社内ルールをつくる：情報漏えい・著作権・ハルシネーション対策の骨子｜生成AI入門 第7回

国のガイドラインと法律の位置づけ

社内ルールをつくるときに参考にしたい、国の主な資料を整理しておきます（2026年11月時点）。

いわゆるAI推進法は、国の基本計画や推進体制を定める法律で、AIを使う事業者には、AIの活用に努めることや国の施策に協力することなどを求めています。違反したときの罰則は設けられていません。つまり、「生成AIのこの使い方は、この法律で禁止」と細かく決めている法律ではありません。会社としての具体的なルールは、ガイドラインや個人情報保護法、著作権法などの既存の法律を踏まえて、自分たちでつくる必要があります。

AI事業者ガイドラインは、AIを使う会社（AI利用者）にも、たとえば次のようなことを求めています。

• AIの提供者が定めた利用条件を守り、想定された範囲で使う
• 正確で、必要に応じて最新のデータを入力し、出力の精度とリスクを理解して使う
• 個人情報や機密情報を不適切に入力しない
• AIの出力を事業の判断に使う場合は、その判断に責任を持ち、関係者に合理的な範囲で説明する

2026年3月の第1.2版では、自分で判断して作業を進める「AIエージェント」についてのリスクの整理が加わり、重要な判断への人の関与、ログの管理、権限の設定などの考え方が示されています。

ルールの中心：入力してよい情報・いけない情報

社員が一番迷うのは、「これは入力してよいのか」です。ここは信号機のように3段階で分けると、判断しやすくなります。

どの情報を赤・黄・青にするかは、会社の業種や取引先との契約によって変わります。特に、取引先との秘密保持契約（NDA）で「第三者への開示」が禁止されている情報は、生成AIへの入力がそれに当たらないか、法務担当と確認しておきましょう。

出力を確かめる：ハルシネーション対策の手順

入力と同じくらい大事なのが、出てきた答えの確かめ方です。第1回の「任せ方の線引き」と、第5回の「出典の確かめ方」をルールに落とし込みます。

社外に出す・判断に使う出力の確認手順

1. 事実の確認：数字、固有名詞、日付、法令、出典は、一次情報で確かめる
2. 約束の確認：実際に決めていない条件や約束が書き足されていないか
3. 機密の確認：社内の情報が意図せず含まれていないか
4. 権利の確認：画像や文章が既存の作品に似すぎていないか、ツールの規約上その使い方ができるか
5. 責任者の確認：誰が確認して、誰の名前で出すのかがはっきりしているか

すべての出力にこの5つを求めると、使うのが面倒になります。第1回の表のように、「社内メモなら1つ目だけ」「お客様に出すなら5つ全部」と、影響の大きさで確認の重さを変えるのが現実的です。

「AIの答えをそのまま信じない」を仕組みにする

• 社外に出す資料には、生成AIを使った部分を人が確認したことを、チームの中で分かるようにする（チェック欄をつくる、など）
• お客様への回答に生成AIを使う場合は、送る前に担当者が必ず読む
• 重要な判断（採用、評価、与信、契約など）は、生成AIを補助にとどめ、判断の理由を人が説明できるようにする

社内ルールの骨子：そのまま使える叩き台

ここまでを、社内ルールの形にまとめた例です。自社の事情に合わせて書き換えて使ってください。法的な判断が必要な部分は、法務担当や専門家の確認を受けましょう。

“`
生成AI利用ルール（例）

1. 目的
   業務の効率と品質を上げるため、生成AIを安全に使うためのルールを定める。

2. 対象
   全役員・社員・派遣社員・業務委託先（当社の業務で生成AIを使う場合）。

3. 使ってよいツール
   会社が認めたツール（別表）に限る。個人のアカウントでの業務利用は禁止。
   新しいツールを使いたい場合は、{担当部署}に申請する。

