なぜ企業はガイドラインが必須なの？

AIを導入したのに、「この資料を入れていいのかな」と、入力する手が止まる。経営者が「もっと使ってほしい」と思っていても、社員には判断の境界が見えていないことがあります。

株式会社はちえん。代表取締役の坂田誠です。私がAI利用ガイドラインで大切にしたいのは、どの情報を、どのAIで、何に使えるかを示し、社員が安心して仕事に使えるようにすることです。

今回は、本編9ページの漫画で、必要なルールの決め方を解説します。漫画の後には、社内で検討するためのAI利用ガイドラインのサンプルと、初心者向けの用語表を掲載しました。

表紙｜使ってよい境界が分かると、AIを使いやすくなる

解説は坂田誠、ナビゲートは株式会社はちえん。のAI社員・菊理はちこです。「どこまで使ってよいのか」という初心者の疑問から、情報の区分、外部連携、開発した仕組みの共有まで順に見ていきます。

1ページ｜導入とルール整備を、セットで進める

はちこは、AIを使う前に「何を入れてよいのか」で迷っています。一方、会社が把握していないAIを業務に使うシャドーAIの状態では、どの情報が外へ渡ったか確認しにくくなります。使い始める前に、許可する道具と情報をそろえて伝える必要があります。

IPAが2026年3月に行った、業務でAIを利用した経験のある2,000人への調査でも、42.5％が組織のAI利用ルールや管理体制の未整備を課題とし、42.9％が個人利用のAIで業務を行う等のガバナンス不備を不安と答えています。IPAの調査概要／集計データ・問5-10、問5-11

2ページ｜必要な判断を、短く分かる形にする

分厚いルール集を配っても、入力のたびに探し直すようでは使い続けにくくなります。まず「情報」「AI」「用途」「連携」の四つを、社員が普段の仕事に当てはめられる言葉で整理しましょう。

たとえば「社内手順の下書きは会社のBusinessで」「顧客名入り資料はそのまま入れない」と、許可と禁止を具体例で示します。詳細な申請手順や用語の説明を補助資料に分けると、最初に覚える判断を絞れます。

3ページ｜情報を3段階に分け、使えるAIを明示する

今回のサンプルは、個人情報・機密情報、その他の社内情報、公開情報の調査の3段階です。「ChatGPTならよい」というサービス名だけの許可では、個人契約と会社契約、許される用途の違いが伝わりません。

社内情報は会社指定のChatGPT Businessのワークスペースで扱い、無料版ChatGPTと無料版Geminiは公開情報の調査だけに限定します。個人情報や機密情報のある元資料は、Businessにもそのまま入力しません。後半の表を、社員が利用前に見られる場所へ置いてください。

4ページ｜分析の前に、人が手動で情報を削除する

個人情報や機密情報を含む資料でも、入力前に人が手作業ですべて削除し、残っていないと確認した資料なら分析に使える、という例外を設けています。削除後も社内情報が残る場合はChatGPT Businessで扱います。

氏名や連絡先だけでなく、部署・役職・日付などの組合せ、自由記述、非表示シートも確認します。名前を記号に置き換えただけでは、本人や取引先を推測できる場合があります。元資料をAIへ渡して削除を頼むと、その時点で情報を渡してしまいます。十分に削除できるか迷う資料は入力せず、責任者へ相談します。

5ページ｜モデル名、契約プラン、回答の確認を分ける

「新しいAIが便利そう」という理由で、許可していないサービスを業務に追加しないことも必要です。AIモデルは回答を作る中核、Businessは契約プランです。モデルが同じように見えても、会社が許可した契約・作業場所かを確認します。

使えるAIでも、回答が正しいとは限りません。調査では、AIが挙げた出典を実際に開き、事実・数字・日付を原資料と照合します。文章や画像を公開するときは、利用条件や既存作品との類似、他者の権利も人が確かめます。文化庁のチェックリスト＆ガイダンスも、業務利用者による確認と社内ルールの検討を扱っています。

6ページ｜Google連携も、参照する情報を絞る

今回許可する連携先は、会社契約のGoogle WorkspaceのGoogle ドライブ・Gmail・Google カレンダーです。ただし、つなげられることと、すべてのデータをAIに渡してよいことは別々に確認します。

