小規模事業者の生成AI利用ルール｜最低限決めておきたい5項目
生成AIを仕事へ取り入れるとき、分厚い規程を作るところから始める必要はありません。
ただし、「各自の判断で気をつける」とだけ決めておくと、使うサービスも、AIへ入力してよい情報も、出力の確かめ方も、担当者ごとにばらばらになります。
少人数の事業者では、一人の操作ミスが、顧客への返信やサイトの公開内容へそのまま出てしまうこともあります。
とはいえ、何から決めればいいのかは迷いがちです。
最初に決めるのは、使ってよいツール、入力してはいけない情報、出力の確かめ方、外部への公開や送信の承認、利用の記録という五つで十分です。
まずは、この五つを一枚のメモにまとめるところから始めます。
この記事では、五項目それぞれの決め方と運用例を、そのまま社内メモの土台にできる形で紹介します。
この記事の内容は、2026年7月18日時点の公的な一次資料をもとにまとめています。
サービスの規約や設定は変わることがあるので、実際に使う人が、利用前に提供元の公式ページで確かめ直します。
1. 使用してよいツールとアカウント
最初に、業務で使ってよい生成AIサービスとアカウントを決めます。
同じサービスでも、無料版と組織向け契約、個人アカウントと業務アカウントでは、管理機能やデータの扱いが違うことがあります。
そのため、サービス名を決めるだけでは足りません。
使ってよいサービスを承認するときは、提供元の公式ページで次の項目を確かめて、記録に残します。
確認項目 | 記録する内容 |
|---|---|
サービス | 正式名称と利用を認める機能 |
契約 | プラン名、契約する名義(会社か個人か)、更新日 |
アカウント | 業務用メールアドレス、管理者、利用者 |
データ | 入力や出力を保存するか、AIの学習に使うか、削除できるか |
設定 | 学習に使わない設定にできるか、共有範囲、外部サービスとの連携状況 |
規約 | 利用規約とプライバシーポリシーを確認した日付 |
どこから調べればいいか分からないときは、次の順で進みます。
- 提供元の公式サイトを開き、ページ下部にある「利用規約」と「プライバシーポリシー」を読む
- 実際に使う予定のアカウントでログインし、設定画面からデータの保存と学習に関する項目を探す
- 分かった内容を上の表の形でメモへ書き写し、確認した日付も残す
画面の名称や設定の場所は、サービスや契約プランによって違うことがあります。
個人アカウントで業務の情報をやり取りすると、担当者が変わったり退職したりしたときに、会話履歴や設定を会社側で管理できなくなります。
ブラウザーの拡張機能、ほかのサービスとの連携、共有リンクからも、入力した情報が社外へ出ていくことがあります。
必要な機能だけを有効にして、使わないものはオフにしておきます。
経済産業省のAI事業者ガイドライン第1.2版は、AIを使う事業者を含む関係者向けに、プライバシー保護、セキュリティ確保、透明性、社内教育などの指針を整理しています。
自社のルールを作るときの土台として使えます。
ガイドラインは改定されることがあるので、開いたページの「最新版」欄で、掲載されている版数もあわせて確かめます。
「どのAIを使うか」だけでなく、「どの契約のどの業務アカウントで、どんな設定にして使うか」まで決めて承認します。
承認済み一覧の置き場所と、新しいサービスを試したいときの相談先も、実際にAIを使う人へ伝えておきます。
2. 入力してはいけない情報
次に、生成AIへ原則として入力しない情報を具体的に決めます。
「機密情報は禁止」とだけ書くと、どこからが機密なのかの判断が人によって変わります。
自社が日常業務で実際に扱っている情報を、次のように具体的な名前で並べておきます。
- パスワード、APIキー(サービス同士をつなぐための認証キー)、秘密鍵、認証コード
- 顧客や従業員の氏名、連絡先、相談内容、購入履歴
- 公開前の企画、見積もり、契約条件、売上、会議資料
- 顧客から預かった文章、画像、コード、データ
- 管理画面の情報、障害の記録、システム構成など、社外へ公開していない情報
- 使ってよいか権利を確認できない他人の文章、画像、資料
