「社員が勝手にChatGPTに顧客情報を貼り付けていないだろうか」「便利なのは分かるが、何を禁止すればよいのか分からない」――生成AIの業務利用をめぐって、こうした不安を抱える経営者は少なくありません。禁止一辺倒では現場が隠れて使い、放任すれば情報漏えいや著作権侵害の火種になります。この記事では、企業が生成AIの社内ガイドラインを作るときに押さえるべき、入力禁止情報の線引き、著作権リスク、出力の確認責任、ガイドラインの項目例と作り方を、条文と公的資料に沿って整理します。
「禁止」でも「放任」でもなく、ルールが必要な理由
生成AIは、文章の下書き、議事録の要約、翻訳など、会社の事務作業を大きく減らしてくれます。一方で、入力した内容がサービス提供者側に送られ、場合によってはAIの学習に使われる仕組み上、「何を入力するか」を誤ると会社の情報が外に出ます。出力をそのまま使えば、第三者の著作権を侵害したり、誤った内容を顧客に案内したりするおそれもあります。
2025年には、人工知能関連技術の研究開発及び活用の推進に関する法律（いわゆるAI推進法、令和7年法律第53号）が成立・施行されました。同法は、AIを事業活動で活用する「活用事業者」に対し、基本理念にのっとった活用と国や地方公共団体の施策への協力を求めています（同法7条）。罰則を伴う規制法ではありませんが、国が適正な活用のための指針を整備し（同法13条）、権利利益の侵害事案を分析して事業者に指導・助言を行う（同法16条）枠組みができた以上、「小さい会社だから関係ない」とは言いにくくなりました。
もっとも、生成AIをめぐる法的リスクのほとんどは、個人情報保護法、不正競争防止法、著作権法という既存の法律の問題として現れます。それらが生成AIという新しい入口でどう働くかを押さえれば、ルールの骨格は作れます。
生成AIのリスクは「入力」（情報漏えい）、「出力」（著作権侵害と誤情報）、「利用の仕方」（ツール選定と社員教育）の3つに分けると整理しやすくなります。
入力してはいけない情報 ― 個人情報と秘密情報の線引き
個人情報 ― 個人情報保護委員会の注意喚起が出発点
個人情報保護委員会は2023年6月2日、「生成AIサービスの利用に関する注意喚起等」を公表しました。そこでは、個人情報を含むプロンプトの入力は特定された利用目的の達成に必要な範囲内であることを確認すること、そして、本人の同意なく個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的（機械学習など）で取り扱われる場合は個人情報保護法違反となる可能性があるため、提供事業者が機械学習に利用しないことなどを十分に確認することが求められています。
条文に引き直すと、利用目的の特定（個人情報保護法17条）と目的外利用の禁止（同法18条）、本人の同意のない第三者提供の制限（同法27条）、安全管理措置（同法23条）と委託先の監督（同法25条）が関係します。顧客名簿や人事情報の入力は設定次第で「第三者提供」や「委託」に当たり得るため、学習に使われない契約・設定であることを会社として確認したうえでなければ、原則として入力禁止にするのが安全です。
秘密情報 ― 入力した時点で「秘密管理性」を失うおそれ
不正競争防止法で保護される「営業秘密」は、秘密として管理されている（秘密管理性）、事業活動に有用な（有用性）、公然と知られていない（非公知性）情報に限られます（不正競争防止法2条6項）。顧客リストや製造ノウハウを、学習に使われる設定の生成AIに社員が自由に入力している状態は、「秘密として管理している」と言えるのか、秘密管理性を争われる要因になり得ます。差止請求（同法3条）や損害賠償請求（同法4条）を行うには、平時から秘密情報を区分し、外部入力を制限していた事実が必要です。取引先から秘密保持契約（NDA）付きで預かった情報を入力すれば契約違反にもなり得るため、「預かっている秘密」も入力禁止に含めてください。
入力可否の3区分
| 区分 | 情報の例 | 扱い |
|---|---|---|
| 入力禁止 | 顧客・従業員の個人情報、預かった秘密情報、未公表の決算・M&A情報、ID・パスワード | いかなるツールでも入力しない。伏せ字でも再識別のおそれがあれば禁止 |
