生成AIの社内規程、ひな形をそのまま使うと危ない5つの論点【弁護士解説】

監修：和氣 良浩（わけ よしひろ）

弁護士法人ブライト｜代表弁護士｜大阪弁護士会

大阪で20年以上、中小企業の企業法務・顧問弁護士サービスを提供。顧問先130社以上に透明性の高いリーガルサポートを実践している。

「生成AIの社内ルールを作らないといけない」。そう考えて検索すると、無料でダウンロードできる生成AI利用規程のひな形がいくつも見つかります。条文の形が整っていて、そのまま社内で回覧できそうに見える。だからこそ、多くの会社が「これを自社名に差し替えれば終わり」と考えます。

しかし、ひな形をそのまま使った生成AI規程は、いざ社内で問題が起きたときに機能しないことがあります。理由は、ひな形の条文が間違っているからではありません。ひな形は「どこかの会社の前提」で書かれており、自社の既存の規程・実際の使い方・懲戒の仕組みとつながっていないからです。つながっていない規程は、社員から見れば「読んだことのある紙」にすぎず、会社から見れば「あると思っていたのに使えなかった根拠」になります。

この記事では、弁護士法人ブライトが大阪を中心とした顧問先の社内規程整備に関わってきた立場から、生成AIの社内規程でひな形をそのまま使うと危ない5つの論点を整理します。答えを一律に示すのではなく、「この論点、自社の場合はどうなっているか」と社内で確認できる問いの形で提示します。AI開発から社内でのAI利用までを含めた全体像はAI開発・AI活用の法律問題 総合ガイドで俯瞰できます。

なぜ「ひな形をそのまま使う」と危ないのか｜生成AI規程が機能しなくなる構造

最初に、個別の論点に入る前の前提を共有します。ひな形が危ないのは、内容が粗いからではなく、規程という道具の性質によるものです。

ひな形は「どこかの会社の事情」を前提に書かれている

公開されている生成AI利用規程のひな形は、多くの場合、情報システム部門があり、利用できるAIサービスを会社が指定でき、社員が業務でPCを使う会社を想定して作られています。ところが実際の中小企業では、営業担当者が個人のスマートフォンから生成AIを使っていたり、現場の担当者が自分で見つけた無料サービスを使っていたりします。この差を埋めないまま条文だけ入れると、「規程では禁止されているが、現場ではそれをやらないと仕事が終わらない」という状態になります。守られない規程は、あってもリスクを下げません。

規程は単体では動かない｜就業規則・秘密保持規程との接続が前提

社内規程は、就業規則・秘密保持に関する規程・情報セキュリティ規程・入社時の誓約書といった既存の文書と組み合わさって初めて効力を持ちます。生成AI規程だけを新しく作ると、用語の定義が既存規程とずれる、違反したときの手続きがどこにも書かれていないといった穴が生まれます。ひな形の危険はここに集中しています。

顧問先から届く依頼の実際｜「作りたい」より「これで足りているか」

弁護士法人ブライトにも、顧問先企業から「AI利用に関する管理規程を整えたい」というご相談が実際に寄せられています。相談の入り方には共通した特徴があります。ゼロから条文を書き起こしたいという依頼はむしろ少なく、多くは「たたき台はある。他の社内規程の見直しと合わせて、これで足りているかを見てほしい」という形で来ます。そして実際に確認すると、条文の書きぶりよりも、既存の秘密保持の枠組みや就業規則との接続に手当てが必要になるケースが目立ちます。以下の5つの論点は、そうした実務で繰り返し確認することになる箇所を、企業側が自社で点検できる形に整理したものです。

論点①入力禁止情報の定義が、自社の秘密管理規程とずれる

1つ目は、最も多く見つかるずれです。生成AI規程のひな形には、たいてい「機密情報を入力してはならない」という条文が置かれています。この一文が、そのままでは機能しません。

「機密情報を入力しない」だけでは現場で判断できない

現場の社員が生成AIに文章を貼り付けようとする瞬間に必要なのは、「これは機密情報にあたるのか」という判断です。ひな形の「機密情報」という言葉だけでは、取引先から受け取ったメール本文、社内の見積書、まだ公表していない新商品の名称、社員の勤怠に関するメモが、それぞれ入力してよいのかどうか分かりません。判断できない基準は、実際には「各自の感覚で判断する」という運用になります。

