AI利用の社内ガイドラインの作り方｜使ってよい範囲の決め方
「このAI、業務で使っていいんですか」
メンバーからそう聞かれて、少し言葉に詰まったことはありませんか。ダメだとは思わない。でも「いいよ」と即答するのも、なんだか怖い。会社としての決まりが無いから、自分の一存で線を引くことになってしまう——その居心地の悪さは、多くの開発現場が今まさに抱えているものです。
上からは「AIを活用しろ」と言われる。でも「どこまで使っていいか」は誰も決めていない。結果、各自がそれぞれの判断で使い始めます。慎重な人は使わず、気にしない人はどんどん貼る。この差が、いちばん危ないところです。
この記事は、AI利用の社内ガイドラインを、現場の手で作る話です。法務部門が何ヶ月もかけて作る規程ではありません。開発リーダーが今週中に叩き台を出せて、現場が明日から迷わなくなる、A4一枚くらいのものを目指します。
結論：AI利用ガイドラインは、禁止リストから作らない。「使う道具」「入れない情報」「人が確認」「相談先」「見直し」の5つを決めた1枚から始めます。①使う道具——会社として使ってよいAIツールを名指しで挙げ、それ以外を使いたいときの申請先を書く。②入れない情報——「これだけは外部AIに貼らない」という一線を、具体名で3〜5個に絞る（顧客の個人情報、未公開の機密情報、契約で守秘が課されたコードなど）。③人が確認——AIの出力は下書き扱いで、最終的な確認と責任は人が持つことを明記する。④相談先——迷ったときに聞ける窓口を1つ決める。「聞いても止められない」と書き添えるのが肝心です。⑤見直し——「3ヶ月後に見直す」と期日を入れる。ツールも状況も動くので、完成させずに走らせます。分量はA4一枚。読まれない10ページより、読まれる1枚です。
一度で完璧なものを作らなくて大丈夫です。 まずは「入れない情報」の一線と「相談先」の2つだけでも、現場はかなり動きやすくなります。
何が起きているのか——決まりが無い状態は、現場にとってもしんどい
まず、いま起きていることを整理させてください。ガイドラインが無い職場で起きているのは、たいてい次のような状態です。
- 判断が個人に降りてくる：「使っていいですか」と聞かれた人が、その場で線を引くことになる。判断した人だけが、後で責任を負う空気になる。
- 慎重な人ほど使えない：まじめな人ほど「勝手に使って問題になったら」と考えて手を出さない。逆に気にしない人は自由に使う。まじめさが損をする構図が、いちばん士気に響きます。
- 聞くと止められそうで、聞けない：「相談したら禁止と言われる」と思われると、誰も相談しなくなります。そして水面下で使われる——いわゆるシャドーAIの温床です（シャドーAIとは｜放置リスクと現場での向き合い方に詳しく整理しています）。
- 説明できない：クライアントや監査に「御社ではAIをどう扱っていますか」と聞かれたとき、答える材料が無い。実際には慎重にやっているのに、それを示せない。
ここで大事なのは、現場が悪いわけではないということです。決まりが無い中で、みんな自分なりに考えて動いています。足りないのは意識ではなく、判断の拠りどころのほうです。
そしてもうひとつ。ガイドラインを作ろうとすると、つい禁止リストから書き始めてしまうんですよね。「〜してはいけない」を並べたくなる。でも禁止だけの文書は、現場では次のように受け取られます。
「要するに、使うなということか」
これだと、活用しろという上の方針とも噛み合いません。書くべきは「ここまでは安心して使っていい」という許可の範囲です。禁止は、その中の一線として最小限に。順番が逆になるだけで、読まれ方がまるで変わります。
① 使う道具——「これは使っていい」を名指しで書く
最初の欄は、使ってよいAIツールを具体名で挙げることです。抽象的な「業務上適切なツール」ではなく、実際の名前を書きます。
- 会社で契約しているツールを挙げる：法人契約のプラン、社内で立てた環境、開発ツールに組み込まれたAI機能など。契約済みのものが正規ルートだと分かるだけで、現場は迷わなくなります。
