「禁止事項の羅列」は使われない
生成AIの社内ガイドラインを作ったが、誰も読んでいない。あるいは、禁止が多すぎて現場が使うのをやめた。こうした声をよく聞きます。ガイドラインの目的はリスクをゼロにすることではなく、「ここまでは安心して使ってよい」という範囲を示し、社員が迷わずに使える状態を作ることです。
基本方針は1枚に収める
本文は A4 で1枚（約1,500字）を目安にします。読まれることが最優先です。詳細な手順やツール固有の設定は付録に分けます。
記載すべき8項目
| # | 項目 | 書く内容 |
|---|---|---|
| 1 | 目的 | 会社としてAIを活用する理由と、ガイドラインの位置づけ |
| 2 | 対象 | 対象者（全社員・業務委託など）と対象ツール（会社が契約したもの） |
| 3 | 使ってよい業務 | 文書作成、要約、集計、コードの補助など。具体的に列挙する |
| 4 | 入力してはいけない情報 | 個人情報、顧客の機密、未公表の財務情報、認証情報など |
| 5 | 出力の確認義務 | 数値・固有名詞・法的表現・引用は必ず人が確認する。社外提出物の責任は作成者にある |
| 6 | 知的財産と開示 | 著作物の扱い、生成物の権利、社外への AI 利用の開示方針 |
| 7 | AIエージェントの追加ルール | ファイル操作・実行を伴うツールでの作業範囲、権限設定、取り消せない操作の禁止 |
| 8 | 相談窓口と改定 | 困ったときの窓口、インシデント時の報告先、見直しの周期 |
AIエージェント特有の項目
Claude Code や Codex のように、ファイルを読み書きし、コマンドを実行するツールでは、チャット型AIの前提だけでは足りません。次を追加します。
- 作業範囲の限定：指定した作業フォルダの外を操作しない
- 権限設定の標準：導入初期は確認を求めるモードを標準にし、自動許可の範囲は情シスが定める
- 取り消せない操作の禁止：削除、外部送信、本番環境への変更は人が実行する
- 指示書の整備：
CLAUDE.md/AGENTS.mdに禁止事項を明記する
権限設計の詳細は Claude Code を安全に社内利用するための権限・セキュリティ設計、Copilot 固有の論点は Copilot のガバナンス設計 を参照してください。
書き方の3原則
- 「してよいこと」から書く：禁止事項より先に、推奨する使い方を示す
- 判断できる基準にする：「適切に」ではなく、「顧客名を含むファイルは入力しない」のように判断できる表現にする
- 例を添える：良い例・悪い例を1つずつ添えると、解釈のぶれが減る
改定の運用
- 暫定版で始める：完成を待たず、パイロット部署向けの暫定版を出し、運用しながら直す
- 改定の周期：四半期に1回。ツールの機能更新と社内の事例を反映する
- 改定の記録：版番号と変更点を残し、周知する
テンプレート（骨子）
生成AI・AIエージェント利用ガイドライン（第1版）
1. 目的
2. 対象者・対象ツール
3. 推奨する使い方（業務例）
4. 入力してはいけない情報
5. 出力の確認と責任
6. 知的財産・開示
7. AIエージェント利用時の追加ルール
8. 相談窓口・インシデント報告・改定
付録A：Microsoft 365 Copilot の利用ルール
付録B：Claude Code / Codex の権限設定と指示書テンプレート研修・コンサルティングで自社版を作る
当社の研修では、経営層・情シス向けのプログラムの中で、自社版ガイドラインのたたき台を作成します。全社的な方針から整えたい場合は、DX/AXコンサルティング でロードマップと合わせて策定します。無料相談 からご相談ください。
よくある質問
ガイドラインは法務が作るべきですか？
法務・情シス・業務部門の三者で作るのが理想です。法務だけで作ると禁止事項中心になり現場で使われず、業務部門だけで作るとリスクの確認が抜けます。推進担当が起案し、法務・情シスがレビューする流れが現実的です。
ツールごとにガイドラインを分けるべきですか？
全社共通の基本方針を1枚にまとめ、ツール固有のルール（Copilot の感度ラベル、Claude Code の権限設定など）は付録として分けると、改定しやすく読まれやすくなります。
