生成AIガイドラインの作り方｜総務省の最新版と情報漏洩を防ぐ社内ルール

「総務省の生成AIのガイドラインは、どれを見ればいいのか」「社員が個人の無料版に、お客さまの情報を入れていないか」「社内ルールを作りたいが、何を決めればいいのか」。国の資料は種類が多く、2026年に入ってからも新しい版が公表されました。

この記事では、自治体や医師会、税理士、上場企業などで5,000人以上にAI研修を行ってきたメイカヒットが、生成AIのガイドラインの作り方を解説します。この記事を読むと、国の資料の使い分けと、情報漏洩を防ぐ社内ルールの項目と作る順番が分かります。

【結論】生成AIのガイドラインは、総務省・経済産業省の資料を土台にA4で2枚から作る

会社の生成AIのガイドラインは、国の資料を読み込んでから書き始める必要はありません。総務省と経済産業省の「AI事業者ガイドライン」を土台にして、まずはA4で2枚ほどの社内ルールを作るのが近道です。最新版は第1.2版で、2026年3月31日に公表されました（2026年10月15日時点）。

社内ルールで先に決めるのは「使ってよいツール」「入力してはいけない情報」「出力の確かめ方」「困ったときの相談先」の4つです。細かい決まりは、使いながら足していけば間に合います。

国の調べでも、会社の方針づくりは途中の段階です。総務省の令和8年版 情報通信白書によると、生成AIを「積極的に活用する」「領域を限定して利用する」方針の会社は大企業で74.0%、中小企業で58.1%でした。

同じ白書の組織的な取組状況では、生成AIの利用を禁止していない会社のうち、「組織的な取組はない」と答えた割合が27.0%でした。この割合は、中小企業で特に高い傾向です。社員が個人の判断で使っている会社ほど、短い社内ルールを先に作る意味があります。

総務省が関わる生成AIのガイドライン（2026年10月時点の最新版）

「生成AI ガイドライン 総務省」で調べると、総務省の資料がいくつも出てくるはずです。会社が社内ルールを作るときに見る資料を、次の4つの観点から解説します。

それぞれ見ていきましょう。

会社の土台は「AI事業者ガイドライン（第1.2版）」

会社のルールの土台にするのは、総務省と経済産業省がまとめたAI事業者ガイドラインです。AIを作る会社だけでなく、AIを使う会社も対象に入っています。

ガイドラインでは、会社の立場を「AI開発者」「AI提供者」「AI利用者」の3つに分けています。ChatGPTなどを業務で使うだけの会社は「AI利用者」に当たり、第1.2版の本編の第5部が主に読む場所です。

第5部には、「個人情報や機密情報を不適切に入力しないよう注意する」「AIを提供する会社が示したセキュリティ上の注意を守る」といった取組が並んでいます。第1.2版では、自分で動いて作業を進めるAI（AIエージェント）についての記述も足されました。

これから始める会社は「活用の手引き（案）」から読む

本編は分量が多いため、先に読むなら2026年3月に出たAI事業者ガイドライン活用の手引き（案）が向いています。AIの管理の仕組みを、これから作る組織のための資料です。

手引きでは、はじめに整える準備として4つが挙げられています。「社内のAIの使われ方を集める仕組み」「相談の窓口と基準」「事故が起きたときの報告の流れ」「ルールの整備と周知」です。既存の体制があれば、新しく作らなくてよいとも書かれています。

自治体向けのひな形と、社員向けの入門教材

総務省は2025年12月16日に、自治体におけるAI活用・導入ガイドブック＜導入手順編＞の第4版を公表しました。自治体が作る生成AIの利用ガイドラインのひな形も、別添として付けられました。

社員に配る入門の教材なら、総務省の生成AIはじめの一歩があります。生成AIの基礎知識と使い方、注意点をまとめたスライドで、社内研修に使うときは事前に総務省への連絡が求められている点に注意してください。

資料ごとの対象と使いどころ

国や団体の資料は、だれに向けたものかが資料ごとに違います。会社の社内ルールづくりでの使いどころを、次の表にまとめました。

資料	出した所	最新版（2026年10月15日時点）	会社での使いどころ
AI事業者ガイドライン	総務省・経済産業省	第1.2版（2026年3月31日）	社内ルールの土台。AIを使う会社は第5部
AI事業者ガイドライン活用の手引き（案）	総務省・経済産業省	2026年3月	これから仕組みを作る会社の最初の1冊
自治体におけるAI活用・導入ガイドブック＜導入手順編＞	総務省	第4版（2025年12月16日）	自治体向け。ひな形の項目立ての参考
生成AIはじめの一歩	総務省	2024年4月	社員向けの入門教材
AIのセキュリティ確保のための技術的対策に係るガイドライン	総務省	2026年3月27日公表	AIを組み込んだサービスを作って提供する会社向け
生成AIの利用ガイドライン（ひな形）	日本ディープラーニング協会	第1.1版（2023年10月）	組織向けのひな形。自社に合わせて直して使う
行政の進化と革新のための生成AIの調達・利活用に係るガイドライン	デジタル庁	第2.0版（2026年6月12日）	政府の行政向け。会社は体制づくりの考え方を参考にする程度

