AIガバナンス入門｜中小企業が最低限守るべきルール5項目

「AIのルールって何を決めればいいの？」——AIガバナンスは大企業だけの話ではありません。ChatGPTに顧客名を入力した瞬間から、情報漏洩リスクは中小企業にも発生します。本記事では、A4×1枚に収まる「最低限の5ルール」で、情報漏洩・著作権侵害・品質事故を防ぐ方法を解説します。

AIツールの利用が急速に広がる中、中小企業でもAI利用に関する「社内ルール」の整備が急務になっています。社員がChatGPTに顧客の個人情報を入力してしまった、AIが生成した文章をそのまま取引先に送ってしまった、AIで作成した画像が他社の著作権を侵害していた——こうした事故は、ルールがないからこそ起きるのです。

「AIガバナンス」と聞くと、「大企業のCISOが作る100ページのセキュリティポリシー」をイメージするかもしれません。しかし、中小企業に必要なのは、A4×1枚に収まるシンプルなルールです。「これだけは守ってください」という5項目を全社員に周知するだけで、リスクの8割は防げます。

本記事では、中小企業が「最低限守るべき5ルール」の内容、その背景にあるリスク、そしてA4×1枚のガイドラインテンプレートを、弊社の支援実績に基づいて解説します。

この記事でわかること
– 中小企業が最低限守るべきAI利用の5ルール
– 各ルールの背景にあるリスク（何が起きるか）
– A4×1枚のAIガイドラインテンプレート
– 「ルールが厳しすぎてAIが使われなくなる」問題の回避法
– AI事故の実例と対応策
– ルールの社内浸透方法（朝礼5秒ルール）

---

なぜ中小企業にもAIガバナンスが必要なのか

「うちは社員10人しかいないのに、AIのルールなんて必要ないのでは？」——この認識は、残念ながら危険です。中小企業こそAIガバナンスが必要な理由は3つあります。

理由1：社員1人のミスが会社の存続を脅かす

大企業であれば、1人の社員が情報漏洩を起こしても、専門のセキュリティチームが対応し、ダメージをコントロールできます。しかし、従業員10名の企業で顧客の個人情報が漏洩すれば、取引先からの信頼を一瞬で失い、事業の存続に関わる問題になりかねません。

弊社の支援先ではまだ発生していませんが、「ChatGPTに取引先の機密情報（未公開の設計図データ）を入力してしまった」という相談を受けたことがあります。幸い、即座にOpenAIのAPI利用規約を確認し、業務用アカウント（API利用）ではデータが学習に使用されないことを確認できましたが、もし個人アカウント（無料版）で入力していた場合、データがAIの学習に使用されるリスクがありました。

理由2：「ルールがない」は「何をしてもいい」と同義

AIの利用ルールが明文化されていない状態は、社員にとって「何をしてもいい」「何がダメかわからない」状態です。善意の社員であっても、「これは入力して大丈夫かな？」と迷った際に判断基準がなければ、「まあいいか」と入力してしまう可能性があります。

逆に、「機密情報はAIに入力しない」という1文のルールがあるだけで、社員は「これは機密情報に該当するだろうか」と立ち止まって考えることができます。ルールは「縛り」ではなく「判断基準」です。

理由3：取引先から求められる

大企業との取引がある中小企業では、取引先から「AI利用に関するポリシーを提出してください」と求められるケースが増えています。AIガイドラインがなければ、「セキュリティ意識が低い」と判断され、取引継続に影響する可能性があります。

---

中小企業が最低限守るべき5ルール

弊社が支援先企業に導入する「最低限の5ルール」は以下の通りです。

ルール1：機密情報をAIに入力しない

ルール内容：顧客の個人情報、取引先の機密情報、未公開の社内データをAIツールに入力してはならない。

背景にあるリスク：ChatGPTなどのAIツールに入力したデータは、サービス提供者のサーバーを経由します。無料版の場合、入力データがAIの学習に使用される可能性があります。つまり、入力した情報が他のユーザーへの回答に反映されるリスクがあります。

具体的な判断基準：

入力してはいけない情報：

• 顧客の氏名、住所、電話番号、メールアドレス
• 取引先の非公開情報（見積金額、契約条件、設計図等）
• 社内の人事情報（給与、評価、懲戒処分等）
• 未発表の製品情報や事業計画

