RIKENTOKYOはオフィス環境と仕組みのご提案で「社員がChatGPTを勝手に業務で使っているようだが、止めるべきか判断できない」。そんな悩みを抱える中小企業の総務・情シス担当者は増えています。 結論からお伝えすると、生成AIは禁止するより「使ってよい道具」と「入力してはいけない情報」を決め、会社のアカウントで使わせるほうが安全です。 この記事では、生成AIの社内ルールに入れるべき項目、中小企業でも回せる作り方5ステップ、Microsoft 365で仕組みとして守らせる方法を解説します。
生成AIの社内ルールとは、社員が業務で生成AIを使うときの「使ってよい範囲」と「守るべき手順」を定めた社内の決めごとです。 ガイドライン、利用規程、AIポリシーなど呼び方はさまざまですが、中身は同じです。
生成AI（ジェネレーティブAI）とは、文章・画像・表などを自動で作り出すAIのことです。 代表例として、ChatGPT、Microsoft Copilot Chatなどがあります。
社内ルールは、会社としての方針を示す部分と、現場が日々守る部分に分けると整理しやすくなります。
| 項目 | 利用規程（方針） | 運用ルール（現場向け） |
|---|---|---|
| 目的 | 会社としてAIをどう扱うかを示す | 社員が迷わず使えるようにする |
| 主な内容 | 利用目的、責任者、違反時の対応 | 使ってよいツール、入力禁止情報、確認手順 |
| 分量の目安 | A4で1〜2枚 | A4で1枚、社内ポータルに常時掲載 |
| 見直し頻度 | 年1回程度 | 半年に1回程度 |
中小企業では、最初から立派な規程を作る必要はありません。 まずは運用ルールのA4・1枚から始めるのが現実的です。
ルールが必要な最大の理由は、会社が把握しないまま生成AIが業務で使われている「シャドーAI」が広がっているためです。 禁止も許可もしていない状態は、実質的には「黙認」になっています。
シャドーAIとは、会社が承認していないAIサービスを、社員が個人の判断で業務に使っている状態のことです。 悪意があるわけではなく、「便利だから使った」ケースがほとんどです。
ルールがない状態で起きやすいリスクは次のとおりです。
国も、AIを使う企業の自主的な取り組みを求めています。 総務省・経済産業省は2026年3月31日にAI事業者ガイドライン（第1.2版）を公表しており、AIを「利用する側」の事業者もガバナンスを整える対象に含まれています。
社内ルールには、次の7項目を入れておけば中小企業では十分に機能します。 特に重要なのは、1〜3の「ツール」「入力禁止情報」「出力の確認」です。
| ＃ | 項目 | 決める内容の例 | 決めないと起きること |
|---|---|---|---|
| 1 | 使ってよいツール | 会社が契約・許可したサービスのみ。個人アカウントの業務利用は禁止 | 各自が別々のサービスを使い、管理できない |
| 2 | 入力禁止の情報 | 顧客の個人情報、取引先の機密、未公開の財務情報、パスワード | 機密情報が社外サービスに渡る |
| 3 | 出力の確認 | 社外に出す文書は、事実確認と上長確認を経る | 誤情報がそのまま顧客に届く |
| 4 | 使ってよい業務 | 文章の下書き、要約、翻訳、アイデア出しなど | 人事評価や契約判断までAI任せになる |
| 5 | 責任者と相談窓口 | 総務部長、情シス兼任者など | 迷ったときに聞く先がなく、自己判断が増える |
| 6 | 違反・事故時の対応 | 誤入力に気づいたら即報告。報告者を責めない | 隠されて発覚が遅れる |
| 7 | 見直しの時期 | 半年に1回、新しいツールや法令を確認 | ルールが古くなり、形骸化する |
入力禁止の情報は、「機密情報」とだけ書いても現場は判断できません。 「見積書の単価」「取引先の担当者名と電話番号」のように、自社の書類名で例示すると守られやすくなります。
RIKEN TOKYOの視点
RIKEN TOKYOは東京支店をWeWork丸の内へ移転した際、ペーパーレス化とMicrosoft 365の活用を進め、「どの情報をどこに置くか」を整理してきました。生成AIのルールづくりも、この「情報の置き場所と扱い」の整理の延長線上にあります。
生成AIのルールは、次の5ステップで進めると、情シス不在・兼任の中小企業でも1〜2ヶ月で運用を始められます。 いきなり規程を書くのではなく、今の利用実態を知るところから始めるのがポイントです。
ルール作りでよくある失敗は、個人利用を禁止するだけで代わりのツールを用意しないことです。 便利さを知った社員は、禁止されても隠れて使い続けます。 「こちらなら安心して使ってよい」という選択肢をセットで示すことが、シャドーAIを減らす近道です。
何から始めるべきか迷っている方へ
生成AIのルールは、ツールの設定や社内の情報管理とあわせて考える必要があります。
RIKEN TOKYOでは、現在の利用状況やMicrosoft 365の契約内容を伺ったうえで、無理のないルールと環境づくりをご提案します。
生成AIの社内ルールについて無料相談をする
Microsoft 365を契約している企業は、既存の環境を使って生成AIのルールを仕組みで支えられます。 紙のルールだけに頼らず、「守りやすい環境」を先に用意することが重要です。
