title: "企業のAI利用ガイドライン策定ガイド｜社内ルールの作り方と運用のポイント"
slug: "hubspot-ai/ai-governance/ai-usage-guideline-creation"
metaDescription: "企業のAI利用ガイドラインの策定方法を解説。生成AIの業務利用に必要な社内ルール、リスク管理、セキュリティポリシーの作り方と運用のポイントを紹介します。"
featuredImage: "https://www.start-link.jp/hubfs/blog-featured-images/ai.webp"
blogAuthorId: "166212808307"
contentGroupId: "166203508570"
keywords: ["AI ガイドライン 企業", "AI 社内ルール", "生成AI ガイドライン"]
category: "BF_ai-governance"
生成AIの業務利用が急速に広がる中、「社員が個人アカウントでChatGPTに業務データを入力している」「AIが生成した文章をそのまま顧客に送ってしまった」といったリスクが顕在化しています。
日本ディープラーニング協会（JDLA）の調査によると、生成AIを業務利用している企業のうち、AI利用ガイドラインを策定済みの企業は2024年時点で約40%に留まっています。残りの60%は、ルールなき状態でAIを使っている現状です。
ガイドラインが必要な理由は3つあります。
| 理由 | リスク | 想定される被害 |
|---|---|---|
| 情報漏洩防止 | 機密情報・個人情報のAIへの入力 | 顧客情報の流出、コンプライアンス違反 |
| 品質管理 | AIのハルシネーション（誤情報生成） | 顧客への誤案内、ブランド毀損 |
| 法令遵守 | 著作権侵害、個人情報保護法違反 | 訴訟リスク、行政処分 |
企業のAI利用ガイドラインに含めるべき項目を整理します。
| セクション | 内容 |
|---|---|
| 1. 目的・適用範囲 | ガイドラインの目的、対象者、対象ツール |
| 2. 利用可能なAIツール | 会社が承認したツールのリスト |
| 3. 入力禁止データ | 機密情報、個人情報、非公開財務情報などの入力制限 |
| 4. 出力の利用ルール | ファクトチェック義務、外部公開時の確認プロセス |
| 5. セキュリティ要件 | 法人プラン利用の義務、データ保持ポリシー |
| 6. 著作権・知的財産 | AI生成コンテンツの権利帰属、商用利用のルール |
| 7. 報告義務 | インシデント発生時の報告フロー |
| 8. 教育・研修 | 全社員向けAIリテラシー研修の実施 |
社内でのAI利用状況を調査します。
業務領域ごとにAI利用のリスクを評価します。
| リスクレベル | 業務例 | 対応 |
|---|---|---|
| 高リスク | 顧客向け文書の最終稿、契約書、IR資料 | 人間の最終承認必須 |
| 中リスク | 社内レポート、メールドラフト、データ分析 | ファクトチェック実施 |
| 低リスク | アイデア出し、ブレスト、議事録要約 | 基本ルールの遵守のみ |
リスク評価をもとに、具体的なルールを文書化します。曖昧な表現は避け、「何をしてよいか」「何をしてはいけないか」を明確に記述します。
ガイドラインを策定しただけでは浸透しません。全社員向けの研修を実施し、具体的な事例（OK/NGの判断例）を示すことで理解を促進します。
AI技術の進化は速く、ガイドラインも四半期〜半年ごとに見直しが必要です。新しいAIツールの登場、法規制の変更、社内でのインシデント発生に応じて更新します。
ソフトバンクは、全社員約2万人を対象にAI利用ガイドラインを策定。利用可能ツールのホワイトリスト制、入力禁止データの明確な定義、出力のファクトチェック義務を導入しています。さらに全社員向けのAI活用研修を実施し、1人月あたり24時間の業務削減効果を実現しています。
MUFGは、金融業界特有のコンプライアンス要件を踏まえたAIガイドラインを策定。顧客情報の入力禁止、AIが生成した投資アドバイスの提供禁止、全出力の人間レビュー義務など、厳格なルールを運用しています。
日立は、「AI倫理原則」を策定し、公平性・透明性・プライバシー・安全性の4原則に基づくAI利用基準を公開。AI導入プロジェクトに対する倫理審査プロセスを組み込み、リスクの高いAI活用には社内倫理委員会の承認を必須としています。
CRMに蓄積されるデータ（顧客情報、商談内容、サポート履歴）はAI活用の主要な入力ソースであると同時に、最も保護すべき情報資産でもあります。CRMのデータをAIに利用する際のルール（どのデータ項目をAIに渡してよいか、顧客の同意取得の要否、データのマスキング処理の要否）をガイドラインに明記し、CRMのアクセス権限設計と連動させることが重要です。