社員はChatGPTに何を入力していい？中小企業のAI利用ルールの作り方｜ひな形付き

社員が生成AIを業務で使い始めたら、最初に決めるべきなのは「どのAIサービスに、どんな情報を入力してよいか」です。
禁止するだけでは、社員が個人のアカウントでこっそり使う「シャドーAI」が増え、かえって情報漏えいの心配が大きくなります。安心して使える線引きを、A4 1枚のルールにまとめるのが現実的です。
株式会社Next Operation（仙台市）は、ChatGPT/Claudeの導入設計から、利用ルールの整備、社員研修までを支援しています。まず決めることの全体像を表で示し、そのあとに作り方と、そのまま使えるひな形を紹介します。

概要：AI利用ルールで決める5つのこと

この5つが決まっていれば、社員は「ここまでなら使ってよい」と判断できます。細かい禁止事項を並べるより、まずこの5つを1枚にまとめることから始めましょう。

なぜ今、AI利用ルールが必要なのか

IPA（情報処理推進機構）が2026年1月に発表した「情報セキュリティ10大脅威 2026」の組織編では、「AIの利用をめぐるサイバーリスク」が3位に初めて選ばれました。解説書では、主なリスクとして次のようなものが挙げられています。

• シャドーAI： 社員が個人で使うAIサービスに業務の情報を入力し、情報が漏れるおそれがある。会社はその利用を把握できない
• ハルシネーション： AIが、事実と異なる内容をもっともらしく出力することがある
• 攻撃のしやすさ： AIの翻訳の力が上がり、さまざまな言語のフィッシングメールが作りやすくなっている

あわせて、総務省と経済産業省は2026年3月31日に「AI事業者ガイドライン（第1.2版）」を公表しました。AIを開発・提供する会社だけでなく、AIを業務で使う会社も対象で、取り組みを確認するためのチェックリストやワークシートも公開されています。

禁止しすぎても、ゆるすぎても失敗する

当社の代表は、以前勤めていた大手のコンサルティングファームで、業務の情報を入力できない社内向けのAIしか使えない環境にいました。考えを整理する相手としては役に立っても、実際の資料や数字を扱えないため、仕事の進め方はほとんど変わりませんでした。
一方で、ルールが何もない会社では、社員がそれぞれの判断で無料のAIサービスにお客様の情報を入力してしまうことがあります。

• 厳しすぎるルール： 使われない。または、隠れて個人のアカウントで使われる
• ルールがない： 慎重な社員ほど使わず、使う社員は入力してはいけない情報まで入力してしまう

大切なのは、「ここまでなら安心して使ってよい」という線を、会社がはっきり示すことです。

最初に決める5項目の考え方

1. 使ってよいAIサービス

会社として使うサービスを決め、できれば法人向けのプランで契約します。個人向けのプランでは、設定によって、入力した内容がAIの学習に使われる場合があります。法人向けのプランは、標準で学習に使わない扱いのものが多くあります。契約の前に、各社の利用規約とデータの扱いを確認してください。
個人のアカウントでの業務利用は、原則として認めない方が安全です。

2. 入力してよい情報

次の章の「3段階の判断表」で決めます。

3. 出力の確認

AIの回答には、誤りや古い情報が含まれることがあります。社外に出す文章、お客様への回答、金額や日付などの数字、法律や税金に関わる内容は、必ず人が確認してから使います。AIが作ったものでも、最終的な責任は、使った人と会社にあります。

4. 費用と契約

誰が契約し、アカウントを管理するかを決めます。社員が辞めたときに、アカウントを止める手順も決めておきます。
使った分だけ料金がかかるサービス（APIなど）を使う場合は、毎月の利用の上限と、通知の設定をしておきます。管理の甘いAPIキーが悪用され、高額な請求が発生した例も報告されています。

5. 相談先と見直し

「この情報は入力してよいか」と迷ったときに聞ける担当者を決めます。AIのサービスや機能は数か月で変わるため、ルールは半年に1回を目安に見直します。

入力してよい情報の判断表

迷ったときは、「この内容が社外に漏れたら、誰かが困るか」で判断します。困る人がいるなら、伏せるか、入力しません。

「入力しない」に入れた情報も、社内のシステムと安全につないだAIの仕組みであれば、扱える場合があります。その場合は、社員の使い方のルールとは別に、仕組みとして設計します。