連携先にも同じ情報区分を適用します。メールの署名や宛先、予定の参加者名などにも個人情報は含まれ得ます。業務に必要な参照範囲へ制限できない場合や、禁止情報を読み込む場合は接続しません。管理者は、対象のアカウント、情報、閲覧・変更権限を実際の設定で確認してください。

7ページ｜API・MCPの接続にも、事前承諾を設ける

APIはソフト同士が情報や処理をやり取りする窓口、MCPはAIが外部の情報や道具を使うための共通の接続ルールです。画面で質問する使い方に加えて、外部システムへ接続する使い方も、社内の管理対象にします。

このサンプルではMCP・APIの利用は原則禁止。どうしても必要な場合は、目的、必要な理由、接続先、扱う情報、権限、費用を責任者へ申請し、事前承諾を得た範囲だけで利用します。開発時や、Google連携でMCP・APIを新たに接続・設定する場合も同じです。接続の承諾によって、個人情報や未許可AIの制限まで解除されるわけではありません。

8ページ｜開発したプラグイン・スキルを、会社の資産にする

便利な仕組みを個人の環境だけに置くと、担当者が変わったときに引き継ぎにくくなります。開発前の確認、完成後のレビューと承認、権限を付けた社内共有を一続きの手順にしましょう。

ChatGPT Businessで使うプラグイン・スキルは、目的や扱う情報を責任者に確認してから開発します。完成後は動作と情報の扱い、アクセス権限をレビューし、承認済みの版を会社指定の安全なサーバーで、権限を持つ社員へ共有します。漫画の「社内公開」は、この限定共有を指します。

9ページ｜相談・報告・見直しまで決めて、使い始める

迷ったときの相談先と、誤入力したときの報告先を、社員がすぐ見つけられるようにします。誤入力や漏えいが疑われる場合は、利用や共有を止め、すぐ責任者へ報告。日時、使ったAI、情報の種類、共有先を伝えます。

ガイドラインは利用開始前に説明し、サービスの規約や設定の変更、事故の発生、定期点検に合わせて見直します。社員の質問で分かりにくかった箇所を直し、日々の仕事で判断できるルールに育てていきましょう。

経営者が最初に決めたい三つのこと

1. 使える境界を示す。情報・AI・用途・連携を、具体例と表で伝える。
2. 判断を支える人を決める。相談、例外申請、開発レビュー、事故対応の責任者を明確にする。
3. 使う前に伝え、使った後に直す。社員の疑問と実際の業務から、必要なルールを見直す。

最初の一歩は、現場で使いたい業務を一つ選び、社員と一緒に「どの表の行に当てはまるか」を確かめることです。判断できなかった箇所を、その会社の言葉で補ってください。

AI利用ガイドラインのサンプル

※このガイドラインはサンプルです。貴社の現状に則した形に書き換えて、ガイドラインを策定してください（株式会社はちえん。坂田誠）

以下のサービス指定・無料版の用途制限・MCP/APIの原則禁止は、今回のサンプルとして提案する社内の運用方針です。公的機関が、すべての企業にこの組合せを義務付けているという意味ではありません。

社内生成AI利用ガイドライン

当社の業務で生成AIを使うときは、まず扱う情報を確認し、次の表に従って使ってよいAIを選んでください。

1　利用できるAIと範囲

表にない生成AIや用途は禁止です。複数の区分に当てはまる場合は、最も厳しい区分を適用します。文章の貼り付け、ファイル添付、録音、外部サービス連携にも同じルールを適用します。

業務・情報の区分	使ってよいAI	利用範囲と具体例
1　個人情報・機密情報あり	原則利用不可	顧客名簿、人事情報、秘密保持契約の対象資料、未公表の事業計画など。元資料は入力しません。人が手作業で個人情報・機密情報をすべて削除し、残っていないと確認した資料に限り、分析・集計に使えます。削除後も社内情報がある場合は、次の区分2を適用します。
2　社内情報 個人情報・機密情報を除く	ChatGPT Businessのみ	会社指定のワークスペースで、社内手順の整理、社内案内の下書き、社内資料の要約などに使えます。
3　公開情報だけを使う調査	ChatGPT 無料版 Gemini 無料版	官公庁が公開した制度・統計、企業が公開した商品情報などの調査に限ります。社内情報の入力や、文書作成など調査以外の用途は禁止です。

