AI・マーケトレンド
中小企業の生成AI利用ガイドライン｜そのまま使えるひな形
Writer /
この記事の著者
このページには、従業員50名以下の会社がそのまま社内回覧できる生成AI利用ガイドラインのひな形を、全13条の条文全文で掲載しています。会社名を入れて別表を埋めれば、その日のうちに配布できます。改変・社内利用・商用利用のすべてが可能です。Word版も登録不要でダウンロードできます。
おすすめの無料ドヤAIサービス！
ドヤカンニング
業務に必要な情報をAIで整理し、社内ナレッジの検索・活用を効率化します。
目次
【全文】中小企業向け 生成AI利用ガイドライン（第1条〜第13条）
1. このひな形の設計方針（JDLA版との違い）
日本で最も広く使われている生成AI利用ガイドラインのひな形は、一般社団法人日本ディープラーニング協会（JDLA）が公開している「生成AIの利用ガイドライン」です。第1版が2023年5月1日、第1.1版が2023年10月6日に公開され、【条項のみ】版と【簡易解説付】版がWord形式で無料配布されています。2024年2月には画像生成AIに特化した「画像編」も追加されました。JDLAの配布ページ上の表示によれば、【簡易解説付】第1.1版のダウンロード数は78,601件に達しています（2026年8月時点の表示）。
JDLA版は完成度が高く、そのまま使える組織も多数あります。ただし前提が異なります。JDLA版は「生成AIの活用を考える組織」を広く想定し、各組織が活用目的に照らして追加・修正を加えて使うことを前提に作られています。つまり、条文を読み解いて自社仕様に落とし込む作業が発生します。法務部門や情報システム部門を持つ企業ならこれは問題になりません。しかし従業員10〜50名の会社では、この工程そのものが着手を止める要因になります。
そこで本ひな形は、次の4点を設計方針としました。
方針1：A4で3〜5枚に収めます。 網羅性より配布可能性を優先します。読むのに30分かかる文書は回覧されません。
方針2：判断を条文に埋め込みます。 「適切に判断する」「必要に応じて」といった、読み手に判断を委ねる表現を極力排し、禁止事項と許可事項を列挙します。判断できる人がいないのが中小企業の実情です。
方針3：可変部分を別表に隔離します。 使用するAIサービス名や入力禁止情報の具体例は会社ごとに違います。これを条文本体ではなく末尾の別表にまとめ、別表だけを更新すれば運用が回るようにします。
方針4：各条に「なぜ要るのか」を付けます。 丸写しでは、社内から質問が出たときに答えられません。1〜2文の趣旨解説を全条に添えます。
経済産業省・総務省の「AI事業者ガイドライン」に付属する「活用の手引き」にも、AIガバナンスは「自社の事業規模および状況等に合わせて過不足なく対応いただくことが重要」との記載があります。大企業向けの体制をそのまま縮小コピーする必要はありません。
2. ガイドラインが必要な理由を一次情報で確認する
条文の妥当性を判断するために、根拠となる公的文書を先に押さえます。以下はすべて一次情報を確認した内容です。
2-1. 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」
2026年3月31日（令和8年3月31日）付で、総務省・経済産業省が「AI事業者ガイドライン（第1.2版）」を公表しています。構成は5部で、第1部がAIの定義と用語説明、第2部がAIにより目指すべき社会及び各主体が取り組む事項、第3部がAI開発者、第4部がAI提供者、第5部がAI利用者に関する事項です。全主体に共通する「共通の指針」として、人間中心、安全性、公平性、プライバシー保護、セキュリティ確保、透明性、アカウンタビリティ、教育・リテラシー、公正競争確保、イノベーションの10項目が掲げられています。
中小企業のほとんどは、このガイドラインでいう「AI利用者」（事業活動においてAIシステム又はAIサービスを利用する事業者）に該当します。AI利用者に求められる事項として、安全を考慮した適正利用、入力データ又はプロンプトに含まれるバイアスへの配慮、個人情報の不適切入力及びプライバシー侵害への対策、セキュリティ対策の実施、関連するステークホルダーへの情報提供と説明、提供された文書の活用及び規約の遵守が挙げられています。本ひな形の第4条・第5条・第7条・第8条・第10条は、ここに対応させています。
出典：AI事業者ガイドライン（経済産業省 AI事業者ガイドライン検討会） ／ AI事業者ガイドライン（第1.2版）本編PDF ／ 総務省「AI事業者ガイドライン」掲載ページ
2-2. 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」
個人情報保護委員会は2023年6月2日（令和5年6月2日）に「生成AIサービスの利用に関する注意喚起等について」を公表しています。この文書は、一般の利用者、個人情報取扱事業者、行政機関等の3者に分けて注意点を示しています。中小企業に直接効くのは個人情報取扱事業者向けの2点です。
第一に、個人情報を含むプロンプトを入力する場合、それが「特定された当該個人情報の利用目的を達成するために必要な範囲内である」ことを確認する必要があります。第二に、本人の同意なく個人データをプロンプトに含める場合、「当該生成AIサービスを提供する事業者が、当該個人データを機械学習に利用しない」ことを確認する必要があります。
この2点目が決定的です。無料版のAIサービスに顧客名簿を貼り付ける行為は、多くの場合この条件を満たしません。本ひな形の第5条（入力禁止情報）と第6条（利用を認めるサービス）は、この注意喚起を条文化したものです。
同日、個人情報保護委員会はOpenAI, L.L.C.及びOpenAI OpCo, LLCに対しても注意喚起を行っており、あらかじめ本人の同意を得ないで要配慮個人情報を取得しないこと、収集した情報に含まれ得る要配慮個人情報を「情報の収集後できる限り即時に」減少させる措置を講ずることなどを求めています。
