|
「うちの社員、ChatGPTに顧客の名前入れて使っていないだろうか」「AIベンダーに渡したデータ、学習に使われていないか」——そんな不安を抱えている会社は、今や珍しくありません。生成AIの業務利用が当たり前になってきた一方で、ルールを何も定めていないまま社員任せにしている会社がまだまだ多いのが現状です。今回の書式セットは、そういった企業がAIを安心して活用するための社内ルール一式をまとめたものです。
中心となるのはAIツール業務活用利用規程（全20条）です。ChatGPT・Microsoft Copilot・Google Gemini・Claudeといった生成AIを社員が業務で使う際のルールを体系的に定めています。入力してはいけない情報の8区分、やってはいけない6つの行為、AI生成物を使う前に確認すべき4つのポイント——具体的な場面を想定して設計しています。
入力禁止情報チェックリストは毎回の利用時に使う運用ツールです。送信前の10項目・AI出力使用前の5項目に加え、コード生成・翻訳・財務分析・契約書補助など業務種別ごとの可否判定表と、誤送信してしまったときの5ステップ対応フローもまとめています。
AIシステムの開発やアノテーション作業を外部ベンダーに委託する場面では、ベンダー向けNDA（全15条）が活躍します。AI学習データの目的外利用禁止・学習モデルの権利帰属・暗号化などセキュリティ要件・監査権といった、AI時代ならではの論点を盛り込んだ秘密保持契約書です。
さらにAIツール利用申請書とインシデント記録簿も同梱しています。申請書ではデータ保存先の国・学習利用の有無まで確認できる設計になっています。すべてWordファイルで提供しており、会社名・担当者名・施行日などを【 】内に書き換えるだけで自社仕様に仕上がります。AI関連の知識がない総務担当者でも迷わず使えます。
■ AIツール業務活用 利用規程（全20条）
・ 第１条（目的）
・ 第２条（定義）
・ 第３条（適用範囲）
・ 第４条（基本方針）
・ 第５条（AI管理責任者）
・ 第６条（利用承認制度）
・ 第７条（部門管理者の責務）
・ 第８条（入力禁止情報）
・ 第９条（利用制限行為）
・ 第10条（AI生成物の取扱い）
・ 第11条（著作権の帰属）
・ 第12条（学習データへの提供禁止）
・ 第13条（教育・研修の実施）
・ 第14条（インシデントの定義と報告）
・ 第15条（利用状況のモニタリング）
・ 第16条（規程の改訂）
・ 第17条（違反時の措置）
・ 第18条（個人情報保護法との関係）
・ 第19条（規程の周知）
・ 第20条（施行日）
■ AI関連業務 秘密保持契約書・NDA（全15条）
・ 第１条（目的）
・ 第２条（定義）
・ 第３条（秘密情報から除外されるもの）
・ 第４条（秘密保持義務）
・ 第５条（AI学習データの特則）
・ 第６条（学習モデルの権利帰属）
・ 第７条（セキュリティ要件）
・ 第８条（再委託の制限）
・ 第９条（監査権）
・ 第10条（損害賠償）
・ 第11条（差止請求）
・ 第12条（有効期間）
・ 第13条（個人情報保護法上の委託者責任）
・ 第14条（準拠法・合意管轄）
・ 第15条（その他）
■ AIツール業務活用 利用規程
第１条（目的）
規程の目的を最初に宣言する条文です。生成AIの活用促進と情報セキュリティ・個人情報保護・知的財産権・コンプライアンスのリスク低減を両立させると明示しています。「AIを禁止する規程」ではなく「安全に使うための規程」であることを冒頭で示すことで、社員がルールをネガティブに受け取らない工夫がされています。
第２条（定義）
「AIツール」「役職員」「プロンプト」「AI生成物」「機密情報」「AI管理責任者」の6語を定義しています。特に「役職員」には派遣社員・業務委託先担当者も含むと明記しており、正社員だけでなく外部人材にも規程を適用できます。ChatGPTはもちろんClaude・GitHub Copilotまで幅広く「AIツール」に含まれるため、新しいサービスが登場しても規程を改正せずに対応できます。
第３条（適用範囲）
会社支給のパソコンだけでなく、個人所有のスマホやタブレットで業務目的にAIを使う場合も対象です。また社員が個人アカウントで契約しているAIサービスを業務に流用するケースも明示的に規程の対象とし、「個人のアカウントだからルールは関係ない」という言い逃れを防いでいます。テレワーク普及後の現実的な運用を想定した設計です。
