記事の要約
- 生成AIガイドラインには、企業が定める社内ルールと、総務省・経済産業省「AI事業者ガイドライン」などの公的ガイドラインの2種類があり、本記事は両者の違いと2026年時点の最新版を整理しています。
- パナソニック・KDDI・日清食品・横須賀市など、ガイドラインや運用ルールを公式に公開している企業・自治体の事例11選を一次情報つきで紹介しています。
- 必須項目5つ、入力のOK・NG例、コピーして使える基本テンプレート、策定・運用の5ステップまでをまとめています。
「生成AIを業務で使わせたいが、機密情報が漏れないか不安」「社内ルールに何を書けばよいか分からない」。情報システムやDX推進の担当者から、弊社はこうした相談を数多く受けてきました。
「生成AI ガイドライン」と検索すると、政府の公的な指針と各社の社内ルールが同じ言葉で並びます。両者は役割がまったく異なります。
本記事では、製薬など規制の厳しい業界でAI導入を支援してきたEQUESが、生成AIガイドラインの定義、公的ガイドラインの最新版（2026年時点）、事例11選、必須項目、テンプレートと作り方をまとめました。
目次
生成AIガイドラインとは？社内ルールと公的ガイドラインの違い
生成AIガイドラインとは、ChatGPTなどの生成AIを安全に使うために、利用の目的・範囲・禁止事項・責任の所在を定めた文書です。「誰が作り、誰に向けた文書か」で2種類に分かれます。
1つ目は、企業や自治体が自組織の役職員向けに定める「社内ガイドライン」です。許可ツール、入力してよい情報、生成物の確認手順など、現場の行動を具体的に縛ります。就業規則や情報セキュリティ規程と連動させます。
2つ目は、政府や業界団体がAI開発者・提供者・利用者に向けて示す「公的ガイドライン」です。法的拘束力のないソフトローですが、社内ガイドラインを作るときの共通の物差しになります。
2025年からは公的な枠組みが法律の裏付けを持ちました。AI法（人工知能関連技術の研究開発及び活用の推進に関する法律）が2025年9月1日に全面施行されています（内閣府「AI法 全面施行」）。
同法に基づく「人工知能基本計画」は2025年12月23日に閣議決定され、2026年7月14日に改定されました（内閣府「人工知能基本計画」）。AI法は罰則のない推進法ですが、社内ルールの根拠を公的指針に置く意味は増しています。
社内ガイドラインが必要になる理由は、主に3つのリスクに集約されます。
1つ目は、機密情報の漏洩です。個人向けの無料プランには、入力内容が学習に使われる設定のサービスがあります。法人向けプランやAPI経由なら学習に使わない設定を選べるため、「どのプランなら機密情報を入力してよいか」を区別して書きます。
2つ目は、シャドーITです。会社が許可していないツールを従業員が個人判断で業務に使う状態です。安全なツールを公式に用意し、それ以外を禁止する方が現実的です。
3つ目は、著作権などの法的トラブルです。生成物が既存の著作物に似ていれば権利侵害になる可能性があるため、外部に出す前に人が確認する工程を定めます。
企業が参照すべき公的ガイドライン4つ（2026年時点の最新版）
社内ガイドラインの土台にする公的文書は、次の4つで十分です。改定が続いているため、参照時は版番号と公表日を確認してください（版は2026年10月7日時点）。
| 文書名 | 公表主体 | 最新版・公表日 | 企業での使いどころ |
| AI事業者ガイドライン | 総務省・経済産業省 | 第1.2版（2026年3月31日） | 基本理念の章の下敷き。10の共通の指針を章立てに使える |
| 行政の進化と革新のための生成AIの調達・利活用に係るガイドライン | デジタル庁 | 第2.0版（2026年6月12日） | 利活用ルールのひな形（Ver2.0）が付属し、民間の規程にも転用しやすい |
| 生成AIサービスの利用に関する注意喚起等について | 個人情報保護委員会 | 2023年6月2日 | 個人情報を入力する際の条件。入力禁止情報の章の根拠 |
| 生成AIの利用ガイドライン（ひな形） | 日本ディープラーニング協会（JDLA） | 第1.1版（2023年10月） | 条文形式のWordひな形。社内規程の叩き台にできる |
AI事業者ガイドラインは、2024年4月19日の第1.0版、2025年3月28日の第1.1版を経て、2026年3月31日の第1.2版でAIエージェントとフィジカルAIの定義が加わりました。
主体を「AI開発者」「AI提供者」「AI利用者」に分け、人間中心・安全性・透明性など10項目を共通の指針としています。社内ガイドラインを使う企業の多くは「AI利用者」です。
デジタル庁のガイドラインに付属する「生成AIシステム利活用ルール（ひな形Ver2.0）」（2026年6月12日）は、省庁名を自社名に置き換えれば骨格が使えます。