| 条件付き可 | 社内資料、原価・単価、製造ノウハウ、契約書案、未公開の企画 | 承認した「学習に使われない」法人向けツールに限り、責任者の承認のもとで可 |
| 入力可 | 公開済みの情報、一般的な調べもの、個人や取引先を特定しない文章の下書き | 承認ツールなら各自の判断で可。出力の確認は必須 |
著作権リスク ― 入力側と出力側で何が問題になるか
入力側 ― 他人の著作物を読み込ませること
著作権法30条の4は、著作物に表現された思想や感情の享受を目的としない場合には、情報解析などのために必要と認められる限度で著作物を利用できると定めています（著作権者の利益を不当に害する場合は除かれます）。他社の資料をAIに読み込ませて「要約して自社の資料として配布する」使い方は享受目的に近づくため、この規定だけで安心はできません。文化庁は2024年3月に「AIと著作権に関する考え方について」を、同年7月に「AIと著作権に関するチェックリスト＆ガイダンス」を公表しています。
出力側 ― 似すぎた成果物を使うこと
AIが出力した文章や画像であっても、既存の著作物と似ていて（類似性）、その著作物に接して作られたといえる（依拠性）場合には、通常の著作権侵害と同じように扱われます。侵害が成立すれば差止請求（著作権法112条）や損害賠償の対象となり、刑事罰は10年以下の拘禁刑若しくは1,000万円以下の罰金、又はその併科です（同法119条1項）。「AIが作ったので知らなかった」という弁解は、成果物を対外的に使った会社の責任を消してはくれません。
実務上は、①特定の作家名・作品名・既存キャラクターを指定したプロンプトの禁止、②対外公表物はAI出力に人が手を加え、類似の有無を確認すること、③使用ツール・プロンプト・修正経過の記録、の3点をルール化しておくと、トラブル時の説明がしやすくなります。
出力の確認責任 ― AIの誤りは会社の責任になる
個人情報保護委員会の注意喚起も指摘するとおり、生成AIの応答は確率的な相関関係に基づいて生成されるため、もっともらしい文章に不正確な内容が含まれることがあります。存在しない法令や判例を挙げるといった誤り（いわゆるハルシネーション）は、どのサービスでも起こり得ます。
大切なのは、AIの誤りがそのまま会社の対外的な責任になる点です。AIが作った見積書の数字を確認せずに送れば会社の約束になりますし、AIが要約した法令をもとに顧客へ誤った説明をすれば、責任を問われるのは会社です。提供者の利用規約は出力の正確性を保証しない内容が一般的で、責任転嫁は期待できません。
確認責任のルール化
- 対外文書（契約書、提案書、広告、顧客への説明文）は、担当者と上長の2段階で確認する。
- 法令・数値・固有名詞・引用は、一次情報（法令、公的資料、自社の原本）で裏付けを取る。
- AIを使って作成した成果物であることを、社内で分かるようにしておく。
- 人事評価、採用、与信判断など個人の権利利益に関わる判断を、AIの出力だけで決めない。
「AIが作った」は免責事由ではありません。出力を使う判断をした会社と担当者が責任を負います。確認の手順を決めてから使わせる、という順番を守ってください。
社内ガイドラインの項目例と作り方の手順
総務省・経済産業省の「AI事業者ガイドライン」は、2024年4月に第1.0版が公表されて以降、改訂を重ねています。業務でAIを利用する「AI利用者」も対象に含み、プライバシー保護やセキュリティ確保、透明性、アカウンタビリティといった観点からの取組を求めています。社内ガイドラインは、この考え方を自社の規模に合わせて落とし込み、A4で2〜3枚、現場が読んで実行できる分量にまとめれば足ります。
| 項目 | 内容例 |
|---|---|
| 目的・適用範囲 | 業務効率化のために生成AIを適正に利用することを目的とし、役員・従業員・派遣社員・業務委託先に適用する |
| 利用できるツール | 会社が承認したツールと法人アカウントに限る。個人アカウント・無料版での業務利用は禁止。追加は情報管理責任者の承認を経る |
| 入力禁止情報 | 個人情報、取引先の秘密情報、自社の営業秘密、認証情報。3区分表を別表として添付 |
| 著作権・第三者の権利 | 特定の作家・作品・キャラクターを指定したプロンプトの禁止。対外公表物は人による加工と類似確認を経る |