ここで確認すべき問いは次のとおりです。自社の秘密保持に関する規程や情報管理規程では、守るべき情報がどう分類されているか。生成AI規程の「機密情報」は、その分類と同じ言葉・同じ範囲になっているか。別の言葉で別の範囲を定義してしまうと、2つの規程のどちらに従うのかが決まりません。

不正競争防止法が求める「秘密として管理されている」という要件

ここは法律上の効果に直結します。会社の情報が不正競争防止法上の「営業秘密」として保護されるためには、条文が定める要件を満たす必要があります。

つまり、生成AI規程の入力禁止情報の定義は、単に社内マナーを決める条文ではありません。自社の情報を法的に守れる状態に保つための管理措置の一部として設計する必要があります。ひな形の抽象的な一文を、自社の情報分類に合わせて具体化する作業が避けられないのはこのためです。

個人情報を含むプロンプトは「利用目的の範囲内」か

個人情報が絡む場面はさらに注意が必要です。個人情報保護委員会は、生成AIサービスの利用に関する注意喚起を公表しており、事業者に対する注意点を明示しています。顧客情報をプロンプトに入れてよいかの判断手順はプロンプトに顧客情報を入れてよいか｜生成AIと個人情報保護法で詳しく扱っています。

この注意喚起が示しているのは、入力してよいかどうかが「情報の中身」だけで決まらないという点です。自社が公表している利用目的の範囲内か、そして使うAIサービス側が学習に使わない設定になっているかという2つの条件が絡みます。後者は論点②で扱います。

論点②利用するAIサービスの規約確認が、規程に入っていない

2つ目は、規程の中身ではなく「規程が前提にしている外側の条件」の話です。ここが抜けている規程は、いくら条文を厳しく書いても実際のリスクを下げません。

同じ情報でも、使うサービスとプランで結論が変わる

生成AIサービスは、入力内容を学習に使うかどうか、どのサーバーに保存されるか、管理者が利用状況を確認できるかが、サービスごと・プランごとに異なります。個人向けの無料プランと法人向けプランで扱いが違うこともあります。つまり、「この情報を入力してよいか」は情報の性質だけでは決まらず、どのサービスのどのプランで使うかによって答えが変わります。

ところがひな形の多くは、入力禁止情報のリストは丁寧に書かれている一方で、「社内でどのサービスを使ってよいのか」「その条件を誰がいつ確認するのか」が書かれていません。結果として、規程を守っているつもりの社員が、学習に利用される設定のサービスに社内文書を貼り付けている、という状態が起こり得ます。

規程に落とし込むべき「確認項目」の整理

自社の規程を点検するときは、次の項目が規程または運用手順のどこかに定められているかを確認してください。

この表の右列が、ひな形では埋まっていない部分です。ひな形の条文はそのままでも、右列を自社で決めなければ規程は動きません。

規約は変わる｜「確認した」を記録として残す設計

もう一つ実務的な注意点があります。AIサービスの規約や既定の設定は変更されることがあります。導入時に確認して問題がなかったとしても、その状態が続く保証はありません。そこで必要になるのが、「いつ・誰が・何を確認して許可したか」を残す仕組みです。記録がないと、後から問題が生じたときに、会社として確認義務を果たしていたことを説明できません。前掲の個人情報保護委員会の注意喚起が「十分に確認すること」を求めていることとも整合します。

なお、契約書を生成AIに読み込ませてチェックさせる運用については、取引先の情報を扱う点で別の注意が必要です。詳しくはAI契約書レビューの落とし穴｜自動チェックで見抜けない交渉ポイントで整理していますので、契約書チェックに生成AIを使っている場合は合わせて確認してください。

論点③生成物の権利侵害チェックフローが、絵に描いた餅になる

3つ目は、AIが作ったものを社外に出す場面の論点です。ひな形には「生成物が第三者の権利を侵害しないか確認する」という条文が置かれることが多いのですが、この条文は放っておくと必ず形骸化します。

