生成AI 社内利用ルールのテンプレート｜中小企業向け・そのまま使える条文例（Word 無料）
社員が業務で生成AIを使い始めた中小企業向けに、社内利用ルールのひな形（全 10 条と別表）と、各条の解説をまとめました。国のガイドラインと個人情報保護委員会の注意喚起を参照しながら、TANKA Japan 編集部が独自に書いた条文です。そのままコピーでき、Word 版も無料でダウンロードできます。
社内ルールが必要な理由
中小機構が 2026年3月に公表した実態調査（調査対象 10,000 社（回答 1,647 社）、Web 調査）では、AI を導入している企業は 20.4%、そのうち 82.6% が生成AIを利用しています。
会社として使い方を決めていないと、社員がそれぞれの判断で無料版や個人契約のツールを使い、どの情報がどこに入力されたのかを会社が把握できません。個人情報保護委員会は、一般の利用者に向けても、入力した個人情報が機械学習に使われて出力に含まれる可能性や、出力に不正確な個人情報が含まれる可能性を挙げ、利用規約とプライバシーポリシーを確認するよう呼びかけています。
総務省・経済産業省の「AI事業者ガイドライン」第1.2版（2026年3月31日）は、第5部で AI を利用する側が取り組む事項として、「安全を考慮した適正利用」「個人情報の不適切入力及びプライバシー侵害への対策」「セキュリティ対策の実施」などを挙げています。社内ルールは、これらを自社の言葉と手順に置き換えたものです。
作り方の手順
- 現状を聞く：誰が、どの生成AIを、どの業務に使っているかを把握します。
- 使ってよいツールを決める：学習利用の扱いなどを確認し、別表に載せます。
- 入力してはいけない情報を決める：自社の業務に合わせた具体例を用意します。
- 既存の規程とつなぐ：情報セキュリティ規程や就業規則と矛盾しないようにします。情報セキュリティの規程がない場合は、IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版の付録「情報セキュリティ関連規程（サンプル）」が参考になります。
- 周知して、年に 1 回見直す
生成AI利用規程のひな形（全文）
社名や役職などの空欄は「＿＿」で示しています。項目は自社に合わせて増減してください。
テンプレート本文
生成AI利用規程
制定：＿＿年＿＿月＿＿日 ＿＿株式会社
第1条（目的）
本規程は、当社の役員及び従業員が業務で生成AIを利用する際のルールを定め、情報の漏えいや権利の侵害を防ぎながら、生成AIを安全に業務へ活用することを目的とする。
第2条（適用範囲）
- 本規程は、当社の役員及び従業員（正社員、契約社員、パート・アルバイトを含む。）並びに当社の指揮命令の下で業務に従事する派遣社員（以下あわせて「利用者」という。）に適用する。
- 本規程は、会社が契約したツールか個人で用意したツールか、また利用する場所や端末を問わず、業務のために生成AIを利用するすべての場合に適用する。
- 業務委託先に当社の業務で生成AIを利用させる場合は、本規程に準じた取り扱いを契約で定める。
第3条（定義）
本規程において「生成AI」とは、指示や入力に応じて文章、画像、音声、プログラムなどを生成する AI サービスをいい、他のソフトウェアに組み込まれた AI 機能を含む。
第4条（利用できるツールと申請）
- 業務で生成AIを利用する場合は、原則として別表に掲げるツール（以下「承認ツール」という。）を用いる。
- 承認ツール以外の生成AIを業務で利用しようとする者は、管理責任者に申請し、承認を得なければならない。
- 管理責任者は、承認にあたり次の事項を確認し、その結果を別表に記録する。
(1) 入力した情報が提供事業者の AI モデルの学習に利用されるか否か、及びその設定
(2) 利用規約及びプライバシーポリシーの内容
(3) 利用者ごとのアクセス権の管理方法と、退職・異動時のアカウント停止の方法
(4) 他のツールと連携する場合の連携範囲と、その解除方法
(5) 解約時のデータの取り扱い - 管理責任者は、＿＿（役職）とする。
第5条（入力してはいけない情報）
- 利用者は、承認ツールであっても、管理責任者が個別に認めた場合を除き、次の情報を入力してはならない。
(1) 秘密保持契約その他の契約や法令により、第三者への提供が制限されている情報
(2) 個人情報のうち、当社の利用目的の範囲内であることを確認できないもの
(3) 要配慮個人情報
(4) パスワード、API キー、口座番号、カード番号などの認証情報・決済情報
(5) 未公表の財務情報、人事情報、取引条件など、社外に出すことが認められていない情報 - 承認ツール以外の生成AIには、すでに公開されている情報を除き、当社の業務に関する情報を入力してはならない。
- 入力してよいか判断できない場合は、入力する前に管理責任者に相談する。
第6条（生成物の確認と責任）
- 利用者は、生成AIの出力（以下「生成物」という。）に含まれる事実、数値、固有名詞、法令などの記載を確認してから、業務に利用する。
- 生成物を社外に出す場合（顧客への送付、公開、納品など）は、利用者が内容を確認し、必要に応じて上長の確認を受ける。
- 生成物の内容の確認は、利用者及びその所属部署の責任において行う。生成AIが作成したことを理由に、確認を省略してはならない。
- 顧客との契約に生成AIの利用に関する定めがある場合は、それに従う。
第7条（著作権・個人情報）
- 利用者は、特定の作品や人物に似せることを目的として、他人の著作物、氏名、肖像などを生成AIに入力し、又は指示してはならない。
