3行でいうと

  • AI事業者ガイドラインは義務ではありません。自社の規模や状況に合わせて、過不足なく対応するものです。
  • 手引き（案）が最初に勧める4つは、使われ方の把握、相談窓口、事故の連絡窓口、ルールを書いて広めることです。
  • 似た体制が社内にあれば、AIのために新しく作らなくてもよいと、手引き（案）に書かれています。
  • 見立てでは、小さな職場なら、情報の3段階・使ってよい道具・相談先を書いた1枚から始められます。

この記事は、公式・一次資料（官公庁の文書）を読んでまとめたものです。この記事は、実際に使って確かめた記録ではありません。法律や契約の話は、資料の紹介です。自分の職場のルールが法律に合っているかどうかの個別の判断は、弁護士や社会保険労務士など専門家に相談してください。

先に結論

何が問題なのか

具体的な場面です。

決まりがないと、「何をしてよいか」が人によって違います。しかも、問題が起きたとき、誰に連絡すればよいかも分かりません。

公式資料に書かれていること

AI事業者ガイドライン（第1.2版、2026年3月31日）：利用者に向けた項目

総務省・経済産業省の「AI事業者ガイドライン」第1.2版の第5部は、事業でAIを使う側（AI利用者）に向けた項目です。ルールに入れる材料として使える部分を、言い換えて拾います。

  • 安全な使い方：AIの提供会社が定めた注意点を守り、想定された範囲で使う。AIの出力の精度とリスクを理解したうえで使う。（U-2）
  • 個人情報：AIに個人情報を不適切に入力しないよう注意を払う。（U-4）
  • 機密情報：提供会社のセキュリティ上の注意を守る。機密情報などを不適切に入力しないよう注意を払う。（U-5）
  • AIの出力を人の評価の参考にする場合：評価される人にAIを使っていることを知らせる。人間による合理的な判断をはさむ。AIの出力を信じすぎる傾向（自動化バイアス）にも注意する。求められれば説明する。（U-7。自動化バイアスや人間の判断をはさむ話は、第2部の共通の指針にもあります。項目の対応は、僕らは本文で細かく確かめられていません）
  • 提供会社の規約を守り、AIサービスに付いてくる文書を活用する。（U-7）

このガイドラインは法律ではなく、法的な拘束力のない、いわゆるソフトローです（詳しくは、同じ連載のガイドラインの記事に書きました）。

「活用の手引き（案）」（2026年3月）：これから始める人向け

同じ省庁が出した手引き（案）は、AIのルールづくりをこれから始める人に向けたものです。案の段階なので、今後見直される可能性がある、と書かれています。内容から、ルールの作り方に関わる部分を紹介します。

「はじめに着手するとよい」4つの土台

土台 手引き（案）の説明（言い換え）
社内のAIの使われ方を把握する仕組み 利用者からの申請や、定期的なアンケート・聞き取りで、どの部門が、どんな目的で、どのAIを、どんなデータで使っているかを、継続的に集める
リスクを相談できる体制 現場に足りないAIリスクの知識や観点を相談できる窓口を置く。運用の負担を考えて、すべてを窓口に集めるのではなく、基準を設けて、相談が必要な場合と、セルフチェックで済む場合を分ける
事故が起きたときの連絡窓口と対応の流れ 速やかに報告できる窓口を設ける。評価・応急措置だけでなく、社内外への説明・報告の流れも、事前に考えて予行演習しておく
ルールを整えて広める 外向けのAIポリシー、社内向けのガイドライン・規程・マニュアル・チェックリストなどを文章にして、共通の認識を作る。社内教育も含めて浸透させる

リスクに応じて変える（リスクベースアプローチ）

手引き（案）は、リスクの大きさ（影響の大きさと起こりやすさ）に応じて対策の強さを変える考え方を紹介しています。例として、リスクを2段階に分け、ハイリスクのものはリスク評価の担当部署で対応を検討し承認を得る、そのほかは部署内のセルフチェックで対応する、という図があります。

ほかにも：教育では、経済産業省のマナビDXなどの外部教材の活用例が、契約では、既存の契約ひな形ではAI特有の論点を拾いきれない場合の留意点が、紹介されています。契約は、別のガイドライン（「AI・データの利用に関する契約ガイドライン」など）を読むよう案内されています。