AI生成物の利用が著作権侵害になるかは、従来と同じ枠組みで判断される

生成AIが出力した文章や画像を使う行為が著作権侵害になるかどうかは、既存の著作物との類似性と依拠性という観点から判断される、という整理が国の資料でも示されています。「AIが作ったものだから著作権の問題は生じない」わけではありません。入力側と出力側で判断の枠組みが違う点は生成AIの業務利用と著作権侵害リスクで整理しています。ここを誤解したまま「確認する」という条文だけを置くと、現場は何を確認すればよいのか分からないまま運用が始まります。

「知らなかった」でも差止めや不当利得返還はあり得る

実務上とくに重要なのが、利用者が元の著作物を知らなかった場合の扱いです。文化審議会著作権分科会法制度小委員会が取りまとめた資料では、次のように整理されています。

この整理が意味するのは、「うちは知らずに使っただけだから大丈夫」では終わらない可能性があるということです。公開停止を求められる、あるいは使用料相当額の返還を求められる場面が想定されます。自社の広告物・提案資料・Webサイトに生成物を使っているなら、規程上の「確認する」という一文が現実に回るかどうかは、事業に直結する問題になります。

フローが回らない典型パターンと、回すための決めごと

権利侵害チェックが形骸化するパターンはほぼ決まっています。

• 誰がやるか決まっていない：「使用者が確認する」と書かれているだけで、実際には作った本人が自分で判断して終わる。
• どの時点でやるか決まっていない：社外提出の直前に気づいても、納期の都合で確認が省略される。
• どうやるか決まっていない：画像検索するのか、原稿を第三者が読むのか、方法が示されていない。
• 対象範囲が広すぎる：社内メモの下書きまで対象にしたため、全部が対象＝実際には何も確認されない状態になる。

回すために決めるべきことは3つに絞れます。①どの用途の生成物を対象にするか（社外公開物・顧客提出物に限定するのが現実的）、②誰が確認するか（作成者以外の目を1つ入れる）、③確認した記録をどこに残すか。この3点を自社の体制に合わせて埋めれば、ひな形の抽象的な条文は運用可能なものになります。

論点④違反したときの懲戒の根拠が、就業規則につながっていない

4つ目は、社内規程を作る目的そのものに関わる論点です。「規程に違反したら処分する」という前提で規程を作る会社は多いのですが、規程を作っただけでは処分の根拠になりません。

規程違反がそのまま懲戒の根拠になるとは限らない

懲戒処分については、法律上の枠組みが定められています。

ここから読み取れるのは2点です。第一に、制裁の種類と程度は就業規則側に定めておく必要があるという構造です。生成AI規程に「違反した場合は懲戒処分とする」と書いても、就業規則の懲戒事由と接続していなければ、どの処分を選べるのかが決まりません。第二に、周知されていない規程は労働条件として扱いづらいという点です。サーバーの奥に置いてあるだけの規程は、この点で弱くなります。

実務で効いているのは「書面での同意まで取る」設計

弁護士法人ブライトが顧問先の規程整備に関わるとき、繰り返し取る判断のパターンがあります。それは、規程を整えるだけで終わらせず、従業員本人から書面で同意を得るところまでを一体で設計するという進め方です。就業規則と秘密保持の誓約だけがあり、新しく必要になったルールについては個別の誓約書を追加で作る、というやり方です。理由は単純で、書面で同意を得ておけば、「知らなかった」「聞いていない」という反論の余地が小さくなるためです。

生成AI規程はまさにこの類型です。ひな形をイントラネットに掲示しただけの状態と、内容を説明して署名を得た状態とでは、後から問題が起きたときに会社が立てる主張の強さが変わります。

規程・就業規則・誓約書の役割分担

ひな形が提供してくれるのは、この表の2行目だけです。残りの3行を自社の既存文書に合わせて手当てする作業が、実質的な整備作業です。

なお、既存のひな形を自社用に直す発想そのものは、契約書でも同じ論点になります。ひな形をどこまで自社仕様に修正すべきかの考え方は法人間NDA（秘密保持契約）ひな形の選び方と修正必須5項目でも扱っています。

論点⑤「作って終わり」になる｜浸透と改定の運用設計がない

5つ目は、最も見落とされ、しかし最も差が出る論点です。規程は作った時点が完成ではなく、運用が始まる時点です。

規程があってもシャドーAI（無断利用）は起きる

会社が許可していないAIサービスを社員が業務で使ってしまう、いわゆるシャドーAIは、規程を作れば止まるものではありません。むしろ、禁止だけを厚くした規程は、「使っていることを言えない」状況を生み、会社が実態を把握できなくなる方向に働くことがあります。実態が見えないと、情報がどこに出ているのかを会社として説明できません。

