小規模事業者の生成AI利用ルール｜最低限決めておきたい5項目
少人数で生成AIを仕事に使うなら、まず「使うツールとアカウント」「入力する情報」「出力の確認」「公開・送信の承認」「利用の記録」の五つを決めます。
「各自で気をつける」だけでは、顧客のメールを入れてよいか、誰が回答を確かめるかといった判断が、担当者ごとに変わってしまうためです。
一人事業でも、下書きを作る作業と、その内容を使ってよいか確かめる作業を分けるために役立ちます。
この記事では、五項目の決め方と、書き込んで使える短い社内メモのひな形を紹介します。
自社の業種、扱う情報、顧客との契約に応じて必要な条件を加え、確認できた業務から始めてください。
個人情報や権利、情報の扱いについては、2026年10月30日に確認した個人情報保護委員会・文化庁・IPAの資料を参照しています。
サービスの規約や設定は変わることがあるので、実際に使う人が、利用前に提供元の公式ページで確かめ直します。
目次
1. 使用してよいツールとアカウント
最初に、業務で使ってよい生成AIサービスとアカウントを決めます。
同じサービスでも、無料版と組織向け契約、個人アカウントと業務アカウントでは、管理機能やデータの扱いが違うことがあります。
そのため、サービス名を決めるだけでは足りません。
使ってよいサービスを承認するときは、提供元の公式ページで次の項目を確かめて、記録に残します。
確認項目 | 記録する内容 |
|---|---|
サービス | 正式名称と利用を認める機能 |
契約 | プラン名、契約する名義(会社か個人か)、更新日 |
アカウント | 業務用メールアドレス、管理者、利用者 |
データ | 入力や出力を保存するか、AIの学習に使うか、削除できるか |
設定 | 学習に使わない設定にできるか、共有範囲、外部サービスとの連携状況 |
規約 | 利用規約とプライバシーポリシーを確認した日付 |
どこから調べればいいか分からないときは、次の順で進みます。
- 提供元の公式サイトで「利用規約」と「プライバシーポリシー」を探して読む
- 実際に使う予定のアカウントでログインし、設定画面からデータの保存と学習に関する項目を探す
- 分かった内容を上の表の形でメモへ書き写し、確認した日付も残す
画面の名称や設定の場所は、サービスや契約プランによって違うことがあります。
学習に使わない設定でも、保存されないとは限らないため、保存と学習は別々に確かめます。
ChatGPTを使う場合の具体的な確認順は、folimielのChatGPTの初期設定で確認できます。
個人アカウントで業務の情報をやり取りすると、担当者が変わったり退職したりしたときに、会話履歴や設定を会社側で管理できなくなることがあります。
ブラウザーの拡張機能、ほかのサービスとの連携、共有リンクからも、入力した情報が社外へ出ていくことがあります。
必要な機能だけを有効にして、使わないものはオフにしておきます。
国のガイドラインも参照したいときは、経済産業省のAI事業者ガイドライン掲載ページを確認先にできます。
参照する資料の版と公開日、対象となる利用者を確かめ、自社の仕事に関係する項目をメモへ反映します。
「どのAIを使うか」だけでなく、「どの契約のどの業務アカウントで、どんな設定にして使うか」まで決めて承認します。
承認済み一覧の置き場所と、新しいサービスを試したいときの相談先も、実際にAIを使う人へ伝えておきます。
あわせて、同じツールでも、何の仕事に使ってよいかを決めます。
たとえば架空の店舗のルールなら、「公開済みの営業時間をもとに案内文の下書きを作る」は利用候補にし、「顧客の相談メール全文を入力する」は事前確認、「作った返信をAIに自動送信させる」は当面の対象外、と分けられます。
これは運用例なので、入力できる情報と確認体制に合わせて、自社の仕事の名前で書き換えてください。
2. 入力してはいけない情報
次に、生成AIへ原則として入力しない情報を具体的に決めます。
「機密情報は禁止」とだけ書くと、どこからが機密なのかの判断が人によって変わります。
自社が日常業務で実際に扱っている情報を、次のように具体的な名前で並べておきます。
- パスワード、APIキー(サービス同士をつなぐための認証キー)、秘密鍵、認証コード
- 顧客や従業員の氏名、連絡先、相談内容、購入履歴
- 公開前の企画、見積もり、契約条件、売上、会議資料
- 顧客から預かった文章、画像、コード、データ
- 管理画面の情報、障害の記録、システム構成など、社外へ公開していない情報
- 使ってよいか権利を確認できない他人の文章、画像、資料
パスワードやAPIキーなどの認証情報は、相談や文章作成のためにAIへ入力しない情報として分けておきます。
それ以外の情報が業務で必要になったときも、担当者が自分の判断だけで入力しないようにします。
入力する目的と必要な範囲、個人情報の扱い、契約・権利の制限、サービスの利用条件を確かめ、入力を認める人を決めます。
認められた範囲だけを使い、判断できない情報は入力せず相談する手順をルールへ書いておきます。