個人情報保護委員会の注意喚起は、本人の同意なく個人データを入力し応答以外の目的で使われると、法令違反になり得ることを示しています。「個人情報は原則入力しない」というルールの法的根拠です。
生成AIガイドラインの事例11選｜企業・自治体が公式に公開している例
ここからは、ガイドラインや運用ルールを公式に公開している企業・自治体の事例を11件紹介します。すべて各組織の一次情報にリンクしています（2026年10月7日確認）。
まず自治体・教育分野の3件です。行政機関のルールは厳格で、入力禁止情報の線引きを学ぶのに向いています。
文部科学省は、小中高校向けの「初等中等教育段階における生成AIの利活用に関するガイドライン」Ver.2.0を2024年12月26日に公表しました。思考力への影響と個人情報保護を軸に、使ってよい場面と避ける場面を整理しています。
東京都は2023年8月に「文章生成AI利活用ガイドライン」を策定し、2026年3月には対象を広げた「東京都AI導入・活用ガイドライン」を公開しました。導入の検討プロセスや業務領域別の留意点が約100ページにまとまっています。
横須賀市は2023年4月18日、自治体として初めてChatGPTの全庁的な活用実証を始めました。入力情報が二次利用されない方式を採り、機密情報や個人情報は扱わない運用です。
続いて民間企業の8件です。学習に使われない専用環境とガイドラインをセットで運用する形が主流です。
パナソニックグループは2023年4月14日、AIアシスタント「PX-GPT」を国内約9万人に展開しました。入力情報が二次利用されない仕様とし、営業秘密・個人情報の入力を制限するルールを整備しています。
日清食品ホールディングスは2023年4月25日、グループ社員約3,600人向けに「NISSIN-GPT」を公開しました。学習に使われない専用環境を用意し、現在は「NISSIN AI-chat」として約5,500名が利用しています。
KDDIは2023年5月24日から社員1万人を対象に「KDDI AI-Chat」の利用を始めました。2021年8月策定の「KDDIグループAI開発・利活用原則」の下に生成AI向けの社内ガイドラインを置く構成です。
NECは2019年4月2日に「NECグループ AIと人権に関するポリシー」を策定しました。公平性・プライバシー・透明性など7項目で、生成AI登場前から上位規程を持っていた例です。
大和証券グループは2023年4月にChatGPTを社内導入した後、ルールと体制を整備しながら業務効率化案件を重ねてきました（大和証券グループ本社 2025年3月6日 資料）。「まず全社員に使ってもらう」から段階的に広げています。
ベネッセは2023年4月からグループ社員1.5万人に生成AIチャット「Benesse Chat」（当初の名称はBenesse GPT）を導入しました。
カナデビア（旧日立造船）は2025年10月1日に「生成AIポリシー」を全文公開しました。人間中心・安全性・公平性・透明性と説明責任など8原則で構成されています。
サイバーエージェントは2024年2月、社内クリエイター向けに「画像生成AIガイドライン」を発表しました。会社が安全と定めた範囲内での利用を促す設計です。
11件に共通するのは、安全な環境の提供とルールの明文化を同時に行う点です。禁止だけのガイドラインは守られにくく、使ってよい場所があって初めて機能します。
生成AIガイドラインの必須項目5つと入力のOK・NG例
事例の書きぶりは違っても、盛り込まれている要素は共通しています。JDLAのひな形と照らし合わせると、社内ガイドラインに欠かせない項目は次の5つです。
1. 利用を許可するツールとアクセス権限の定義。使ってよいツールを名指しで列挙する「ホワイトリスト方式」を推奨します。禁止ツールの列挙では新サービスに追いつけません。
2. 入力データの機密度分類。社内情報を「公開」「社内限定」「機密」「個人情報」などに分け、区分ごとに入力の可否を表で示します。個人情報は「原則入力しない」とするのが安全です。
3. 生成物の検証プロセス。生成AIの回答には、もっともらしい誤り（ハルシネーション）が含まれることがあります。最終確認は人が行い、成果物の責任は利用者が負うと明文化します。
4. 画像生成と外部委託開発の特有ルール。画像生成AIでは既存キャラクターやロゴとの類似が権利侵害に直結しやすいため、商用利用前のチェックを義務づけます。外部委託では責任分界を契約で定めます。
5. 監視・違反時の措置・見直しの規定。利用ログの確認、違反時の就業規則に基づく措置、法規制の変化に応じた改訂を書きます。この3点で「お願い」が「規程」になります。
条文だけでは、現場は「これは入力してよいのか」で止まります。業務を想定したOK・NGの具体例を併記すると理解度が上がります。NG例は次のような入力です。