第４条（基本方針）
4つの柱を宣言しています。最も重要なのが「最終的な判断・責任は人間が負う」という原則です。AIが出した答えを鵜呑みにしてミスが起きた場合でも「AIが言ったから」は言い訳にならないことを全社員に共有します。情報セキュリティの最優先とAI生成物の確認義務、そして規程の継続的改善も基本方針として盛り込んでいます。
第５条（AI管理責任者）
AIガバナンスの実務を担う担当者を「AI管理責任者」として正式に任命する規定です。承認AIツールリストの管理・教育研修の実施・モニタリング・インシデント対応・規程改訂の5つの職務を明確にしています。「誰が責任を持つのか分からない」という組織のあいまいさを解消する重要な条文で、DX推進担当や情報システム部門長が就くケースが多いと思います。
第６条（利用承認制度）
新しいAIツールを業務利用する前に必ずAI管理責任者の承認を取る仕組みです。「承認AIツールリスト」に掲載されていないツールは原則禁止とし、社員が勝手に使い始めるシャドーIT問題を防ぎます。リストは四半期ごとに見直すと定めており、月に何十と登場する新しいAIサービスにも柔軟に対応できます。
第７条（部門管理者の責務）
各部門長が果たすべき役割を4点定めています。特に重要なのが「AI生成物を外部提供する場合の最終確認」です。営業資料や提案書にAIの誤情報が混入したまま顧客に渡るリスクを防ぐため、部門長が最終チェックを担う体制を規程に落とし込んでいます。AI管理責任者と部門管理者の役割分担が明確になることで、組織全体のガバナンスが機能します。
第８条（入力禁止情報）
8区分の入力禁止情報を根拠・リスクとともに一覧表で示しています。個人情報・顧客の非公開情報・未公開経営情報（M&A計画など）・人事給与情報・パスワード等の認証情報・第三者の著作物・医療情報・社外秘文書が該当します。特に見落とされがちなのが「パスワードやAPIキー」の入力禁止です。AIツールへの認証情報入力は深刻なサイバーセキュリティリスクになります。
第９条（利用制限行為）
「やってはいけない行為」を6つ列挙しています。最も実務的に重要なのが「AI生成物をそのまま社外提出物として使用すること」の禁止です。見積書・提案書・議事録などをAIに生成させてそのまま送ってしまうケースは現実に起きています。また、AI生成コードのレビューなし実装禁止も重要で、セキュリティホールを含むコードが本番環境に入り込む事故を防ぎます。
第10条（AI生成物の取扱い）
AI生成物を使う前に必ず行う4つの確認を義務付けています。事実・数値の正確性確認（ハルシネーション対策）・機密情報チェック・著作権チェック・不適切表現チェックです。AI生成物を外部提供する際は部門管理者の承認が必要で、業務成果物として使った場合は社内記録に残す義務があります。「AIが作ったものだから自分は責任ない」という意識のずれを正す条文です。
第11条（著作権の帰属）
AI生成物の著作権について、現行の日本著作権法では「原則として著作物として保護されないか、会社・社員に帰属する場合がある」と説明しています。この解釈は各国の法改正で変動するため、AI管理責任者が継続的に動向を追うことも義務としています。AI生成物が既存著作物と類似するリスクにも言及し、外部公表前の類似チェックを推奨しています。
第12条（学習データへの提供禁止）
ChatGPTなどのAIサービスの中には、入力した内容がAIの学習データに使われるものがあります。この条文は、利用前に利用規約を確認し、学習利用をオフにする設定が可能なら必ず設定してから業務利用するよう義務付けています。「設定を変えれば使っていい」という抜け道を塞ぎつつ、適切な利用は認める現実的なルールです。
第13条（教育・研修の実施）
AI管理責任者が年1回以上の研修を実施することを義務付けています。研修内容には規程の改訂点・入力禁止情報の具体例・AI生成物の品質確認・著作権・インシデント報告手順の5項目を含めます。新入社員や業務委託先の担当者が利用開始前に必ず説明を受ける義務も定めており、「知らなかった」によるルール違反を未然に防ぎます。
第14条（インシデントの定義と報告）