分析用の資料を作るときは、氏名・連絡先に加え、ほかの項目と組み合わせて個人を特定できる情報、自由記述欄、非表示シートも確認します。個人情報・機密情報の削除は、AIに元資料を渡す前に人が手動で行います。

判断に迷ったら、利用前に責任者へ確認してください。

責任者・相談・事故報告先は、会社が担当者名と連絡先を指定し、利用開始前に全員へ知らせます。

2　利用できるプラグイン・外部連携

許可する連携先	利用条件
Google ドライブ	会社が契約するGoogle Workspaceの会社アカウントを使い、ChatGPT Businessと連携します。参照範囲とアクセス権限を、業務に必要な情報に絞ってから接続します。連携先にも区分1〜3を適用します。禁止情報を読み込む場合や、参照範囲を制限できない場合は接続しません。
Gmail
Google カレンダー

上記以外のプラグインは利用しません。自社開発のプラグイン・スキルは、次の開発・承認手順に従います。

3　MCPとAPIの利用

MCP・APIの利用は原則禁止です。どうしても業務上必要な場合は、責任者へ事前申請し、承諾を得てから利用します。プラグイン・スキルの開発時にも適用します。Google Workspace連携も、MCP・APIを新たに接続・設定する場合は事前承諾が必要です。

手順	確認する内容
事前申請	利用目的、必要な理由、接続先、扱う情報、必要な権限、費用を責任者に伝えます。
承諾後	承諾された用途・接続先・権限の範囲で使います。利用できるAIと情報の制限も引き続き守ります。

4　プラグイン・スキルの開発と社内公開

段階	行うこと
開発前	ChatGPT Businessで使うプラグイン・スキルは、目的・機能・扱う情報・必要な権限を伝え、責任者の確認を受けてから開発します。
開発後	動作・情報の扱い・アクセス権限について、責任者のレビューと承認を受けます。
社内公開	承認済みの版を会社共通の資産として会社指定の安全なサーバーに置き、アクセス権を持つ社員に共有します。

承認済みプラグイン・スキルの公開先は、会社がサーバー・保存場所を指定します。

5　利用時に守ること

• 出力は人が確認する。事実・数字・出典を原資料と照合し、偏りや差別的な表現も確認します。採用・人事評価・契約・安全に関わる最終判断は、権限を持つ人が行います。
• 第三者の権利を守る。文章・画像・ロゴ・顔・声の利用条件や許諾の要否を確認します。公開・納品前に既存作品との類似を確認し、実物や本人の発言と誤解されるおそれがある場合や、契約等で求められる場合はAI利用を明示します。
• 誤入力・漏えいの疑いはすぐ報告する。利用や共有を止め、日時・使ったAI・情報の種類・共有先を責任者に報告します。

会社は利用開始時に周知し、規約や設定の変更時、事故発生時、定期点検時に見直します。

サンプルを自社用に書き換えるポイント

まず、顧客対応・人事・営業・製造など、実際の業務から個人情報と機密情報の具体例を挙げてください。「社内のものは全部機密なのか」が曖昧なままだと、表があっても判断できません。

自社で決める項目	決め方の例
情報と業務の例	顧客名簿、未公表見積、公開済み商品資料などを、自社の言葉で各区分に当てはめる。
利用環境と連携範囲	会社指定ワークスペース、管理担当者、参照できる資料・メール・予定、必要な権限を確認する。
相談・申請・事故報告先	担当者名と連絡先、申請方法、不在時の連絡先を決める。
共有先と見直し	承認済み資産のサーバー・保存場所、利用者、周知方法、定期点検の時期を決める。

このサンプルは、使う道具と入口を絞り、社員が判断しやすくする設計です。自社の契約、業務上の守秘義務、法令、管理できる体制に合わせて調整し、必要な場合は情報管理・法務の専門家にも確認してください。設定や契約条件で変わる部分は、実際の管理画面と公式案内で確かめます。

初心者向け補助資料｜AIと専門用語をやさしく

ChatGPTとGeminiは利用するサービスの名称、Businessは契約プランです。「どのモデルが高性能か」と「会社で何を使ってよいか」は、確認する項目が異なります。

