立ち上げたばかりの会社でも、生成AIは初日から使える道具です。だからこそ、スタッフが使い始める前に、何を入れてよいかを決めておく必要があります。個人情報保護委員会と総務省・経済産業省の公式資料は、どちらもAIに入力する情報の扱いを、利用者が注意すべき点として挙げているのです。

この記事では、社内のAI利用ルールに書いておきたい項目を、公式資料をもとに5つに整理します。著作権の確認は別の記事で扱っているため、ここでは「AIに何を入れるか」を中心にしています。本文の内容は、2026年10月29日に公式資料で確認したものです。

結論：ルールの中心は「どのAIに、何を入れてよいか」の2点です

社内ルールと聞くと、なんだか分厚い規程を作るように思えますよね。けれど、公式資料が利用者に求めていることを並べると、中心にあるのは入力する情報の扱いです。どのサービスを使い、そこに何を入れてよいかを決めることが、ルールの骨組みになるのです。

ルールに書く項目	公式資料での扱い	出典
1. 使ってよいAIサービス	提供事業者の利用規約やプライバシーポリシーを十分に確認して判断する	個人情報保護委員会 注意喚起（3）③ / AI事業者ガイドライン U-7）ii
2. 個人情報を入れるときの条件	利用目的の範囲内か、機械学習に使われないかを十分に確認する	個人情報保護委員会 注意喚起（1）①②
3. 機密情報を入れないこと	機密情報などを不適切に入力しないよう注意を払う	AI事業者ガイドライン U-5）i
4. 出力を確かめてから使うこと	応答には不正確な内容が含まれることがある	個人情報保護委員会 注意喚起（3）② / AI事業者ガイドライン U-2）i
5. 見直す時期	追加の注意喚起の可能性があり、ガイドラインも改訂されている	個人情報保護委員会 注意喚起 / AI事業者ガイドライン

それではまず、ルールを作る立場にあるのは誰なのか、から見ていきましょう。

業務でAIを使う事業者は、会社の規模にかかわらず「AI利用者」にあたります

総務省と経済産業省は、AIを扱う事業者に向けて「AI事業者ガイドライン」を公表しています。最新版は第1.2版で、2026年3月31日（令和8年3月31日）付けのものです。

このガイドラインは、対象となる事業者を「AI開発者」「AI提供者」「AI利用者」の3つに分けています。AI利用者とは、事業活動においてAIシステムやAIサービスを利用する事業者のことです。

つまり、業務で対話型のAIサービスを使うだけでも、AI利用者の立場になります。定義には、会社の規模による区切りは書かれていません。社員が数人の会社でも、これから1人で事業を始める場合でも、同じ定義があてはまるわけですね。

なお、このガイドラインは、法的な拘束力を持たない「ソフトロー」と位置づけられています。守らなければ罰則がある、という性質のものではありません。それでも、AI利用者が何に気をつけるべきかが項目ごとに整理されているため、ルールの下敷きとして使いやすいのです。

出典：総務省「AI事業者ガイドライン」（本編 第1.2版、2026年10月29日確認）

ルール1：使ってよいAIサービスを決め、規約とプライバシーポリシーを読んでおく

個人情報保護委員会は、2023年6月2日に「生成AIサービスの利用に関する注意喚起等」を公表しています。ここでいう生成AIサービスとは、指示（プロンプト）に応えて文章や画像などを作るAIを使ったサービスのことです。

この注意喚起は、利用者に向けて、提供事業者の利用規約やプライバシーポリシーなどを十分に確認するよう求めています。そのうえで、入力する情報の内容を踏まえて、使うかどうかを判断するという流れです。

AI事業者ガイドラインも、AI提供者が定めたサービス規約を守ることを、AI利用者の重要な事項に挙げています。どちらの資料でも、規約を読むことが出発点に置かれているわけですね。

ここからは公式資料ではなく見方ですが、規約を読む作業は、サービスごとに一度で済む形にしておきたいところです。社内で使ってよいサービスを一覧にし、規約を読んだ日を添えておくと、誰がいつ確かめたかが残ります。

一覧にないサービスを使いたくなったときは、先に相談してもらう、と1行添えておくとよいと思います。使うサービスが知らないうちに増えていく、という状態を防げるからです。

出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2026年10月29日確認）

ルール2：お客さまの名前やメールアドレスを入れるときの条件を決めておく

はて、どこまでが個人情報にあたるのでしょうか。個人情報保護委員会のQ&Aでは、氏名だけであっても、特定の個人を識別できるものとして個人情報にあたると考えられる、とされています。