4種類のインシデントを定義し、発生時の即時報告義務を定めています。入力禁止情報の誤送信・AI起因の情報漏洩・AIの不審な出力・承認外ツールの利用がこれに当たります。報告を受けたAI管理責任者が被害拡大防止に動く体制と、インシデント記録簿への3年間記録義務も定めています。個人情報が関係する場合は個人情報保護委員会への報告要否判断も必要です。
第15条（利用状況のモニタリング）
AI管理責任者が四半期ごとに承認AIツールの利用状況をレビューします。「ルールを作って終わり」にしない継続的なガバナンスを担保する条文です。会社が業務目的の範囲でAIツール利用ログを確認できる旨も明示しており、モニタリングの根拠として機能します。役職員への事前周知として規程の適切な場所に置かれています。
第16条（規程の改訂）
生成AIは月単位で機能が変わり、法令の解釈・規制も刻々と変化しています。この条文では少なくとも年1回の定期改訂を義務付けつつ、必要があれば随時見直せるとしています。「2年前に作った規程で最新のAIをカバーしている」という状態を防ぐための重要な条文で、AI管理責任者に継続的な情報収集の責任を負わせています。
第17条（違反時の措置）
規程違反には就業規則に基づく懲戒処分を科せると定めています。さらに第三者への損害が発生した場合は損害賠償責任を問うことも明記しています。「知らなかった」「軽い気持ちだった」では済まされないという抑止力を持たせることで、社員がチェックリストを使う動機付けになります。厳罰を目的とするというより、真剣にルールを守ってもらうための条文です。
第18条（個人情報保護法との関係）
本規程が個人情報保護方針・情報セキュリティポリシーと整合することを確認し、矛盾が生じた場合は既存の社内規程・法令が優先すると定めています。AI利用規程を単独で作るのではなく、既存のコンプライアンス体系の一部として位置づける重要な条文です。複数規程を並行で持つ企業でも整合性を保てます。
第19条（規程の周知）
社内イントラネットへの掲示と役職員への周知徹底を義務付けています。「制定したけど誰も知らない」という状態を防ぐための条文です。PDFで共有するだけでなく、研修と組み合わせて周知することが実務上の効果を高めます。
第20条（施行日）
規程の施行日を定める条文です。【 】年【 】月【 】日の形式になっているので、自社の施行日に合わせて記入してください。制定部署・AI管理責任者・承認役員の署名欄もセットになっており、制定の記録として保管することをお勧めします。
■ AI関連業務 秘密保持契約書（NDA）
第１条（目的）
AIシステムの開発・導入・データ処理等を外部ベンダーに委託する際に、相互に開示する秘密情報を保護することを目的と定めています。通常のNDAと違うのは「AI関連業務の委託・受託」という場面に特化している点で、学習データや生成モデルの扱いが明示的に対象になっています。
第２条（定義）
秘密情報・AI学習データ・学習モデルの3つを定義しています。「AI学習データ」（アノテーション対象データ・テストデータ等）と「学習モデル」（重みパラメータ・アーキテクチャ等）を明確に定義することで、ベンダー側が「学習データを第三者のモデル開発に使った」「学習済みモデルを流用した」といった行為を明確に禁止できます。
第３条（秘密情報から除外されるもの）
既に公知の情報・独自開発情報・第三者から正当取得した情報など、秘密情報の対象外となる6類型を定めています。これがないと「世の中で広く知られている情報まで秘密扱いにされる」という不合理が生じます。法令・裁判所命令による開示の場合は事前通知義務も設けており、フェアなバランスになっています。
第４条（秘密保持義務）
ベンダー（受領者）は秘密情報を委託業務の遂行のみに使用し、目的外使用・第三者への漏洩を禁止します。アクセスを必要最小限の担当者に限定し、その担当者にも同等の秘密保持義務を負わせる連鎖義務も定めています。データアノテーションや開発エンジニアが多数関わるプロジェクトでは特に重要な条文です。
第５条（AI学習データの特則）
このNDAの最重要条文です。ベンダーが甲（発注者）から預かったAI学習データを、自社または第三者のAIモデルの学習に使うことを明示的に禁止しています。提供データが競合他社や業界横断型AIの学習に使われるリスクは現実的な懸念で、この禁止規定がないNDAでは安心してデータを渡せません。契約終了時のデータ消去・返還と完了報告書の提出も義務です。