総務省が2019年に出した「AI利活用ガイドライン」は、今はAI事業者ガイドラインに取り込まれています。古い資料を土台にしないよう、版と日付を確かめてから読んでください。

AIを組み込んだサービスを作る会社向けには、総務省のAIのセキュリティ確保のための技術的対策に係るガイドラインもあります。業務でAIを使うだけの会社は、ここまで読まなくても社内ルールは作れます。

法律と国の方針で、会社が押さえておく3つのこと

ガイドラインとあわせて、法律と国の方針の動きも確かめておくと安心です。会社が押さえておくことを、次の3つの観点から解説します。

それぞれ見ていきましょう。

AI法は2025年9月に全面施行され、国の指針が出ている

AIについての日本の法律は、AI法（人工知能関連技術の研究開発及び活用の推進に関する法律）です。2025年6月4日に公布され、9月1日に全面施行されました。

この法律にもとづき、2025年12月19日にAI指針（人工知能関連技術の研究開発及び活用の適正性確保に関する指針）が決まりました。指針の第2章「研究開発機関及び活用事業者が特に取り組むべき事項」では、1つ目に、AIの管理の仕組み（AIガバナンス）を作って動かすことが挙げられています。

この章の本文が主に向けているのは、AIを使った製品やサービスを開発・提供する会社です。一方で、AI法の「活用事業者」には、業務でAIを使う会社も入ります。社内ルールを作るときは、この章の考え方も土台にしてください。

個人情報を入れる前に、個人情報保護委員会の注意を確かめる

お客さまの情報をAIに入れるときは、個人情報保護法の決まりがそのまま当てはまるのが前提です。2023年6月に出た個人情報保護委員会の注意喚起では、会社が気をつける点として次の2つが示されています。

• 個人情報を入力するときは、その情報の利用目的の範囲に収まっているかを十分に確かめる
• 本人の同意なく個人データを入力し、それが答えを出す以外の目的で使われると、法律の違反になるおそれがある。入力するなら、AIの会社がデータを学習に使わないことなどを十分に確かめる

個人情報保護法は、2026年7月17日に改正法が公布されました。施行に向けた細かい決まりは、これから整えられます（2026年10月15日時点）。施行までは、今の個人情報保護法と、先ほどの注意喚起に沿って判断してください。

無料版と会社向けのプランでは、入力した内容の扱いが違う場合がある点にも注意が必要です。ChatGPTの設定とプランの違いは、ChatGPTの情報漏洩の事例と会社で防ぐ設定で詳しく解説しています。

著作権は、文化庁の考え方とチェックリストを参照する

AIで作った文章や画像を社外に出すときは、著作権にも気を配ってください。文化庁はAIと著作権に関する考え方とチェックリストを公開していて、社内ルールの「社外に出すときの決まり」を書くときに参照できます。

情報漏洩を防ぐ社内ルールに入れる8つの項目

生成AIの社内ルールに入れる項目は、AI事業者ガイドラインの第5部と手引きの準備事項から8つにまとめられます。社員が1人で判断できるように、どの項目も具体的な言葉で書くのが基本です。

項目	決めること	書き方の例
1. 目的と対象	何のために、だれが使うか	全社員。パートや協力会社を含めるかも決める
2. 使ってよいツール	会社で認めるAIとプラン	会社で契約したAIだけを使う
3. 入力してはいけない情報	社外に出てはいけない情報	お客さまの名前と連絡先、見積金額、図面
4. 入力してよい情報の例	安心して入れてよい情報	名前と金額を消した文章、公開済みの商品説明
5. 出力の確かめ方	AIの答えをどう確かめるか	数字と固有名詞は社内の資料で確かめる
6. 社外に出すときの決まり	お客さまに出す前の確認	上司が読んでから送る文章を決める
7. 相談先と報告	迷ったときと、入れてしまったとき	総務の担当にその日のうちに報告する
8. 見直しの時期	ルールをいつ直すか	新しいツールを入れたときと、年に1回

表の「3. 入力してはいけない情報」が、情報漏洩を防ぐ中心です。「機密情報は入れない」とだけ書くと、社員は何が機密かを判断できません。お客さまの名前や住所、見積金額のように、目で見て分かる言葉で並べてください。