氏名を消しても、会社名、地域、日付、相談内容の組み合わせから、個人や案件を推測できてしまうことがあります。
実際の案件でなくてもよい作業なら、「地方の小売店」「架空の顧客A」のように、内容も架空の例で用意します。
実際の情報を使う場合は、名前を変えただけで入力可とはせず、許可された範囲から必要な数字や日付に絞ります。
個人情報保護委員会の注意喚起は、個人情報を含む入力について、あらかじめ特定した利用目的の達成に必要な範囲かどうかを、事業者が十分に確認するよう案内しています。
本人の同意を得ずに個人データを入力する場合は、そのデータがAIの応答を作る以外の目的で扱われないかを確かめる必要があります。
この場合は、サービス提供者がその個人データを機械学習に利用しないこと等を、十分に確認します。
学習への利用を止めたことだけで入力を許可せず、利用目的や顧客との契約など、ほかの条件も確認します。
IPA(情報処理推進機構)の「AI利用者のためのセキュリティ豆知識」も、クラウド上のAIサービスへ営業秘密を入力しないことを、利用者向けの基本対策として挙げています。
入力してよいか迷う情報はいったん止めて、利用条件を確認できる公開情報や、実際の個人・案件を含まない架空の例で代わりにできないかを考えます。
判断に迷ったときの相談先と、そのときの回答を書き残す場所も決めておきます。
次に同じ質問が出たときは、契約や利用目的が変わっていないかも確かめたうえで、前の判断を参照します。
3. 出力を確認する項目と担当者
生成AIの出力は、読みやすく整っていても、事実の誤りや根拠のない説明が混ざっていることがあります。
AIからもっともらしい文章が返ってくると、つい信じてしまいがちになります。
ですから、「必ず確認する」とルールに書くだけでは足りません。
何を、誰が、どの資料と照らし合わせるかまで決めます。
確認項目 | 照合先・確認方法 | 担当者の例 |
|---|---|---|
事実・日付・数字 | 公式資料、契約書、元データ | その情報を管理している人 |
抜けや作り足し | AIへ渡した条件と元の文章 | 元の資料を理解している人 |
権利と類似 | 素材の入手先、利用規約、検索結果 | 制作の責任者 |
表現 | 読み手に合うか、自社の言葉づかいか、差別的または大げさな表現がないか | 公開の責任者 |
専門的な内容 | 法令、専門資料、資格を持つ人の判断 | その分野の専門家 |
コード | 変更箇所、テスト結果、安全性、既存の設計 | 実装の内容を説明できる人 |
AIの回答が正しいか分からないとき、同じAIへ聞き直しても裏付けにはなりません。
事実の裏付けは、提供元の公式ページや元の資料に戻って確かめます。
画面やコードは、内容を確認できる人が、本番へ影響しない許可された検証環境で動かして確かめます。
文化庁の「AIと著作権について」には、業務利用者向けの確認事項がまとめられています。
同庁の「AIと著作権に関するチェックリスト＆ガイダンス」（PDF・20ページ）では、生成物を利用する前に既存の著作物と似ていないか確認することなどが案内されています。
AIで作った文章、画像、音声を公開したり納品したりする前に、サービスの利用規約を確かめます。
あわせて、AIへ渡した素材の権利と、出来上がったものが既存の作品に似ていないかも確かめます。
規約で利用できることと、第三者の権利を侵害しないことは別なので、判断がつかないものは公開や納品を保留して相談します。
出力を確かめる人は、AIの回答にうなずける人ではなく、元の資料や実際の環境を使って正しさを判断できる人にします。
一人で仕事をしている場合も、作成と確認を分け、元資料と照合できる範囲を自分で確認します。
自分では判断できない専門的な内容は、適切な専門家へ相談できるまで使わない、と決めておきます。
確認で見つかった誤りは、その場で直して終わりにせず、次に使うときの禁止事項や確認項目へ書き足します。
同じ間違いを繰り返しにくくなります。
4. 公開・送信・顧客利用の承認
社内で使う下書きと、顧客や一般の人の目に触れる成果物では、間違えたときに影響が及ぶ相手や範囲が変わります。
サイトの公開、メール送信、SNS投稿、見積もりの提示、納品、購入、設定変更は、社外や実際のデータへ影響します。
使い始めのルールでは、こうした操作をAIへ自動で実行させず、人が承認してから進める形にします。
承認の手順では、次の四つをはっきり決めます。
- どの操作から承認が必要か
- 誰が内容を確認するか
- 誰が最終的に実行するか
- 問題が見つかったときに誰へ戻すか
担当者がAIの文章に手を入れていても、送る直前の最終状態を読まないまま送信してはいけません。
価格、期限、返金、契約条件のように顧客への約束になる部分は、確定した資料と一つずつ照らし合わせます。
人事、融資、医療、法務、安全にかかわる判断は、個人の権利や生活へ大きく影響します。
AIの出力だけで結論を出す形にはせず、必要な知識や権限を持つ責任者が、専門家への確認も含めて最後に判断します。
その前提として、法令や利用規約が、その用途でのAI利用を認めているかを確認します。