現実的な設計は、禁止と並行して「これは使ってよい」という受け皿を用意することです。許可されたサービスと許可された用途が明確にあれば、社員はわざわざ規程の外に出る必要がありません。ひな形は禁止条項が中心になりがちなので、この受け皿の部分は自社で足す必要があります。

改定のトリガーを決めておく

生成AIをめぐる環境は動きます。使うサービスの機能や設定が変わることもあり、国の考え方の整理も更新されることが想定されています。前掲の文化審議会の資料自身、今後の事例の蓄積や技術の発展等を踏まえて見直し等の検討を行う予定であると述べています。したがって、規程にはいつ見直すかを決めておくことが重要です。年1回の定期見直しに加え、「新しいAIサービスを導入するとき」「既存サービスの規約や設定が変更されたとき」「社内で問題が起きたとき」という3つのトリガーを決めておけば、規程が古びたまま放置される事態を避けられます。

非IT企業を含む130社以上の導入・運用支援からみた現実的な進め方

弁護士法人ブライトは、顧問先130社以上を実名公開しており、その中にはITを主業としない業種の企業も多く含まれます。製造・建設・宿泊・医療関連・小売など、業務の中心が現場にある会社です。そうした企業で生成AI利用のルールづくりに関わってきた経験からいえるのは、最初から完成度の高い規程を目指すより、範囲を絞って動かし始めたほうが定着するということです。

具体的には、次の順序が現実的です。

ひな形はこの5段階のうち、主に2番目と3番目の材料を提供してくれます。1・4・5は自社で決めるしかなく、ここを決めないままひな形を配布すると「危ない規程」になります。大阪の中小企業のご相談でも、この1・4・5の設計をどう固めるかが実際の作業の中心になっています。

弁護士に相談したほうがよいケース｜ひな形の手直しで済まない場面

ここまでの5つの論点を自社で点検した結果、次のような状況が見つかった場合は、ひな形の修正だけでは足りない可能性があります。

• 取引先との秘密保持契約で、第三者への開示や外部サービスの利用に制約がある：AI利用が契約違反にあたらないかの確認が必要になります。
• 顧客の個人情報を含むデータを業務でAIに入力している、または入力を検討している：公表している利用目的の範囲や、サービス側の取扱いの確認が必要になります。
• すでに社員が無許可でAIを使い、社外に出た可能性がある：規程整備の前に、事実確認と影響範囲の把握が先になります。
• 生成物を広告・Webサイト・提案資料など社外向けに使っている：権利侵害が指摘された場合の対応方針を含めた設計が必要になります。
• 就業規則に懲戒の定めが十分に整っていない、または長く改定していない：生成AI規程だけ作っても処分の根拠として使いづらい状態です。
• 従業員から書面での同意を取る運用がない：新しいルールを追加するときの標準手順から整える必要があります。

なお、どこから手を付けるべきか判断がつかない段階であれば、まず自社の状況を洗い出すところから始めるのが早道です。弁護士法人ブライトでは、法務ドックAI診断（AI利用リスク編）を無料・匿名・所要5分で提供しています。会社名を入力せずに、自社のAI利用にどのような法的リスクの芽があるかの当たりをつけられるため、規程づくりの入り口としてご利用いただけます。

弁護士法人ブライトは、法務部がない会社の、外部法務部として動きます。規程のひな形を渡して終わりにするのではなく、自社の既存規程・就業規則・実際の使い方に合わせて機能する形にするところまでを一緒に設計します。企業法務を担当するチームの弁護士歴平均14年以上、顧問先130社以上の運用経験をもとに、大阪の中小企業の実務に即した形でご提案します。

よくある質問

関連記事

• AI契約書レビューの落とし穴｜自動チェックで見抜けない交渉ポイント
• 法人間NDA（秘密保持契約）ひな形の選び方と修正必須5項目
• 法務ドックAI診断（AI利用リスク編）｜無料・匿名・所要5分
• 企業法務トップ

本記事は一般的な法律情報の提供を目的としており、特定の事案に対する法律アドバイスではありません。個別の対応については弁護士にご相談ください。