社内・取引先向けAI利用ルールの作り方

AI利用ルールとは何か｜社内の運用、契約条項、国の指針を分けて考える

ここでいうAI利用ルールは、会社や事業の中で生成AIをどう使うかを決めた文書のことです。名称は運用規程でもガイドラインでも構いません。大切なのは、誰が、どの業務で、どのAIに、どんな情報を入れてよいかが、読んだ人に分かる形で書かれていることです。

ルールを考えるときに混同しやすいのが、三つの層です。自社の中だけで決める社内の運用ルール、取引先と合意して契約書に書く条項、そして国や関係機関が示している指針です。層によって、決められる人も、守らせる力も、変えるときの手間も違います。

たとえば取引先との契約に「入力した情報が学習に使われない設定のサービスに限る」と書いたとします。社内に使ってよいサービスの一覧がなければ、担当者は個人で契約している無料のサービスを使ってしまうかもしれません。契約に書いたことを実際に守れる仕組みが社内にあるかどうかが、ルールを作る一番の動機になります。

法律は三つの層の外側で、ルールの有無にかかわらず適用されます。個人データの扱いには個人情報保護法^［5］、他人の著作物の利用には著作権法^［7］、秘密にしている事業情報の保護には不正競争防止法^［6］がそれぞれ関わります。社内ルールに「法令を守る」と一行書くだけでは足りず、どの場面でどの法律が問題になるかを、後の節のように具体的に書き込む必要があります。

ルールに入れる九つの要素

九つの要素は、文化庁のチェックリストが利用者に勧めている取組^［3］、AI事業者ガイドラインが利用者に求めている取組^［1］、個人情報保護委員会の注意喚起^［4］を、実際に運用する順に並べ直したものです。全部を厚く書く必要はありません。自社が使っているAIの種類と、扱う情報の重さに応じて、書く量を変えます。

要素1　目的と対象

最初に書くのは、ルールが誰の、どの場面の、どのAIの利用に適用されるかです。役員と従業員だけか、業務を受託している人も含むか、個人の端末やアカウントでの業務利用も対象かを決めます。「AI」の範囲も先に決めます。文章や画像を生成するサービスだけか、翻訳、要約、文字起こしの機能も含めるかで、現場の迷いが大きく変わるからです。

要素2　使ってよいサービスの決め方

使ってよいサービスは、承認済みの一覧に載せる方式と、利用の都度申請してもらう方式があります。どちらの場合も、確かめる項目を決めておきます。入力した内容が提供事業者の学習に使われるか、入力や出力がどこに、どのくらいの期間保存されるか、アカウントは誰の名義か、サービスの規約に業務利用を妨げる定めがないか、の四つが基本です。AI事業者ガイドラインも、AIの利用者に対し、提供者が定めた利用上の留意点やサービス規約を守ることを求めています^［1］。

取引先との契約では、承諾の取り方に三つの方式が見られます。毎回個別に承諾を得る方式、使ってよいサービスと保存先をあらかじめまとめて示す方式、ガイドラインの一覧に載っているものは承諾済みとみなす方式です。社内ルールの一覧は、このうち二つ目と三つ目の方式の土台になります。個人で契約している無料版を業務に使わない、という一文を入れておくと、契約で約束した条件を現場が破りにくくなります。

要素3　入力してよい情報の区分

ルールの中で最も使われるのが、入力する情報の区分です。「機密情報や個人情報は入力しない」とだけ書くと、現場は何が機密なのかを自分で判断することになります。区分は三段にするのが実務では扱いやすく、入れてよいもの、設定などの条件を満たせば入れてよいもの、入れてはならないものに分けます。

個人データを含む指示を入力するときの注意として、個人情報保護委員会は、その入力があらかじめ特定した利用目的の範囲に収まっているかを慎重に確かめるよう求めています^［4］。さらに、本人の同意を得ないまま入力した個人データが、回答を返す以外の目的、たとえば機械学習に回される場合は、個人情報保護法に反するおそれがあるとも述べています^［4］。そのため、提供事業者が入力を機械学習に使わないことなどを、利用の前に確かめておく必要があります。ここでいう要配慮個人情報（病歴や信条など、不当な差別や偏見が生じないよう特に配慮が必要なものとして法令に定められた個人情報用語集）は、契約で入力してはならない情報として挙げる例が見られます^［5］。

外部のサービスに個人データの取扱いを任せる形になる場合は、委託先の監督^［5］や、提供先が外国にある場合の制限^［5］が関わります。どの区分に当たるかは、サービスの仕組みと契約の内容によって変わるため、一覧には「確認が済んだサービス」と「確認した日」を残しておくと、後から説明しやすくなります。区分ごとの取り決め方は生成AIに入力してよい情報・いけない情報のページで詳しく扱っています。