- 生成物を社外に公開・納品する場合は、既存の作品、ロゴ、商標などと似ていないかを確認する。判断に迷う場合は、公開・納品の前に管理責任者に相談する。
- 個人情報を含む情報を入力する場合は、当社の利用目的の範囲内であること、及び承認ツールが入力した情報を AI モデルの学習に利用しないことを確認する。
- 生成物に個人情報が含まれる場合は、当社の個人情報の取扱いに関する規程に従う。
第8条（セキュリティ）
- 承認ツールのアカウントは会社が発行・管理し、利用者の間で共有しない。
- 承認ツールで多要素認証が利用できる場合は、これを設定する。
- 退職・異動の際は、管理責任者が速やかにアカウントの停止又は権限の変更を行う。
- アカウントの不正利用、又は第5条の情報を入力したおそれに気づいた場合は、直ちに管理責任者に報告する。
- 本規程に定めのないセキュリティ上の事項は、当社の情報セキュリティに関する規程による。
第9条（違反時の対応）
- 本規程に違反する利用があった場合、会社は、当該利用の停止、アカウントの停止その他必要な措置をとることができる。
- 違反が就業規則に定める懲戒事由に当たる場合は、就業規則に従って取り扱う。派遣社員については、派遣元に連絡し、派遣契約に従って対応する。
- 違反により情報の漏えいなどが生じた場合、又はそのおそれがある場合は、管理責任者が状況を確認し、必要な対応を行う。
第10条（改定）
- 管理責任者は、生成AIの技術、サービスの利用条件、法令及びガイドラインの変化を踏まえ、少なくとも年 1 回、本規程を見直す。
- 本規程の改定は、＿＿（承認者）の承認により行う。
- 別表の変更は管理責任者が行い、利用者に周知する。
附則
本規程は、＿＿年＿＿月＿＿日から施行する。
別表 承認ツール一覧
| ツール名 | 提供元 | 契約形態 | 利用できる人 | 学習利用の扱い（確認した文言・確認日） | 連携先 | 承認日 |
|---|---|---|---|---|---|---|
| ＿＿ | ＿＿ | ＿＿ | ＿＿ | ＿＿ | ＿＿ | ＿＿ |
本テンプレートは参考例であり、法的助言ではありません。自社の規程・法令に合わせて調整し、必要に応じて専門家にご確認ください。
Word 版（A4・別表つき）は、メールアドレスのご入力後すぐにダウンロードできます。
Word 版（無料）
テンプレートを Word でダウンロード
稟議書・議事録・社内利用ルールのテンプレートを、Word 形式でお使いいただけます。メールアドレスを入力すると、この場でダウンロードできます。
ダウンロードの準備ができました。
下のリンクから、Word 版を保存してください。
ご入力のメールアドレス：
各条の解説
第1条・第2条（目的・適用範囲）
目的には「禁止」ではなく「安全に活用する」ことを書きます。適用範囲には、会社が契約していないツールや、自宅や私物の端末からの利用も含めます。どこから入力しても、業務の情報であることに変わりはないためです。
第3条（定義）
生成AIは、チャット型のサービスだけでなく、メールや文書作成ソフト、チャットツールに組み込まれた機能としても使われます。「組み込まれた AI 機能を含む」と書いておくと、ルールの対象から漏れる使い方が出にくくなります。
第4条（利用できるツールと申請）
使ってよいツールを別表で明示し、それ以外は申請制にします。3 項の確認事項は、個人情報保護委員会が事業者に求める「機械学習に利用しないこと等を十分に確認すること」と、一般の利用者に呼びかけている利用規約・プライバシーポリシーの確認を、手順に置き換えたものです。確認した文言と確認日を別表に残しておくと、サービスの利用条件が変わったときに見直せます。管理責任者は、小規模な会社なら代表者や総務の担当者が兼ねても構いません。
第5条（入力してはいけない情報）
「機密情報を入力しない」だけでは、何が機密かの判断が人によって分かれます。自社の業務に合わせて、次のような具体例を周知してください。
| 区分 | 例 |
|---|---|
| 承認ツールでも入力しない | 秘密保持契約で預かった資料、顧客の氏名と連絡先の一覧、パスワード、未公表の決算数値 |
| 入力の前に相談する | 取引先名を含む見積書、社内の議事録 |
| 入力してよい（承認ツール） | 自社サイトで公開している文章、一般的な文章の言い換え |
AI事業者ガイドラインも、利用者が取り組む事項に「個人情報の不適切入力及びプライバシー侵害への対策」を挙げています。
第6条（生成物の確認と責任）
個人情報保護委員会は、生成AIの出力に不正確な個人情報が含まれる可能性を挙げています。社外に出すものほど、人が確認してから使う手順を条文にしておきます。確認の責任を「利用者及びその所属部署」に置き、生成AIが作成したことを理由に確認を省略しないと明記するのは、「AI が書いたから」で確認が省かれるのを防ぐためです。
第7条（著作権・個人情報）
生成物が既存の作品に似ていた場合の扱いは、法令や個別の事情によって変わります。このひな形では判断の基準を細かく書かず、「特定の作品に似せる目的で使わない」「公開・納品の前に確認し、迷ったら相談する」という行動のルールにしています。個人情報については、個人情報保護委員会が事業者に、利用目的の範囲内であることと、提供事業者が機械学習に利用しないことの確認を求めています。
第8条（セキュリティ）
アカウントを共有しないこと、退職・異動のときに誰が止めるかを決めておくことが基本です。AI事業者ガイドラインも、利用者の取り組みとして「セキュリティ対策の実施」を挙げています。