| 出力の確認 | 対外文書は2段階確認。法令・数値・固有名詞は一次情報で裏付け。重要判断をAI出力のみで行わない |
| 記録と表示 | 成果物に使用したツール・プロンプトを記録。取引先との関係でAI利用の表示が必要な場合の扱い |
| 設定・セキュリティ | 学習オプトアウト設定の必須化、連携アプリの制限、退職時のアカウント停止 |
| 事故時の報告 | 誤入力や漏えいの疑いを把握したら直ちに情報管理責任者へ報告。隠さない文化を明記 |
| 違反時の取扱い | 就業規則の服務規律・懲戒規定との関係を明記し、違反が懲戒の対象になり得ることを周知 |
| 見直し | 年1回以上、またはツールの規約変更・法改正があったときに見直す |
作り方の手順
- 現状把握：誰が、どのツールを、どの業務で使っているかを匿名アンケートなどで把握します。
- 情報の棚卸し：自社が扱う情報を3区分に分けます。個人情報と預かり情報は必ず「入力禁止」に入れます。
- ツールの選定：利用規約とプライバシーポリシーで、入力データが学習に使われるか、保存期間、海外移転の有無を確認します。確認できないツールは承認しません。
- 規程化と就業規則との接続：社内規程として定め、就業規則の服務規律や秘密保持義務、誓約書と整合させます。業務委託先にも契約で同じ水準を求めます。
- 教育と周知：「どう使えば安全か」の実例を示す研修を行い、受講記録を残します。
運用と見直し ― ツール選定・教育・事故が起きたとき
ガイドラインは作って終わりではありません。生成AIサービスは規約や機能が頻繁に変わるため、承認ツールの一覧と設定（学習オプトアウト、保存期間）は、少なくとも年1回、規約変更があればその都度確認します。入退社に合わせたアカウント管理も、情報漏えい防止の基本です。
誤って個人データを学習に使われる設定のツールに入力してしまった場合は、安全管理措置（個人情報保護法23条）の観点から、入力内容・時刻・ツールを記録し、提供者への削除依頼や設定変更を速やかに行います。漏えい等に該当し得る事案であれば、個人情報保護委員会への報告や本人通知の要否を検討する必要があります。初動を誤ると被害と責任が広がりますので、迷ったら早めに弁護士に相談してください。
当事務所は、企業法務専門の弁護士チームとして、情報管理規程・秘密保持誓約書・NDAの整備からツールの利用規約の確認までを一体で支援し、チャットやオンラインで全国に対応しています。
よくある質問（FAQ）
社員が個人の無料アカウントで業務にChatGPTを使っています。禁止すべきですか。
顧客の名前を伏せて入力すれば個人情報の問題は起きませんか。
生成AIで作った画像を自社の広告に使っても大丈夫ですか。
AIの出力に誤りがあって顧客に損害が出た場合、誰が責任を負いますか。
ガイドラインに違反した社員を懲戒できますか。
業務委託先やフリーランスにも同じルールを守らせる必要がありますか。
まとめ
- 生成AIのリスクは既存の法律（個人情報保護法・不正競争防止法・著作権法）の問題として現れます。「入力」「出力」「利用の仕方」の3つに分けて整理しましょう。
- 個人情報と預かった秘密情報は入力禁止が原則です。自社の秘密情報は、学習に使われない承認ツールに限り、承認のもとで入力します。
- AIの出力は既存の著作物に似ていれば侵害になり得ますし、誤りの責任は会社が負います。確認の手順を先に決めてから使わせてください。
- 社内ガイドラインは、承認ツール・入力禁止情報・出力の確認・事故時の報告・懲戒との接続・見直しの各項目を、現場が実行できる分量にまとめます。
生成AIの社内ルールは、情報管理規程・誓約書・NDA・就業規則と一体で整えてこそ機能します。規程の文言から社員研修まで継続的に相談できる体制をお探しであれば、当事務所の顧問弁護士サービスをご検討ください。まずは現状のルールや使っているツールについて、お問い合わせ（無料相談）からお気軽にご相談ください。
※ 本記事は一般的な情報提供を目的とするものであり、個別の事案に対する法的助言ではありません。法令・制度の内容は公開日時点のものです。具体的なご対応にあたっては、最新の法令をご確認のうえ、弁護士にご相談ください。