出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」 ／ 注意喚起PDF ／ OpenAIに対する注意喚起PDF
2-3. 文化庁「AIと著作権に関する考え方について」
文化審議会著作権分科会法制度小委員会が2024年3月15日（令和6年3月15日）に取りまとめた文書です。開発・学習段階については著作権法第30条の4が関係し、「著作物に表現された思想又は感情を自ら享受し又は他人に享受させることを目的としない場合」に権利者の許諾なく利用できるとされます。ただし、ただし書により「著作権者の利益を不当に害する場合」は除外されます。
生成・利用段階については、生成物が既存の著作物と類似し、かつ既存著作物に依拠していると認められる場合、著作権侵害が成立し得るとされています。アイデアや作風の類似では侵害となりませんが、表現のレベルで既存著作物の創作的表現が直接感得できる場合は侵害に該当し得ます。「AIが作ったから著作権侵害にならない」は成立しません。本ひな形の第8条はここに対応します。
2-4. デジタル庁「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン」（DS-920）
デジタル庁のデジタル社会推進標準ガイドライン群のひとつとして、DS-920「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン」が公開されています。位置づけはNormative（順守する内容を定めたドキュメント）で、政府における生成AI活用のガバナンスと、各府省庁における調達・利活用時のルールを定めるものです。2026年6月12日時点の最終改定版が掲載されています。対象は行政機関であり民間企業に直接適用されるものではありませんが、自治体案件を受注する事業者は発注者側の要求水準として確認する価値があります。
2-5. AI法（人工知能関連技術の研究開発及び活用の推進に関する法律）
2025年（令和7年）6月4日に公布・一部施行、同年9月1日に全面施行されています。研究開発と活用の推進を目的とする法律です。本記事では条文単位での事業者の責務の内容および罰則規定の有無までは一次情報で確認できていません。この点は内閣府の公式ページおよびe-Gov法令検索で直接確認してください。
出典：内閣府「人工知能関連技術の研究開発及び活用の推進に関する法律（AI法）」
3. 【全文】中小企業向け 生成AI利用ガイドライン（ひな形）
ここから下が本体です。【 】で囲んだ部分だけを自社の内容に置き換えてください。 各条の直後にグレー枠で「この条文が要る理由」を付記していますが、これは解説であり条文の一部ではありません。社内配布時は削除して構いません。
生成AI利用ガイドライン
制定日：【 年 月 日】 制定者：【会社名】【代表取締役／管理部門長など】 版数：第1版
第1条（目的）
本ガイドラインは、【会社名】（以下「当社」という。）の役員および従業員（派遣社員、業務委託先の作業者、アルバイトを含む。以下「従業員等」という。）が、業務において生成AIを安全かつ効果的に利用するために遵守すべき事項を定める。本ガイドラインは、生成AIの利用を禁止することを目的とせず、利用を促進しつつ、当社および取引先の情報・権利・信用を保護することを目的とする。
なぜこの条文が要るのか： 冒頭で「禁止が目的ではない」と明記しないと、従業員は「使うな」という文書として読み、結果として申告せずに使います（シャドーAI化します）。利用実態が見えなくなることが最大のリスクであるため、目的条項で利用促進を宣言します。
第2条（定義）
本ガイドラインにおける用語の意味は、次のとおりとする。
生成AIとは、入力された文章、画像、音声その他のデータ（以下「入力データ」という。）に応じて、文章、画像、音声、動画、プログラムコードその他のデータを生成するAIサービスおよびAI機能をいう。単体のサービスであるか、他のソフトウェアに組み込まれた機能であるかを問わない。
プロンプトとは、生成AIに対して入力する指示文その他の入力データをいう。
生成物とは、生成AIが出力したデータをいう。
業務利用とは、当社の業務に関連して生成AIを利用することをいう。利用する端末、回線、アカウントの帰属を問わない。
なぜこの条文が要るのか： 「生成AI」の範囲を狭く理解されると、議事録作成ツールや翻訳機能、検索エンジンのAI要約など、実際に情報が外部送信される機能が対象から漏れます。また第4号で「私物端末・個人アカウントでも業務に関連すれば対象」と明示しないと、規程が空文化します。
第3条（適用範囲）
本ガイドラインは、当社の従業員等による業務利用のすべてに適用する。
当社が業務を委託する事業者に対しては、委託契約または個別の合意により、本ガイドラインと同等の取扱いを求めるものとする。
従業員等が私生活において生成AIを利用することは、本ガイドラインの対象外とする。ただし、当社の業務上知り得た情報を入力する場合は、業務利用とみなす。
なぜこの条文が要るのか： 中小企業では業務委託先やフリーランスが実務の中核を担うことが多く、社内規程だけでは穴が空きます。第2項で契約への反映を宣言しておくことで、次回契約更新時の対応につながります。
第4条（生成AIの業務利用）
従業員等は、本ガイドラインを遵守する限り、業務において生成AIを利用することができる。事前の個別申請は要しない。
前項にかかわらず、次に掲げる業務については、生成物をそのまま最終成果物として使用してはならない。必ず担当者による内容確認および修正を経るものとする。 - (1) 顧客、取引先、行政機関その他の社外に提出する文書の作成 - (2) 契約書、見積書、請求書その他の法的・金銭的な効力を持つ文書の作成 - (3) 採用の合否、人事評価、与信判断その他の個人の権利利益に重大な影響を及ぼす判断 - (4) 医療、健康、法律、税務、労務に関する助言の提供