そのまま使えるAI利用ルールのひな形

A4 1枚に収まる、最小限のひな形です。（　）の中を自社に合わせて書き換えて使ってください。

生成AI利用ルール（ひな形）

1. 目的
このルールは、社員が生成AIを安心して業務に使えるよう、使ってよい範囲を定めるものです。

2. 使ってよいAIサービス
会社が契約した次のサービスだけを使います。（例：ChatGPT・Claudeの法人向けプラン）
個人のアカウントや、会社が認めていないサービスを、業務に使ってはいけません。

3. 入力してよい情報

• 公開済みの情報と、一般的な質問は入力してよい
• 社内の情報は、個人名・会社名・連絡先・金額を伏せてから入力する
• 個人番号、健康の情報、給与・人事評価、パスワード、未公表の経営の情報、秘密保持契約の対象の情報は入力しない

4. 出力の確認

• AIの回答は、必ず内容を確認してから使う
• 社外に出す文章、数字、法律・税金に関わる内容は、（担当者）が確認してから使う

5. 費用とアカウント

• 契約とアカウントの管理は（担当部署）が行う
• 使った分だけ料金がかかるサービスは、月（　）円を上限とする

6. 相談と報告

• 迷ったときは（担当者）に相談する
• 入力してはいけない情報を誤って入力したときは、すぐに（担当者）に報告する

7. 見直し
このルールは、半年に1回を目安に見直します。

（制定日：　　年　　月　　日）

ルールを社内に定着させる4つのコツ

1. 説明会を開く。 ルールを配るだけでなく、「AIで何ができるようになるか」の実演とセットで説明します。
2. よく使う場面の例を共有する。 議事録の要約、メールの下書き、Excelの関数の質問など、すぐに試せる例を示します。
3. 迷った事例を集めて、ルールに足す。 「これは入力してよいか」という質問は、ルールを良くする材料です。
4. 半年ごとに見直す。 AIのサービスや機能の変化に合わせて、使ってよいサービスや範囲を更新します。

当社の支援

当社のChatGPT/Claude導入支援では、効果の大きい業務の選定とあわせて、情報管理・利用ガイドラインを整備します。貴社の実業務を教材にした社員研修から、AIエージェントの業務への組み込みまで伴走します。
導入後に、ルールの見直しや新しいAIツールの選び方を相談できる相手がほしい場合は、月額のAI顧問でもご相談いただけます。

関連するサービス：ChatGPT/Claude導入支援／AI顧問／業務改革コンサルティング

経理・労務での具体的なAIの使い方は、経理のAI活用事例と労務のAI活用事例で紹介しています。

参考にした公式情報（2026年11月3日確認）

• 情報セキュリティ10大脅威 2026（IPA）
• 情報セキュリティ10大脅威 2026 解説書［組織編］（PDF）（IPA）
• AI事業者ガイドライン（経済産業省）
• 「AI事業者ガイドライン」掲載ページ（総務省）

よくある質問

無料版のChatGPTやClaudeを、業務で使ってもよいですか？

無料版や個人向けのプランは、設定によって入力内容がAIの学習に使われる場合があり、会社として利用の状況も管理できません。業務で使う場合は、会社が契約した法人向けプランに限るのが安全です。費用が気になる場合は、まず少人数で法人向けプランを試し、効果を確かめてから広げる方法があります。

AIで作った文章を、そのまま社外に出してもよいですか？

AIの回答には誤りや古い情報が含まれることがあるため、社外に出す前に必ず人が確認してください。既存の文章や画像に似た内容が出力されることもあるため、そのまま公開する文章や画像は、特に注意が必要です。

ルールを作ったのに、社員がAIを使ってくれません。

ルールを配るだけでは、使い方が分からず広がりません。業務ごとの使い方を実演する研修や、よく使う依頼文の例を社内で共有すると、使う人が増えていきます。当社のChatGPT/Claude導入支援では、貴社の実業務を教材にした研修を行っています。

AIの導入に補助金は使えますか？

業務ソフトやクラウドサービスの導入には、デジタル化・AI導入補助金などが使える場合があります。宮城・仙台の制度は宮城・仙台でAI導入に使える補助金は？で整理しています。対象になるかは、DX補助金診断（5つの質問・約2分、無料）でも確認できます。