事業上の秘密も、同じ区分の中で扱います。不正競争防止法は、営業秘密を次のように定めています^［6］。

「営業秘密」とは、秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないものをいう。

秘密として管理されていることが要件に含まれているため、社外のサービスへ自由に入力できる状態になっていないかは、管理の実態として問われる場面があります。ただし、入力がどのように評価されるかは事案ごとに異なります。一律にどうなるとは言えませんので、重要な情報ほど「入れてはならない」の区分に置き、例外を承認制にするのが安全です。

要素4　出力の確認

AIの出力は、人が確かめてから使います。確かめる項目は、事実や数字、固有名詞、引用元、そして既存の著作物に似ていないかです。生成物が既存の著作物の権利を侵すかどうかは、文化庁の「考え方」によれば、表現の類似性と、既存の著作物に依拠したかどうか（依拠性）の両方で判断されます^［2］。そのため、チェックリストは、生成物を利用する前に、既存の著作物と似ていないかを検索などで確認することを勧めています^［3］。契約書や規約のような法的な書面では、AIが挙げた条番号や用語が実在するかの照合も加えます。また、指示として既存の画像や文章そのものを入力する場面では、似たものを作らせる目的だと著作権法30条の4による利用が認められず、許諾が必要になる場合がある、とも示されています^{［3］［7］}。照合の手順はAIの回答・分析の確かめ方にまとめています。

AIの出力を、特定の個人や集団の評価に使う場面では、もう一段の配慮が必要です。AI事業者ガイドラインは、そのような使い方をするときにはAIを使っている旨を関係者に通知し、人の合理的な判断で説明責任を果たすことを求めています^［1］。採用や人事の評価にAIを使う場合などは、この点をルールに明記しておきます。

要素5　生成過程の記録

誰が、いつ、どのサービスで、どんな指示を入れて、どんな出力を得て、どう使ったかを残します。文化庁のチェックリストは、既存の著作物に依拠していないことを説明できるよう、指示文などの生成の過程を確認できる状態にしておくことを勧めています^［3］。また、生成物を取引の対象にするときは、AIで生成したものであること、著作物性があるか、侵害していないかを確認した事実を、関係者に説明できるようにしておくことも勧めています^［3］。

記録の項目は、日時、担当者、サービス名と設定、指示文、入力した資料の名称、出力、採用の可否と修正した人、の七つくらいで足ります。保存期間と保存場所も決めます。指示文や出力に個人データが含まれる場合は、記録そのものが個人データとして管理の対象になる点に注意します。全件を残すのが負担なら、取引の対象にする生成物だけを記録の対象にする方法もあります。

要素6　権利侵害などの疑いが出たときの対応手順

生成物が他人の権利を侵害しているのではないか、入力した情報が漏れたのではないか、という疑いが出たとき、誰が何をするかを前もって決めておきます。文化庁のチェックリストも、利用者が内部のルールを定め、侵害が起きた場合の対応手順を事前に想定しておくことを勧めています^［3］。手順は次の五段で考えると整理しやすくなります。

要素7　教育と周知

文書を作っても、読まれなければ使われません。AI事業者ガイドラインは共通の指針の一つに教育・リテラシーを挙げています^［1］。新しく入った人への説明、サービスの規約が変わったときの連絡、ヒヤリハットの共有を、ルールの運用に含めます。難しい説明より、入力区分の表と、迷ったときの連絡先を一枚にまとめて渡す方が、現場では使われます。

要素8　相談窓口

入れてよい情報か迷ったとき、事故かもしれないと思ったときの連絡先を、人の名前ではなく役割で決めます。担当者が変わっても窓口が残るようにするためです。小さな事業では、代表者が窓口を兼ねても構いません。窓口が受けた相談は、後で区分や一覧を見直す材料になるため、件数と内容を記録しておきます。

要素9　見直し

ルールには見直しの時期も書いておきます。見直すきっかけは、使っているサービスの規約や機能が変わったとき、新しいサービスを使い始めるとき、法律やガイドラインが改訂されたとき、事故や疑いがあったときです。AI事業者ガイドライン自体、第1.0版が令和6年4月19日、第1.1版が令和7年3月28日、第1.2版が令和8年3月31日と、短い間に改訂されています^［1］。一定の頻度で見直す場合は、年に一度程度を目安にし、改訂の日付と理由を残します。

