東京都が公開した生成AI社内利用ガイドラインのひな形　自社のルールはどこから整えるか

生成AIを仕事で使い始めたものの、社内のルールがまだない。そうした会社は少なくありません。

2026年9月7日、東京都産業労働局が運営する中小企業向けのサイバーセキュリティ対策ポータルに、生成AIの社内利用ガイドラインのテンプレート例を含む解説が掲載されました。[1]

今回はこの内容を紹介しながら、自社のルールをどこから整えるかを考えます。

公開されたテンプレートの内容

掲載されているのは、会社名を入れて使う形式のひな形です。全従業員向けに、A4で1〜2ページ程度に収まる軽い構成になっています。[1]

項目は、基本方針、業務で使えるAIツール、入力してはいけない情報、出力結果を使うときのルール、トラブル時の連絡先の5つです。[1]

ルールを分厚い規程にするのではなく、現場の人が迷わず判断できる線引きを示すことが重視されています。

5つの項目を、自社ならどう読むか

1．基本方針

AIを使う際の考え方を、短く示す項目です。人が最終的に判断すること、出力の正しさを確認することなどを、全員が共有できる言葉で書きます。

2．使えるAIツール

会社として使ってよいサービスを決める項目です。利用条件や、入力した内容の扱いは、サービスやプランによって異なります。自社が契約している内容を確かめて、ツール名を書き入れます。

3．入力してはいけない情報

現場が一番迷うのは、この項目でしょう。顧客の個人情報、取引先の機密、未公表の計画など、自社の仕事に合わせて具体的な例を挙げておくと、判断しやすくなります。

4．出力結果を使うときのルール

AIの出力は、そのまま使わず、人が確認してから使うことを決めます。事実の確認、著作権や引用元の確認など、どこを見るかを短く書いておきます。

5．トラブル時の連絡先

迷ったとき、間違えたと気づいたときに、誰に伝えるかを決めます。連絡先があるだけで、一人で抱え込まずに済みます。

ひな形を使うときに確認したいこと

ひな形はあくまで出発点です。使うときは、次の点を確かめてください。

まず、自社の契約や、実際に使っているサービスに合っているか。次に、自社の仕事で扱う情報に合った入力禁止の例になっているか。そして、作ったルールが全員に周知され、見直しの機会があるか。

ルールは、作って配って終わりではありません。使う中で出てきた疑問をもとに、少しずつ直していく前提で整えると、現場に根づきやすくなります。個別の法務判断が必要な場合は、専門家にご相談ください。

まずは、入力してはいけない情報の例から

ルール全体を一度に整えるのは大変です。まず、「入力してはいけない情報」の例を、自社の仕事に合わせて5つほど書き出してみてください。ここが決まるだけで、使う側の迷いは大きく減ります。

アイ・ルミナスでは、生成AI研修、業務改善、伴走支援を通じて、一人ひとりの仕事に一緒に向き合うことを大切にしています。自社のルールをどこから整えるか迷っている方は、日頃の業務で困っていることからお聞かせください。