ユーザー名とドメイン名から個人が分かるメールアドレスも、それだけで個人情報にあたるとされています。また、すでにネット上で公表されている情報も、保護の対象から外れるわけではありません。

一方で、企業の財務情報のように、法人そのものに関する情報は、個人情報にあたらない例として挙げられています。取引先の会社の情報と、その会社の担当者の情報は、分けて考える必要があるのです。

出典：個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」（Q1-2、Q1-4、Q1-5、Q1-7、2026年10月29日確認）

個人情報を入れるなら、利用目的の範囲内かを確かめます

注意喚起は、事業者が個人情報を含むプロンプトを入力する場合について、2つの注意点を示しています。1つめは、その個人情報について特定した利用目的を達成するために、必要な範囲内であるかを十分に確認することです。

実務の言葉に置き換えると、自社が本人に示している利用目的と、AIに入れる目的を見比べる作業ですね。目的が合っているかを確かめないまま入れる、という使い方を避けるための一文です。

入力した内容が機械学習に使われないかを確かめます

2つめは、本人の同意を得ずに個人データを含むプロンプトを入力し、それが応答の出力以外の目的で扱われる場合です。注意喚起は、この場合、事業者が個人情報保護法の規定に違反することとなる可能性があるとしています。

そのため、提供事業者がその個人データを機械学習に利用しないことなどを、十分に確認するよう求めています。ルール1で規約を読むときに、入力した内容が学習に使われるかどうかもあわせて確かめておくと、手間が一度で済みます。

AI事業者ガイドラインにも、AIサービスへ個人情報を不適切に入力しないよう注意を払うことが、AI利用者の重要な事項として挙げられています。

これは公式資料の文例ではなく見方ですが、ルールにはたとえば次のように書けます。「お客さまの氏名・メールアドレス・電話番号は、AIに入れない。入れる必要があるときは、学習に使われないことを確かめたサービスに限り、責任者に確認してから入れる」という形です。

個別のケースが法律上問題ないかどうかは、この記事では判断できません。迷う場合は、個人情報保護委員会の「個人情報保護法相談ダイヤル」（03-6457-9849、土日祝日と年末年始を除く9:30〜17:30）に相談できます。

出典：個人情報保護委員会「個人情報保護法相談ダイヤル」（2026年10月29日確認）

ルール3：契約書や公開前の企画など、入れないものを具体的に書いておく

個人情報にあたらない情報でも、社外に出したくないものはあります。AI事業者ガイドラインは、AIサービスに機密情報などを不適切に入力しないよう注意を払うことを、AI利用者の重要な事項にしています。

ただ、何が機密にあたるかは、会社ごとに違います。ここからは見方ですが、ルールには入れてはいけないものを具体的な名前で書いておくと、迷う場面が減ります。立ち上げ期なら、たとえば次のようなものが挙がるのではないでしょうか。

• 取引先と交わした契約書や、出した見積書
• 公開前のサービス名・料金・企画書
• 取引先から預かった資料やデータ
• 社内で使っているパスワードやログイン情報

「機密情報は入れない」とだけ書くと、何が機密かの判断は一人ひとりに任されたままになります。具体的に挙げておけば、あとから加わった人にも同じ線を引けるのです。

ルール4：AIの答えは、事実を確かめてから使う

注意喚起は、生成AIサービスの応答に、不正確な内容が含まれることがあると指摘しています。文章は確率的な相関関係にもとづいて作られるため、人についての不正確な情報が含まれるリスクもあるとしています。

AI事業者ガイドラインも、AIの出力について精度とリスクの程度を理解したうえで使うことを、AI利用者の重要な事項に挙げています。ルールには「AIの答えを、確かめないままお客さまや取引先に出さない」と書いておくのがよいと思います。

AIで書いた文章をサイトやSNSで公開する場合は、著作権の確認も必要になります。文化庁の資料をもとにした確認の手順は、生成AIで書いた文章は、そのまま公開してよいか。著作権と検索の公式情報から確かめておくことで整理しています。

ここまで読んで、自社のAIの使い方はどうだろうと気になった方は、LINEから気軽に聞いてください。
LINEで相談する

ルール5：次に見直す日を、ルールの中に書いておく

注意喚起は、個人情報保護委員会が今後、追加の注意喚起などを行う可能性がある点に留意するよう書いています。AI事業者ガイドラインも、2024年4月に策定されたあと改訂が重ねられ、今は第1.2版になっています。

