生成AI利用規程テンプレート｜そのまま使える全文サンプルと逐条解説

ChatGPTやMicrosoft 365 Copilot、Gemini、Claudeを業務で使う社員が増えると、情報システム部門やDX推進担当には「利用規程はあるのか」という相談が集まります。いざ作ろうとすると、どの条文を並べればよいのかで手が止まりがちです。

この記事では、そのまま社内で使える生成AI利用規程（利用ポリシー）を全文サンプルとして公開します。目的・適用範囲・禁止事項・データの取り扱いなど10条構成で、つまずきやすい条の逐条解説と、自社向けにカスタマイズするポイントまで整理します。ルールの作り方そのものは生成AI利用ガイドラインの作り方もあわせて参照してください。

規程がない状態は、全面禁止と何でも自由の両極端に振れやすくなります。全面禁止にすると、社員は個人アカウントや未承認のツールでこっそり使い始めます。管理者から見えないところで利用が進むため、かえってリスクが上がります。

反対に、何でも自由に使える状態では、個人情報、顧客との契約内容、未公開の財務情報、認証情報などが外部サービスに入力されるおそれがあります。IPAの「情報セキュリティ10大脅威2026」でも、組織編に「AIの利用をめぐるサイバーリスク」が初めて入りました。情報漏洩だけでなく、AIの悪用や不適切な運用によるリスクも含め、生成AIの業務利用にまつわるリスクは、もはや一般的な脅威として認識されています。

必要なのは、禁止事項を並べるだけの文書ではありません。社員が業務中に判断でき、迷ったときに相談でき、運用しながら更新できるルールです。どの情報を入れてよいか、AIの出力を誰が確認するか、問題が起きたら誰に報告するか。ここまで明文化した規程があれば、使ってよい場面と使わない場面を現場が自分で切り分けられます。セキュリティ面の全体像は生成AIセキュリティ対策の基本で整理しています。

以下は、そのまま下敷きにできる生成AI利用規程のサンプルです。会社名や部門名、対象ツールを自社の実態に合わせて書き換えてください。条文は規程らしく「〜とする」「〜してはならない」という調子で記述しています。

本規程は、当社における生成AIサービスの業務利用に関する基本的な取り扱いを定め、情報の適切な管理と業務品質の確保を図ることを目的とする。

本規程は、当社の役員および従業員（派遣社員、業務委託先の従事者を含む）が、業務において生成AIサービスを利用するすべての場合に適用する。

業務で利用できる生成AIサービスは、会社が指定し、承認したものに限るものとする。承認されていないサービスを業務目的で利用してはならない。承認の可否は、提供元のセキュリティ水準やデータの取り扱い方針を踏まえ、情報システム部門が判断するものとする。

次の各号に掲げる情報を、承認された場合を除き生成AIサービスに入力してはならない。

生成AIが出力した内容は、担当者が確認したうえで利用するものとする。数値、法令、契約、技術仕様など誤りの影響が大きい内容については、必ず一次情報を確認しなければならない。社外に公開する文章、画像、コード等については、既存の著作物との類似や権利侵害の有無を確認するものとする。生成物であることを理由に権利関係の確認を省略してはならない。

生成AIサービスを、法令もしくは公序良俗に反する目的、他者の権利を侵害する目的、または当社の信用を毀損する目的で利用してはならない。差別的表現、虚偽情報の作成、他者へのなりすまし等の用途に利用してはならない。

業務で利用するアカウントは、会社が管理する法人向けプランのものを用いるものとする。アカウントの共有をしてはならない。退職、異動、業務委託契約の終了時には、速やかに利用権限を停止するものとする。

入力してはならない情報を誤って入力した場合、または情報漏洩のおそれを認識した場合、利用者は速やかに情報セキュリティ担当に報告しなければならない。報告を受けた担当は、入力内容、利用ツール、日時、影響範囲を確認し、必要な対応を行うものとする。

