総務省の令和8年版情報通信白書によると、2025年度の企業向け調査で、活用方針の設問に「わからない」と答えた人を除いて尋ねると、自社の何らかの業務で生成AIを利用していると答えた割合は、日本で86.4%でした^[1]。生成AIを積極的に、または領域を限定して活用する方針だと答えた割合も68.9%で、前年度の49.7%から上がっています^[2]。

方針を決めた会社が社内の「AIガイドライン」を書くとき、参照されやすい公開文書が2つあります。総務省と経済産業省のAI事業者ガイドラインと、日本ディープラーニング協会（JDLA）の生成AIの利用ガイドラインです。JDLAのひな型は、入力してよいかの判断がサービスごとのデータの扱いで分かれ、複雑になるとして、個人情報も、取引先から秘密保持契約で預かった情報も、一律に入力しない書き方を取っています^[5]。この書き方を、契約を確かめた後も変えずに使うと、入力を学習に使わない法人契約を結んだAIサービスにも、顧客名の入った議事録を入れられず、契約費用を払ったまま使える業務が限られます。

どの情報をどのAIサービスに入れてよいかを決める材料は、契約書と秘密保持契約、情報資産の台帳にすでに書いてあります。社内のAIガイドラインは、国の指針とひな型を写せば足りるのでしょうか。

「AIガイドライン」と呼ばれる2種類の文書

「AIガイドライン」という言葉は、書き手も読み手も違う2種類の文書を指して使われます。1つは国が事業者全般に向けて出す指針で、もう1つは会社が自社の社員に向けて書く利用ルールです。

AI事業者ガイドラインは、2024年4月に策定された文書で、第1.2版は2026年3月31日に総務省と経済産業省が公表しました^[3]。ガイドライン自身が、関係者の自主的な取組を促す「非拘束的なソフトロー」として作ったと説明しています^[3]。2025年9月に全面施行された人工知能関連技術の研究開発及び活用の推進に関する法律（AI推進法）の施行後に公表された第1.2版でも、この説明は残っています^[3]。

JDLAのひな型は、前文で、民間企業や組織が「組織内のガイドラインとして最低限定めておいた方がよいと思われる事項を参考として示したもの」と説明しています^[5]。国の指針が「何に気を付けるか」を事業者に向けて並べた文書であるのに対し、ひな型は社員に向けた禁止と手続きの文書です。

AIセーフティ・インスティテュート（AISI）が2026年2月に意見募集のドラフトとして公開したCAIO設置・AIガバナンス実務マニュアル（案）は、社内の文書を「AI利用ポリシー」「利用ガイドライン」と呼んでいます^[6]。同じ案は、AI原則を具体的な運用ルールに落とし、「例外や緩和の判断基準も明文化する」と書いています^[6]。呼び名は違っても、国の指針、ひな型、AISIの案のどれも、社内の文書は各社が自社の運用に合わせて書く前提に立っています。

国のガイドラインは、AIの利用者に何を求めているのか

国のガイドラインを社内向けに写したくなるのは、政府の名前で書かれた文章なら社内の説明が通りやすいからでしょう。では、その文章から社員は何を入力してよいかを読み取れるのでしょうか。

AI事業者ガイドラインは第5部で、AIの利用者が取り組む事項を挙げています。入力に関わる項目は次の2つです^[3]。

• U-4）i.：「AI システム・サービスへ個人情報を不適切に入力することがないよう注意を払う」
• U-5）i.：「AI システム・サービスに機密情報等を不適切に入力することがないよう注意を払う」

どちらも「不適切に」が何を指すかは書いていません。ガイドラインは、自らを基本的な考え方を示す文書と位置づけ、実際の利用では「本ガイドラインを参考の一つとしながら、AI 活用に取り組む全ての事業者が自主的に具体的な取組を推進することが重要となる」と書いています^[3]。

別添7のチェックリストも、答えではなく問いの形で並んでいます。「AIガバナンスやプライバシーに関するポリシー等を策定しているか?」「各事業者の状況に応じた具体的なアプローチは検討しているか?」という項目です^[4]。国のガイドラインは、何が不適切かを各社がポリシーに書くことを前提にしています。

この2行をそのまま社内のガイドラインに写すと、社員は「不適切」の線を一人ひとり自分で引くことになります。営業担当者は顧客名の入った議事録を入れてよいと考え、隣の席の担当者は入れてはいけないと考える。判断が担当者ごとに分かれると、漏えいの経路が残るうえに、問い合わせを受ける情報システム部門の工数も増えます。

JDLAのひな型は、何を決めて何を空欄にしているのか

JDLAのひな型は、国のガイドラインより一段具体的です。データ入力で注意すべき事項として、次の6つを挙げています^[5]。

1. 第三者が著作権を有しているデータ
2. 登録商標や意匠（ロゴやデザイン）
3. 著名人の顔写真や氏名
4. 個人情報
5. 他社から秘密保持義務を課されて開示された秘密情報
6. 自組織の機密情報

このうち個人情報について、ひな型の解説は「本ガイドラインでは一律個人情報の入力を禁止することにしています」と書いています。理由は、入力が適法かどうかが、生成AIの中でのデータの取扱いや、提供者が外国の事業者かによって分かれ、判断が複雑になるからだと説明しています^[5]。秘密保持契約で預かった情報も、契約の解釈によってはクラウド上に置くこと自体が違反とされる場合があるとして、一律に入力を禁止しています^[5]。