4. 入力してよい情報（別表：赤・黄・青の区分）
   赤：入力しない。黄：認めたツールで、必要な範囲に限り入力。青：自由に入力してよい。

5. 出力の確認
   社外に出す文章・資料、判断に使う情報は、事実・約束・機密・権利を担当者が確認する。
   最終的な責任は、出した人と、その上長が持つ。

6. 画像・動画・音声の生成
   特定の作品・キャラクター・実在の人物・特定の人の声に似せる指示はしない。
   社外に公開する前に、{担当部署}の確認を受ける。必要に応じてAI生成であることを表示する。

7. 自動で作業を進めるAI（AIエージェント）を使う場合
   与える権限を必要最小限にし、送信・発注・削除など取り消しにくい操作の前には人が確認する。

8. 困ったとき・事故が起きたとき
   誤って赤の情報を入力した、問題のある出力を社外に出した、などの場合は、
   すぐに{窓口}に報告する。報告したこと自体を責めない。

9. 教育と見直し
   新しく使う人には研修を行う。ルールは{半年}ごとに見直す。
   “`

8番の「報告したこと自体を責めない」は、意外と大切な一文です。間違いを隠されるほうが、会社にとっては危険だからです。

よくある誤解

誤解1「全面禁止が一番安全」

禁止すると、見えないところで個人のアカウントが使われ、かえって管理できなくなることがあります。認めたツールと、分かりやすいルールを渡すほうが安全です。

誤解2「ルールは一度つくれば終わり」

生成AIのツールや機能、国のガイドラインは、毎年のように変わっています。半年に1回など、見直しの時期を決めておきましょう。

誤解3「ルールは情報システム部門が決めればよい」

入力してよい情報の線引きには法務の視点が、出力の確認には現場の業務の知識が必要です。情報システム・法務・現場の代表が一緒につくると、守られるルールになります。

実務ではこう進める

1. 今の使われ方を調べる：誰が、どのツールで、何に使っているかを、責めない形でアンケートする
2. 叩き台をつくる：上の骨子をもとに、赤・黄・青の区分と、認めるツールを決める
3. 現場で試す：1つの部署で1〜2か月試し、分かりにくい点や、守りにくい点を集める
4. 全社に出す：研修とセットで配る。よくある質問をまとめておく
5. 見直す：事故や質問の内容、ツールの変化を踏まえて、定期的に更新する

ルールづくりや研修を外部の専門家に手伝ってもらう方法もあります。AI導入支援・AIコンサルおすすめやAI研修おすすめで比べています。

この回のまとめ

• ルールの目的は「使わせない」ではなく「安心して使える範囲をはっきりさせる」こと
• AI推進法は罰則のない基本的な法律。具体的なルールは、AI事業者ガイドライン、個人情報保護法、著作権法などを踏まえて会社がつくる
• 入力する情報は「赤・黄・青」の3段階で分ける。秘密保持契約のある情報は法務と確認する
• 出力は、影響の大きさに応じて、事実・約束・機密・権利・責任者を確認する
• 骨子をつくり、1部署で試し、研修とセットで全社に広げ、定期的に見直す

確認テスト

次回予告

いよいよ最終回です。次回は、生成AIを一部の人だけでなく全社に広げる進め方と、「時間が減った」だけで終わらない効果の測り方を学びます。

参考資料

• AI事業者ガイドライン（第1.1版）（総務省・経済産業省、2025年3月28日）。第5部でAI利用者の留意事項を整理しています。第1.2版は2026年3月31日に公表され、AIエージェントなどのリスクの整理が加わっています。
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023年6月2日。リンクは e-Govデータポータルの掲載ページ）
• 文化庁「AIと著作権」（「AIと著作権に関する考え方について」2024年3月15日、「チェックリスト＆ガイダンス」2024年7月31日）
• 内閣府「人工知能関連技術の研究開発及び活用の推進に関する法律の概要」。成立日（2025年5月28日）・公布日（同年6月4日）・罰則がないことは、BUSINESS LAWYERSの解説記事でも確認しました。
• デジタル庁「テキスト生成AI利活用におけるリスクへの対策ガイドブック（α版）」（2024年5月29日公表）。主にサービスの開発者・提供者向けですが、リスクの洗い出しの参考になります。
• 確認日：2026年11月12日