第６条（学習モデルの権利帰属）
委託業務で生成・改良された学習モデルの知的財産権は特段の合意がない限り甲（発注者）に帰属すると定めています。ベンダーが自社開発のツール・ノウハウは引き続き保有できますが、委託で生まれたモデルは発注者のものです。「開発したベンダーに権利が残る」という誤解を防ぐために明文化しています。
第７条（セキュリティ要件）
ベンダーが実施すべき6つのセキュリティ措置を列挙しています。アクセス制御・AES-256等の暗号化・アクセスログ3年保存・物理セキュリティ・24時間以内のインシデント通知・定期的な脆弱性診断です。単に「適切に管理せよ」とだけ書いたNDAより、具体的な要件を示すことでベンダーの実装水準を引き上げられます。
第８条（再委託の制限）
ベンダーがさらに下請けに出す場合は発注者の事前書面承諾が必要と定めています。再委託先にも同等の秘密保持義務を負わせ、その履行についてベンダーが発注者に責任を持ちます。アノテーション作業を海外の再委託先に流すケースは多く、知らないうちに個人情報が国外に流出するリスクを管理するための重要な条文です。
第９条（監査権）
発注者がベンダーの秘密情報管理状況を確認する監査権を定めています。事前通知期間（【 】日）を設けることで、ベンダーに準備の機会を与えつつ実効的な確認が可能です。「信じるだけでなく確認できる」という仕組みがあることで、ベンダー選定時の信頼性評価にも役立ちます。
第10条（損害賠償）
ベンダーが本契約に違反して損害を与えた場合の賠償責任を定めています。弁護士費用・信用回復費用も損害に含まれます。賠償上限は直近12か月の業務委託料総額としつつ、故意・重大過失は上限なしとしており、軽過失では際限ない賠償を求めないバランスのとれた設計です。
第11条（差止請求）
損害賠償とは別に、違反行為の差止め・仮処分を申し立てられると定めています。学習データの流用やモデルの第三者提供は、損害額を算定するより先に「すぐに止める」ことが重要なケースです。差止請求の根拠を明文化しておくことで、裁判所への申立てがより確実になります。
第12条（有効期間）
契約期間と秘密保持義務の存続期間を分けて定めています。契約期間は【 】年間、秘密保持義務は契約終了後さらに【 】年間存続します。AIプロジェクトで取得した学習データやモデルは長期にわたって競争上の価値を持つため、存続期間は3〜5年程度に設定するケースが多いです。
第13条（個人情報保護法上の委託者責任）
AI学習データに個人情報が含まれる場合、発注者（甲）が個人情報取扱事業者としてベンダーを監督する義務を負うことを確認しています。個人情報保護法上、委託先の不適切な取り扱いは委託元も責任を問われます。この条文があることで発注者も管理責任を自覚し、ベンダー選定・監督を適切に行う動機付けになります。
第14条（準拠法・合意管轄）
日本法を準拠法とし、施設所在地の地方裁判所を専属管轄裁判所とします。海外ベンダーとの取引では準拠法の明示が特に重要で、「どの国の法律で判断するか」が争点になることを未然に防ぎます。
第15条（その他）
規定にない事項は誠実協議で解決し、日本語正本優先を定めています。翻訳版との解釈の齟齬が生じる場面—特に英語・中国語など多言語でやり取りするプロジェクト—で、日本語版が最終的な判断基準になることを明確にしています。
Q. 個人が個人アカウントで契約しているChatGPTを仕事で少し使う程度でも規程の対象ですか？
A. 第３条により、個人アカウントを業務目的で使用する場合も本規程の対象です。「個人のアカウントだから会社のルールは関係ない」は通りません。特に入力禁止情報の扱いは個人アカウントでも同じルールが適用されます。
Q. 入力禁止情報を誤って送信してしまった場合、どう対処すればよいですか？
A. 入力禁止情報チェックリストの「誤送信時の緊急対応フロー」に従い、直ちに作業を停止して何をどのAIツールに送ったかをメモし、部門管理者へ即報してください。AI管理責任者がAIツール事業者へのデータ削除申請を検討します。個人情報が含まれる場合は個人情報保護委員会への報告が必要になる場合があります。
Q. AI管理責任者は既存の情報システム部門長が兼任できますか？