入力してもよい情報：

• 一般的な業界知識に関する質問（「建設業の安全管理のポイントは？」等）
• 仮名・匿名化した情報（「A社の見積で、金額は○○万円程度の場合…」）
• 自社の公開情報（Webサイトに掲載済みの情報等）
• テンプレートや下書きの作成依頼（固有名詞を含まないもの）

迷ったときの判断基準：「この情報が万が一漏洩した場合、取引先や顧客に謝罪する必要があるか？」——答えがYesなら入力しない。

ルール2：AIの出力を必ず人間がチェックする

ルール内容：AIが生成した文章・データ・画像を外部に送信・公開する前に、必ず人間がチェックする。

背景にあるリスク：AIはハルシネーション（事実と異なる情報の生成）を起こします。存在しない法律を引用する、間違った数値を出力する、架空の企業名を挙げる——こうした誤りは、AIの回答の中に自然に紛れ込むため、注意しないと見逃す可能性があります。

弊社の支援先で実際に起きたヒヤリハット事例として、ChatGPTが生成した取引先への提案書に「○○法第△条に基づき…」という記載がありましたが、該当する条文は存在しませんでした。担当者が「AIが書いたから正しいだろう」と信じて送信する寸前で、上司が気づいて修正しました。

具体的なチェック項目：

• 固有名詞（企業名、人名、法律名、制度名）が正確か
• 数値（金額、日付、法定基準値等）が正確か
• リンクURLが有効か
• 文章のトーンが自社の基準に合っているか

ルール3：AI利用ログを残す

ルール内容：AIツールの利用状況（誰が、いつ、何の目的で使ったか）を記録する。

背景にあるリスク：AI利用のログがない場合、問題が発生した際に「誰が何を入力したか」を追跡できません。また、AI活用の効果測定（月何時間削減されたか等）のデータも取れません。

実装方法（簡易版）：

大掛かりなシステムは不要です。Google スプレッドシートに以下の項目を記録するだけで十分です。

• 日付
• 利用者名
• 利用ツール（ChatGPT、Claude等）
• 利用目的（見積下書き、議事録要約等）
• 入力した情報の概要（「A社向け見積の条件をもとに下書きを作成」等）
• 所要時間（「従来30分→AI活用で10分」等）

弊社の支援先では、このスプレッドシートを「1日1行、30秒で記録」するルールにしています。負担を最小限にすることで、ルールの継続性を確保します。

ルール4：著作権に注意する

ルール内容：AIが生成したコンテンツ（文章・画像・コード等）の著作権に関するリスクを理解し、商用利用する場合は注意を払う。

背景にあるリスク：AIが生成した文章や画像が、既存の著作物と酷似している可能性があります。AIは大量の学習データを基に出力を生成するため、特定の著作物の表現を「そのまま引用」してしまうリスクがゼロではありません。

具体的な注意点：

• AIが生成した文章をそのままコピペで公開しない（必ず人間が編集・加筆する）
• AI生成画像を商用利用する場合は、類似画像がないか確認する
• AIにWebサイトのURLを入力して「この記事を要約して」と依頼した場合、出力がオリジナル記事のコピーになるリスクがある

現時点での法的状況：日本の著作権法では、AIによる学習（入力段階）は原則として著作権侵害に当たりません（著作権法第30条の4）。ただし、AI出力が既存の著作物と「依拠性」と「類似性」の両方を満たす場合は、著作権侵害になる可能性があります。この判断は個別のケースによるため、商用利用の場合は専門家に相談することをお勧めします。

ルール5：従業員への説明と同意を得る

ルール内容：AI導入の目的、AIが行うこと、従業員の雇用への影響について、事前に説明し理解を得る。

背景にあるリスク：「AIで仕事がなくなるのでは」という不安は、AI導入に対する最大の抵抗要因です。説明なしにAIを導入すると、従業員の不信感が増し、AI活用が進まなくなります。

具体的な説明内容：

• AI導入の目的：「業務の効率化であり、人員削減ではない」ことを明確にする
• AIが代替する業務：「見積の下書き作成をAIが行い、最終確認は人間が行う」等、具体的に説明する
• AIが代替しない業務：「顧客との交渉、現場での判断はAIでは代替しない」ことを明確にする
• 効率化で浮いた時間の使い方：「浮いた時間は営業活動や品質向上に充てる」等、前向きな方向を示す