つまり、一度決めたルールの前提になっている公式資料は、これからも変わり得るのです。ここからは見方ですが、ルールの末尾に「次に見直す日」を書いておくと、決めたまま放置される状態を防げます。

見直すときは、公式資料が更新されていないかと、一覧に載せたサービスの規約を確かめ直します。決めたことを担当者の記憶に頼らず、手順の側に置いておくという考え方ですね。

運用ルールを絞って決めた例は、自分たちの作業でサイトを止めた話と、そこから決めた保守の運用ルールにもあります。

5つのルールは、1枚のメモにまとめられます

最後に、ここまでの内容を、社内で共有する形に並べ直しておきます。書いておく内容は例なので、自社の業務に合わせて書き換えてください。

項目	書いておくこと（例）
使ってよいサービス	サービス名、規約とプライバシーポリシーを読んだ日、入力した内容が学習に使われるかどうか
個人情報	お客さまの氏名・メールアドレス・電話番号は入れない。必要なときは責任者に確認する
入れないもの	契約書、見積書、公開前の企画、預かった資料、パスワード
出力の扱い	事実と数値を人が確かめてから、社外に出す
見直し	次に見直す日と、そのとき確かめる公式資料

立ち上げの時期は、決めることが多くて後回しにしたくなりますよね。それでも、このくらいの分量であれば、AIを使い始めるその日に決めておけるのではないでしょうか。

よくある質問

社員がいない1人の会社でも、AIの利用ルールは必要ですか？

AI事業者ガイドラインは、法的な拘束力を持たないソフトローと位置づけられており、ルールを作ることを義務づけるものではありません。ただし、事業活動でAIサービスを使う事業者は「AI利用者」にあたり、定義に会社の規模による区切りはありません。個人情報や機密情報を入れないための注意点は、1人で事業をしている場合にもあてはまります。

AIサービスに、お客さまの名前を入れても大丈夫ですか？

個人情報保護委員会の注意喚起は、個人情報を含むプロンプトを入力する場合、利用目的を達成するために必要な範囲内かを十分に確認するよう求めています。あわせて、入力した個人データが機械学習に使われないことなどを確認するよう求めています。個別のケースで迷う場合は、個人情報保護委員会の個人情報保護法相談ダイヤルに相談できます。

取引先の会社の情報は、個人情報にあたりますか？

個人情報保護委員会のQ&Aでは、企業の財務情報のような法人そのものに関する情報は、個人情報にあたらない例として挙げられています。一方、取引先の担当者の氏名は、それだけでも個人情報にあたると考えられるとされています。法人の情報であっても、AI事業者ガイドラインは機密情報などを不適切に入力しないよう注意を払うことを求めています。

AIの利用ルールは、いつ見直せばよいですか？

個人情報保護委員会は、今後追加の注意喚起を行う可能性があるとしています。AI事業者ガイドラインも2024年4月の策定後に改訂が重ねられ、最新版の第1.2版は2026年3月31日付けです。ルールの中に次に見直す日を書いておき、そのときに公式資料と使っているサービスの規約を確かめ直す形にすると、見直しが抜けにくくなります。

まとめ

• 業務でAIサービスを使う事業者は、会社の規模にかかわらず「AI利用者」にあたる
• ルールの中心は「どのAIに、何を入れてよいか」の2点
• 使ってよいサービスを一覧にし、規約とプライバシーポリシーを読んだ日を残す
• 個人情報を入れるなら、利用目的の範囲内か、機械学習に使われないかを確かめる
• 契約書や公開前の企画など、入れないものは具体的な名前で書いておく
• AIの答えは事実を確かめてから使い、ルールには次に見直す日を書いておく

AIに何を入れてよいかは、使い始めてから決めるより、使い始める前に決めておくほうがずっと楽です。

参考にした公式情報

いずれも2026年10月29日に確認しました。

• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（令和5年6月2日）
• 個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」
• 個人情報保護委員会「個人情報保護法相談ダイヤル」
• 総務省「AI事業者ガイドライン」（第1.2版・令和8年3月31日）

ワクワクラボでは、AIツールの開発や立ち上げ期のホームページ制作を通じて、業務でのAIの使い方のご相談にも対応しています。
「どこから決めればいいのか分からない」という段階でも大丈夫です。

お問い合わせフォーム
LINEで相談する