「うちもChatGPTを部署で使わせているけれど、ルールが無いままで本当に大丈夫だろうか」
2025年にAI推進法が全面施行され、2026年3月にはAI事業者ガイドラインが第1.2版へ改定されました。ニュースは目にするものの、自社が何をすればよいのかは分かりにくいところです。
この記事では、公表されている一次情報を中心に整理し、「法令とガイドラインが中小企業に実際に求めていること」から、社内AI利用ルールに入れておきたい項目までを具体的にまとめます。
この記事で分かること
- AI推進法とAI事業者ガイドラインの違いと、それぞれの拘束力
- ChatGPTを使っているだけの会社が「AI利用者」に当たること
- AI推進法に罰則が無いのに、いま社内ルールを整備しておく理由
- 社内AI利用ルールに入れるべき10項目
- 社内文書をAIに読ませるときに追加で決めておくこと
まず前提: 法律とガイドラインは別物
AI関連の話題は「法規制」とひとくくりにされがちですが、日本では性格の異なる2つが並んでいます。
AI推進法（正式名称: 人工知能関連技術の研究開発及び活用の推進に関する法律）
2025年6月4日に公布され、同年9月1日に全面施行された法律です。名称のとおり研究開発と活用を「推進」することが目的で、事業者を取り締まる規制法ではありません。
民間企業に直接かかわるのは第7条（活用事業者の責務）です。AIを事業活動に活用しようとする者を「活用事業者」と位置づけ、基本理念にのっとって積極的に活用に努めること、そして国や地方公共団体の施策に協力することを定めています。
条文には罰則・罰金・懲役・過料といった規定は置かれていません。ただし第16条で、国が権利利益の侵害が生じた事案を分析し、その結果にもとづいて活用事業者などに対して指導、助言、情報の提供その他の必要な措置を講ずるとされています。罰則で取り締まるのではなく、国が事案を分析し、その結果を踏まえて指導・助言や情報提供を行う、という設計です。特定の企業に報告を求めたり立入検査を行ったりする権限を定めた条文ではありません。
AI事業者ガイドライン第1.2版
総務省と経済産業省が2026年3月31日に公表した文書です。2024年4月の第1.0版、2025年3月の第1.1版に続く改定にあたります。
ガイドライン自身が、細かな行為義務を課すルールベースの規制はイノベーションを阻害しうるとしたうえで、「非拘束的なソフトローによって目的達成に導くゴールベースの考え方」で作成したと述べています。つまりガイドラインに従わなかったこと自体が直ちに違法になるわけではなく、事業者が自主的に参照すべき国内の標準的な指針として位置づけられています。ただしガイドラインに書かれている事項には、個人情報の取扱いのように既存の法令に根拠を持つものも含まれます。ガイドラインが非拘束的であることと、根拠となる法令を守る義務があることは別だと考えてください。
対策の程度をリスクの大きさに合わせる「リスクベースアプローチ」を採っており、技術動向に応じて更新される「Living Document」とされている点も特徴です。
外部のAIサービスを使っている会社は「AI利用者」に当たる
AI事業者ガイドラインは、AIの事業活動を担う主体を3つに分けています。
| 主体 | 定義 |
|---|---|
| AI開発者 | AIシステムを開発する事業者（AIを研究開発する事業者を含む） |
| AI提供者 | AIシステムをアプリケーション、製品、既存のシステム、ビジネスプロセス等に組み込んだサービスとして提供する事業者 |
| AI利用者 | 事業活動において、AIシステム又はAIサービスを利用する事業者 |
※ 定義はAI事業者ガイドライン（第1.2版）本編より引用。
注目すべきは「AI利用者」の定義の広さです。AIを自社開発していなくても、ChatGPTやMicrosoft Copilot、Geminiといった外部サービスを業務で使っている場合は、ガイドラインが定義する「AI利用者」に該当すると考えられます。
さらに、社内向けにAIチャットボットを構築して従業員や顧客に使わせている場合は、AI提供者としての側面も持ちます。「うちは開発会社ではないから関係ない」とはならない、というのがガイドラインの立て付けです。
AI推進法に罰則が無いのに、なぜ今ルールを整えるのか
AI推進法そのものに罰則が置かれていないのは事実です。ただし、AIの使い方によって既存の法令に触れる場面があることは変わりません。生成AIに個人データを入力する行為は個人情報保護法上の利用目的や安全管理措置、委託先の監督の問題になりますし、取引先から預かった秘密情報を外部サービスに貼り付ければ秘密保持契約の違反や不正競争防止法上の問題になりえます。「AI推進法に罰則が無い」ことと「AIの使い方に法令リスクが無い」ことは別だと考えてください。
そのうえで、社内ルールの整備を先送りしない理由は、法令リスク以外にもあります。
取引先から聞かれるようになった