- 個人情報の入力：「以下の名刺データ100件を五十音順に並べ替えて」（氏名・電話番号をそのまま貼り付ける）
- 未公開情報の入力：「来月発表予定の新規事業『〇〇プロジェクト』のプレスリリース案を書いて」
- 他者著作物の無断入力：「有料の経済ニュースサイトのこの記事（本文コピー）を要約して」
OK例は、同じ目的を安全な形に言い換えた入力です。
- 匿名化・抽象化：「架空のIT企業の新規事業（クラウドサービス）のプレスリリース案を作成して」
- 公開情報の活用：「自社の公式サイトのURLを読み込み、強みを3つのポイントでまとめて」
- 思考の壁打ち：「DX推進の社内研修を企画しています。アジェンダのアイデアを5つ提案して」
NGとOKを対にして載せると、従業員は「禁止」ではなく「言い換え方」として覚えます。
生成AIガイドラインの作り方｜テンプレートと策定・運用の5ステップ
必須項目が分かったら、次は成文化です。ここでは、[ ]を書き換えるだけで使える基本テンプレートと、策定から運用までの手順を示します。
コピーして使える生成AI利用ガイドラインの基本テンプレート
以下は、JDLAとデジタル庁のひな形の骨格を参考に、民間企業向けに簡略化したものです。業界固有の規制がある場合は、所管官庁の指針も確認してください。
【社内規程タイトル例】生成AIサービス利用ガイドライン
第1条（目的） 本ガイドラインは、株式会社[貴社名]（以下「当社」という）の役員および従業員（以下「従業員等」という）が、業務において生成AIサービスを安全かつ効果的に利用するための基本事項を定める。
第2条（適用範囲） 本ガイドラインは、従業員等が当社の業務遂行を目的として、会社が貸与する端末または個人の端末から生成AIサービスを利用するすべての場合に適用する。
第3条（利用を許可する生成AIサービス） 業務での利用を許可する生成AIサービス（以下「許可ツール」という）は次のとおりとし、これ以外の業務利用は原則禁止する。
- [利用許可ツール名1：例 ChatGPT Enterprise]
- [利用許可ツール名2：例 Microsoft 365 Copilot]
- その他、情報システム部門が個別に許可したサービス
第4条（入力情報の制限） 従業員等は、許可ツールを利用する際、プロンプト（指示文）に次の情報を含めてはならない。
- 機密情報：当社の営業秘密、未公開の財務情報、技術データ、および秘密保持契約（NDA）の対象情報
- 個人情報：顧客、取引先、および当社従業員等の氏名、連絡先、その他の個人を特定できる情報
- 他者の著作物：新聞記事、有料コンテンツ、他社のプログラムコードなど、第三者が著作権を有する情報
第5条（生成物の利用） 生成AIから出力された結果（文章、画像、コード等）を利用する際は、次の事項を遵守しなければならない。
- 事実確認の徹底：出力には誤りが含まれる可能性があるため、一次情報に当たり正確性を人が確認すること。業務成果物の最終的な責任は、利用した従業員等が負う。
- 権利侵害の確認：生成物が第三者の著作権、商標権等を侵害していないか、利用前に確認すること。画像生成AIで外部向け資料を作る場合は[法務部門 / 所属長]の事前承認を得ること。
第6条（利用状況のモニタリング） 情報システム部門は、本ガイドラインの遵守状況を確認するため、許可ツールの利用ログを定期的に確認・監査することができる。
第7条（違反時の措置） 本ガイドラインに違反し、当社に損害を与えた場合、または重大なセキュリティインシデントを引き起こした場合は、就業規則に基づく措置の対象となることがある。
附則 本ガイドラインは[202X年X月X日]から施行する。技術動向や法規制の変化に応じて、[年1回]を目安に見直しを行う。
【問い合わせ先】[情報システム部 / DX推進部：連絡先メールアドレス・内線番号]
このテンプレートは汎用版で、金融・製薬・製造など業界の規制によって必要な条文は変わります。業界に合わせたカスタマイズは、弊社の「AI×DX寺子屋」でチャットで相談いただけます。
条文ができても、読まれなければ意味がありません。周知の際は、「なぜ作ったか」と「何ができるようになるか」を先に伝えると反発が減ります。社内報や研修資料には「PASONAの法則」の構成が応用できます。
- Problem（問題）：資料作成に時間がかかっていませんか？
- Affinity（親近感）：AIは便利だが不安、という声を多く聞きます。
- Solution（解決策）：安全に使えるよう社内ガイドラインを策定しました。
- Offer（提案）：範囲内なら許可ツールを自由に業務に使えます。
- Narrow down（絞り込み）：まずは営業部門から始めます。
- Action（行動）：ガイドラインを確認し、アカウントを申請してください。
