生成AI利用のリスクにどう備える？中小企業がすぐに整備したいAI利用規程のポイント

生成AIを業務で利用する企業が増える一方、顧客情報や機密情報の漏えい、誤情報の利用、著作権侵害などのリスクも生じています。こうした問題を防ぐには、社員個人の判断に任せず、会社として共通の利用ルールを定めることが必要です。本記事では、AI利用規程が必要とされる理由や国のガイドラインの考え方、中小企業で起こりやすいリスクを整理した上で、規程に盛り込みたい5つの項目を解説します。 💡この記事のポイント  ☑生成AIは業務効率化に役立つ一方、情報漏えいや誤情報、著作権侵害などのリスクもあります。総務省・経済産業省が公表した「AI事業者ガイドライン」では、AIを利用する企業が意識すべき考え方や取組が示されています。  ☑AI利用規程では、利用目的や入力を禁止する情報、人による確認など、生成AIを安全に業務で活用するための基本ルールを明確にしておくことが重要です。  ☑AI利用規程は作成して終わりではありません。社員への周知や教育を行うとともに、利用状況や技術の変化に応じて定期的に見直すことが、安全なAI活用につながります。 目次 閉じる 開く １．AI利用規程はなぜ必要なのか ２．AI利用で国のガイドラインが示す考え方 (1) AIを使う企業にも責任がある (2) 最終的な判断は人が行う (3) ルールは作って終わりにしない ３．中小企業で起こりやすいAI利用のリスク (1) 入力してよい情報と禁止する情報を決める (2) AIの回答は必ず人が確認する ４．AI利用規程は、まずこの5項目を決める (1) 利用目的を定める (2) 入力を禁止する情報を定める (3) 人による確認をルール化する (4) 利用するAIサービスを定める (5) 教育と見直しの方法を定める ５．AI利用規程は作成後の運用が重要 1．AI利用規程はなぜ必要なのか  生成AIは、文章やメールの作成、企画書の下書き、情報収集など、さまざまな業務を効率化できる便利なツールです。人手不足や業務効率化が課題となっている中小企業でも、生産性を高める手段として活用が広がっています。  一方で、使い方を誤れば、思わぬトラブルを招きます。便利だからといって、利用方法を社員個人の判断に任せるのは適切ではありません。  例えば、営業担当者が顧客情報を入力して提案書を作成したり、経理担当者が契約書を生成AIに読み込ませて要約したりすることがあります。業務効率化を目的とした利用でも、入力した内容によっては、機密情報や個人情報の漏えいにつながるおそれがあります。  注意したいのは、情報漏えいだけではありません。AIが作成する文章は自然で説得力がありますが、内容が常に正しいとは限りません。誤った情報を十分に確認しないまま社内資料や顧客への説明に利用すれば、企業の信用を損なう結果にもなりかねません。  生成された文章や画像の利用によって、著作権などの権利侵害を指摘される可能性もあります。回答をそのまま採用せず、人が内容を確認することが欠かせません。このように、問題となるのは生成AIそのものではなく、適切なルールがないまま利用することです。  生成AIを業務で利用する際には、社内で基本的なルールをあらかじめ定めておく必要があります。特に明確にしておきたいのは、次の3点です。  ・利用目的  ・入力を禁止する情報  ・生成AIの回答確認方法  AI利用規程は、利用を制限するためのものではありません。社員が共通の基準で判断できる環境を整え、業務効率化とリスク管理を両立するための社内ルールです。 ２．AI利用で国のガイドラインが示す考え方  生成AIの活用が急速に広がる中、総務省と経済産業省は2024年4月に「AI事業者ガイドライン」の第1.0版を公表しました。その後も、技術や社会環境の変化を踏まえて改訂が続けられ、2026年3月には第1.2版が公表されています。  このガイドラインは、AIを開発・提供する事業者だけでなく、業務でAIを利用する事業者も対象としています。ChatGPTなどの生成AIを利用する中小企業も例外ではありません。  内容は多岐にわたりますが、業務で利用する中小企業がまず押さえておきたいのは、「利用者としての責任」「人による判断」「継続的な見直し」の3点です。 (1) AIを使う企業にも責任がある  ガイドラインでは、AIに関わる事業者を「AI開発者」「AI提供者」「AI利用者」の3つに整理しています。一般的な生成AIサービスを業務で使う中小企業は、主に「AI利用者」に該当します。  AI利用者が意識すべき取り組みとして、AIを適切に使い、その出力を慎重に取り扱うことが示されています。例えば、次のような対応です。  ・入力する情報が適切かを確認する  ・回答を無条件に採用しない  ・利用によって第三者に不利益を与えないよう配慮する  ・AIを利用した業務について必要な説明や対応を行う  忘れてはならないのは、生成AIが作成した内容であっても、業務で利用する以上、企業としてその内容に責任を持つ必要があるということです。