名称	やさしい説明	今回のサンプルでの使い方
ChatGPT 無料版	OpenAIのAIサービスを無料で利用するプラン。質問や指示を入力して回答を受け取ります。	公開情報の調査だけ。
ChatGPT Business	会社やチームで使うための契約プラン。会社指定の作業場所で使います。	許可された社内業務。個人情報・機密情報を含む元資料は入力しません。
Gemini 無料版	GoogleのAIサービスを無料で利用する枠。質問や指示を入力して回答を受け取ります。	公開情報の調査だけ。

用語	意味と身近な例
AIモデル	回答を作るAIの中心部分。GPT系やGemini系などがあります。利用できる種類や機能は、契約や設定により変わります。
ワークスペース	アカウントや設定、共有機能をまとめた作業場所。社内情報は会社指定の場所で扱います。
プロンプト	AIに入力する質問や指示。例「この公開資料の要点を三つにまとめて」。
ハルシネーション	事実と異なる内容を、AIがもっともらしく答えること。架空の出典や数字は、原資料で確かめます。
プラグイン・アプリ等の連携	AIに外部の情報や機能をつなぐ仕組み。本記事では外部連携を「プラグイン」と表記しています。製品画面では名称が異なる場合があります。
スキル	決まった仕事の手順やルール、資料をまとめたもの。例「会社の書式で報告書を作る手順」。
MCP（エムシーピー）	AIが外部の情報や道具を使うための、共通の接続ルール。
API（エーピーアイ）	ソフト同士が情報や処理をやり取りする窓口。自社システムからAIへ処理を頼むときなどに使います。
APIキー	APIの利用権限を示す秘密の文字列。漏れると不正利用や費用の発生につながるため、パスワードと同様に扱います。
アクセス権限	誰が、どの情報を見たり変更したりできるかを決める設定。「見るだけ」「編集できる」などがあります。
学習への利用	入力などのデータを、AIモデルの改善に使うこと。学習利用の有無だけで入力の可否を決めず、会社の情報区分・契約・設定も確認します。

出典・参考資料

確認日：2026-11-13。公的資料は情報管理・権利確認などの参考とし、具体的なサービスの指定と申請・承認の基準は、今回のサンプルとして整理しています。

• 総務省・経済産業省「AI事業者ガイドライン 第1.2版」（2026-03-31公表）。企業のAI利用を検討する際の参照資料。
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023-06-02）。入力する個人情報の範囲、サービス提供者による取扱いの確認。
• 文化庁「AIと著作権に関するチェックリスト＆ガイダンス」（2024-07-31）。業務利用者の確認、教育、社内ルール、生成物の類似性など。
• IPA「AIの動作・分析・利用等の説明に関する意識調査」（2026-06-01公表）。本文の数値は付録2の問5-10・問5-11。
• OpenAI「ChatGPT Business overview」。会社・チーム向けプランとワークスペースの説明。
• Google「Gemini アプリを使用する」。サービスの基本的な使い方と回答の確認。
• Model Context Protocol公式「MCPとは」。AIと外部システムをつなぐ共通規格の説明。

AI利用ガイドラインの策定支援・企業研修のご相談

「自社の資料をどの区分に入れるか」「Google連携をどこまで認めるか」「社員にどう説明するか」。サンプルを自社で運用する形に整えたい企業さまへ。

株式会社はちえん。では、AI利用ガイドラインの策定支援や、企業向けのAI活用・情報セキュリティ研修についてご相談を承っています。経営者・管理担当者・社員の方々が、実際の仕事で判断できる形を一緒に考えます。

「何から決めればよいか分からない」という段階から、お気軽にお問い合わせください。ご相談時は、対象の部署、使いたい業務、導入済みのAIをお知らせいただくと、話を進めやすくなります。

AIガイドライン策定支援・企業研修を相談する

---

執筆・解説：坂田誠

坂田誠｜株式会社はちえん。代表取締役
中小企業の経営者・担当者に向けて、Web・SNS・生成AIを会社の業務や経営判断につなげる研修・導入支援を行う講師・コンサルタント。坂田誠の公式プロフィール

漫画・記事の制作には生成AIを使用しています。漫画の会話は実際の発言記録ではありません。個別の契約条件や法的判断は、各社の状況に応じて確認してください。