前項第3号に掲げる判断について、生成AIの出力を判断の唯一の根拠としてはならない。
なぜこの条文が要るのか： 「原則自由・例外列挙」の構造にすることで、従業員が迷わず使えます。同時に、AI事業者ガイドラインが求める「生成物の用途における人間判断の介在」を、具体的な業務名で列挙して担保します。第2項第3号は、AI利用者に求められる公平性（入力データ又はプロンプトに含まれるバイアスへの配慮）への対応です。
第5条（入力してはならない情報）
従業員等は、次に掲げる情報を生成AIに入力してはならない。ただし、第6条第2項に定める「入力可サービス」を利用する場合は、第1号から第3号までの情報に限り、業務上必要な範囲で入力することができる。 - (1) 顧客、取引先、従業員その他の個人に関する情報であって、特定の個人を識別できるもの（氏名、住所、電話番号、メールアドレス、顔写真、マイナンバー等を含む。） - (2) 本人の人種、信条、社会的身分、病歴、犯罪の経歴、障害、健康診断の結果その他の要配慮個人情報 - (3) 取引先から秘密として開示を受けた情報、および秘密保持契約の対象となる情報 - (4) 当社の未公表の財務情報、経営計画、価格戦略、原価情報 - (5) 当社または取引先の技術情報のうち、図面、設計データ、ソースコード、製造条件その他の営業秘密に該当するもの - (6) システムのIDおよびパスワード、APIキー、その他の認証情報 - (7) 別表2に掲げる情報
前項第1号から第3号までの情報については、氏名を「A社担当者」に置き換える、固有名詞を削除する等の方法により特定の個人または法人を識別できない状態に加工したうえで入力することができる。
従業員等は、入力しようとする情報が前2項のいずれに該当するか判断できない場合、入力せずに第11条に定める相談窓口に照会するものとする。
なぜこの条文が要るのか： 個人情報保護委員会は2023年6月2日の注意喚起において、本人の同意なく個人データをプロンプトに含める場合、生成AIサービス提供事業者が「当該個人データを機械学習に利用しない」ことの確認を求めています。したがって「入力禁止」を一律に定めるのではなく、サービスの学習利用の有無と連動させる（第6条とセットで運用する）ことが実務上正しいです。第2項の匿名化ルートを用意しないと、現場は使えず結局こっそり使います。
第6条（利用を認める生成AIサービス）
従業員等が業務利用できる生成AIサービスは、別表1に掲げるものに限る。
別表1のうち「入力可」と記載されたサービスは、当社が次の各号のすべてを確認したサービスとする。 - (1) 当該サービスの提供事業者が、当社の入力データおよび生成物を、当該事業者のAIモデルの学習に利用しないことを規約その他の文書で明示していること - (2) 当社が法人契約または管理者権限を有する契約であること
別表1に記載のないサービスを業務利用しようとする場合、従業員等は第11条に定める相談窓口に申し出るものとする。管理責任者は、前項各号の確認を行ったうえで別表1を更新する。
生成AIサービスの提供事業者が規約を変更した場合に備え、管理責任者は【6か月】ごとに別表1の各サービスの規約を確認する。
なぜこの条文が要るのか： 同じ製品名でも、無料プランと法人プランでは入力データの学習利用の扱いが異なります。「ChatGPTは禁止」ではなく「どのプランのどの契約かで判断する」という構造にしないと、実態に合いません。第4項の定期確認がないと、規約変更で前提が崩れたことに誰も気づきません。
第7条（生成物の確認）
従業員等は、生成物をそのまま正しいものとして扱ってはならない。生成AIは事実と異なる内容を、事実であるかのように出力することがある。
生成物に含まれる事実、数値、固有名詞、法令名、条文番号、引用、参考文献、URLについては、必ず一次情報にあたって確認する。
生成物を業務に使用した従業員等は、その内容について責任を負う。生成AIが出力したことは、誤りの免責事由とならない。
なぜこの条文が要るのか： 第3項が最も重要です。「AIが間違えた」を通用させないことを明文化しておかないと、事故発生時に責任の所在が消えます。逆に、責任の所在が明確であれば現場は自然に確認するようになります。
第8条（第三者の権利の尊重）
従業員等は、特定の著作者、作家、イラストレーター、写真家、キャラクター、ブランドの名称を指定して、その作風または表現を模倣する生成物を作成してはならない。
生成物が既存の著作物と類似していると認められる場合、当該生成物を業務に使用してはならない。
従業員等は、第三者が著作権を有する文章、画像、動画、音声を、権利者の許諾または法令上の根拠なく生成AIに入力してはならない。
生成物を社外に公開する前に、画像検索その他の方法により、既存の著作物との類似がないか確認するよう努める。
なぜこの条文が要るのか： 文化庁「AIと著作権に関する考え方について」（令和6年3月15日）は、生成・利用段階において、生成物が既存著作物と類似し、かつ依拠性が認められる場合には著作権侵害が成立し得るとしています。特定の作家名を指示に含める行為は依拠性を強く推認させるため、第1項で明示的に禁止します。
第9条（生成AIを利用した旨の取扱い）
生成AIを用いて作成した文章、画像その他の成果物を社外に提供する場合において、取引先または顧客が生成AIの利用の有無について確認を求めたときは、事実に基づいて回答する。
取引先との契約または取引先の規程により生成AIの利用が制限されている場合、当該制限に従う。
次に掲げる場合、生成AIを利用した旨を成果物に表示する。 - (1) 生成AIが生成した画像、動画または音声を、実在の人物、場所または事象を撮影したものと誤認されるおそれのある態様で公開する場合 - (2) 別表3に定める場合
