「うちの会社で生成AIを使っていいのか」と聞かれたとき、何を根拠に答えているでしょうか。ニュースで見かける海外の規制の話と、日本で実際に効いているルールは別ものです。そして日本のルールは、一枚の法律にまとまってはいません。
結論から言うと、業務で生成AIを使う人が押さえる公的な文書は、性格の違う三種類に分かれます。第一に、守らなければ責任を問われうる法律（個人情報保護法や著作権法）。第二に、その法律を所管する役所が「こう考えている」と示した解釈の整理。第三に、事業者が自主的に取り組むための指針です。本記事の主題である総務省・経済産業省の「AI事業者ガイドライン」は三番目にあたり、違反に対する罰則を定めた規制ではありません。この位置づけを取り違えたまま社内ルールを作ると、守らなくてよいことに時間をかけ、守るべきことを落とします。
そこでこの記事では、AI事業者ガイドラインが何を求めている文書なのかを整理したうえで、著作権（文化庁「AIと著作権について」）と個人情報（個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」）という法律が直接かかる二つの領域を切り分け、社内でどこまで決めればよいか、そして自分たちで判断できないときにどこへ当たればよいかまでをたどります。解説の各章には、実際に書き上がった社内向けの文面や記入例を仮の例としてひとつずつ添えました。なお本記事の記載は、2026年9月16日時点で取得した各府省庁の公開ページおよび公開資料の内容にもとづいています。法令や指針は改定されるため、実務で使う際はその時点の公式ページをご確認ください。
AI事業者ガイドラインとは｜総務省と経済産業省が共同で出している指針
AI事業者ガイドラインとは、AIの開発・提供・利用を担う事業者に向けて、AIのリスクを認識し自主的に対策を進めるための考え方を示した、総務省と経済産業省による文書を指す。
AI事業者ガイドラインは、総務省の「AI事業者ガイドライン」掲載ページに版ごとにまとまっています。同ページによると、現在の最新版は「AI事業者ガイドライン第1.2版」で、令和8年3月31日の公表です。文書の表紙にも「AI事業者ガイドライン（第1.2版）令和8年3月31日 総務省 経済産業省」と記載されています。
構成は大きく「本編」と「別添」に分かれます。本編は第1部「AIとは」、第2部「AIにより目指すべき社会及び各主体が取り組む事項」、第3部「AI開発者に関する事項」、第4部「AI提供者に関する事項」、第5部「AI利用者に関する事項」という並びです。別添は本編の解説書という位置づけで、別添7にチェックリストとワークシート、別添8に主体横断的な仮想事例、別添9に海外ガイドライン等の参照先が置かれています（AI事業者ガイドライン第1.2版 本編（PDF）、別添の内訳は同 本編（概要）（PDF））。
業務で生成AIを使う立場の人がまず開くべきなのは、本編の第2部と第5部です。第3部と第4部は、自分たちでAIモデルを作ったり、AIを組み込んだサービスを外部に提供したりする場合に読む章になります。全部を通読しようとして最初のページで止まってしまうくらいなら、第5部の見出しだけ先に眺めるほうが実務は進みます。
仮の例：社内イントラに貼る告知文として、そのまま使える形にすると次のようになります。「9月30日までに、各部で生成AIを使っている業務を一覧にしてください。判断の土台は総務省・経済産業省のAI事業者ガイドライン第1.2版です。読むのは本編の第2部と第5部を優先してください。分量が多い章は読まなくて構いません。提出先は総務課、様式は自由です。」
罰則があるのは法律のほう｜「義務」と「指針」を先に分ける
ソフトローとは、法律のように違反への罰則をともなわず、関係者の自主的な取組を促すことで目的を達成しようとするルールの形式を指す。
AI事業者ガイドラインの本編には、この文書を作った理由として「AI がもたらす社会的リスクの低減を図るとともに、AI のイノベーション及び活用を促進していくために、関係者による自主的な取組を促し、非拘束的なソフトローによって目的達成に導くゴールベースの考え方で、ガイドラインを作成することとした」と書かれています（本編PDF「はじめに」）。「非拘束的なソフトロー」という言い方が、この文書の性格をそのまま表しています。