業務でどうしても必要になったときは、担当者が自分の判断だけで入力しないようにします。
入力する目的、必要な範囲、名前や社名を伏せる方法、契約上の制限、承認する人を、担当者は入力の前に確かめます。
こうした確認が済んでから入力へ進む、という手順をルールへ書いておきます。
氏名を消しても、会社名、地域、日付、相談内容の組み合わせから、個人や案件を推測できてしまうことがあります。
社名や個人名そのものが必要ないなら、「地方の小売店」「架空の顧客A」のように置き換えます。
数字や日付も、出力が正しいか確かめるのに必要な範囲だけ残します。
個人情報保護委員会の注意喚起は、個人情報を含む入力について、あらかじめ特定した利用目的の達成に必要な範囲かどうかを、事業者が十分に確認するよう案内しています。
本人の同意を得ずに個人データを入力する場合は、そのデータがAIの応答を作る以外の目的で扱われないかを確かめる必要があります。
あわせて、サービス提供者がそのデータを機械学習に使うかどうかも確かめます。
IPA(情報処理推進機構)の「AI利用者のためのセキュリティ豆知識」も、クラウド上のAIサービスへ営業秘密を入力しないことを、利用者向けの基本対策として挙げています。
入力してよいか迷う情報はいったん止めて、公開されている情報や架空のデータへ置き換えても同じ目的を達成できないかを、先に考えます。
判断に迷ったときの相談先と、そのときの回答を書き残す場所も決めておきます。
次に同じ質問が出たときも、前と同じ基準で判断できます。
3. 出力を確認する項目と担当者
生成AIの出力は、読みやすく整っていても、事実の誤りや根拠のない説明が混ざっていることがあります。
AIからもっともらしい文章が返ってくると、つい信じてしまいがちになります。
ですから、「必ず確認する」とルールに書くだけでは足りません。
何を、誰が、どの資料と照らし合わせるかまで決めます。
確認項目 | 照合先・確認方法 | 担当者の例 |
|---|---|---|
事実・日付・数字 | 公式資料、契約書、元データ | その情報を管理している人 |
抜けや作り足し | AIへ渡した条件と元の文章 | 元の資料を理解している人 |
権利と類似 | 素材の入手先、利用規約、検索結果 | 制作の責任者 |
表現 | 読み手に合うか、自社の言葉づかいか、差別的または大げさな表現がないか | 公開の責任者 |
専門的な内容 | 法令、専門資料、資格を持つ人の判断 | その分野の専門家 |
コード | 変更箇所、テスト結果、安全性、既存の設計 | 実装の内容を説明できる人 |
AIの回答が正しいか分からないとき、同じAIへ聞き直しても裏付けにはなりません。
事実の裏付けは、提供元の公式ページや元の資料に戻って確かめます。
画面やコードは、実際の環境で動かして確かめます。
文化庁の「AIと著作権について」は、仕事でAIを使う人へ、生成物を利用する前に既存の著作物と似ていないか確認することなどを案内しています。
AIで作った文章、画像、音声を公開したり納品したりする前に、サービスの利用規約を確かめます。
あわせて、AIへ渡した素材の権利と、出来上がったものが既存の作品に似ていないかも確かめます。
出力を確かめる人は、AIの回答にうなずける人ではなく、元の資料や実際の環境を使って正しさを判断できる人にします。
確認で見つかった誤りは、その場で直して終わりにせず、次に使うときの禁止事項や確認項目へ書き足します。
同じ間違いを繰り返しにくくなります。
4. 公開・送信・顧客利用の承認
社内で使う下書きと、顧客や一般の人の目に触れる成果物では、間違えたときの影響がまったく違います。
サイトの公開、メール送信、SNS投稿、見積もりの提示、納品、購入、設定変更は、社外や実際のデータへ影響します。
こうした操作はAIへ自動で実行させず、必ず人が承認してから進めます。
承認の手順では、次の四つをはっきり決めます。
- どの操作から承認が必要か
- 誰が内容を確認するか
- 誰が最終的に実行するか
- 問題が見つかったときに誰へ戻すか
担当者がAIの文章に手を入れていても、送る直前の最終状態を読まないまま送信してはいけません。
