生成AIの社内ルールの作り方。中小企業が最初に決める5つのこと

IT担当がいない会社の、総務の方と経営者に向けた記事です。社員が生成AIを使い始めたのに、会社のルールがまだない。その状態から、最初に決める5つの項目と決め方を示します。

例えば月曜の朝、営業担当から「取引先のメールをAIで要約したら早かった」と聞いたとします。そのAIは無料版か。入力した内容はどこに保存されるのか。総務で答えられるでしょうか。

総務省の白書（2026年7月）では、生成AIを業務で使う日本企業は86.4%です。一方で、中小企業の45.6%は「組織的な取組はない」と答えています。この記事では、A4一枚の社内ルールに最初に入れる5つの項目と、その決め方をまとめます。

使う会社は増え、ルールは後回し

結論から書きます。生成AIを使う会社は大きく増えました。一方で中小企業では、社内のルールが追いついていません。最初に決めることは、5つに絞れます。

総務省の令和8年版情報通信白書（2026年7月24日公表）では、業務で生成AIを使う日本企業は86.4%です。2024年度調査の55.2%から、30ポイントほど増えました。どちらも「わからない」と答えた企業を除いて計算した値です。

活用の方針を持つ会社も増えています。中小企業は34.3%から58.1%に、大企業は55.7%から74.0%に上がりました（白書の図表データ）。

差が出るのは、ルールの面です。「組織的な取組はない」は、大企業で18.1%、中小企業で45.6%でした。中小企業の2社に1社近くは、会社として何も決めていないことになります。

全社のガイドラインを整備している中小企業は29.1%で、10社のうち3社ほどです。大企業は44.9%でした（白書の図表データ）。

東京商工リサーチの調査（2026年4月27日公表、6,327社が回答）も同じ傾向です。「方針は決めていない」は50.9%から37.5%に減りました。それでも中小企業では38.7%が方針を決めていません。「個人で活用していることもある」という回答も27.1%ありました。

白書の企業調査の回答者は、従業員10人以上でデジタル化に着手した企業の管理職以上です。日本は515人（うち中小企業162人）と報じられています（AdverTimes、2026年7月29日の報道）。

では、ルールがないと何が起きるのか。決める項目ごとに、仕組みから見ていきます。

最初に決める5つのこと

5つの項目は、どれも「何を決めるか」「なぜ必要か」「どう書くか」の順に見ていきます。

1. 使ってよいツール

決めることは2つです。1つは、会社として認めるツールの名前です。もう1つは、個人の無料アカウントを業務に使ってよいかどうかです。

理由は、無料版の使われ方にあります。東京23区を中心とする中小企業1,272社の調査では、43.2%が「無料ツールのみ」を使っていました。東京商工会議所は「無料ツールは学習機能がオフになっていないことが多い」と指摘しています（労働新聞、2026年7月6日の報道。東商の公式の本文は見つかっていません）。

書き方の例：「業務で使えるのは、会社で契約した〇〇だけ。個人の無料アカウントは業務に使わない。」

2. 入れてはいけない情報

入れない情報は、3つに分けると決めやすくなります。個人データ（お客様や社員の氏名・連絡先など）、取引先から預かった機密、公開していない社内の情報です。

個人情報保護委員会（PPC）は2023年6月2日に、生成AIサービスの利用に関する注意喚起を出しています。海外では2023年春、サムスン電子の社員が設備のソースコードや会議の内容をChatGPTに入力したと報じられました。同社はその後、社内での利用を禁止したとされます（Forbes JAPAN、Bloombergの報道を引用、2023年5月）。

書き方の例：「氏名・住所・電話番号、取引先の資料、社外秘の数字は入力しない。」

3. データの保存先と学習の設定

ここは仕組みを知ると判断しやすくなります。一般向けの無料・個人プランでは、入力した内容が初期設定のままサービスの改善（AIの学習）に使われることがあります。設定を確かめずに使うと、社内の文章が学習に回るおそれがあります。

保存先の国も関わります。PPCの情報提供（2025年2月3日、3月5日更新）によると、DeepSeekのデータは中国国内のサーバーに保存されます。そのデータには、中国の国家情報法などが適用されます。入力したデータには、日本とは別の国の法律が及ぶということです。

データを外に出さない、という選び方もあります。私も手元の機器でローカルAI（社外に送らず、自分の機器の中で動くAI）を動かし、業務の下書きや記録づくりに使っています。書き方の例：「使う前に学習の設定と保存先を確かめ、結果を一覧に残す。」

4. 出力を確かめる人と責任者

AIの答えには、誤りが混じることがあります。白書では「推進部署・責任者が明確」な企業は、日本で35.9%、米国で44.9%でした。日本では3社に1社ほどです。

書き方の例：「AIの出力は、使う本人が確かめてから使う。迷ったときの相談先は総務の〇〇。」

5. 社外に出すもの

ホームページや提案書など、社外に出す文章や画像には人が手を入れます。文化審議会の「AIと著作権に関する考え方について」（2024年3月15日）は、利用者が創作的に加筆・修正した部分には著作物性（著作物として守られる性質）が認められうると整理しています。確かめるときは、文化庁の「AIと著作権に関するチェックリスト＆ガイダンス」（2024年7月31日）が使えます。

