書きます。
• 迷ったときの相談先を1つにする：窓口が複数あると、聞く前にあきらめる人が出ます。担当者でもチャットの窓口でも、1か所に絞ります。
• 見直す項目だけを定期に改訂する：ツールや機能の更新に合わせて、使えるツールと確認手順、使用例の別紙だけを差し替えます。

相談先に集まった質問は、次の改訂の材料になります。同じ質問が続いた業務は、使用例に追記する候補です。こうした運用の設計は、AIを組み込んだ業務運用の支援でも同じ考え方で進めています。

任せてよい業務の切り分けは別に行う

ガイドラインが決めるのは「使うときの線引き」で、「どの業務をAIに任せるか」は別の判断です。任せてよい業務の切り分けは、親記事のAI導入の進め方で紹介した判定5項目を使います。

業務別の使用例を増やすときは、効率化の効果が出やすい業務から書くと現場に読まれます。業務の選び方は、詳しくはAIによる業務効率化の進め方

よくある疑問は、資料の入手先、資料の対象、自社への当てはめ方の3種類です。検索の多い5問に、1問1答で答えます。

IPA「テキスト生成AIの導入・運用ガイドライン」のPDFはどこで読めますか？

IPAの公式サイトで公開されています。資料名で検索すると、公式の配布ページに届きます。版や更新日は変わることがあるので、公式ページで最新版かどうかを確かめてから参照してください（2026年9月時点）。ひな形ではなく、導入から運用までの進め方を確かめる資料として使います。

「生成AIの利活用に関するガイドライン Ver.2.0」とは何ですか？

文科省が令和6年12月26日に公表した、学校現場向けのガイドラインです。正式名称は「初等中等教育段階における生成AIの利活用に関するガイドライン（Ver.2.0）」で、令和5年7月の暫定版を改訂したものです。企業は、年少者が使うサービスの設計や、保護者への説明を考えるときの参考にできます。

中小企業でも生成AIのガイドラインは必要ですか？

必要です。兼務が多い会社ほど、1人が扱う情報の範囲が広いからです。IPAも「DX白書」や「DX動向2025」といった調査報告で、企業のDXとAI活用の状況や課題を公表しています。初版はA4数枚で足ります。入力してよい情報、出力の確認方法、使えるツールの3点が書いてあれば機能します。

ひな形や作成パックをそのまま使ってもよいですか？

情報の区分とツール名を自社用に直せば使えます。JDLAも、ひな形は組織内の活用目的に照らし、必要な追加や修正を加えて使うよう案内しています。市販の作成パックも同じです。自社の情報区分、承認済みのツール名、迷ったときの相談先の3つを書き換えてから配布します。

東京都の「生成AI利用の手引き」は企業でも使えますか？

使えます。都の職員向けの資料ですが、利用ルールの型として参考になります。組織向けの「AI導入・活用ガイドライン」と、個人向けの「生成AI利用の手引き」を分ける2層の構成は、企業の本則と手引きにそのまま応用できます。文中の組織名や手続きは、自社のものに読み替えます。

最初の一歩は、社内の利用実態の把握です。そのうえで、業務ごとに入力してよい情報を決めると、ガイドラインの中心部分ができあがります。

決めるのは3点、土台は公的ひな形

生成AI利活用ガイドラインで決めるのは、入力してよい情報、出力の確認方法、使えるツールの3点です。生成AI活用ガイドラインと呼ぶ場合も、骨格は変わりません。

• 入力してよい情報：情報の区分ごとに、生成AIへ入力できるかどうかを決めます。
• 出力の確認方法：生成物を使う前に、誰がどう確かめるかを決めます。
• 使えるツール：承認済みのサービスと、申請の窓口を決めます。

条文はJDLAのひな形を土台にし、書き方は東京都の手引き、進め方はIPAの資料を参照します。公的資料どおりの項目は必須の入場券で、自社の業務に合わせた具体例が差の付く部分です。

固定する項目と見直す項目を分けて始める

入力情報の区分と「最終責任は人」は固定し、使えるツール、出力の確認手順、業務別の使用例は見直す前提で別紙に書きます。こう分けておくと、ツールの更新があっても別紙の差し替えだけで追従できます。

線引きが決まったら、次はどの業務からAIに任せるかの棚卸しです。業務の洗い出しには、おきかえくんの無料診断を使えます。支援会社への相談を考える場合の見方は、AI導入コンサルティングを扱う記事で別に整理する予定です。