AIの利用をめぐる危険は、セキュリティの面でも注目されています。国の情報処理推進機構（IPA）が発表した情報セキュリティ10大脅威 2026では、組織向けの3位に「AIの利用をめぐるサイバーリスク」が初めて選ばれました。

「5. 出力の確かめ方」では、AIがもっともらしい間違いを書くこと（ハルシネーション）を前提にします。確かめ方の具体的な手順は、ハルシネーションの原因と防ぎ方にまとめました。

生成AIの社内ルールを作る5つの手順

社内ルールは、手引き（案）の準備事項に沿って進めると抜けが出にくくなります。手順と、それぞれでできあがるものを、次の5つに分けて解説します。

それぞれ見ていきましょう。

手順1：社内でのAIの使われ方を集める

最初に、だれがどの仕事で、どのAIを使っているかを集めます。短いアンケートで、使っているツールと無料版か会社のプランか、入れている情報の種類を聞けば足ります。できあがるのは「AIの使われ方の一覧」です。

手順2：ルールの下書きを作る

一覧をもとに、8つの項目で下書きを作ります。日本ディープラーニング協会のひな形はAIを使う組織に向けて作られていて、項目立ての参考になる資料です。

ひな形をそのまま使うと、自社の仕事に合わない言葉が残ります。入力してはいけない情報は、自社の書類の名前に置きかえてください。下書きをAIに作らせる頼み方は、次の章で紹介します。できあがるのは「社内ルールの下書き」です。

手順3：相談の窓口と基準を決める

社員が迷ったときに聞ける窓口として、担当者を1人決めてください。すべてを窓口に回すと担当者の手が回らないため、「お客さまの情報を使う作業は相談、それ以外は自分で確かめる」のように基準を分けるのが現実的です。できあがるのは「相談の窓口と、相談する基準」です。

手順4：入力してしまったときの報告の流れを決める

入れてはいけない情報を入れてしまったときに、だれにいつまでに何を伝えるかを決めます。報告した社員を責めない、と書いておくと、隠されずに早く知らせてもらえます。報告で聞くのは「いつ」「どのツールに」「何を入れたか」の3点です。できあがるのは「入力してしまったときの報告の流れ」です。

手順5：研修で伝え、見直す時期を決める

ルールは配るだけでは守られません。実際の画面で、入れてよい情報と悪い情報を見分ける練習をすると、社員が自分で判断できるようになります。研修で扱う中身は、AI研修で教えるリスク対策で紹介しています。

国のガイドラインも更新が続いていて、AI事業者ガイドラインは2024年4月の第1.0版から2026年3月の第1.2版までに3回改訂されました。新しいツールを入れたときと年に1回など、見直す時期をルールの中に書いておくと安心です。できあがるのは「研修の予定と、ルールを見直す時期」です。

生成AIの社内ルールの下書きを、AIに作らせる頼み方

社内ルールの下書きは、AIに作らせると早く進みます。会社の状況を箇条書きにして渡し、分からないところは推測させずに質問の形で返させるのがコツです。

頼み方の例
あなたは中小企業の総務担当を手伝う係です。下の【会社の状況】をもとに、社員向けの「生成AIの利用ルール」の下書きを、A4で2枚に収まる分量で作ってください。
・項目は「目的と対象」「使ってよいツール」「入力してはいけない情報」「入力してよい情報の例」「出力の確かめ方」「社外に出すときの決まり」「困ったときの相談先と、入力してしまったときの報告」「見直しの時期」の8つにする。
・入力してはいけない情報は、「お客さまの名前や連絡先」のように、社員が見て判断できる具体的な言葉で書く。
・会社の状況から分からないことは、推測で埋めずに【要確認：〜】と書き、最後に社内で決めることを質問の形で並べる。
・法律の条文や、国のガイドラインの名前は書かない。

【会社の状況】
・業種：住宅リフォーム会社、社員30人（営業10人、現場管理12人、事務8人）
・使いたい業務：見積書の説明文、お客さまへのメールの下書き、社内会議の議事録の要約
・会社で契約しているAI：まだない。個人の無料版を使っている社員がいる
・心配なこと：お客さまの住所や図面、見積金額が外に出ること
・相談役：総務部長