なぜこの条文が要るのか： AI事業者ガイドラインの共通の指針には透明性およびアカウンタビリティが含まれ、AI利用者には関連するステークホルダーへの情報提供と説明が求められています。全成果物への一律表示は中小企業には過剰なため、誤認のおそれがある場合に限定しました。第2項は、取引先側の規程違反による契約解除を防ぐための実務的な条項です。
第10条（アカウントおよび履歴の管理）
業務利用に用いる生成AIのアカウントは、当社が契約したものを使用する。従業員等の個人アカウントを業務利用に使用してはならない。
業務利用に用いるアカウントのIDおよびパスワードを、他人に共有または貸与してはならない。
生成AIサービスの認証には、多要素認証を設定する。
従業員等が退職または異動した場合、管理責任者は速やかに当該従業員等のアカウントを停止または削除する。
生成AIサービスに保存された会話履歴には業務情報が含まれるため、業務情報と同等の管理を行う。
なぜこの条文が要るのか： 中小企業で最も起きやすい事故は、退職者のアカウントが生きたまま残ることと、無料の個人アカウントに業務情報が蓄積していることです。第1項と第4項はこの2つに直接対応します。AI事業者ガイドラインのセキュリティ確保に対応する条項でもあります。
第11条（相談窓口およびインシデント対応）
生成AIの利用に関する相談窓口を【 部署名／担当者名／連絡先 】に設置する。
従業員等は、次のいずれかに該当する事態が発生し、または発生したおそれがあることを知った場合、直ちに前項の窓口に報告する。 - (1) 第5条に定める入力してはならない情報を入力したこと - (2) 生成物の誤りが社外に提供された後に判明したこと - (3) 生成物が第三者の権利を侵害しているとの指摘を受けたこと - (4) 生成AIのアカウントが第三者に使用されたおそれがあること
前項の報告を行った従業員等に対して、報告したことを理由とする不利益な取扱いを行わない。
管理責任者は、報告を受けた場合、被害の拡大防止措置を講じたうえで、【代表者】に報告する。個人データの漏えい等が発生した場合、個人情報の保護に関する法律に基づく報告および本人への通知の要否を判断する。
なぜこの条文が要るのか： 第3項がなければ報告は上がってきません。「入力してしまった」という報告は、本人にとって自己申告による懲戒リスクを伴うためです。免責を明記して初めて、インシデント対応の入口が機能します。AI事業者ガイドラインの「活用の手引き」でも、初期段階の取組としてインシデント対応体制の整備と相談窓口の設置が挙げられています。
第12条（教育）
当社は、従業員等に対し、生成AIの業務利用にあたり、本ガイドラインの内容および生成AIの特性に関する説明を行う。
新たに従業員等となった者に対しては、業務開始前に前項の説明を行う。
前2項の説明は、【年1回】および本ガイドラインの改定時に実施する。
なぜこの条文が要るのか： AI事業者ガイドラインの共通の指針には教育・リテラシーが含まれます。中小企業では専門研修は現実的でないため、「配布と説明」を最低限の実施内容として定義し、頻度を明記します。頻度を書かない教育条項は実施されません。
第13条（改定および施行）
本ガイドラインの管理責任者は【 部署名／役職名 】とする。
管理責任者は、生成AIサービスの仕様変更、関係法令およびガイドラインの改定、当社の利用実態の変化に応じ、本ガイドラインおよび別表を見直す。
別表1から別表3までの改定は、管理責任者の決定により行うことができる。
本ガイドラインは【 年 月 日】から施行する。
なぜこの条文が要るのか： 第3項が実務上の要です。別表の更新に経営会議の決裁が必要な建て付けにすると、サービス追加のたびに手続が止まり、現場が別表外のサービスを使い始めます。本体条文と別表で改定権限を分けることで運用が回ります。
別表1 業務利用を認める生成AIサービス
サービス名 | プラン・契約形態 | 入力可否 | 用途 |
|---|---|---|---|
【例：ChatGPT】 | 【例：Business（法人契約）】 | 入力可 | 文書作成、要約、翻訳 |
【例：Google Gemini】 | 【例：Google Workspace（有料）】 | 入力可 | メール下書き、資料作成 |
【 】 | 【例：無料プラン】 | 入力不可（第5条第1項各号の情報を入力しない） | 一般的な調査、アイデア出し |
※「入力可」は第6条第2項各号を確認したサービスのみ記載する。
別表2 入力してはならない情報（自社固有のもの）
【例：〇〇社向け金型の設計図面および加工条件】
【例：仕入先別の仕入単価】
【例： 】
別表3 生成AIを利用した旨を表示する場合
【例：自社SNSに投稿する画像でAI生成のもの】
【例： 】
（ひな形ここまで）
4. どの条文が自社に必要かを判定するフロー
全13条をすべて残す必要はありません。次の判定に沿って、削る条文と厚くする条文を決めてください。
必須（規模を問わず残す）： 第1条、第2条、第4条、第7条、第10条、第11条、第12条、第13条
顧客の個人情報を扱う会社は必須： 第5条、第6条、別表1、別表2 士業、医療、人材、不動産、EC、士業事務所などが該当します。個人情報保護委員会の注意喚起が直接効く領域です。
社外に公開する制作物がある会社は必須： 第8条、第9条、別表3 広告、Web制作、出版、SNS運用を行う会社が該当します。
業務委託先がいる会社は必須： 第3条第2項 実務の中核を外部に委ねている会社ほど、ここを省くとガイドラインが機能しません。
削ってよい場面： 従業員が5名以下で全員が同じ部屋で働いている会社は、第9条と第12条第2項を削って構いません。運用が実質的に口頭で完結するためです。ただし第11条の相談窓口は、担当者名を書くだけでも残してください。