弊社の支援先では、AI導入の説明会を「全社員向け・30分」で実施しています。この30分が、その後のAI活用の浸透度を決定的に左右します。説明なしで「明日からAIを使ってください」と言っても、現場は動きません。

---

A4×1枚のAIガイドラインテンプレート

以下は、弊社が支援先企業に提供しているA4×1枚のAIガイドラインテンプレートです。

====================================================
[会社名] AI利用ガイドライン
制定日: 20XX年XX月XX日  |  改定日: ___________
====================================================

■ 目的
本ガイドラインは、当社におけるAIツールの利用に関する
基本ルールを定め、情報漏洩・品質事故のリスクを防止する。

■ 対象
当社の全従業員（パート・アルバイトを含む）

■ 利用が認められているAIツール
□ ChatGPT（業務用アカウント）
□ _______________
□ _______________
※ 上記以外のAIツールを業務利用する場合は、AI推進担当に相談すること。

■ 5つの基本ルール

① 機密情報の入力禁止
  顧客の個人情報、取引先の非公開情報、社内の人事情報を
  AIに入力しない。迷ったら「漏洩したら謝罪が必要か？」で判断。

② 人間チェック必須
  AIの出力を外部に送信・公開する前に、必ず人間がチェックする。
  特に固有名詞・数値・法律の引用は必ず原典で確認。

③ 利用ログの記録
  利用日・利用者・目的・概要を所定のスプレッドシートに記録。

④ 著作権への配慮
  AI出力をそのままコピペで公開しない。必ず人間が編集・加筆。
  画像生成の場合、類似画像がないか確認。

⑤ 不明点は相談
  ルールの解釈に迷った場合は、AI推進担当（○○）に相談。

■ 違反した場合
  悪意のある違反：就業規則に基づく懲戒処分の対象
  過失による違反：注意＋再研修の受講

■ AI推進担当: ○○（内線: XXXX / Slack: @xxx）

====================================================

このテンプレートのポイントは、「A4×1枚に収まる」こと、「判断基準が明確」であること、「困ったときの相談先が書いてある」ことの3点です。10ページのガイドラインは誰も読みません。1枚のガイドラインは、デスクに貼っておけます。

---

「ルールが厳しすぎてAIが使われなくなる」問題

AIガバナンスで最もよくある失敗は、「ルールを厳しくしすぎて、誰もAIを使わなくなる」ことです。

弊社の支援先でも、ある企業が「AIに入力するすべてのテキストを事前にAI推進担当が承認する」というルールを作りましたが、これでは1回のAI利用に30分の承認待ちが発生し、「AIを使うより手作業の方が速い」という状態になりました。

ルール設計の鉄則は、「リスクを最小化しつつ、利用のハードルを最低限に保つ」ことです。弊社の5ルールが「入力禁止事項のリスト」と「迷ったときの判断基準」で構成されている理由は、「事前承認」を不要にするためです。判断基準を明確にしておけば、各社員が自分で判断でき、承認プロセスなしにAIを利用できます。

ルールの「ちょうどいい厳しさ」の見極め方

弊社が推奨する基準は、「ルールのために追加で必要な時間が、AI利用で削減される時間の10%以下」であることです。

例：AIで月30時間削減できる場合、ルール遵守のための追加作業（ログ記入、チェック等）は月3時間以下に収めるべきです。月10時間のルール対応が必要なら、ルールの簡素化を検討してください。

---

AI事故の実例と対応策

事例1：ChatGPTに取引先の単価表を入力

状況：営業担当者が、取引先から受領した単価表をChatGPTに貼り付けて「この単価の分析をして」と依頼。個人アカウント（無料版）で入力したため、データがAIの学習に使用されるリスクが発生。

対応：即座にChatGPTの設定で「学習データに使用しない」オプションをオンに変更（事後対応）。全社員に対して「業務利用は業務用アカウント（API利用またはTeamプラン）のみ」を再徹底。