IPA：ルールに入れたい、3つの具体例

IPAの「AI利用者のためのセキュリティ豆知識」（公開は2026年4月2日。資料には「2025年12月版」の表示と「2026年3月」の日付がある）には、職場のルールに入れやすい助言があります。

  • クラウド型のチャットAIに営業秘密を入れない。入力した内容は運営企業に渡り、学習に使われる場合がある。サービスの規約や設定を確認する。
  • AIブラウザは、社内用と社外用を分ける。ウェブページに悪意のある指示が含まれると、AIが誤って動くことがあり、対策は不完全。常用のAIブラウザでは、社内ポータルなど大事な情報にアクセスしない。
  • AIが社内の文書とメールなどを一緒に取り込む仕組みでは、不正なメールの混入で情報が漏れるおそれがある。取り込む範囲を限るなど、運用を検討する。

ルールのつくり方（順番）

ここからは、公式資料の土台に沿った、僕らの整理です。

手順1：まず現状を集める。 手引き（案）の1つ目の土台です。「誰が、どのAIを、何に使っているか」を、責める目的ではなく、短いアンケートで聞きます。個人のアカウントで使っている人がいることも、前提にします。

手順2：入れてよい情報を3段階に分ける。 見立てです。手引き（案）の例は2段階ですが、小さな職場では3段階のほうが、迷いが減ると思います。

段階 例 ルールの書き方
入れてよい 公開済みの資料、一般的な調べもの 会社が許可した道具で。自由に
条件つき 社内の一般的な文書、議事録の要点 会社の契約した環境だけで。名前などは伏せる。迷ったら窓口へ
入れない 顧客や従業員の個人情報、取引先の秘密、未発表の情報、パスワードや認証コード 原則禁止。例外は責任者の承認が必要

どの資料がどの段階に当たるかは、会社ごとに違います。個人情報や営業秘密の扱いは、法律や契約が関わるので、同じ連載の「会社の資料をAIに入れる前に確認すること」の記事も見てください。

手順3：使ってよい道具を決める。 ガイドラインは、提供会社が想定した範囲での利用と、規約の順守を求めています。「会社が契約したサービスだけ」「個人のアカウントでは仕事の資料を入れない」といった形で、道具の名前と契約の種類を書きます。会社向けの契約と個人向けの契約で、入力の扱いが違うことは、別の記事に書きました。

手順4：相談窓口と、事故のときの連絡先を決める。 手引き（案）が土台に挙げた2つです。担当者の名前と連絡方法を書きます。既存の体制（情報システム、総務、法務）が使えるなら、そこに寄せてよい、と手引き（案）にあります。「間違って入れたかもしれない」と気づいたとき、すぐ言える雰囲気も、運用の一部です。

手順5：出力の確認ルールを書く。 ガイドラインの考え方（AIを過信しない、人間の判断をはさむ）を踏まえて、AIの出力は、人間が確認してから使う、と決めます。取引先に出す文章、数字、法律や契約に関わる内容、人を評価する材料は、特に確認を厳しくします。人の評価に使う場合は、AIを使ったことを、評価される人に伝えるとよいと思います（僕らの提案です）。

手順6：広めて、見直す。 ガイドライン自体が、状況に合わせて更新し続ける文書（Living Document）とされ、手引き（案）も、見直しのサイクルを回し続けることを勧めています。ルールにも、見直しの日付を入れておきます。たとえば、半年ごと。

1枚にまとめる項目（ひな形）

見立てです。小さな職場なら、次の項目が1枚にあれば、出発点になると思います。法的な文書ではなく、僕らの整理した項目の一覧です。

項目 書く内容の例 根拠にした資料
目的 何のためにAIを使うか、使わないか 手引き（案）
使ってよい道具 会社が契約したサービスの名前。個人アカウントの扱い ガイドライン U-2、U-7
情報の3段階 上の表 ガイドライン U-4、U-5、IPA
入れてはいけないもの パスワード、認証コード、APIキー、他人の個人情報 ガイドライン U-4、U-5
外部の文章を読ませる場合 AIブラウザの使い分け、取り込む範囲の限定 IPA
出力の確認 誰が、何を確認するか。人の評価に使うときの扱い ガイドライン U-2、僕らの整理
相談窓口 名前、連絡方法 手引き（案）
事故のときの連絡 誰に、いつまでに。間違って入れたと気づいたときも 手引き（案）
教育 入社時や年1回の勉強会 手引き（案）
見直し 次の見直し日 ガイドライン、手引き（案）

気をつけること

出典

更新履歴