5. 業種別の追記条文例
業種特有のリスクは、本体に1〜2条だけ追加して対応します。第14条以降として末尾に足してください。
5-1. 士業（税理士・社会保険労務士・弁護士・行政書士・司法書士など）
第14条（依頼者情報の取扱い） 1. 従業員等は、依頼者から受領した資料（申告書類、決算書、賃金台帳、戸籍、契約書、訴訟資料等）の記載内容を、その全部または一部を問わず生成AIに入力してはならない。 2. 前項にかかわらず、依頼者を特定できる情報および金額を削除し、事案の類型のみを抽象化した記述については、第6条別表1の「入力可」サービスに限り入力することができる。 3. 生成AIの出力を、依頼者に対する助言または申告・申請の内容の根拠として用いてはならない。当該助言等は、有資格者が法令および通達を確認したうえで行う。
なぜこの追記が要るのか： 士業は法令上の守秘義務を負い、依頼者情報の外部送信は契約違反にとどまらない問題になります。加えて、税額計算や法令解釈をAIの出力のまま提供すると、業務品質の問題が資格者の責任に直結します。第3項で「AIは下書きまで」と線を引きます。
5-2. 医療・クリニック・介護・薬局
第14条（患者・利用者情報の取扱い） 1. 従業員等は、患者または利用者の氏名、生年月日、診察券番号、被保険者番号、傷病名、検査結果、画像データ、処方内容その他の診療および介護に関する情報を、生成AIに入力してはならない。これらは個人情報の保護に関する法律に定める要配慮個人情報を含む。 2. 生成AIの出力を、診断、治療方針の決定、投薬の判断、ケアプランの決定の根拠としてはならない。 3. 前2項にかかわらず、患者および利用者を特定できる情報を含まない、院内文書の作成、案内文の作成、一般的な医学・介護情報の調査については、生成AIを利用することができる。
なぜこの追記が要るのか： 傷病名や検査結果は要配慮個人情報に該当し、取得・取扱いに厳格な要件がかかります。個人情報保護委員会もOpenAIに対する注意喚起で要配慮個人情報の取得を明示的に問題としています。一方で、全面禁止にすると院内文書作成などの安全な用途まで止まるため、第3項で許可領域を明示します。
5-3. 製造業
第14条（技術情報の取扱い） 1. 従業員等は、図面（CADデータを含む）、材料仕様、加工条件、金型設計、製造ラインの構成、品質管理データ、歩留まり情報、および取引先から受領した仕様書を、生成AIに入力してはならない。 2. 生成AIの出力を、製品の安全性、法令適合性（電気用品安全法、食品衛生法等）、規格適合性の判断の根拠としてはならない。 3. 生成AIを組み込んだ設備または検査装置を導入する場合、その判定結果を人が確認する工程を設ける。
なぜこの追記が要るのか： 図面や加工条件は不正競争防止法上の営業秘密に該当し得る情報であり、外部送信は秘密管理性の否定につながるおそれがあります。また第3項は、AI事業者ガイドラインが求める安全性と人間の判断の介在を、製造現場の工程として具体化したものです。
5-4. 小売・飲食
第14条（顧客情報および表示の取扱い） 1. 従業員等は、会員情報、購買履歴、予約情報、クレーム内容に含まれる個人を特定できる情報を、生成AIに入力してはならない。 2. 生成AIを用いて作成した商品説明、メニュー表示、広告表現については、公開前に、原材料、原産地、アレルギー表示、栄養成分、価格、効能に関する記載の正確性を担当者が確認する。 3. 前項の確認を経ない生成物を、店頭、Webサイト、SNS、デリバリーサービスに掲載してはならない。
なぜこの追記が要るのか： 生成AIは商品説明を「もっともらしく」補完するため、アレルギー表示や原産地が実物と食い違う出力が生じます。この誤りは食品表示や景品表示の問題に直結し、事後の回収コストが大きくなります。第2項は事実確認義務（第7条）を、業種特有の項目名で具体化したものです。
6. 主要サービスの「入力データが学習に使われるか」公式記載
第6条の別表1を埋めるには、各サービスの公式記載を確認する必要があります。以下は各社の公式ドキュメントで確認した内容です（2026年8月時点）。規約は変更されるため、必ずリンク先の原文を確認してください。
OpenAI
法人向けについて、OpenAIのサービス規約（Business Terms）には "OpenAI will not use Customer Content to develop or improve the Services, unless Customer explicitly agrees to such use." と記載されています。法人契約においては顧客の入力・出力はデフォルトでモデルの開発・改善に使われません。同社のヘルプ記事にも "By default, we do not train on any inputs or outputs from our products for business users" と記載されています。
一方、個人向けのChatGPT（無料版・Plusを含む）については、"ChatGPT, for instance, improves by further training on the conversations people have with it, unless you opt out" と記載されており、デフォルトでは会話がモデル学習に使われます。設定でオプトアウトが可能です。
出典：OpenAI Services Agreement (Business Terms) ／ How your data is used to improve model performance
Anthropic（Claude）