会社の状況は、説明のために作った架空の例です。当社のお客さまの事例ではありません。この頼み方を新しい会話で1回実行したところ、次の結果が出ました。

出力の例（8つの項目のうち「3. 入力してはいけない情報」の一部と「7. 困ったときの相談先と、入力してしまったときの報告」の一部、社内で決めること11個のうち3つを抜粋）
3. 入力してはいけない情報
迷ったら入力しないでください。
お客さまのこと
・お客さまの名前、住所、電話番号、メールアドレス
・工事現場の住所、マンション名、部屋番号
・図面、間取り図、見取り図
・見積書そのもの、見積金額、値引きの額、契約金額、支払い方法
・お客さまからのメールやLINEの文章をそのまま貼り付けること

7. 困ったときの相談先と、入力してしまったときの報告
・報告すること：いつ、どのツールに、何を入れたか、それはどなたの情報か。
・入力の履歴は自分の判断で消さず、総務部長の指示を待ちます。
・すぐに報告した人を責めることはしません。隠さずに知らせてください。

社内で決めること
3. 契約するまでの間、個人の無料版を仕事に使うことは禁止しますか。条件付きで認めますか。
6. お客さまに出す文章のうち、上司の確認がいるのはどれですか。補助金・保証・契約条件の説明はだれが確認しますか。
10. 入力してしまったときの報告の期限と、お客さまへの連絡をだれが決めるかを、どうしますか。

出力には、無料版を認めるかどうかなど、会社が決めることが質問の形で残りました。下書きはそのまま配らず、質問に社内で答えてから仕上げてください。AIの答えには誤りが混ざる場合があるため、最後は担当者が全文を読んで確かめます。

生成AIのガイドラインが形だけになる3つのつまずき

社内ルールを作っても、使われなければ情報漏洩は防げません。よくあるつまずきを、次の3つに分けて解説します。

それぞれ見ていきましょう。

禁止だけを並べてしまう

禁止ばかりのルールは、守るより隠れて使う人を増やします。入力してよい情報の例と、使ってよい仕事もあわせて書いてください。社員が「これなら使ってよい」と分かると、個人の無料版にこっそり頼る場面が減ります。

配って終わりにしてしまう

PDFを配っただけでは、実際の場面で判断できません。手順5のように、画面を使って見分ける練習の時間をとってください。社内の質問に答える係や、よく出る質問の一覧を作るのも1つの方法です。社内の手順書づくりにAIを使う方法は、業務マニュアルをAIで下書きする手順で紹介しています。

自社だけで作ろうとして止まってしまう

担当者が1人で抱えると、ほかの仕事に押されて下書きのまま止まりがちです。外の力を借りるなら、研修とルールづくりを一緒に進められる相手を選ぶと、作ったルールがそのまま社員に伝わります。

当社では、AI研修やAI経営顧問の中で、AIの利用ルール（社内マニュアル）づくりも一緒に進めています。研修の選び方は、法人向けAI研修の効果と選び方も参考にしてください。

生成AIのガイドラインに関するよくある質問

総務省のAI事業者ガイドラインに、会社は従わなければいけませんか？

ガイドラインは法律ではなく、各事業者が自主的に取組を進めるための指針として示されています。社内ルールの土台にしておくと、取引先に自社の取組を説明するときの共通の言葉になります。

社員が少ない会社でも、生成AIのガイドラインは必要ですか？

必要です。社員が個人の無料版を使い始めると、何を入れたかを会社が把握できなくなるためです。最初はA4で2枚ほどの短いルールでかまいません。

日本ディープラーニング協会のひな形は、そのまま使えますか？

そのままではなく、自社に合わせて直して使う前提の資料です。協会も、組織の目的に照らして追加や修正を加えて使うよう案内しています。

ChatGPTなどの生成AIは、会社で禁止したほうが安全ですか？

一律の禁止は、社員が個人の無料版を隠れて使うきっかけになりかねません。使ってよいツールと入力してはいけない情報を決めて、会社の目が届く形で使うほうが管理しやすくなります。

社内ルールは、どのくらいの間隔で見直せばよいですか？

新しいツールを入れたとき、使う仕事を増やしたとき、入力の事故が起きたときに見直します。国のAI事業者ガイドラインも2024年4月から3回改訂されているため、年に1回は国の更新も確かめてください。

まとめ：生成AIのガイドラインは、短く作って育てよう

最後に、生成AIのガイドラインを作るときの要点を4つにまとめました。

• 土台は総務省・経済産業省のAI事業者ガイドライン（第1.2版・2026年3月31日）。AIを使う会社は第5部を読む
• これから始める会社は、手引き（案）の4つの準備事項から進める
• 社内ルールは8つの項目で、入力してはいけない情報を具体的な言葉で書く
• 研修で伝え、新しいツールを入れたときと年に1回は見直す

まずは今日、社内で使われているAIのツールの名前と、使っている仕事を書き出してみてください。自分の会社ではどの仕事から始めればよいか、次の案内も参考にしてください。