- 無料版・個人アカウントの扱いを決める：ここは曖昧にせず書きます。「個人アカウントでの業務利用は不可」なのか「機密を含まない範囲なら可」なのか。決めきれなければ「当面は相談先に確認」でも構いません。空欄より、暫定でも書いてあるほうがいいです。
- 入力が学習に使われない設定になっているかを確認して書く：多くのツールに、入力内容を学習に使わせない設定やプラン区分があります。どの設定が有効になっているかを確認したうえで「この条件で契約している」と一行添えると、現場の不安がひとつ減ります。設定名や条件はツール側で変わることがあるので、確認日を添えておくと親切です。
- 新しいツールを使いたいときの申請先を書く：ここが無いと、勝手に増えるか、誰も新しいものを試せないかの両極になります。「まず相談先に一声かける」程度で十分です。
利用規約まわりで何を見ればいいかはAI利用前に規約・コンプライアンスで確認する項目｜3方向の型にまとめています。ガイドラインを書く前に、一度目を通しておくと書きやすくなります。
② 入れない情報——一線は3〜5個に絞る
ここが、ガイドラインでいちばん大事な欄です。そして絞るほど守られます。
10個並べると、誰も覚えません。3〜5個に絞って、具体名で書く。おすすめは、この形です。
- 顧客・従業員の個人情報：氏名、連絡先、生年月日などを含むデータ。テスト用に本番データをコピーして貼る、が現場でいちばん起きやすい型です。
- 未公開の機密情報：発表前の製品情報、価格・原価、人事情報など。
- 契約で守秘が課されているもの：受託開発のソースコード、クライアントから預かった仕様書・データ。発注元との契約でAI利用が制限されている場合があるので、ここは必ず確認しておきたいところです。
- 認証情報：APIキー、パスワード、接続文字列。うっかり設定ファイルごと貼ってしまう事故が起きやすい所です。
そして、「これに当たるかどうか迷ったら、貼る前に相談先へ」と一行添えます。判断がつかないものを現場に押しつけない。ここが効きます。
書き方のコツは、理由も一行だけ添えることです。「なぜダメか」が分かると、書いていない場面でも自分で判断できるようになります。
悪い例：顧客情報の入力は禁止。
良い例：顧客の個人情報は入力しません。外部サービスに預けた時点で、こちらで管理・削除できなくなるためです。判断に迷うものは、貼る前に相談先へ一声かけてください。
どこまでが「機密」で、どこからが大丈夫なのかの線引きは社内データをAIに渡す前の線引き｜情報漏えいを防ぐ型で分解しています。ガイドラインの2つ目の欄を書くときの下敷きにどうぞ。
③ 人が確認——AIの出力は「下書き」だと明記する
3つ目の欄は、出てきたものをどう扱うかです。ここを書いておかないと、後で「AIがそう言ったので」という説明が生まれてしまいます。
書くのは、次の3点で足ります。
- AIの出力は下書き扱いとする：そのまま納品物・本番コード・顧客への回答にしない。必ず人が内容を確かめてから使う。
- 最終的な確認と責任は、使った人が持つ：これは責める意味ではありません。「AIのせい」にできない代わりに、AIを使ったこと自体は咎められないという宣言でもあります。書き方次第で、むしろ現場を守る一文になります。
- 事実・数字・出典は裏を取る：もっともらしい誤り（ハルシネーション）は、形が整っているぶん見過ごされます。AIのハルシネーションの見抜き方｜開発現場で気づく型の観点を、そのまま1行に圧縮して入れておくと分かりやすいです。
コードについては、もう一歩具体的に書けます。「AIが書いたコードも、人が書いたコードと同じレビューを通す」——これだけで十分です。レビューで何を見るかはAI生成コードのレビュー・検証チェックリストに整理しているので、ガイドラインからはリンクだけ張って、中身は別紙に逃がすときれいにまとまります。
責任の所在まわりで気になることがあれば、AI生成物の責任は誰が負う？実務での扱いを整理も合わせて確認しておくと安心です。