商用・法人向け製品について、Anthropicのプライバシーセンターには "By default, we will not use your inputs or outputs from our commercial products...to train our models." と記載されています。Claude for Work（Team／Enterprise）およびAPIは、デフォルトで学習に使われません。ただし、ユーザーが明示的にフィードバックを送信した場合は例外となります。
消費者向け（Claude Free／Pro／Max）については、ユーザーがモデル改善への利用を許可した場合、安全性レビューで会話がフラグされた場合などに限り学習に利用されると記載されています。プライバシー設定の「Model Improvement」で選択できます。
出典：Anthropic「Is my data used for model training?」（商用向け） ／ 同（消費者向け）
Gemini APIの利用規約では、無料枠（Unpaid Services）と有料（Paid Services）で扱いが明確に分かれています。無料枠については "Google uses the content you submit to the Services and any generated responses to provide, improve, and develop Google products and services" と記載され、入力と生成物がGoogleの製品・サービスの改善に使われます。有料については "Google doesn't use your prompts...or responses to improve our products" と記載されています。
Google Workspace のGeminiについては、"Workspace does not use customer data for training models without customer's prior permission or instruction." と記載され、さらに契約上の約束として "not to use customer data to train or fine-tune any of Google's generative artificial intelligence models supporting the Google Workspace Generative AI Services without our customer's prior permission or instruction." と明記されています。人間によるレビューについても "Your content is not human reviewed or otherwise used for Generative AI model training outside your domain without permission." とされています。
出典：Gemini API Additional Terms of Service ／ Generative AI in Google Workspace Privacy Hub
別表1を埋めるときの実務的な結論
個人情報を含む業務データを入力する必要があるなら、法人契約または有料契約が前提になります。無料プランは「入力不可」の行に置き、一般的な調査やアイデア出しに限定して使うのが、個人情報保護委員会の注意喚起に沿った構成です。
なお、Google Cloud Vertex AI のデータガバナンス文書については、公式ドキュメントの移転により本記事執筆時点で原文を確認できませんでした。Vertex AI を採用する場合は、Google Cloud のサービス固有条項を直接確認してください。
7. 明日から回覧するための5ステップ
STEP1：Word版を開き、社名・制定日・施行日を入れる（15分） 第1条の【会社名】、第13条第4項の施行日、冒頭の制定日を埋めます。
STEP2：別表1を埋める（30分） 現在社内で使われているAIサービスを書き出します。ここで「誰も申告していないが実際は使われているサービス」が出てくることが多くあります。それを咎めず別表1に載せることが、シャドーAIをなくす唯一の方法です。各サービスの契約プランを確認し、第6条第2項の基準で「入力可／入力不可」を判定します。
STEP3：別表2を埋める（30分） 自社固有の入力禁止情報を3〜5個書きます。抽象的な分類ではなく、「〇〇社向け見積の原価表」のように、現場が見て一目で分かる名前で書きます。
STEP4：第11条の相談窓口に担当者名を入れる（5分） 部署名ではなく個人名を書きます。部署名だと誰も相談しません。
STEP5：配布と説明（10分） 全社メールまたは朝礼で配布します。説明するのは第1条（禁止が目的ではないこと）と第5条（入力してはならない情報）の2つだけで十分です。残りは読めば分かります。
合計で1時間半です。この工数で止まっている会社が多いため、Word版はダウンロード登録なしで配布しています。
8. 引用ポリシー・二次利用について
【引用・二次利用について】
本ひな形および本記事の内容は、出典を明記のうえ自由にご利用いただけます。引用の際は「出典：ドヤマーケ（株式会社スリスタ）」の表記と、本ページURL（https://doyamarke.surisuta.jp/notes/sme-generative-ai-guideline-template ）へのリンクをお願いいたします。
改変可：条文の追加・削除・文言変更を自由に行えます。改変版に当社の承認は不要です。
社内利用可：自社の規程・研修資料・イントラネットに転載できます。この場合の出典表記は任意です。
商用利用可：コンサルティング、士業業務、セミナー資料、有償サービスの一部として利用できます。この場合は出典表記をお願いいたします。
再配布可：改変版を自社の顧客に配布できます。
ご利用にあたって事前の連絡・申請は一切不要です。