大企業や官公庁の調達では、委託先のセキュリティチェックシートにAIの利用状況を問う項目が加わりつつあります。「生成AIに貴社の機密情報を入力していないか」「社内規程はあるか」と聞かれたときに、規程の名前と最終改定日を答えられるかどうかで話の進み方が変わります。
稟議が通りやすくなる
社内AIツールの導入は、経営層から見ると情報漏えいリスクの持ち込みに見えます。先に利用ルールがあれば、稟議書は「ルールの範囲内で使う」という説明ができます。稟議の組み立て方は情シスが社内AIツールの稟議を通すためのチェックリストにまとめています。
事故が起きたときに説明ができる
誤った出力をそのまま顧客に渡した、機密情報を外部サービスに貼り付けた。こうした事故が起きたとき、ルールがある会社は「ルールを逸脱した個別の事案」として対処できます。ルールが無い会社は、会社として管理していなかったという評価を受けます。差が出るのは平時ではなく有事です。
ガイドラインが「AI利用者」に求めていること
第1.2版の第5部には、AI利用者にとって重要な事項が挙げられています。要約すると次のとおりです。
- 安全を考慮した適正利用 — 提供者が定めた利用上の留意点を守り、提供者が設計で想定した範囲内で使う。想定どおり動いているかを確認する。出力の精度とリスクの程度を理解したうえで利用する
- 入力データやプロンプトのバイアスへの配慮 — 公平性が担保されたデータを入力し、出力を事業に使う判断は責任を持って行う
- 個人情報の不適切な入力とプライバシー侵害への対策 — 個人情報を不適切に入力しないよう注意を払い、プライバシー侵害について適宜情報収集して防止を検討する
- セキュリティ対策の実施 — 提供者が示すセキュリティ上の留意点を守り、機密情報を不適切に入力しないよう注意を払う
- 関連するステークホルダーへの情報提供と説明 — 出力結果を事業判断に活用したときは合理的な範囲で情報を提供する。特定の個人や集団の評価にAIの出力を参考にする場合は、AIを利用している旨を通知し、求めに応じて説明責任を果たす
- 提供された文書の活用と規約の遵守 — サービスの文書を適切に保管・活用し、サービス規約を守る
抽象度は高いものの、裏を返せば「入力してよいもの・いけないもの」「出力をどう扱うか」「どのサービスの規約を読んだか」を社内で決めて記録しておくことが、対応の出発点になります。
社内AI利用ルールに入れるべき10項目
以上を踏まえて、社内ルールの項目として検討したいものを挙げます。網羅的なものではなく、自社の事業内容に応じて過不足を調整してください。分量よりも、決めたことが1枚で読み切れることを優先すると続きます。
- 1. 適用範囲 — 対象となる従業員（正社員・業務委託・アルバイトを含むか）と、対象となるAIサービスの範囲
- 2. 利用してよいサービスの一覧 — 会社が契約・承認したサービスを列挙する。個人アカウントでの業務利用を認めるかどうかを明記する
- 3. 入力してはいけない情報 — 個人情報、顧客から預かった情報、未公開の財務情報、ソースコード、取引先との秘密保持契約の対象など、具体例で示す
- 4. 学習利用の可否の確認 — 入力データがモデルの学習に使われない設定・契約になっているかを、サービスごとに確認して記録する
- 5. 出力の検証責任 — 生成物をそのまま外部に出さない。誰が確認するかを決める
- 6. 生成物の権利・表示の扱い — 顧客への納品物にAI生成物を含める場合の社内基準と、明示が必要な場面
- 7. AIを使ったことを相手に伝える場面 — 採用選考や評価など、特定の個人の評価にAIの出力を参考にする場合の通知と説明の方法
- 8. ログの保全 — 誰がいつ何を聞いたかを、いつまで、誰が見られる形で残すか
- 9. 事故が起きたときの連絡経路 — 誤入力や誤った出力の利用に気づいた従業員が、誰に何分以内に報告するか
- 10. 見直しの周期と責任者 — 半年ごとなど周期を決め、担当部署と決裁者を明記する
すべてを一度に作る必要はありません。3と8だけでも文書化しておけば、社外からの問い合わせにはかなり答えられるようになります。
社内文書をAIに読ませるときに追加で決めること
生成AIに質問するだけの段階から、社内文書をAIに読ませて答えさせる段階に進むと、論点が1つ増えます。会社の資産である文書そのものを、どこへ渡すのかという問題です。
どのデータがどこへ送られるか
利用中のサービスが、アップロードした文書をどのクラウドのどのリージョンに保管するかを確認します。海外リージョンの場合、データ越境について取引先から説明を求められることがあります。
権限が分離されているか
人事評価や労務、経営会議の資料など、全社員が見てよいわけではない文書があります。AIに読ませた瞬間に全員が質問できてしまうと、既存のアクセス権が実質的に無効になります。文書の置き場所ごとに閲覧できる人を制御できるかを確認してください。人事文書を扱う際の注意点は人事・労務の問い合わせをAIで減らす方法でも触れています。
ログが残るか
チェックリストの8番と同じ論点です。何を聞かれたかが残っていない仕組みでは、事故が起きたときに範囲を特定できません。