会社は、本規程の周知および適切な利用の徹底のため、従業員に対して定期的に教育を実施するものとする。従業員は、当該教育を受講しなければならない。

本規程は、生成AIサービスの仕様変更、関連法令の改正、社内の利用状況の変化等に応じて、必要な見直しを行うものとする。

条文はどうしても抽象的になります。運用で迷いやすい条を中心に、意図と補足を解説します。

同じChatGPTでも、個人アカウントと法人向けプランでは、管理機能やデータの取り扱いが大きく異なります。無料版、個人有料版、法人契約版を分けて考え、業務では会社が管理できるものに限定するのが基本です。承認済みサービスの一覧は、規程本文ではなく別紙や社内ポータルに載せると、ツールが増えても規程本体を改定せずに済みます。

この条がもっとも大切であり、もっとも形骸化しやすい条でもあります。「機密情報は禁止」とだけ書くと、社員は自分の業務に置き換えられません。営業なら価格表、人事なら評価情報、開発ならソースコードというように、部門別の具体例を別紙で示すと、現場の判断がそろいます。

生成AIの出力は、そのまま最終版として使えるとは限りません。事実確認と著作権確認の二つを分けて意識すると運用しやすくなります。事実確認は、数値や固有名詞、法令などの裏取りです。著作権確認は、社外公開物が既存著作物と似ていないかのチェックです。顧客提出物や公開資料では、この両方を担当者確認の必須項目にします。

禁止用途は網羅列挙が難しいため、抽象的な原則にとどめておき、具体例は運用ドキュメントで補うのが現実的です。実務で判断に迷う「これは禁止か」という質問はFAQに蓄積し、判断例として残していくとよいでしょう。禁止事項の具体的なパターンは生成AIの禁止事項と具体例でも詳しく扱っています。

この条は、問題を隠さずに早く報告してもらうための条文であり、違反そのものへの懲戒処分や罰則を定める条文ではありません。誤入力や情報漏洩のおそれに気づいた社員を萎縮させないよう、報告経路と対応フローを明確にすることに重点を置いています。悪質な違反や重大な情報漏洩があった場合の懲戒などの措置は、就業規則側の懲戒規定に基づいて対応するのが一般的です。

テンプレートは出発点であり、自社の実態に合わせて調整して初めて機能します。調整の観点は、大きく三つあります。

まず業種です。医療、金融、法務など規制の厳しい業種では、入力してはならない情報の範囲を広く取り、確認フローを厚くします。一方、公開情報を多く扱う業種では、入力可の範囲を広げて過度な制約を避けます。

次に利用ツールです。承認するツールによって、ログの取り方やデータの学習利用の可否が変わります。ツールごとの設定は規程本体に書き込まず、別紙で管理すると、乗り換えや追加のたびに規程を改定せずに済みます。

最後に部門差です。全社一律のルールだけでは、扱う情報の重さが違う部門をカバーしきれません。人事や経理は入力不可の範囲を広く、広報やマーケは入力可を広めにするなど、部門別の別紙で調整するのが実務的です。

規程は、配布しただけでは使われません。研修、FAQ、相談先の三つをセットで用意して、社員が迷ったときに確認できる状態を作ります。

研修では、条文を読み上げるのではなく、入力可・確認必要・入力不可の考え方を部門別の例で説明します。FAQには「議事録を要約してよいか」「顧客名を伏せれば提案書を入力してよいか」といった現場の質問を判断例として蓄積します。相談先は、SlackやTeamsの専用チャンネルなど現場が使いやすい方法を選びます。

そして、年次または四半期での見直しを規程に組み込みます。ツールの仕様も社内の使われ方も変わるため、問い合わせ内容やインシデントの有無を定期的に棚卸しし、別紙の具体例や承認フローに反映していきます。この更新の仕組みまで含めて設計しておくと、規程が現場から乖離しにくくなります。

生成AI利用規程は、禁止するための文書ではなく、社員が業務で迷わず判断するための基準です。この記事のテンプレート10条を下敷きに、業種・利用ツール・部門差に合わせて別紙を整え、研修と見直しの仕組みまで用意すれば、実際に使われる規程になります。

とはいえ、条文の作成から、部門別の入力情報の分類、研修やFAQ、承認フローの整備までを社内だけで進めるのは負担が大きいものです。自社に合った規程づくりと、その後の定着まで含めて相談したい場合は、無料相談からお気軽にお問い合わせください。現状の利用状況を踏まえて、必要な範囲を一緒に整理します。