コピペ用の引用HTMLスニペット
Webサイトやブログで引用される場合、以下をそのまま貼り付けてご利用ください。
<p>出典：<a href="https://doyamarke.surisuta.jp/notes/sme-generative-ai-guideline-template">中小企業向け 生成AI利用ガイドラインのひな形｜従業員50名以下でそのまま使える全条文</a>（ドヤマーケ／株式会社スリスタ）</p>
引用ブロックとして使う場合は以下をご利用ください。
<blockquote cite="https://doyamarke.surisuta.jp/notes/sme-generative-ai-guideline-template">
<p>【ここに引用する条文を記載】</p>
<footer>出典：<cite><a href="https://doyamarke.surisuta.jp/notes/sme-generative-ai-guideline-template">中小企業向け 生成AI利用ガイドラインのひな形</a></cite>（ドヤマーケ／株式会社スリスタ）</footer>
</blockquote>
9. Word版（.docx）のダウンロード
上記の全13条＋別表をWord形式（.docx）にまとめたファイルを配布しています。
メールアドレスの登録、フォーム入力、会員登録は不要です。 リンクをクリックすると直接ダウンロードが始まります。ダウンロード後の営業連絡も行いません。
中小企業向け 生成AI利用ガイドライン ひな形（.docx） … 条文のみ版（社内配布用）
中小企業向け 生成AI利用ガイドライン ひな形 解説付き（.docx） … 各条の趣旨解説を含む版（作成担当者用）
業種別追記条文集（.docx） … 士業／医療・クリニック／製造業／小売・飲食の4業種分
※ ダウンロードリンクは本ページ内に設置しています。ファイルの中身は本ページに掲載した条文と完全に同一です。PDFやWordの中にだけ載せている情報はありません。
10. FAQ
Q1. このひな形をそのまま使ってよいのですか。
使えます。社名と別表を埋めるだけで運用できるよう設計しています。改変も自由です。ただし、後述のとおり自社に固有の秘密情報がある場合は、別表2への追記だけは行ってください。ここが空欄のままだと、現場が「何を入力してはいけないか」を判断できません。
Q2. 弁護士のチェックは必要ですか。
社内向けのガイドラインとして運用する限り、必須ではありません。本ひな形は法令の義務を新たに課すものではなく、社内の行動ルールを定めるものだからです。
一方、次の3つのいずれかに該当する場合は、弁護士または社労士への相談を推奨します。第一に、違反時の懲戒処分を明記する場合（就業規則との整合が必要になります）。第二に、業務委託契約書に本ガイドラインの遵守義務を書き込む場合。第三に、医療、金融、士業など業法上の守秘義務が課される業種で、本体条文を独自に改変する場合です。
Q3. 就業規則との関係はどうなりますか。
本ひな形は、就業規則の下位に置かれる「内規・ガイドライン」として運用することを想定しています。就業規則の変更手続（意見聴取・労働基準監督署への届出）は不要です。
ただし、本ガイドライン違反に対して懲戒処分を科すには、就業規則の懲戒事由がその行為を捕捉している必要があります。多くの就業規則には「業務上の機密を漏らしたとき」「会社の指示・命令に従わないとき」といった条項があるため、これで足りる場合が大半です。念のため自社の就業規則の懲戒規定を確認し、心配であれば社労士に相談してください。なお、本ひな形の第11条第3項（報告者の不利益取扱いの禁止）は、懲戒との関係を整理するうえで重要な条項なので削除しないことを推奨します。
Q4. JDLAのガイドラインとどちらを使うべきですか。
法務担当者または情報システム担当者がいる会社はJDLA版を推奨します。網羅性が高く、社内で読み解ける体制があれば、より精緻な運用ができます。JDLA版も無料でダウンロードできます（JDLA 資料室）。
担当者がおらず、経営者または総務担当者が兼務で作る会社は、本ひな形から始めてください。本ひな形はA4数枚に収めることを優先しているため、JDLA版がカバーしている論点の一部は意図的に省いています。運用が定着した後にJDLA版を参照して条文を追加する、という順序を推奨します。
Q5. 従業員が勝手に無料のAIを使っています。禁止すべきですか。
禁止しても止まりません。禁止した場合に起きるのは、私物スマートフォンでの利用に移行し、実態が完全に見えなくなることです。
本ひな形の設計は逆で、「使ってよい」と第1条と第4条第1項で明示したうえで、入力してはならない情報（第5条）とサービス（第6条）を限定します。導入手順のSTEP2で、現在使われているサービスを咎めずに別表1へ載せることを推奨しているのはこのためです。
Q6. 社内でAIを使っている人がまだ1〜2人です。今作る意味はありますか。
あります。理由は2つです。第一に、人数が少ないうちに作れば別表1の整理が数十分で終わります。全社に広がってから実態を洗い出すのは何倍も手間がかかります。第二に、取引先や元請から「生成AIの利用ルールはあるか」と問われる場面が増えており、この問いに文書で答えられるかどうかが取引条件になり始めています。
Q7. 一度作った後、どのくらいの頻度で見直せばよいですか。
本ひな形は第6条第4項で別表1の規約確認を6か月ごと、第12条第3項で説明を年1回と定めています。実務上、次の3つのタイミングで見直せば十分です。
第一に、新しいAIサービスを導入するとき（別表1のみ更新。第13条第3項により管理責任者の判断で可能です）。第二に、AI事業者ガイドラインや個人情報保護法が改定されたとき。第三に、社内でインシデントが1件でも発生したとき。3つ目が最も重要で、実際に起きた事例を別表2に追記していくことで、ガイドラインが自社の実情に合っていきます。