海外向けの素材は、表示にも気を配ります。中国では2025年9月1日から、AIで作った文章や画像への表示が義務になりました（国家インターネット情報弁公室など、2025年3月14日公表）。中国向けの販促物を作る会社は、表示を付けるかどうかも決めておきます。

この5項目は、海外の指針とも重なります。次は、各国の決め方と比べます。

海外の決め方と比べる

生成AIのルールを、法律で義務にするのか、任意の指針にとどめるのか。この決め方は国によって分かれます。下の表では、5つの国・地域を同じ観点で並べました。

注：業務利用・全社ガイドライン・組織的な取組なしは、総務省「令和8年版情報通信白書」（2026-07-24）の値です。白書の調査は、従業員10人以上でデジタル化に着手した企業が対象です。米国のBTOS（国勢調査局による企業の動向調査）は全企業が対象です。2025-11-17に設問が変わったため、それ以前とは比べられません。EurostatはEUの従業員10人以上の企業が対象です。定義と対象が違うため、同じ国でも白書とBTOSでは数字が大きく違います。「—」は、今回参照した資料で確かめられなかったものです。

表から読み取れることは2つあります。1つめは、全社ガイドラインの整備率が国によって大きくは違わないことです。日本41.1%、ドイツ39.6%、中国40.3%で、どれも10社のうち4社ほどです。

2つめは、「組織的な取組はない」の差が大きいことです。日本は27.0%で、ほぼ4社に1社です。米国は1.4%、中国は2.6%です。日本の中小企業に限ると45.6%になります。

米国は、法律での義務がないのに、取組なしが1.4%です。法律の拘束力と、社内で誰かが決めているかどうかは、別の話だと読み取れます。日本の特徴は、指針を持つ会社の少なさより、誰も決めていない会社の多さにあります。

では、どこを取り入れ、どこは日本の中小企業には合わないのか。次の節で整理します。

日本の中小企業でどう活かすか

日本でのよりどころ

日本には、生成AIを名指しして企業に義務を課す法律はありません。実務のよりどころは、個人情報保護法と、PPCの注意喚起・情報提供です。PPCの注意情報の一覧で2025〜2026年の掲載を見ると、AIに関するものはDeepSeekの情報提供（2025年2月3日）だけでした（2026年10月31日閲覧）。

そのまま使える点

EUの統計局（Eurostat）は2025年の調査で、AIの利用を検討したのに使っていない企業に理由を聞いています。上位は、専門知識の不足70.89%、法的にどうなるかの不明確さ52.52%、データ保護の懸念48.83%でした。2社に1社が、法的な扱いが分からないことを理由に挙げています。

ルールがはっきりしないこと自体が、使う妨げになるということです。入れてよい情報と使ってよいツールを社内で決めると、社員が迷わず使える範囲がはっきりします。

合わない点

AI事業者ガイドラインは、AIの開発者・提供者・利用者を対象にした大部の指針です。そのまま社内ルールにするには重すぎます。利用者向けの部分と「利用の手引き」を参照する程度で足ります。

EUや中国のように法律で義務を課す国の決まりは、日本の会社には直接は及びません。ただし、海外に販促物を出す場合や、海外の取引先とデータをやり取りする場合は、相手の国の決まりを確かめます。

最初の一歩

土台には、日本ディープラーニング協会（JDLA）が2023年5月1日に公開したひな形（Word形式・無償）が使えます。JUAS（日本情報システム・ユーザー協会）には、これを土台にした改良版もあります。ひな形を前の節の5項目に絞れば、A4一枚にまとまります。

最初に許可する業務は、議事録とメールの作成補助にすると選びやすくなります。白書で「効果を感じる」割合が72.3%と最も高く、10社のうち7社ほどが効果を感じている業務です。

一度作ったルールも、制度の動きに合わせて見直します。今後の予定を見ておきます。

今後の展開

生成AIのルールは、総務だけの話ではなくなってきました。法務省は2026年8月21日に、AIを使った法務業務支援サービスと弁護士法第72条の関係を整理したガイドラインを公表しました。今後のルールづくりの工程表もあわせて示しています（法務省）。

ほかの業務にも関わります。例えば採用で応募書類を要約する場合や、顧客対応で返信の下書きを作る場合です。どちらも個人データを扱うため、「2. 入れてはいけない情報」がそのまま効いてきます。広告では、中国の表示義務のように、海外向けの素材にも影響が及びます。

半年以内：公表されている予定

• 改正個人情報保護法は、2026年7月10日に成立し、7月17日に公布されました。政令・規則・ガイドラインについて、PPCは「引き続き検討」としています（個人情報保護委員会）。
• 法務省は、公表した工程表に沿ってルールづくりを続けるとしています。
• Eurostatは、企業のAI利用をまとめた記事を2026年12月に更新する予定です（Eurostat）。