たとえばOpenAIの個人向け利用規約には、個人に重大な影響を与える判断などについて利用の制限があります。
人が確認するという社内ルールだけで、サービス側の禁止事項を解除できるわけではありません。
顧客へ納品する成果物にAIを使うときは、作業を始める前に、契約内容、秘密保持の取り決め、AIサービスの利用条件を確かめます。
AIを使った部分をどこまで顧客へ説明するかも、着手前の話題に含めておきたいところです。
AIで作ったものを社外へ出す前に、最終状態を確かめる人と、公開・送信・納品を実行する責任者を決めておきます。
誤入力、誤送信、権利の問題が疑われたら、まず関係する入力や公開・送信を止め、責任者へ知らせる手順を決めます。
起きた時刻と情報の種類を記録し、責任者がサービス提供元や専門家への相談、必要な顧客連絡を判断します。
一人事業でも連絡できる相手を先に決め、停止・報告・連絡の順番を短いメモにしておきます。
5. 利用記録とルール更新
AIとのやり取りをすべて保存すると、不要な情報まで残り、あとから見返すのにも時間がかかります。
反対に、重要な業務でAIを使った記録が何も残っていないと、問題が起きたときに原因や判断の理由をたどりにくくなります。
どこまで残せばいいのか、線引きには迷いがちです。
記録する範囲は、その業務が顧客や金銭へどれくらい影響するかに合わせて決めます。
最低限、次の内容を残しておくと役立ちます。
- AIを使った日と、対象にした業務
- 使ったサービスと業務アカウント
- その業務のどの工程でAIを使ったか
- AIへ入力した情報の種類
- 出力を確認した人と、承認した人
- 見つかった誤り、直した内容、起きた問題
- 次回も使える指示と、確認しておきたい項目
記録には、パスワードなどの認証情報や、不要な個人情報・秘密情報を書き写してはいけません。
保存場所、閲覧できる人、保存期間は、会社で決めたルールに合わせます。
ルールを見直す日は、毎月や四半期ごとなど、無理なく続けられる間隔で決めます。
サービスの規約やデータの設定が変わったとき、新しい業務でAIを使い始めるとき、問題が起きたときは、決めた見直し日を待たずに確認します。
見直す対象は、サービスの条件と、自社の仕事で実際に迷った点です。
見直しの日には、次の順で確かめると進めやすくなります。
- 経済産業省のAI事業者ガイドライン掲載ページを開く
- 参照する資料の版と公開日を確かめ、使うサービスの規約や設定にも変更がないか確認する
- 実際に迷った場面と照らし、入力範囲・確認者・承認・記録のどこを直すか決める
点検して気づいたことや、実際に迷った場面は、そのまま社内メモへ書き足す材料になります。
利用ルールは一度作って終わりにせず、実際に迷った場面と失敗を記録し、使うツール、規約、業務の変化に合わせて更新します。
ルールを決めないままAIを使う範囲を広げるとどうなるかは、「中小企業のAI導入が失敗する原因は？」でも詳しく説明しています。
一枚の社内メモにまとめる
五項目の説明を、自社で使う短いルールへ落とすためのひな形です。
かっこ内に、自社で確認した名称や担当者を書き込みます。
生成AI利用ルール
適用開始日：（日付）／責任者：（氏名）
1. ツールと用途
利用を認めるサービス・契約・業務アカウント：（記入）
対象にする仕事とAIへ任せる工程：（記入）
学習・保存・共有・連携の確認記録：（保存場所と確認日）2. 入力する情報
使ってよい資料・情報の範囲：（記入）
認証情報は入力しない。顧客情報・未公開資料・預かり資料は、（相談先）が目的・契約・権利・サービスの条件を確認した範囲に限る。判断できないときは入力を止める。3. 出力の確認
確認者：（氏名または役割）
照合する元資料：（記入）
日付・数字・約束・抜け・権利・表現を確認する。自社で判断できない専門事項は（相談先）へ確認できるまで使わない。4. 公開・送信
公開・送信・納品などは、（承認者）が最終内容を確認し、（実行者）が行う。
誤入力・誤送信・権利の問題が疑われたら作業を止め、（連絡先）へ知らせる。5. 記録と見直し
業務名、利用日、使用サービス、入力情報の種類、確認・承認者、修正や問題を（保存場所）へ記録する。不要な秘密情報は転記しない。
閲覧できる人：（記入）／保存期間：（記入）／次の見直し日：（日付）
規約・設定・対象業務の変更や問題発生時は、見直し日を待たずに更新する。
置き場所は、社内の共有フォルダやチャットのピン留めなど、AIを使う人が全員同じところを見に行ける場所を選びます。
決まっていない項目を空欄のままにして使い始めるのは避けます。
未確認の項目には調べる人と期限を添え、その作業に必要な条件が確認できた範囲から、影響の小さい業務で試します。
自社のWeb更新や文章制作で、どの工程にAIを使い、何を人が確認するか整理したい場合は、Studio Attraitのお問い合わせから対応可否をご相談ください。
相談時は、使いたい業務、利用中のサービス・契約、いま迷っている点を伝え、顧客の実データやログイン情報は最初から送らないでください。