11. 出典一覧（本記事で確認した一次情報）
公的機関
総務省・経済産業省「AI事業者ガイドライン（第1.2版）」令和8年3月31日
掲載ページ：https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html
本編PDF：https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_1.pdf
活用の手引き（案）PDF：https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_9.pdf
総務省 掲載ページ：https://www.soumu.go.jp/main_sosiki/kenkyu/ai_network/02ryutsu20_04000019.html
個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」令和5年6月2日
報道発表ページ：https://www.ppc.go.jp/news/press/2023/230602kouhou/
注意喚起PDF：https://www.ppc.go.jp/files/pdf/230602_alert_generative_AI_service.pdf
OpenAIに対する注意喚起PDF：https://www.ppc.go.jp/files/pdf/230602_alert_AI_utilize.pdf
文化審議会著作権分科会法制度小委員会「AIと著作権に関する考え方について」令和6年3月15日
https://www.bunka.go.jp/seisaku/bunkashingikai/chosakuken/pdf/94037901_01.pdf
デジタル庁「デジタル社会推進標準ガイドライン」（DS-920 行政の進化と革新のための生成AIの調達・利活用に係るガイドライン）
https://www.digital.go.jp/resources/standard_guidelines
内閣府「人工知能関連技術の研究開発及び活用の推進に関する法律（AI法）」
https://www8.cao.go.jp/cstp/ai/ai_act/ai_act.html
業界団体
一般社団法人日本ディープラーニング協会（JDLA）「生成AIの利用ガイドライン」
資料室：https://www.jdla.org/document/
第1版公開のお知らせ（2023年5月1日）：https://www.jdla.org/news/20230501001/
第1.1版公開のお知らせ（2023年10月6日）：https://www.jdla.org/news/202310060002/
AIサービス提供事業者の公式文書
OpenAI Services Agreement（Business Terms）：https://openai.com/policies/business-terms/
OpenAI「How your data is used to improve model performance」：https://help.openai.com/en/articles/5722486-how-your-data-is-used-to-improve-model-performance
Anthropic「Is my data used for model training?」（商用製品）：https://privacy.claude.com/en/articles/7996868-is-my-data-used-for-model-training
Anthropic「Is my data used for model training?」（消費者向け製品）：https://privacy.claude.com/en/articles/10023580-is-my-data-used-for-model-training
Gemini API Additional Terms of Service：https://ai.google.dev/gemini-api/terms
Generative AI in Google Workspace Privacy Hub：https://knowledge.workspace.google.com/admin/generative-ai/generative-ai-in-google-workspace-privacy-hub
本記事で確認できなかった事項
JDLA「生成AIの利用ガイドライン」の条文見出しおよびライセンス条件の詳細：ダウンロードリンクが動的に生成されており、本記事執筆時点で本体ファイルの内容を直接確認できませんでした。本記事におけるJDLA版への言及は、JDLA公式サイト上の公開情報の範囲にとどめています。
AI法（人工知能関連技術の研究開発及び活用の推進に関する法律）における事業者の責務に関する条文の内容および罰則規定の有無：条文本体を確認できませんでした。
Google Cloud Vertex AI のデータガバナンス文書の原文：公式ドキュメントの移転により確認できませんでした。
※ 本記事は法令およびガイドラインの解説であり、個別の法律相談に代わるものではありません。具体的な事案については、弁護士その他の専門家にご相談ください。
運用まで手が回らない場合
ガイドラインを配っただけでは、生成AIの業務利用は進みません。別表1に載せるサービスを法人契約で揃え、誰がどう使うかを決めるところまでが実務です。
ドヤマーケAIでは、統一プラン月9,980円（税込）で14サービスを使い放題で提供しています。本ガイドラインの別表1をそのまま埋められる法人向けの契約形態です。必要な場合のみご覧ください。