一方で、ひな型には空欄が残されています。個人情報の条項には「【ただし、利用する生成AIによっては、特定の条件を満たせば個人情報の入力が適法になる可能性もあります。詳細は【セキュリティ部門】にお問い合わせください。】」という選択式の一文があります^[5]。【】の中は、各社が自社の部署名やサービス名に書き換える前提の箇所です。

ここで「安全側に倒した一律禁止を写しておけば問題は起きない」という考え方もあります。しかし、ひな型が一律禁止にした理由は、サービスごとのデータの取扱いを確かめないと判断できないからでした。法人契約の条項を確かめ、入力を学習に使わないことを確認したサービスについては、その理由が当てはまらなくなります。確かめたサービスにも一律禁止を残すと、契約費用を払ったサービスで扱える業務が、公開資料の要約のような機密性の低い作業に限られます。

ひな型の公開は2023年10月で、解説に例として出てくるサービスの設定や規約は、その後に変わりえます^[5]。ひな型の例は、ある時点の判断の材料として読み、現在の可否はそのつど契約と規約で確かめる必要があります。

社内のAIガイドラインで、自社が埋める3つの欄

どのサービスに何を入れてよいかは、会社ごとの契約によって答えが変わります。そのため国の指針は各社の取組に任せ、ひな型は判断が分かれる情報に一律の禁止を置いています。自社が書き足すのは、次の3つの欄です。

1. 使ってよいAIサービスの一覧：ひな型自身も、利用を許可する場合は「ホワイトリスト方式（利用してよいサービスを特定した上で列挙する方式）」を勧めています^[5]。サービスごとに、契約の形、入力を学習に使うか、規約を確認した日を並べます。作り方はAIサービス一覧の記事に書きました。
2. サービスごとに入れてよい情報：AISIの案は、データ分類（機密、社外秘、公開など）と連動させて「分類ごとに外部 AI サービスへの送信可否やマスキング要件を定める」と書き、例を3段で示しています^[6]。機密情報と特定個人情報は原則として外部のAI APIに送らないか匿名化やマスキングの後に限る、社外秘情報は利用目的と契約条件、技術的対策を確認したうえで限定的に送る、公開情報は必要な範囲で送る、という例です。この例は分類で線を引いているので、同じ分類でも点数にした理由（法令、契約、自社判断）で入れてよいサービスが変わる情報は、自社で書き足します。たとえば応募書類は法令（個人情報）、取引先から預かった金型図面は契約（秘密保持契約）、自社の製品設計図は自社判断が理由になり、同じ機密性3でも入れてよいサービスが変わります。理由の書き方は情報資産のリスク分類の記事に書きました。
3. 例外を判断する人と期限：ひな型の【セキュリティ部門】の欄に、部署名だけでなく、判断する担当者の役職と、何営業日で回答するかを書きます。AISIの案が明文化を求める「例外や緩和の判断基準」も、この欄に置きます^[6]。回答期限が書かれていないと、問い合わせを待つより、承認されていないサービスで済ませる社員が出ることがあります。

3つの欄を表として持ち、ガイドラインの本文は表を指す数行にとどめるという書き方もあります。規約が変わったときや、新しいサービスと契約したときに書き換えるのは表の1行で、ガイドライン全体を改訂して全社に周知し直す手間がかかりません。表の分け方と書き方は当社の見方です。

一覧に載っていないサービスを社員が使っていないかは、ガイドラインを配っただけでは分かりません。シャドーAIの記事で書いた利用実態の棚卸しを先に行うと、どの部署が使っているどのサービスから一覧に載せるかを選べます。

写してよい部分と、自社で書く部分

国のガイドラインから社内のガイドラインへ写してよいのは、何に気を付けるかの項目です。人権、安全、プライバシーなど10項目の共通の指針は、社員研修の目次として使えます^[3]。JDLAのひな型からは、入力で注意する6つの区分と、生成物の利用で注意する事項の並びを借りられます^[5]。

自社で書くのは、どのサービスに、どの情報を、誰の判断で入れてよいかです。AISIの案は分類ごとの例を示していますが、自社のどの情報をどの分類に入れ、どのサービスに当てるかは、契約書、秘密保持契約、情報資産の台帳を見ないと書けません。社内のAIガイドラインを作っても、国のガイドラインに適合したことや、入力が適法であることの確認にはなりません。適法かどうかは、法令と契約の条項ごとに法務が確かめます。

冒頭の調査で生成AIを業務に使っていると答えた会社のAIサービスにも、それぞれ契約か規約があります。その条項を一度読み、入れてよい情報を表の1行に書くところまでが、公開文書を写した後に残る作業です。書いた後の見直しについて、AISIの案は、CAIOが法務部門と連携して少なくとも年1回をめどにガイドラインと自社ポリシーのずれを確かめ、法令やガイドラインの改正は法務部門からAIガバナンス室へ共有するとしています^[6]。AIサービスの規約の改定は、年1回の見直しの時期と重なるとは限りません。規約が改定された日に表の1行を書き換え始めるのが誰かは、自社で決めておく項目として残ります。

参考・一次ソース

■お問い合わせ

社内のAIガイドラインのうち、使ってよいAIサービスの一覧、サービスごとに入れてよい情報、例外の判断者を、契約書と情報資産の台帳から書き起こす作業に手が回らないときは、アハクラフトにご相談ください。

お問い合わせ