1〜2年：見立て

改正法の規則とガイドラインは、これから作られます。それが出ると、AIに個人データを入れるときの扱いが、今より具体的になる可能性があると見ています。施行日や改正の中身はまだ公式のページに書かれていないため、ここでは方向だけを示します。

この先の進み方は、2つに分かれると考えられます。

A：任意の指針が中心のまま進む場合。法律よりも、取引先からの確認で社内ルールの有無を聞かれる場面が増える可能性があります。確認票が届いたときの答え方は、「取引先からセキュリティチェックシートが届いたら、中小企業がまずやること」で整理しています。

B：規則・ガイドラインで、AIへの入力の扱いが示される場合。このときは、5項目のうち「2. 入れてはいけない情報」と「3. データの保存先と学習の設定」を見直します。ほかの3項目は、そのまま使える見込みが高いと見ています。

見ておくべき兆し

• PPCの注意情報の一覧に、生成AIの新しい掲載が出るか。2025〜2026年のAI関連の掲載は、DeepSeekの1件だけです。
• 改正法の規則・ガイドライン案について、意見募集（パブリックコメント）が始まるか。
• 取引先のチェックシートに、AIの使い方を問う項目が入るか。
• 次の情報通信白書で、中小企業の「組織的な取組はない」45.6%がどう動くか。

改正法のガイドラインが出る前に5項目の版を1つ作っておくと、出たときは変わった点を直すだけで済みます。目安は、意見募集が始まる前です。そのための最初の4つの作業を、次にまとめます。

今日からできること

1. 社内で使われているAIツールを一覧にする。
   どうやって：全員に「使っているAIの名前・無料か有料か・何に使っているか」を1行で返してもらいます。
2. 一覧のツールについて、学習とデータ保存の設定を確かめる。
   どうやって：各サービスの設定画面と、データの扱いを説明したページを開きます。学習に使われるか、保存先はどこかを一覧に書き足します。
3. JDLAのひな形を5項目に絞り、A4一枚にまとめる。
   どうやって：ひな形の会社名と、認めるツールの名前を書き換えます。責任者を1人書き入れます。
4. 最初に許可する業務を、議事録とメールの下書きに絞る。
   どうやって：使い始める日に、1か月後の見直し日も決めておきます。その日までに困った点を集め、ルールを直します。

DXプランニングで受けられるサービス

入力した内容を社外に出さずに生成AIを使いたい場合は、ローカルAIをご利用いただけます。手元の機器で動くAIの選定・構築・運用と、誰が何に使ってよいかを決める使い方のルールづくりをお手伝いできます。まず1業務・2週間で小さく試す場合は100,000〜150,000円で、速度と精度をご報告します。AI活用の相談・研修は1時間10,000円（初回のご相談は無料）です。

まとめ

生成AIを使う会社は増えましたが、中小企業の2社に1社近くは会社としての取組がありません。最初に決めるのは5項目で、ひな形を土台にA4一枚から始められます。制度が動いたら、変わった項目から版を見直します。

出典

• 総務省「令和8年版情報通信白書」本文（nd121130）と図表データ（f00027、f00028、f00029、f00032、f00033、f00036）2026年7月24日
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」2023年6月2日
• 個人情報保護委員会「DeepSeekに関する情報提供」2025年2月3日（3月5日更新）
• 個人情報保護委員会「改正個人情報保護法」2026年7月17日公布
• 個人情報保護委員会「注意情報一覧」2026年10月31日閲覧
• 総務省「AI事業者ガイドライン（第1.2版）」2026年3月31日
• 内閣府「AI法」2025年10月3日
• 法務省「AI等法務業務支援サービス提供と弁護士法第72条の関係について」2026年8月21日
• 東京商工リサーチ「生成AIに関する調査」2026年4月27日
• 労働新聞「東京商工会議所の中小企業調査の記事」2026年7月6日（報道）
• AdverTimes「令和8年版情報通信白書の記事」2026年7月29日（報道）
• Forbes JAPAN「サムスン電子の生成AI利用禁止の記事」2023年5月（Bloombergの報道を引用）
• マイナビニュース「JDLAの生成AI利用ガイドライン公開の記事」2023年5月1日
• JUAS「生成AI利用ガイドライン（別紙）」2025年4月
• 文化庁「AIと著作権」（考え方について 2024年3月15日／チェックリスト＆ガイダンス 2024年7月31日）
• NIST「AI 600-1 Generative AI Profile」2024年7月26日
• U.S. Census Bureau「AI use among businesses」2026年5月26日
• Eurostat「Use of artificial intelligence in enterprises」2025年12月抽出（2026年10月31日閲覧）
• KI-Campus「AI Omnibus recalibrates Article 4」2026年7月28日（解説記事）
• 中国 国家インターネット情報弁公室「人工智能生成合成内容标识办法」2025年3月14日公表
• AI Verify Foundation「Model AI Governance Framework for Generative AI」2024年5月30日

• 関連するサービスローカルAI：面談の議事録づくりを、個人情報を外に出さないAIで→
• コラム米国NISTの無償の手引きで始める、SCS評価制度★3の準備→
• コラムAccess 2021のサポートが終了。古い社内データベースはどうする？→