AI利用ルール3点の作り方｜入力禁止・最終確認者・相談先から始める

AI利用ルールとは、生成AIを業務で使うにあたって、入力してよい情報の範囲、出力の最終確認をする人、迷ったときに相談する人を、あらかじめ決めておく取り決めです。道具の使い方のマニュアルではなく、「会社の情報をどう守り、誰が責任を持つか」を決めるものです。

本コラムでは、ルールが未整備なまま利用だけが広がっている現状を確認し、最小限の3点（入力禁止情報・最終確認者・相談先）の決め方、最初に組み込む業務の選び方、ルールの運用と見直しの進め方を紹介します。

この記事でわかること

・AI利用ルールが未整備な会社の現状と、使う側の壁

・入力禁止・最終確認者・相談先の「3点」の決め方

・最初に組み込む業務の選び方（頻度・型・リスク）

・ルールの運用と見直しの進め方

1. 利用は広がったが、ルールは未整備のまま

生成AIを使う会社は増えています。ただし、利用の広がりに対して、会社としてのルールづくりは追いついていません。

ルールづくりで、何を参考にすればよいか分からない企業が34.9%

日本商工会議所LOBOの2026年8月調査では、生成AIを活用している企業の社内ルールの整備状況は、策定済み・運用中が16.9%、策定・運用を決めて準備中が29.9%、今後策定・運用したいが何を参考にすればよいか分からないが34.9%、策定予定なし・必要性を感じないが18.3%でした。34.9%が4区分の中で最多です。後半2区分の合計は53.2%ですが、準備中も含む未運用企業全体の割合ではありません（日本商工会議所LOBO 2026年8月調査）。

使うのは個人が中心で、全社的は1割に届かない

信金中金総研の調査では、生成AIを利活用している中小企業のうち、全社的に活用している会社は9.6%でした。個人の利用だけでなく、会社として対象業務と情報の扱いを決めることが必要です（信金中金総研 第205回特別調査、調査期間2026年9月1〜7日）。

2. まず3点から始める｜情報の扱いと責任を明確にする

ルールづくりは、入力禁止情報・最終確認者・相談先の3点を明確にするところから始められます。ただし、これは基本の整理です。扱う情報、契約、法令、サービスの設定に応じて、追加の確認や管理が必要です。

情報漏えい・セキュリティへの不安が最多

信金中金総研の同調査で、未利用企業も含む回答企業が挙げた課題・未利用理由の最多は「情報漏えい・セキュリティ面の不安」35.5%でした。利用企業だけの割合ではありません。情報をどこまで入力してよいかを、使い始める前に確認できる状態にすることが大切です。

3点は、そのまま壁への手当てになる

入力禁止情報は、情報を外部サービスへ渡す際の線引きです。最終確認者は、AIの出力を人が点検する役割です。相談先は、判断に迷う場面で個人が抱え込まずに止まれるようにするものです。3点に加え、利用を認めるサービスやアカウント、データの保存・学習利用、権限、事故時の連絡方法も確認します。

分厚い規程から作らない

まずはA4判1枚など、現場が参照しやすい形に整理すると始めやすくなります。既存の情報管理規程や契約と矛盾がないかは、運用前に確認します。個人情報や機密情報を扱う場合は、3点だけで十分とは考えず、必要な審査や管理を追加してください。

3. ルール1 入力禁止情報の決め方

入力禁止情報は、「AIに入れてはいけない情報」を、会社の実情に合わせて具体的に挙げることです。

図1は、3点シートの形です。記入例は一般的な例なので、自社の業務に合わせて置き換えてください。

線引きは、3つの区分で決める

情報は「入力しない」「条件付きで入力してよい」「入力してよい」に分けます。個人情報、守秘義務のある情報、未公開の経営数字などは慎重に扱います。固有名詞を伏せても、ほかの情報と組み合わせて本人や取引を特定できたり、内容自体が機密だったりすることがあります。条件付き利用は、再特定のリスク、契約、サービスの保存・学習利用設定を確認して決めます。単に匿名化・要約するだけで安全になるわけではありません。

迷う情報は、入力しない側に倒す

線引きの場面で迷う情報は、その場で判断せず、入力しない側に倒すのが原則です。「これは入れてよいか」を個人の判断に任せると、判断のばらつきがそのまま漏えいのリスクになります。迷った場合は、ルール3の相談先に聞く、という流れとセットで決めます。

4. ルール2 最終確認者の決め方

最終確認者とは、AIが出した文章や数字を、社外に出す前・業務に使う前に確認する責任者です。

確認者は、業務ごとに1人決める

確認者は、全社で1人とは限りません。見積書の下書き、取引先へのメール、社内資料など、業務ごとに「外に出す前に誰が見るか」を1人決めます。決め方がないと、AIの出力をそのまま送ってしまう事故が起きます。確認者は、原則としてその業務の責任者です。少人数の会社では、経営者が兼ねても構いません。

確認で見るのは、事実と宛先と数字

基本の確認観点は3つです。事実に誤りがないか（固有名詞、日付、約束ごと）、宛先と表現が相手に合っているか、金額や数量などの数字が正しいか、です。文章の上手さではなく、誤りがないかを見る確認と位置づけます。確認したことが分かるよう、送信前に確認者が目を通した記録を残す運用にすると、後から振り返れます。業務に応じて、個人情報、著作権、契約、専門的判断などの確認も加えます。