対象となるMicrosoft 365のプランを契約していれば、会社のアカウントでサインインして使うAIチャットを、追加のライセンス費用なしで利用できる場合があります。 なお、Microsoftは「Microsoft 365 Copilot」を「Microsoft Copilot」、「Microsoft 365 Copilot Chat」を「Microsoft Copilot Chat」へ名称変更しています。
会社アカウントで使う場合、入力内容と回答にはエンタープライズデータ保護が適用されます。 メールやファイルと同じ法人向けの契約条件のもとで扱われる点が、個人向けサービスとの大きな違いです。 詳しいデータの扱いは、Microsoft Copilot Chatのプライバシーと保護で確認できます。
有料版のMicrosoft Copilotを全社導入すべきかの判断は、Microsoft 365 Copilotは自社に必要？中小企業の導入判断基準と始め方で解説しています。
| 目的 | 使う機能 | できること |
|---|---|---|
| 会社アカウントで使わせる | Microsoft Entra ID | 会社のIDでのサインインを前提にし、退職時にアカウントを止められる |
| 乗っ取りを防ぐ | 多要素認証（MFA） | パスワード漏洩時の不正ログインを防ぐ |
| 管理された端末で使わせる | Microsoft Intune | 会社が管理するPC・スマホに利用を限定しやすくなる |
| 後から確認できるようにする | Microsoft Purview（監査ログ） | プランや設定に応じて、利用履歴を確認できる範囲がある |
Entra ID・Intune・Defenderの役割は、Microsoft Entra ID・Intune・Defenderとは？中小企業が今すぐ使えるセキュリティ機能を解説で詳しく紹介しています。 監査ログの考え方は、Microsoft 365の保持ポリシー・監査ログとは？もあわせてご覧ください。
社内データと連携するAIは、利用者がアクセスできるファイルを参照して回答します。 そのため、SharePointやOneDriveの共有設定が「全員に公開」のままだと、本来見せたくない人事・給与資料が回答に使われるおそれがあります。 生成AIを広げる前に、ファイルのアクセス権限を棚卸ししておきましょう。
まずは自社の状況を確認したい方へ
生成AIを安全に使えるかどうかは、Microsoft 365の設定や使い方に大きく左右されます。
RIKEN TOKYOでは、活用状況を整理できる「Microsoft 365 活用度チェック」をご用意しています。
Microsoft 365 活用度チェックを確認する
生成AIのルールは、作ること自体よりも「守られ続けること」のほうが難しい取り組みです。 よくある失敗を3つ紹介します。
全面禁止にすると、社員は私物スマホなど会社から見えない場所で使い始めます。 結果として、リスクが下がるどころか把握できなくなります。
他社のひな型をそのまま使うと、10ページ以上の規程になりがちです。 現場向けはA4・1枚に絞り、詳細は責任者が持つ形にします。
違反を厳しく罰するだけだと、誤入力が隠されます。 「気づいたらすぐ報告すれば責めない」と明記し、早期発見を優先しましょう。
社内ルールを展開する前に、次の項目を確認してください。
RIKEN TOKYOでは、生成AIの社内ルールづくりと、それを支えるMicrosoft 365環境の整備をまとめて相談できます。 ルールだけ、設定だけに分けず、情報管理全体として整えられる点が特長です。
| 支援内容 | 具体例 |
|---|---|
| 現状整理 | 生成AIの利用実態、Microsoft 365の契約プランと設定の確認 |
| ルール設計 | 使ってよいツール、入力禁止情報、確認手順の整理 |
| 環境設定 | Entra ID・MFA・Intune・共有設定の見直し |
| 運用・定着 | 社内説明、半年ごとの見直し、ライセンスの見直し提案 |
情シス不在・兼任の企業でも、現状確認から段階的に進められます。 Microsoft 365関連の支援内容は、Microsoft & DXのページで紹介しています。
生成AIの社内ルールで押さえるべきポイントを整理します。
「社員がすでに生成AIを使っているが、何から決めればよいかわからない」という段階でも問題ありません。 RIKEN TOKYOでは、現在の使われ方とMicrosoft 365の状況を伺ったうえで、自社に合ったルールと環境づくりをご提案します。
全面禁止はおすすめしません。禁止しても私物端末などで使われ、会社から見えなくなるためです。使ってよいツールと入力禁止の情報を決め、会社アカウントで使わせるほうが、リスクを管理しやすくなります。
使ってよいツール、入力してはいけない情報、社外に出す前の確認方法、困ったときの相談先の4点です。まずはA4・1枚にまとめ、半年ごとに見直すと現場に定着しやすくなります。
対象となるMicrosoft 365のプランと会社アカウントがあれば、Microsoft Copilot Chatを追加のライセンス費用なしで利用できる場合があります。WordやExcel、社内ファイルと深く連携する有料版のMicrosoft Copilotは別契約です。
作れます。総務部長など責任者を1人決め、利用実態のアンケートから始めれば、専門知識がなくても進められます。アカウントや端末の設定など技術的な部分は、外部パートナーと分担するのが現実的です。