利点を前に出すことで、ガイドラインを「制限」ではなく「許可」として受け取ってもらえます。
生成AIガイドラインの策定・運用5ステップ
運用に乗せるまでの手順は5段階です。最初に人を集め、最後に見直しの仕組みを作るのが要点です。
ステップ1：現状把握とプロジェクトチームの発足。情報システム部門、法務部門、現場の代表者を集め、どの業務でAIを使いたいかを把握します。
ステップ2：利用目的・適用範囲・ツールの選定。入力データが学習に使われない法人向けプランや専用環境の中から許可ツールを決めます。ツールが決まらないと第3条が書けません。
ステップ3：既存規程との整合性確認。情報セキュリティ規程や個人情報保護方針と照らし合わせ、情報の区分名や承認権限の矛盾をなくします。
ステップ4：ひな形を使った成文化。テンプレートを土台に条文を書き、OK・NGの具体例を添えます。参照した公的ガイドラインの版を附則に残すと、後の改訂が楽になります。
ステップ5：社内教育と定期的な見直し。研修でルールの背景にあるリスクを説明し、問い合わせ窓口を周知します。公的文書に合わせ、年1回を目安に見直します。
生成AIガイドラインの策定から運用までEQUESが支援
ルールを作った後には、安全な環境の構築や従業員教育、業務に合わせたAI開発といった課題が続きます。東大松尾研発のAIスタートアップである弊社（株式会社EQUES）は、ルール作りから開発・運用までを伴走型で支援しています。
「AI×DX寺子屋」でガイドラインのカスタマイズを相談
「AI×DX寺子屋」は、東大生・東大出身者が中心のEQUESメンバーが、AIやDXの疑問にチャットで答えるサービスです。ガイドラインの条文の相談にも使えます。
- プランA：月額20万円で相談し放題、月1回のオンラインミーティングつき。
- プランB：応相談。社内セミナーや技術者の派遣など柔軟に対応します。
PoCサービス「ココロミ」で本開発前に安全性を検証
自社専用のAIシステムを作るなら、投資の前に検証（PoC）を挟むのが安全です。「ココロミ」では、生成AIが自社の課題を解決できるかをスモールスタートで確かめ、アクションプランの策定まで支援します。
製薬業界向けSaaS「QAI Generator / QAI Checker」
弊社は、特に高い正確性とコンプライアンスが求められる製薬分野に強みがあります。「生成物は人が確認する」と定めても、確認を軽くする仕組みがなければ現場は回りません。
- QAI Generator：フォームに答えるだけで、変更申請書・逸脱報告書などのGMP文書をAIが自動作成します。万協製薬株式会社では作成・レビュー工数を70%削減した実績があり、弊社は経済産業省・NEDOの「GENIAC」にも採択されています。（https://qai-generator.eques.co.jp/）
- QAI Checker：複数のQA文書の齟齬をAIが自動検出し、数値の相違や工程の抜け漏れを段落単位で抽出します。結果はExcelで一括ダウンロードできます。（https://qai-checker.eques.co.jp/）
生成AIガイドラインに関するよくある質問
Q. 「生成AIガイドライン」と「AI事業者ガイドライン」は何が違うのですか？
A. AI事業者ガイドラインは総務省と経済産業省が示す公的な指針で、法的拘束力はありません。「生成AIガイドライン」と呼ばれるものの多くは企業や自治体の社内ルールで、公的指針を参照して作る関係にあります。
Q. 中小企業でも生成AIガイドラインは必要ですか？
A. 従業員が業務で生成AIを使う可能性があるなら、規模にかかわらず必要です。JDLAのひな形や本記事のテンプレートを使えば、数日で初版を作れます。
Q. ガイドラインはどのくらいの頻度で見直すべきですか？
A. 年1回が目安です。AI事業者ガイドラインは2024年から毎年改定され、デジタル庁のガイドラインも初版から1年で第2.0版になりました。許可ツールの追加やインシデント発生時は臨時改訂します。
まとめ
本記事では、生成AIガイドラインの定義、公的ガイドラインの最新版、事例11選、必須項目、テンプレートと作り方を解説しました。要点は次の4つです。
- 生成AIガイドラインには社内ルールと公的ガイドラインの2種類があり、社内ルールは公的ガイドラインを物差しにして作る。
- 参照すべき公的文書は、AI事業者ガイドライン第1.2版、デジタル庁ガイドライン第2.0版、個人情報保護委員会の注意喚起、JDLAのひな形の4つ。
- 公開事例11件に共通するのは、安全な専用環境とルールの明文化をセットにしていること。
- 策定して終わりではなく、OK・NG例つきの教育と年1回の見直しで、ガイドラインを生きた規程にする。
「自社に合う形に落とし込めない」「専用システムの開発に不安がある」という場合は、お気軽に株式会社EQUESまでお問い合わせください。