5. ルール3 相談先の決め方

相談先とは、AIの使い方や情報の扱いで迷ったときに、判断を仰げる人です。ルール1・2で決めきれない場面の受け皿になります。

推進役を1人置く

相談先は、AI活用の推進役を兼ねる方法があります。中小機構の調査では、AIやITを活用するための担当者について、専任が3.0%、兼任が11.1%、特に担当者を設けていないが85.9%でした。生成AIだけの担当者を尋ねた数字ではありません（中小機構「中小企業のAI等活用実態調査」、2026年3月公表）。専任でなくても、判断できる相談先を明確にすることから始めます。

相談先は、名前と手段で決める

相談先は、担当者の名前と、連絡の手段（チャット、メール、口頭）まで決めて、3点シートに書いておきます。「詳しい人に聞く」という決め方では、実際に迷った場面で誰に聞けばよいか分かりません。相談があった事例は、ルールの見直しに使う材料として、簡単に記録しておきます。

6. 最初に組み込む業務の選び方

ルール3点を決めたら、最初に組み込む業務を1つ選びます。選ぶ基準は、頻度が高いこと、型があること、扱う情報のリスクが低いことの3つです。

頻度が高い業務から始める

毎日・毎週発生する業務は、試す回数が多く、効果も早く確かめられます。議事録の下書き、定型メールの文面づくり、日報や週報の要約など、繰り返し発生する文書作成が候補です。月に1回しか発生しない業務を最初に選ぶと、検証の機会が少なく、仕組みとして定着しません。議事録やメールには機密情報が入りやすいため、最初は公開情報や架空の内容で、利用条件を満たす範囲から試します。

型があり、リスクが低い業務にする

手順や文面の型が決まっている業務は、出力の良し悪しを確認しやすくなります。ただし「社内向け」だから低リスクとは限りません。最初は公開情報や架空のデータを使う作業から始め、個人情報や機密情報は、必要な許可・契約・設定・管理を確認できるまで入力しません。

7. ルールの運用と見直し

ルールは、決めて終わりではありません。事例を共有し、定期的に見直すことで、実態に合ったルールに育てます。

月次で事例を共有する

月に1回、短時間でよいので、使ってよかった事例と、迷った・困った事例を共有する場を持ちます。相談先に寄せられた事例が材料になります。よい事例の共有は、使う人と使い方を広げる効果があります。困った事例は、ルールの線引きが曖昧な場所を示すサインです。

四半期でルールを見直す

3か月に1回、3点シートを見直します。入力禁止の区分に実態とずれているものはないか、確認者の負担が偏っていないか、相談の事例から足すべき決め事が出ていないかを確認します。見直したら、シートの日付を更新して全員に再共有します。ルールは、変えること自体を前提にしておくと、古いまま放置されません。

8. よくある質問（FAQ）

Q1. ルールは、正式な規程として文書化しないといけませんか？

A4判1枚など、現場が参照しやすい3点シートから始める方法があります。ただし、既存の情報管理規程、契約、法令や業務上の要件は運用前に確認してください。3点シートだけですべての情報管理が完結するわけではありません。

Q2. 専任の推進担当者を置く余裕がありません。

専任に限る必要はありません。中小機構の2026年3月公表調査では、AI・IT活用の担当者は専任3.0%、兼任11.1%、特に設けていない85.9%でした。経営者や現場のリーダーが兼務する場合も、判断できる範囲と専門家へ相談する経路を決めます。

Q3. 社員がすでに個人で勝手に使っています。禁止すべきですか？

まず、誰が・どの業務で・何を入力しているかを確認します。情報漏えいや契約違反の恐れがある利用は、その場で止めて担当者へ相談します。そのうえで、会社が認めるサービス、対象業務、入力条件と確認者を決め、全員に共有します。

Q4. 入力禁止を厳しくすると、業務が回らなくなりませんか？

禁止する情報と条件付きで扱える情報を分けて設計します。ただし固有名詞を外すだけでは安全とは限りません。再特定の可能性、内容自体の機密性、契約、サービスのデータ利用設定を確認し、条件を満たせない情報は入力しません。

Q5. ルールの見直しは、どのくらいの頻度で行うべきですか？

月次で事例を共有し、四半期でシートを見直す進め方を推奨します。大きな事故や、扱う業務の変化があった場合は、四半期を待たずに見直します。見直しのたびにシートの日付を更新し、再共有します。

9. AI活用の仕組みづくりと、ご相談のご案内

AI活用は、道具を入れることではなく、どの業務に・どのルールで組み込み、どう測るかを決めることです。ルール3点は、その最初の設計にあたります。

合同会社ON.は、中小企業の企業変革支援を行う会社です。経営企画の実務を外部から担う「外部経営企画室（経営企画BPO）」を中心に、中期経営計画の策定や予実管理の仕組みづくりに加え、AI利用ルールの設計、組み込む業務の選定、月次での運用の伴走を支援します。

資料請求は、合同会社ON.公式サイトのCONTACT（お問い合わせ）からお願いします。

10. まとめ

日商LOBO調査では、活用企業の34.9%がルールを策定・運用したいものの、何を参考にすればよいか分からないと回答しています

未利用企業も含む調査では、情報漏えい・セキュリティ面の不安が最多。情報の扱いは利用前に決めます

入力禁止情報・最終確認者・相談先の3点を基本に、業務のリスクに応じて必要な管理を加えます

最初に組み込む業務は、頻度が高く、型があり、扱う情報のリスクが低い業務から選びます

ルールは月次で事例を共有し、四半期で見直して、実態に合わせて育てます