A. 規程上、兼任は可能です。ただしAI利用申請の審査・四半期レビュー・年次研修・インシデント対応と業務量は相応にあります。組織規模によってはAI推進担当の専任者を置くか、複数名のチームで担う体制が現実的です。
Q. AI生成物を使って作成した文書を顧客に渡す場合、AIを使ったと明示する必要がありますか？
A. 第10条により、外部提供時に「AIを使った」と明示する義務は原則規程上設けていません。ただし顧客との契約や業界ルールによっては別途義務が生じる場合があります。弁護士・医師・公認会計士等の資格業者はそれぞれの職業倫理を確認してください。
Q. ベンダーNDAで「AI学習データ」に含まれる個人情報はどう扱えばよいですか？
A. 第５条第３項・第13条により、個人情報保護法に基づく適切な管理をベンダーに義務付けています。発注者は委託先管理義務（個人情報保護法第24条）として、ベンダーが適切な措置を講じているか監督する責任があります。契約締結前にベンダーのプライバシーマークやISMS認証を確認することをお勧めします。
Q. 承認AIツールリストはどうやって作ればよいですか？
A. まず社内で実際に使われているAIツールを調査し、各ツールの入力データ学習有無・データ保存国・利用規約・料金体系を確認します。セキュリティ基準（SOC2・ISO27001等）を満たすツールを優先して承認リストに載せ、学習オフ設定が必須のものはその旨を注記します。同梱の利用申請書を活用すると申請内容を統一的に収集できます。
Q. Microsoft Copilotは社内規程の承認を取れば使ってよいですか？
A. Microsoft 365 Copilotの企業向けプランは入力データをMicrosoftのAI学習に使用しない設計になっています（2024年時点）。ただし設定の確認と第６条に基づくAI管理責任者の承認は必要です。利用規約は定期的に変更されることがあるため、承認AIツールリストの四半期レビューで最新状況を確認してください。
Q. インシデント記録簿はどれくらいの期間保存すればよいですか？
A. 第14条により3年間の保存を義務付けています。個人情報漏洩が関係するインシデントについては、個人情報保護法上の報告義務対応として保存期間を延長することを推奨します（5年程度）。
1. まず「承認AIツールリスト」から着手する
規程の施行前に、社員が現在業務で使っているAIツールを調査・整理することを強くお勧めします。既に広まっているツールを後から禁止すると摩擦が生じます。現状を把握した上で承認リストを作ると、規程の受け入れがスムーズになります。
2. チェックリストは「デスクに1枚」が最も効果的
入力禁止情報チェックリストは、A4印刷してデスクに貼る・PCの壁紙にする・Teamsやチャットのプロフィール欄にリンクを置くなど、毎日目に触れる場所に置くことで定着率が上がります。デジタルツールへのリンクより「紙で目の前にある」ほうが実務ではよく機能します。
3. NDAはベンダー契約前に必ず確認・締結
AIシステム開発・アノテーション委託・データ分析委託などでベンダーを使う場合は、業務委託契約と同時または先にNDAを締結してください。先にデータを渡してから後でNDAを締結するケースが散見されますが、それでは遅い場合があります。
4. 研修は「事故事例の紹介」を中心に構成する
年次研修で最も効果が高いのは抽象的なルールの説明より、他社で実際に起きたAI関連情報漏洩事例の紹介です。「ChatGPTに顧客情報を貼り付けて情報漏洩」「AI生成物を無確認で提出して誤情報が拡散」といった実例を交えることで、社員が規程を自分事として捉えられます。
5. 施行日の前に経営層の承認を記録として残す
規程の制定・改訂は経営層の承認をもって正式に施行することが重要です。書式の承認欄に役員の署名・押印を得ておくことで、「この規程は経営判断として作られたもの」という位置づけが明確になり、社員への周知も進みます。
6. インシデント記録簿は「軽いミス」から記録する習慣を
「少し機密性の高い情報を入れてしまったかもしれないが大事には至らなかった」という軽微なケースも記録する文化を作ることが大切です。記録が蓄積されると、どの業務でリスクが高いか傾向が見えてきて、次の規程改訂や研修内容の改善に活かせます。
|