④ 相談先——「聞いても止められない」と書き添える
4つ目は、迷ったときの窓口です。ここは1行で済みますが、この1行があるかどうかでガイドラインの寿命が変わります。
- 窓口を1つに決める：情シス、開発リーダー、あるいは社内のチャンネル1つ。複数あると、どこに聞くか迷って結局聞かないので、まず1つに絞ります。
- 「聞いても止められない」と明記する：これが本当に肝心です。相談が「使用禁止の申告」に見えると、誰も相談しません。「まず聞いてもらえれば、使える形を一緒に探します」という姿勢を、文章として残しておきます。
- 回答の目安を書く：「2営業日以内に返します」程度で十分です。返事が来ないと、次から聞かなくなります。
窓口を担当する人が忙しすぎて回らない、というのもよくある話です。その場合は「よくある質問と回答」を1枚追加して、同じ質問を減らしていくのが現実的です。同じ質問が3回来たら、ガイドラインに追記する——このくらいの運用で、文書は自然に育ちます。
⑤ 見直し——完成させずに走らせる
最後の欄は、次にいつ見直すかです。日付を1つ入れるだけ。
AIのツールも料金も規約も、動きの速い領域です。「完成した規程」にしようとすると、いつまでも出せません。3ヶ月後に見直す前提で、今の時点でのベストを出す。そのほうが、現場は早く助かります。
見直しのときに見るのは、この3つで十分です。
- 相談窓口に来た質問：現場が実際に迷った所が、そのまま追記すべき項目です。
- 使っているツールの変化：契約プランの変更、新しく入ったツール、提供終了したもの。
- 書いてあるのに守られていない項目：これは現場が悪いのではなく、ルールが現実に合っていないサインであることが多いです。責める前に、なぜ守れないのかを聞きます。
作り方の進め方——1人で書かない
中身の話をしてきましたが、作り方の手順も同じくらい効きます。おすすめは、この順番です。
- 叩き台を1人で書く（30分）：いきなり合意形成から入ると進みません。まず自分で1枚書いてしまう。完成度は6割で構いません。
- 現場の数人に見せて、実態を聞く（30分）：「今どう使ってる？」を先に聞きます。書いた線が現実とズレていたら、線のほうを直す。ここで現場の実態を拾えると、形骸化しにくくなります。
- 情シス・法務・上長に確認する：ここで初めて上げます。叩き台があると、議論が「作るか作らないか」ではなく「どこを直すか」から始まるので、圧倒的に速いです。受託開発なら、発注元との契約条件も合わせて確認します。
- 配る（読んでもらう工夫つき）：メール添付だけだと読まれません。朝会で5分説明する、チャットに1枚画像で貼る、新メンバーの受け入れ手順に組み込む。「どこにあるか分かる」状態にするところまでがセットです。
- 3ヶ月後に見直す：カレンダーに入れておきます。
「そんな権限は無い」と感じるかもしれません。でも、現場が書いた叩き台は強いです。実態を知っている人が書いたものは、上から降りてくる規程より現実的で、直しやすい。「たたき台なので、おかしい所は直してください」と添えて出せば、越権にはなりません。
チームに広げるときの温度差についてはチームにAIツールが浸透しない｜抵抗との向き合い方も参考になります。
形骸化させないための、小さな工夫
せっかく作っても読まれない——これがいちばん多い結末です。防ぐための工夫を、小さいものだけ挙げます。
- 1枚に収める：長いほど読まれません。詳細は別紙にリンクで逃がす。
- 禁止より許可を先に書く：読んだ人が「使っていいんだ」と分かる並びにする。
- 具体名で書く：「適切なツール」ではなく実際のツール名。「機密情報」だけでなく「顧客名簿・APIキー」のような具体例。
- 迷ったときの逃げ道を必ず書く：「判断に迷ったら相談先へ」。この一行が、書ききれなかった全部をカバーします。
- 守れない項目は、責める前に直す：ルールが現実に合っていないほうを疑う。
