この記事で分かること
- ｢機密情報を入れない｣だけでは情報漏洩を防げない理由
- 中小企業でAIのルール整備が追いついていない実態
- 実際に起きたAI経由の情報漏洩の事例
- AI社内ルールの作り方6ステップ
- ルールで縛りすぎると逆効果になる理由
読了時間：約10分
監修：
みちしるべコンサルティング
代表
生井 聖人（なまい まさと）
マーケティング歴10年。中小企業のAI×DX支援を専門に、感覚経営から数字経営への移行を伴走支援している。
｢社員がAIに何を入力しているか、正直なところ分からない｣。
そんな不安を抱えたまま、AIの利用だけが社内で広がっていないでしょうか。
AIの社内ルールがないまま使い続けると、機密情報の漏洩に気づくことすらできません。
とはいえ、何をどう決めればいいのか、作り方の手がかりがないのも事実です。
この記事では、中小企業向けにAI社内ルールの作り方を6つのステップで整理しました。
難しいセキュリティ用語は使わず、社長がそのまま社内に展開できる形でお伝えします。
AI社内ルールは「機密情報を入れない」だけでは足りないのか？
｢AIに機密情報を入れないように｣という一言の注意だけでは、情報漏洩は防げません。
理由は、大きく2つあります。
理由1：何が「機密情報」かは人によって違う
顧客名簿なら、誰でも機密だと分かります。
では、見積書の下書きや、会議の録音データ、取引先とのメールの文面はどうでしょうか。
人によって判断が割れるはずです。
線引きを会社が決めていなければ、機密かどうかの判断は社員任せになります。
理由2：注意だけではツールの選び方が変わらない
同じAIでも、入力した内容がAIの学習に使われる設定と、使われない設定があります。
たとえばChatGPTなら、「設定」内の「データコントロール」にある「すべての人のためにモデルを改善する」をオフにすると、入力内容が学習に使われなくなります。
(メニューの名称は変更される場合があります)
こうした設定やツールの指定を会社が決めていなければ、いくら注意しても入り口は開いたままです。
つまりAIの社内ルール作りとは、「入れるな」と言うことではありません。
何をどこまで、どのAIに入れてよいかを、会社として決めることです。
中小企業でAI社内ルールの整備が追いついていない背景とは？
多くの会社で、AIの利用スピードにルール作りが追いついていません。
スマートキャンプ株式会社「生成AIの利用実態調査」(2025年12月実施)によると、業務で生成AIを使う人のうち31.9%が「特にルールはなく、個人の判断に任されている」と回答しました。
さらに14.4%は「会社は未導入だが、個人で無料版などを利用している」状態でした。
(出典：スマートキャンプ株式会社「生成AIの利用実態調査」（2026年1月発表）)
会社が許可していないAIツールを、社員が自分の判断で業務に使っている状態を「シャドーAI」と呼びます。
シャドーAIの最大の問題は、会社から見えないことです。
何が入力されたか記録も残らず、情報漏洩が起きても気づけません。
公的機関も経営リスクとして警告し始めている
このリスクは、公的機関も明確に警告する段階に来ています。
IPA(情報処理推進機構)の「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が初めて候補になり、いきなり3位に選ばれました。
(出典：IPA「情報セキュリティ10大脅威 2026」（2026年1月発表）)
これは、セキュリティの専門家たちが「今年、企業が警戒すべきことの3番目」としてAIを挙げた、ということです。
AIの社内ルールは、もはや一部のIT企業だけの話ではなく、すべての会社の経営課題になったと言えます。
実際に起きたAI経由の情報漏洩の事例とは？
AI経由の情報漏洩は、ごく普通の業務の中から起きています。
有名なのは、2023年に韓国のサムスン電子で起きた事例です。
同社が社内でのChatGPT利用を許可したところ、約20日間で3件の情報流出が確認されたと報じられました。
とくに分かりやすいのが、社内会議の録音を文字起こしし、議事録を作るためにChatGPTへ入力してしまったケースです。
取引先との交渉や未発表の計画が議題であれば、会議の中身はそのまま社外秘の情報になります。