AIの学習に使われないか
入力した社内文書がモデルの学習に使われない旨が、契約または仕様として明示されているかを確認します。
（参考）当社サービスでの対応
私たちが提供する「ものしりAI」では、データを日本国内のデータセンターに保管し、保存時・通信時ともに暗号化しています。組織ごとにデータを分離して管理し、他の組織のデータを参照できない設計です。フォルダ単位で閲覧できる人を制御することもできます（全プラン共通）。お預かりした資料を当社および当社が利用する基盤モデル提供事業者においてAIの学習に使うことはありません。詳細はセキュリティのページに記載しています。料金や機能は料金プランからご確認いただけます。
なお、これらはサービス側の仕様であり、導入すればAI事業者ガイドラインへの対応や法令遵守が完了するというものではありません。入力してよい情報の範囲や出力の検証体制は、各社で定めていただく必要があります。
第1.2版で増えた論点: AIエージェント
第1.2版では、AIエージェントが用語として定義されました。AI事業者ガイドライン（第1.2版）本編では「特定の目標を達成するために、環境を感知し自律的に行動するAIシステム」とされています。ここでの自律は高度な自律状態だけを指すのではなく、ある程度の自律性を持つものも含むと注記されています。
質問に答えるだけのAIと違い、エージェントは外部のシステムを操作します。人が1つずつ承認しないまま処理が連鎖するため、ここからはガイドラインの記述を離れ、一般的な実務上の対策として、社内ルールの観点で次の2点を先に決めておくことをおすすめします。
- 権限を絞る — エージェントに渡すアカウントの権限を、目的に必要な最小限にとどめる
- 履歴を追えるようにする — どの判断でどの操作をしたかを後から追跡できる状態にし、定期的に確認する
まだエージェントを本格導入していない会社でも、承認を挟む工程を決めておくことは無駄になりません。
進め方: 3ステップ
ステップ1: 現状を1枚に書き出す（1週間）
誰がどのAIサービスを何に使っているかを洗い出します。個人アカウントでの利用が見つかることが多いので、責めずに実態を集めることを優先します。
ステップ2: 禁止事項だけ先に決める（2週間）
チェックリストの3番と2番だけを先に社内へ通知します。完璧な規程を待つより、入力してはいけない情報を早く伝えるほうが効果があります。
ステップ3: 規程として文書化する（1〜2か月）
10項目を埋め、責任者と見直し周期を決めて社内規程にします。既存の情報セキュリティ規程に章を追加する形でも構いません。
まとめ
- AI推進法は推進型の法律で、活用事業者の責務（第7条）に罰則は置かれていない。ただし国が指導・助言を行う規定はある
- AI事業者ガイドライン第1.2版は2026年3月31日公表の非拘束的なソフトロー。守らなくても直ちに違法ではないが、国内の標準的な指針として参照される
- 外部のAIサービスを業務で使っているだけで「AI利用者」に当たる。開発していないことは対象外の理由にならない
- AI推進法に罰則は無いが、個人情報保護法や秘密保持契約といった既存の法令・契約は従来どおり適用される。整備する理由はそこに加えて、取引先からの質問、稟議、事故時の説明責任にもある
- 入力してはいけない情報とログの保全の2つを先に決めるだけでも、実務上の効果は大きい
- 社内文書をAIに読ませる段階では、保管リージョン・権限分離・ログ・学習利用の4点を確認する
本記事について 本記事は、公表されている法令およびガイドラインの内容を編集部が整理したものであり、法的助言ではありません。関係する法令・ガイドラインの内容を網羅するものでもありません。記載内容および本記事に記載した当社サービスの仕様は、2026年9月5日時点の情報にもとづいています。自社の事業内容や取引条件によって求められる対応は異なるため、最終的な判断は顧問弁護士等の専門家にご確認ください。
参照した一次情報
この記事をシェア
関連記事
情シスが社内AIツールの稟議を通すためのチェックリスト【2026年版】
社内AIツールの導入稟議書を通すために必要な7つのチェック項目を解説。セキュリティ、コスト、法令準拠、撤退容易性まで、情シス・総務担当者が押さえるべきポイントと、よくある却下理由への対策を紹介します。
生成AIで社内文書検索を実現する方法 -- 従来の全文検索との違いと導入の進め方
生成AIによる社内文書検索とは何かを、従来の全文検索・キーワード検索・社内wiki検索との違いから解説。仕組みの全体像と、失敗しない導入の進め方・選定ポイント、ものしりAIでの実現方法までをまとめたガイドです。
Shopifyにチャットボットを設置する方法｜アプリ不要のカスタムLiquid手順【2026年版】
Shopifyストアにチャットボットを設置する3つの方法を比較し、アプリ不要のカスタムLiquidでの手順を解説します。テーマ変更で消える問題、チェックアウトに出ない仕様、無料でどこまでできるかまで扱います。