公的指針との対応｜ルールの各要素は何を参考にできるか

公的な資料は、ルールの根拠を示す目的でも、抜けを点検する目的でも使えます。ただし、それぞれの資料の位置づけは違います。AI事業者ガイドラインは、AIの開発者、提供者、利用者を対象にした指針で、ソフトロー（法的な拘束力はないが、事業者が自主的に参考にする指針や基準用語集）にあたります^［1］。文化庁のチェックリストは著作権に限った資料で、他の法分野についてはAI事業者ガイドラインなどを見るよう案内しています^［3］。また、同じチェックリストは、全部を実施しないと責任を負う、全部を実施すれば責任を問われない、という趣旨のものではないとも述べています^［3］。

個人情報保護委員会の注意喚起は令和5年6月2日の公表です^［4］。本ページでは日付を添えて引いており、その後に追加の注意喚起が出ていないとは述べていません。また、法的な位置づけで見ると、これらの指針は参考資料です。ルールの文面に「ガイドラインを遵守する」と書くと、その版の内容が自社の約束になりますので、どの版を指すのかを版数と日付で特定して書くのが安全です。

AIで作った契約書や、生成AIの利用に関する契約・規約が争われた裁判例は、裁判所の裁判例検索で確認した範囲では見つかりませんでした^［8］。確認できる裁判例はまだ少ないため、ルールを作るときは、法令の条文、公的な指針、契約の実務の三つを手がかりにすることになります。同じ観点で、AIサービスを提供する側の指針の読み方を扱っているページに、AI推進法と契約書・利用規約への反映があります。

作る手順｜現状の洗い出しから運用まで

ルールを作る順序は、文書を書くことから始めない方がうまくいきます。先に、いま実際にどんなAIが使われているかを把握します。社内で使われているAIを一覧にすると、禁止したつもりのサービスが使われていたり、逆に誰も使っていない機能をルールに書いていたりすることに気づきます。

取引先との契約とルールの関係

取引先との契約が先にあって、社内ルールがそれに従う、という順序が基本です。契約で相手のAI利用を禁じたり条件を付けたりした場合、その内容を実行するための手順が社内ルールに入っていなければ、契約を結んだだけで運用が伴わない状態になります。契約の側の書き方は、禁止か条件付き許可かと、申告・記録・停止指示・違約金のページで扱っています。取引先のNDAとAIの関係は、NDAと生成AI・外部サービスへの入力も参考になります。SaaSの契約でAI機能を扱う側の条項は生成AI機能付きSaaSの契約条項に、保守契約で生まれる資料と生成AIの関係は保守契約で生まれる資料の権利と秘密保持・生成AIにあります。

取引先から、AI利用のルールの提出や説明を求められることもあります。そのときは、取引に関わる部分、つまり使うサービス、入力区分、出力の確認、記録、事故のときの連絡を整理して示します。社内の人事や評価に関する内部資料まで出す必要があるかは、契約の定め次第です。契約に「ルールの内容を確認できる」と書く場合は、見せる範囲も一緒に決めておくと、後で食い違いません。

再委託をする場合は、再委託先にも同じ条件を引き継ぐ必要があります。契約では「再委託先に同等の義務を負わせる」と書いておき、ルールの側にも、再委託先に渡してよい情報の区分と、再委託先のAI利用を確認する手順を入れます。契約と社内ルールの優先関係は、「契約の定めがルールに優先する」と書いておくと、運用が分かりやすくなります。

ルールが形骸化しないために｜起きがちなことと自己点検

ルールがあっても、現場で使われなければ意味がありません。契約の実務で見られる、ルールが形骸化する典型は次のとおりです。実務で見られる型であり、特定の書類に見つかった誤りの件数を示すものではありません。

AIの利用を取り決める文書は、内容が似ていても、事業の実態に合わせて書き分ける必要があります。自社の下書きを見直すときは、書類の種類別チェックリストで、取引先とのAI利用の取り決めの確認点を先に確かめられます。用語に迷ったら用語集で意味を確かめてください。生成AIの成果物の権利については成果物の権利と表明保証、受講生や会員による教材の入力については教材のAI入力禁止のページで扱っています。

作った下書きを点検して仕上げたい場合の進め方は、点検と仕上げの流れにまとめています。料金は書類ごとの定額で料金表に載せており、相談は無料です。ご自身で整える場合も、このページの確認点だけで進められるように書いていますので、必要に応じて使い分けてください。

よくあるご質問

あわせて読みたいページ

本ページは一般的な情報提供です。個別の書類が有効か無効か、どの条項を直すべきかは、事業の実際の流れ、取引の相手、書類の全体の構成によって異なります。書き方の例として紹介している内容は、型として作り直した一般的な例で、特定の事業者や書類を示すものではありません。条文は e-Gov法令検索（法令API）で2026年10月23日時点のものを確認しています。参考: e-Gov法令検索 / 文化庁 / 個人情報保護委員会 / 法務省 / 消費者庁