ほかの2件も、社内システムのプログラムの中身を、不具合の解消や改善のために入力したものでした。
(出典：Forbes JAPAN「サムスン、ChatGPTの社内使用禁止 機密コードの流出受け」（2023年5月）／PC Watch（2023年4月報道）)
AIによる情報漏洩は、悪意がなくても起こりうるのが特徴です。
議事録を早く仕上げたい、不具合を直したい、という日常業務の延長で、本人も気づかないうちに社外秘が外に出てしまう構造があります。
だからこそ、個人の注意力ではなく、会社のAI社内ルールで守る必要があります。
AI社内ルールは、どう作ればいいのか？
AI社内ルールの作り方は、次の6つのステップで進めると迷いません。
順番に見ていきます。
ステップ1：社内の情報を3段階に格付けする
最初にやることは、AIツール選びではなく、自社の情報の仕分けです。
社内の情報を、ざっくり3段階に分けます。
- 入れてよい情報：
公開済みの情報。ホームページの文章、公開している商品説明など - 条件付きで入れてよい情報：
社外秘だが、学習に使われない設定のAIならよい情報。社内資料の下書き、議事録など - 入れてはいけない情報：
顧客の個人情報、取引先との契約内容、パスワードなど
この格付けが、以降のすべてのルールの土台になります。
厳密な定義よりも、社員が3秒で判断できるシンプルさを優先することをおすすめします。
ステップ2：会社として使うAIツールを決める
次に、業務で使ってよいAIを会社として指定します。
選ぶ基準は1つ、入力したデータがAIの学習に使われない設定にできることです。
多くのAIサービスには、法人向けプランや、学習利用をオフにできる設定があります。
会社が公式のツールを用意し、社員はそれを使う、という形に一本化します。
ステップ3：禁止事項を決める
ステップ1と2が決まっていれば、禁止事項は短く書けます。
軸になるのは、次の2行です。
- 入れてはいけない情報を、AIに入力しない
- 業務でのAI利用は、会社が指定したツールと会社のアカウントで行う
個人アカウントでの業務利用を原則禁止にするのは、入力内容を会社が把握も管理もできないためです。
禁止する代わりに、会社として安全な受け皿を用意しておく。
｢禁止｣と「受け皿」は、必ずセットで考えます。
ステップ4：シャドーAI対策を決める
禁止事項を決めても、シャドーAIは規則の文面だけでは防げません。
私（生井）の経験上、シャドーAIは締め付けよりも「相談窓口」で減ると感じています。
｢このツールを使いたい｣と社員が言い出せる窓口を作り、申請すれば数日で判断が返ってくる状態にします。
言い出せない環境こそが、隠れた利用を生む土壌になるからです。
ステップ5：AIエージェントに任せる範囲を決める
これからのルール作りでは、AIエージェント（人の代わりに作業を実行するAI）の扱いも決めておく必要があります。
文章を作るだけのAIと違い、AIエージェントはファイルの作成や送信といった「操作」まで行います。
便利な反面、間違った操作もそのまま実行されてしまいます。
最初は「実行前に必ず人が確認する」を原則にし、任せる範囲を少しずつ広げるのが現実的です。
【関連記事】AIエージェント時代のDXとは？これまでのDXとの違いを中小企業向けにやさしく解説
ステップ6：教育と見直しのサイクルを回す
ルールは作って終わりではなく、使いながら育てるものです。
導入時に30分の説明会を1回開き、「なぜこのルールなのか」を事例とセットで伝えます。
サムスン電子の事例のように、具体的な話があると社員の腹に落ちやすくなります。
その後は半年に1回、ルールと利用状況を見直します。
AIの世界は変化が速く、半年前のルールが現実に合わなくなることは珍しくありません。
ここまでの6ステップが、AI社内ルール作りの全体像です。
ただ、情報の格付けやツール選定の答えは、業種によって変わってきます。
AI社内ルールは縛りすぎると逆効果になるのか？
ルール作りで一番避けたいのは、「怖いから全面禁止」にしてしまうことです。
全面禁止にすると、AIの利用がなくなるのではなく、見えなくなります。
社員は個人のスマートフォンから使うようになり、会社の目が届かないシャドーAIがかえって増えるためです。
実際、ガートナージャパンの調査(2026年6月発表)では、シャドーAIを「把握し、有効な対策を取れている」と答えた国内企業は24%にとどまりました。