- 更新履歴を1行残す：「いつ・何を変えたか」が見えると、生きている文書だと伝わります。
そして、これがいちばん大事かもしれません。ガイドラインは、現場を縛るためではなく、現場が安心して使えるようにするための道具です。「使っていいですか」と聞かれたときに、「この範囲なら大丈夫だよ」と即答できる状態を作るのが目的。その視点で書くと、文章の温度が変わります。
明日からやること（まずこの3つ）
大きな会議は要りません。まずこの3つから。
- 「入れない情報」の一線を3つ、書き出す：顧客の個人情報・認証情報・契約で守秘が課されたもの。この3つを書くだけで、いちばん重い事故は避けられます。 10分で書けます。
- 相談先を1つ決めて、周知する：チャンネル1つでも構いません。「聞いても止めないので、迷ったらここへ」と一言添えて共有する。
- 今チームで使っているツールを、把握するために聞いてみる：責める場ではなく「何に使ってる？」を聞く場として。実態が分かってから線を引いたほうが、守られるルールになります。
①〜⑤を全部そろえるのは、後からで大丈夫です。 今日「入れない情報」の3行を書けたなら、それだけでチームは前より守られています。
AI利用ガイドラインのチェックリスト
叩き台を書いたあと、配る前にさっと確認します。全部に○が要るわけではなく、気になる所だけで十分です。
① 使う道具
- 使ってよいツールを、具体名で挙げているか
- 無料版・個人アカウントの扱いを決めているか（暫定でも可）
- 入力が学習に使われない設定・条件を確認し、確認日を添えているか
- 新しいツールを使いたいときの申請先を書いているか
② 入れない情報
- 一線を3〜5個に絞れているか（多すぎて覚えられなくないか）
- 「機密情報」で終わらず、具体名（顧客名簿・APIキーなど）で書いているか
- なぜダメかの理由を、一行添えているか
- 受託案件なら、発注元との契約条件を確認したか
- 「迷ったら貼る前に相談」の逃げ道を書いているか
③ 人が確認
- AIの出力は下書き扱いだと明記しているか
- 最終確認と責任の所在を書いているか（責める調子になっていないか）
- 事実・数字・出典の裏取りに触れているか
- コードは通常と同じレビューを通す、と書いているか
④ 相談先
- 窓口を1つに絞っているか
- 「聞いても止められない」と書き添えているか
- 回答の目安（何営業日か）を書いているか
⑤ 見直し・届け方
- 次に見直す日付を入れているか
- A4一枚に収まっているか
- 禁止より先に「使ってよい範囲」を書いているか
- 配って終わりでなく、どこにあるか分かる状態にしたか
- 現場の数人に見せて、実態とのズレを直したか
この記事のまとめ
「使っていいんですか」に即答できないのは、あなたの準備不足ではありません。決めるべきことを、まだ誰も決めていないだけです。そしてそれは、たいてい「誰が決めるか」が決まっていないから起きています。
だからこそ、現場から1枚出してしまうのがいちばん速い。使う道具、入れない情報、人が確認、相談先、見直し。この5つを書いた紙が1枚あるだけで、チームの誰もが同じ線の内側で動けるようになります。完璧である必要はありません。3ヶ月後に直せばいい。
そして忘れたくないのは、ガイドラインは現場を縛る紙ではなく、現場を守る紙だということです。線が引いてあるから、その内側では思いきり使える。「勝手にやった」と言われずに済む。書くことは、現場の自由を減らすのではなく、増やす仕事です。
「AIを活用しろ」と言われる側にいると、旗を振るのはいつも自分の役目になりがちです。その中で、使う人が安心できる線を引く仕事は、地味ですがいちばん現場に効きます。
今日、紙の隅に3行書けたなら、それはもうガイドラインの始まりです。上から降りてくるのを待たなくて大丈夫。困ったときの相談先についてはシャドーAIとは｜放置リスクと現場での向き合い方、そもそも何から確認するかは「AIで何とかしろ」と言われたら｜まず確認する6つも、必要なときにのぞいてみてください。