「AIが作成したから大丈夫」と考えるのではなく、企業が内容を確認し、責任を持って利用する姿勢が重要です。 (2) 最終的な判断は人が行う  生成AIは、業務を効率化するためのツールです。経営判断や契約内容の確認、顧客への重要な回答など、企業として責任を負う判断まで任せるものではありません。  社外へ提出する文書や契約書、顧客への回答などは、そのまま使わず、担当者が確認し、必要に応じて修正することが前提です。判断の重要性に応じて、上司や専門部署による確認を求める運用も考えられます。  生成AIは、判断そのものを行うものではありません。判断に必要な情報やたたき台を提供するツールです。「最後は人が判断する」という原則を社内で共有することが、安全なAI利用の基本となります。 (3) ルールは作って終わりにしない  生成AIの技術やサービスは、今も進化を続けています。新しい機能が追加されたり、利用条件やデータの取扱いが変更されたりすることも珍しくありません。現在のルールが、半年後や一年後もそのまま適切とは限りません。  規程は、一度作成すれば終わりではなく、利用しているサービスの仕様や社内の利用状況を確認し、必要に応じて内容を更新することが重要です。  大切なのは、規程を作ることではなく、現場で機能する状態を維持することです。見直す時期や担当部署をあらかじめ決めておけば、実態に合わなくなったルールが放置される事態も防げます。 ３．中小企業で起こりやすいAI利用のリスク  生成AIを業務に取り入れる企業が増えています。文書作成や情報収集を効率化できる一方、使い方を誤れば、情報漏えいや誤った情報の発信など、企業の信用を損なう事態を招きます。  こうしたリスクは、大企業だけの問題ではありません。中小企業でも、社員が個人で生成AIサービスを利用するなど、会社が把握しないまま活用が始まっている場合があります。  社内で判断基準を共有していなければ、部署や担当者によって使い方が分かれます。小さな判断の違いが、思わぬトラブルへ発展することもあります。  AI利用規程は、こうした使い方のばらつきを防ぐための仕組みです。規程を作成する前に、まずは日常業務で生じやすいリスクを確認しておきましょう。 (1) 入力してよい情報と禁止する情報を決める  最初に整理したいのは、生成AIへ入力する情報です。  顧客名簿や契約書、見積書、開発中の製品情報などを入力すると、利用するサービスや契約内容、設定によっては、入力データがサービスの改善などに利用される可能性があります。  入力データを学習などに利用しない設定を備えたサービスもありますが、データの保存期間や利用目的、管理方法はサービスごとに異なります。有料版や法人向けサービスであっても、契約内容や設定を確認せずに安全だと判断することはできません。  確認すべきなのは、料金だけではなくサービスの仕様です。入力したデータがどこに保存され、どのように利用されるのかを確認したうえで、入力してよい情報と禁止する情報を社内で区分します。  例えば、次のような情報は、原則として入力を禁止する対象として整理できます。  ・顧客情報や個人情報  ・未公開の経営情報  ・契約内容や見積金額  ・開発中の商品やサービスに関する情報  ・パスワードなどの認証情報  ・社外秘に指定した情報  業務によって扱う情報は異なります。「機密情報を入力しない」とだけ定めるのではなく、自社で扱う情報を洗い出し、禁止する情報を具体的に示すことが必要です。  「何を入力してはいけないか」という線引きが、情報漏えいを防ぐ第一歩です。 (2) AIの回答は必ず人が確認する  生成AIは、短時間で自然な文章を作成できるため、私たちは内容を十分に確認しないまま、正しい情報だと思い込みがちです。  例えば、法律や税制、補助金制度について質問すると、古い制度を引用したり、存在しない制度や要件を示したりすることがあります。そのまま社内資料や顧客への説明に使えば、誤った情報が社内外へ広がってしまいます。  著作権などの権利侵害にも注意が必要です。生成AIが作成した文章や画像が既存の著作物と酷似していれば、利用方法によってはトラブルを招くおそれがあります。  そのため、生成AIが作成した内容は、必ず人が確認します。特に、法令や制度、金額、日付、固有名詞などは、信頼できる資料や公的機関の情報と照合する必要があります。生成AIは、答えを確定するツールではありません。判断を支えるツールです。  たたき台を作る。人が確認する。必要に応じて修正する。  この手順を社内の基本動作として定着させることが、誤情報や権利侵害のリスクを抑えることにつながります。生成AIを利用しても、業務上の判断をAI任せにはできないからです。 ４．AI利用規程は、まずこの5項目を決める  規程は、最初から完璧な内容を目指す必要はありません。  中小企業では、基本的なルールを定め、実際に運用しながら見直していく方法が現実的です。