(出典：ガートナージャパン「国内企業のシャドーAI対応」プレスリリース（2026年6月18日発表）／日経クロステック（2026年6月）)
AIの社内ルールの目的は、使わせないことではなく、安心して使える道を作ることです。
そしてルールが整うと、その先に業務の仕組み化が見えてきます。
議事録の自動化や報告書の自動生成など、AIに任せられる業務は、ルールという土台があってはじめて安心して広げられます。
【関連記事】議事録をAIで自動化するには？文字起こし→要約→振り返りまで仕組み化する手順
弊社が支援で大切にしているAI×DX（AIによる業務の仕組み化）も、この「安全に使える土台作り」から始めています。
【関連記事】中小企業のAI×DXの進め方｜何から始めるかを6ステップで解説
状況別に見る、AI社内ルール作りの最初の一歩とは？
自社の今の状況によって、AI社内ルール作りの入り口は変わります。
- まだ何もルールがない場合：
ステップ1の「情報の3段階格付け」だけでも着手する - 社員が個別にAIを使い始めている場合：
禁止の前に、公式ツールという受け皿の用意から始める - ルールはあるが形骸化している場合：
半年に1回の見直しと説明会をセットで再開する
どの状況でも共通するのは、完璧なルールを最初から目指さないことです。
A4用紙1枚の簡単なものから始めて、運用しながら育てていく方が定着しやすいと感じています。
ここまで読んだあなたへ
AIの社内ルールは、会社を縛るためではなく、安心してAIを活用するための土台だと考えています。
- まだ何もルールがない方：
情報の3段階格付けから一緒に整理できます - 社員が個別にAIを使い始めている方：
会社指定ツールという受け皿づくりから支援できます - ルールが形骸化している方：
見直しと教育のサイクルづくりから始められます
もし「自社の場合、何から決めればいいのか分からない」と感じていたら、まずは公式LINEにご登録ください。
業種と今の状況を教えていただくだけで、「まずはここから」を無料で診断します。
御社の業務内容に合わせて、情報の格付けとツール選定の最初の一歩をお返しします。
｢いきなり相談はまだ早いかな｣という方には、サービスの内容がわかる資料もお配りしています。
みちしるべコンサルティング株式会社では、集客改善と業務改善の両方を、提案から仕組み化までAIで一気通貫に支援する「経営オペ」を提供しています。
よくある質問
Q1. AI社内ルールの作り方は、何から始めればいいですか？
最初は社内の情報を「入れてよい／条件付き／入れてはいけない」の3段階に格付けすることからです。
この線引きが、ツール選定や禁止事項などすべてのルールの土台になります。
Q2. 無料版のChatGPTを業務で使ってはいけませんか？
問題になるのは無料か有料かではなく、個人アカウントでの業務利用です。
入力内容を会社が把握・管理できないため、業務では会社が用意したアカウントと、学習利用をオフにできる設定・プランの利用をおすすめします。
Q3. シャドーAIとは何ですか？
会社が許可していないAIツールを、社員が個人の判断で業務に使っている状態のことです。
会社側から利用が見えないため、情報漏洩が起きても気づけない点が問題になります。
Q4. 社員10名ほどの会社でも、AIの社内ルールは必要ですか？
必要だと考えています。
規模が小さいほど1件の情報漏洩が経営に与える影響は大きく、一方でルール自体はA4用紙1枚程度から始められます。
Q5. 一度作ったルールは、いつ見直せばいいですか？
半年に1回の見直しをおすすめします。
AIツールの機能や規約は変化が速く、半年前のルールが実態に合わなくなることが珍しくないためです。
まとめ
AI社内ルールの作り方は、「情報の格付け → ツール選定 → 禁止事項 → シャドーAI対策 → AIエージェントの権限 → 教育と見直し」の6ステップです。
｢機密情報を入れるな｣という注意だけでは、情報漏洩は防げません。
そして全面禁止は、シャドーAIを増やして状況をかえって悪くします。
安心して使える道を作ることが、AI活用と情報を守ることの両立につながります。
まずは自社の情報の3段階格付けから、今週着手してみてはいかがでしょうか。
関連記事｜気になるところからどうぞ