第9条（違反時の対応）
懲戒の種類や手続きは、就業規則に定めがあることが多いため、本規程では就業規則に委ねる形にしています。二つの規程の内容がずれずに済みます。情報が漏れたおそれがあるときの連絡先と手順は、情報セキュリティの規程にある事故対応と合わせておきます。
第10条（改定）
生成AIのサービスは、機能や利用条件が変わることがあります。国のガイドラインも改定が続いており、AI事業者ガイドラインは 2024年4月の第1.0版から、第1.01版（2024年11月）、第1.1版（2025年3月）を経て、2026年3月に第1.2版が公表されています。別表とあわせて、見直す日をあらかじめ決めておきます。
TANKA の場合
TANKA を承認ツールとして検討する場合、第4条 3 項の確認事項にあたる内容は、公式サイトに次のように掲載されています（2026年10月17日確認）。
- 学習利用：「お客様のコンテンツを、出力を生成する当社のモデルの学習・再学習・改善に使用しません。」第三者の AI サービスには、該当するサービスの利用条件が適用されます。また「「覚えている」と、「学習に使う」は、違うこと。」として、記憶と学習を分けて説明しています。
- アクセス権：「アクセス権のある情報をもとに回答します。」
- 社外に影響する操作：「送信など相手に影響する操作は、確認してから実行します。」第6条の確認の手順と組み合わせて運用できます。
- データの削除：「個人データの削除請求は、プライバシーポリシーに従い、[email protected]で受け付けています。」契約終了後の扱いは、データ処理契約（DPA）第7条に定めがあります。
- 認証：ISO/IEC 27001:2022 の認証を取得し、SOC 2 Type II 監査を完了しています。適用範囲や資料はお問い合わせください。
詳しくは セキュリティ のページをご覧ください。
よくある質問
JDLA の「生成AIの利用ガイドライン」とは何が違いますか。
日本ディープラーニング協会（JDLA）のひな形（第1.1版、2023年10月公開）は、各組織が活用目的に照らして追加や修正を加えて使う前提で公開されています。本ページの条文は、JDLA のひな形などを参考にしながら TANKA Japan 編集部が独自に書いたもので、JDLA の条文を転載したものではありません。両方を見比べて、自社に合う形を選んでください。
社員 10 人ほどの会社でも、規程は必要ですか。
条文の数は減らしても構いません。少なくとも「使ってよいツール」「入力してはいけない情報」「社外に出す前の確認」の 3 点は書面にして、全員に周知することをおすすめします。
無料版の生成AIは、禁止したほうがよいですか。
一律に禁止するかどうかは、会社の判断です。このひな形では、承認ツール以外の生成AIには、公開済みの情報だけを入力できる形にしています（第5条 2 項）。学習利用の扱いを確認できたツールは、申請を経て別表に加えられます。
規程を作ったら、最初に何をすればよいですか。
別表の承認ツールを決め、第5条の「入力してはいけない情報」を具体例とともに全員に説明します。運用の中で迷った例を集めておき、年 1 回の見直しで条文に反映します。
関連ページ
出典
- 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（令和8年3月31日） https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html、https://www.soumu.go.jp/main_sosiki/kenkyu/ai_network/02ryutsu20_04000019.html（確認日：2026年10月17日）
- 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（令和5年6月2日） https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/、別添１ https://www.ppc.go.jp/files/pdf/230602_alert_generative_AI_service.pdf（確認日：2026年10月17日）
- 日本ディープラーニング協会「生成AIの利用ガイドライン」（第1.1版、2023年10月公開） https://www.jdla.org/document/（参考として掲載。条文は転載していません。確認日：2026年10月17日）
- IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版 https://www.ipa.go.jp/security/guide/sme/about.html（確認日：2026年10月17日）
- 中小機構「中小企業のAI等の利活用に係る実態調査」（2026年3月） https://www.smrj.go.jp/research_case/questionnaire/fbrion0000002pjw-att/202603_AI_point.pdf（確認日：2026年10月17日）
- TANKA 公式サイト https://jp.tanka.ai/security、https://jp.tanka.ai/memory（確認日：2026年10月17日）
本テンプレートは参考例です。自社の規程・法令に合わせて調整してください。法的助言ではありません。