まずAI利用規程を作成する際には、次の5項目を基本として整理するとわかりやすくなります。 (1) 利用目的を定める (2) 入力を禁止する情報を定める (3) 人による確認をルール化する (4) 利用するAIサービスを定める (5) 教育と見直しの方法を定める  以下、それぞれの内容を確認していきましょう。 (1) 利用目的を定める  最初に決めるのは、生成AIを利用できる業務と、その目的です。  例えば、次のような業務が考えられます。  ・文書の下書き作成  ・アイデア出し  ・会議録の要約  ・翻訳や文章の校正  ・プログラムコードの作成補助  「業務効率化のため」といった抽象的な表現だけでなく、利用を認める業務を具体的に示します。必要に応じて、生成AIだけで完結させてはならない業務や、利用に上司の承認が必要な業務も定めておきます。  利用できる範囲を決めておけば、社員が「どこまで使ってよいか」で迷う場面を減らせます。 (2) 入力を禁止する情報を定める  次に、生成AIへ入力してはいけない情報を定めます。  「機密情報を入力しない」とだけ記載しても、どの情報が機密情報に当たるのか、社員によって判断が分かれる可能性があります。  顧客情報や個人情報、営業秘密、未公開の経営情報、契約内容など、自社で入力を禁止する情報を具体的に示します。情報の一部を削除したり、個人や取引先を特定できない形に加工したりすれば利用できる場合には、その条件も整理しておきましょう。 (3) 人による確認をルール化する  生成AIが作成した文章や資料は、人が確認してから利用することを明記します。  規程に盛り込みたいのは、確認の必要性だけではありません。誰が、何を、どの段階で確認するのかまで明確にしておきます。契約書や重要なメール、ホームページへ掲載する文章などは、担当者だけでなく、責任者や専門部署による確認を必要とする運用も考えられます。確認した内容や承認の記録を残す必要がある業務については、その方法も決めておきます。「AIが作成し、人が確認する」。この役割分担を規程に明記します。 (4) 利用するAIサービスを定める  会社として利用を認めるAIサービスを定めます。  社員が各自の判断でサービスを選ぶと、入力データの取扱いやセキュリティー設定、利用履歴の管理方法が統一されません。会社が把握していないサービスに業務情報が入力される、いわゆる「シャドーAI」の問題も生じます。  規程には、利用を認めるサービスのほか、個人アカウントの利用可否、有料版や法人向けサービスの契約方針、利用開始時の申請手続などを盛り込みます。利用するサービスを絞ることで、必要な設定や管理方法も統一できます。 (5) 教育と見直しの方法を定める  社員への教育と、規程を見直す方法も定めます。  規程を配布するだけでは、ルールの趣旨や具体的な判断基準まで社員に伝わりません。新入社員研修や定期的な社内研修で、入力してはいけない情報や、人による確認が必要な業務などを共有します。  生成AIのサービスや機能、利用条件も変化します。規程には、見直す時期、担当部署、改定の手続を盛り込み、社内の利用状況やサービスの変更に応じて内容を更新できるようにしておきましょう。  規程は、作成して終わりではありません。見直す時期と担当者まで決めておくことで、自社の実態に合ったルールとして運用できます。 ５．AI利用規程は作成後の運用が重要  生成AIは、これから多くの企業で日常的に使われる業務ツールになっていくでしょう。だからこそ、活用を社員個人の判断に委ねるのではなく、会社として共通のルールを整えておく必要があります。  AI利用規程は、生成AIの利用を一律に制限するためのものではありません。利用できる業務や入力を禁止する情報、人による確認の方法を明確にし、社員が共通の基準で判断できるようにするためのものです。  最初から完璧な規程を作る必要はありません。自社で想定される利用方法とリスクを整理し、必要なルールから整備します。その後は、利用状況やサービスの変化を確認しながら、規程を見直していきます。  大切なのは、規程を作ることではなく、その内容を社員が理解し、日々の業務で実践できることです。自社に合ったAI利用規程を整備し、社員が同じ基準で判断できる環境をつくることが、安全で継続的なAI活用につながります。 参考資料 ・総務省・経済産業省「AI事業者ガイドライン（第1.2版）」 ・独立行政法人情報処理推進機構（IPA）「AI利用に関する情報」 ・個人情報保護委員会「個人情報の保護に関する法律」関連資料 ・文化庁「AIと著作権に関する考え方について」 記事提供 株式会社ＴＫＣ出版  １万名超の税理士および公認会計士が組織するわが国最大級の職業会計人集団であるＴＫＣ全国会と、そこに加盟するＴＫＣ会員事務所をシステム開発や導入支援で支える株式会社ＴＫＣ等によるＴＫＣグループの出版社です。  税理士の４大業務（税務・会計・保証・経営助言）の完遂を支援するため、月刊誌や映像、デジタル・コンテンツ等を制作・提供しています。

2026.10.06