教訓：個人アカウントと業務アカウントの区別がルール化されていなかったことが原因。ガイドラインに「業務用アカウント以外でのAI利用禁止」を追加。

事例2：AI生成メールの宛名を間違えてそのまま送信

状況：営業担当者がChatGPTに「取引先Aへのお礼メールを作って」と依頼したが、プロンプトに取引先Bの名前も含まれていたため、AIが出力したメールにB社の名前が混在。チェックせずに送信し、A社から「B社のメールが来た」と指摘。

対応：A社に謝罪。再発防止として「AIが生成したメールは送信前に必ず宛名・固有名詞を確認する」ルールを強化。

教訓：ルール2「人間チェック必須」の重要性を示す典型例。AIの出力は「それっぽい」ため、チェックを怠りやすい。

---

ルールの社内浸透方法——「朝礼5秒ルール」

5ルールを策定しても、社内に浸透しなければ意味がありません。弊社が推奨する浸透方法は、「朝礼5秒ルール」です。

毎朝の朝礼で、5ルールのうち1つを5秒で読み上げます。「今日のAIルール。ルール1、機密情報はAIに入力しない。以上。」——これだけです。5秒で終わります。

5つのルールを月曜から金曜まで1つずつ読み上げれば、毎週全ルールを確認できます。1ヶ月で4回、1年で約50回。これだけの反復があれば、ルールは社員の意識に定着します。

弊社の支援先では、この「朝礼5秒ルール」を導入した企業で、ルール遵守率が80%→98%に向上しました。長い研修よりも、毎日の5秒の反復の方が効果的です。

---

コストと補助金

AIガバナンスの整備自体にはほとんどコストがかかりません。A4×1枚のガイドラインはテンプレートを参考に30分で作成できます。

施策	費用目安	備考
A4×1枚のガイドライン策定	0円（社内で作成）	テンプレート活用
全社説明会（30分）	0円（社内で実施）	経営層からのメッセージ含む
AI研修（ガバナンス含む）	10〜30万円	人材開発支援助成金75%活用可
セキュリティ監査（外部委託）	50〜100万円	年1回推奨

出典：生成AI総合研究所の支援実績を基に作成

AI研修にガバナンスの内容を含める場合、人材開発支援助成金を活用すれば研修費の75%が助成されます。補助金の詳細はAI補助金完全ガイドをご参照ください。

---

導入事例——AIガイドライン策定で社員の安心感が向上

Before

不動産管理会社（従業員10名）。社長がChatGPTの業務利用を推進していたが、社員からは「何を入力していいかわからない」「間違った情報を送ってしまったらどうしよう」という不安の声があり、利用が進んでいなかった。

After（A4×1枚のガイドライン導入後）

弊社の支援で、上記テンプレートをベースにA4×1枚のガイドラインを策定。全社説明会（30分）を実施し、5ルールを周知。

• ChatGPT利用率：2名→8名（全員）
• 利用頻度：週1回→毎日
• ヒヤリハット：月3件→0件
• 社員の声：「ルールがあるから安心して使える」「何がダメかわかったので、それ以外は自信を持って使える」

ポイントは、ガイドラインが「禁止」ではなく「安心材料」として機能したことです。「何がダメかわかる」→「ダメでないことは安心して使える」→「利用が促進される」。適切なルールは、AIの利用を妨げるのではなく、むしろ促進するのです。

---

まとめ：A4×1枚のルールで、リスクの8割を防ぐ

AIガバナンスは、100ページのポリシーが必要な大企業の話ではありません。中小企業に必要なのは、A4×1枚、5つのルールです。

今日やるべきことは、上記のテンプレートを自社用にカスタマイズし、来週の朝礼で5ルールを読み上げることです。30分でガイドラインが完成し、5秒で社員に浸透します。

AIガイドラインの策定支援を受けたい方は、生成AI総合研究所の無料ウェビナーにご参加ください。AI導入の全体設計は業務効率化にAIを使う方法2026で、補助金はAI補助金完全ガイドで解説しています。

---

---

出典・参考:
– 総務省「AI利活用ガイドライン」
– 内閣府「AI戦略2025」
– 文化庁「AIと著作権に関する考え方について」（2025年3月）
– 生成AI総合研究所 支援実績データ
※本記事の情報は2026年5月時点のものです。法律の解釈は個別のケースにより異なりますので、具体的な事案については専門家にご相談ください。