価格、期限、返金、契約条件のように顧客への約束になる部分は、確定した資料と一つずつ照らし合わせます。
人事、融資、医療、法務、安全にかかわる判断は、個人の権利や生活へ大きく影響します。
AIの出力だけで結論を出す形にはせず、社内の責任者か外部の専門家が最後に判断します。
顧客へ納品する成果物にAIを使うときは、作業を始める前に、契約内容、秘密保持の取り決め、AIサービスの利用条件を確かめます。
AIを使った部分をどこまで顧客へ説明するかも、着手前の話題に含めておきたいところです。
AIで作ったものを社外へ出す前に、最終状態を確かめる人と、公開・送信・納品を実行する責任者を決めておきます。
誤送信や権利の問題が疑われたときに、誰が作業を止め、誰へ報告し、誰が顧客へ連絡するかまで決めます。
連絡する順番を三行ほどのメモにしておくと、あわてずに対応できます。
5. 利用記録とルール更新
AIとのやり取りをすべて保存すると、不要な情報まで残り、あとから見返すのにも時間がかかります。
反対に、重要な業務でAIを使った記録が何も残っていないと、問題が起きたときに原因や判断の理由をたどれません。
どこまで残せばいいのか、線引きには迷いがちです。
記録する範囲は、その業務が顧客や金銭へどれくらい影響するかに合わせて決めます。
最低限、次の内容を残しておくと役立ちます。
- AIを使った日と、対象にした業務
- 使ったサービスと業務アカウント
- その業務のどの工程でAIを使ったか
- AIへ入力した情報の種類
- 出力を確認した人と、承認した人
- 見つかった誤り、直した内容、起きた問題
- 次回も使える指示と、確認しておきたい項目
記録には、パスワードなどの認証情報や、不要な個人情報を書き写してはいけません。
保存場所、閲覧できる人、保存期間は、会社で決めたルールに合わせます。
ルールを見直す日は、毎月や四半期ごとなど、無理なく続けられる間隔で決めます。
サービスの規約やデータの設定が変わったとき、新しい業務でAIを使い始めるとき、問題が起きたときは、決めた見直し日を待たずに確認します。
AI事業者ガイドライン第1.2版は、AIの使い方を決めて見直し続けるという考え方(AIガバナンス)を示しています。
経済産業省は、このガイドラインとあわせて、自社の状況を点検するためのチェックリストとワークシートも公開しています。
見直しの日には、次の順で確かめると進めやすくなります。
- 経済産業省のAI事業者ガイドライン掲載ページを開く
- 「最新版」欄で、掲載されている版数が変わっていないかを確認する
- 同じ欄のチェックリストで、自社の使い方に関係する項目を点検する
点検して気づいたことや、実際に迷った場面は、そのまま社内メモへ書き足す材料になります。
利用ルールは一度作って終わりにせず、実際に迷った場面と失敗を記録し、使うツール、規約、業務の変化に合わせて更新します。
ルールを決めないままAIを使う範囲を広げるとどうなるかは、「中小企業のAI導入が失敗する原因は？」でも詳しく説明しています。
まとめ
小規模事業者が最初に決めたい五項目と、決めたあとの見直しを、チェックリストで振り返ります。
- 使用を認めるサービス、契約、業務アカウント、設定を記録する
- 原則として入力しない情報と、例外的に必要になったときの相談手順を決める
- 出力を誰が確認し、どの資料と照らし合わせるかを決める
- 公開、送信、納品を承認する人と、実行する人を決める
- 重要な業務での利用と、起きた問題を必要な範囲で記録する
- 規約、設定、業務の変化に合わせてルールを更新する
まずは、この五項目を一枚の社内メモにまとめます。
置き場所は、社内の共有フォルダやチャットのピン留めなど、AIを使う人が全員同じところを見に行ける場所を選びます。
決まっていない項目を空欄のままにして使い始めるのは避けます。
調べる担当者と確かめる日を決めてから、影響の小さい業務で試します。
関連記事
利用ルールを決めたあと、具体的なツールの使い方も学びたいときは、AIの基礎から活用方法までをやさしく解説するAIツール超わかる教科書が参考にできます。