この点は、総務省・経済産業省が令和8年3月に公表した「AI事業者ガイドライン活用の手引き（案）」（PDF）でさらに直接的に書かれています。同資料は誤解されやすい理解として「AI事業者ガイドラインの記載事項の遵守は義務である」を挙げ、「AI事業者ガイドラインは義務を課すものではなく、事業活動においてAIを開発・提供・利用する全ての者を対象に、AIのリスクを正しく認識し、自主的に対策を講じるための考え方を示しているものです」と説明しています。なお同資料には「本書は案の段階ですので、今後内容の見直しが実施される可能性があります」との注記があります。
一方で、ガイドラインが法律を免除するわけでもありません。本編の「共通の指針」の冒頭には、各主体は「憲法、知的財産関連法令及び個人情報保護法をはじめとする関連法令、AI に係る個別分野の既存法令等を遵守すべき」と明記されています。つまり法律は法律として守り、そのうえで自主的な取組の指針としてガイドラインを参照する、という二階建ての関係です。
紛らわしいのが、AIそのものを名前に冠した法律が別に存在することです。内閣府の人工知能関連技術の研究開発及び活用の推進に関する法律（ＡＩ法）のページによると、同法は「令和7年6月4日にＡＩ法が公布・一部施行され、９月１日にはＡＩ戦略本部の設置に係る規定等も含め、全面施行されました」とされています。名称は法律ですが、推進法という枠組みであり、ガイドラインとも個人情報保護法とも役割が異なります。次の表で、業務利用者が関わる主な文書の性格と所管を並べて確認してください。
| 文書・法令 | 義務か指針か | 所管はどこか | 一次情報の場所 |
|---|---|---|---|
| 個人情報保護法 | 法律上の義務。違反すると法に基づく対応の対象になりうる | 個人情報保護委員会 | 個人情報保護委員会サイト |
| 著作権法 | 法律上の義務。権利者から差止めや損害賠償を求められうる | 文化庁（著作権制度の所管） | 文化庁サイト |
| ＡＩ法（人工知能関連技術の研究開発及び活用の推進に関する法律） | 法律だが、研究開発と活用の推進を定める枠組み。個別の行為に罰則を課す形ではない | 内閣府 | 内閣府ＡＩ法ページ |
| AI事業者ガイドライン | 指針。義務を課すものではないと公式資料に明記 | 総務省、経済産業省 | 総務省の掲載ページ |
| 生成AIサービスの利用に関する注意喚起等 | 指針。ただし内容は個人情報保護法の解釈を示すもので、法違反の可能性に直接触れる | 個人情報保護委員会 | 個人情報保護委員会の注意情報 |
| AIと著作権に関する考え方について | 指針。著作権法の解釈を整理したもの | 文化庁 | 文化庁「AIと著作権について」 |
所管がどこかを一覧で確かめたいときは、内閣府が公開している人工知能関連技術の研究開発及び活用の適正性確保に関する指針のページが便利です。同ページには「人工知能に関する各府省庁等のガイドライン等一覧」が置かれ、AI事業者ガイドラインの所管が総務省と経済産業省であること、生成AIの注意喚起が個人情報保護委員会、AIと著作権に関する考え方が文化庁であることが、策定時期とあわせて整理されています。
仮の例：社内説明で使う一行メモを書き上げた形です。「守らないと法の対象になりうるのは個人情報保護法と著作権法。AI事業者ガイドラインは罰則付きの規制ではなく、自社で対策を考えるときの型。だから『ガイドライン違反』という言い方は社内文書では使わず、『ガイドラインを参照して決めた社内ルールに反する』と書く。」
自社がどの主体に当たるか｜AI開発者・AI提供者・AI利用者
主体区分とは、AI事業者ガイドラインが対象者を役割ごとに分けた区分で、AI開発者・AI提供者・AI利用者の三つを指す。
本編の「はじめに」には、「本ガイドラインの対象者は、AI の事業活動を担う主体として、「AI 開発者」、「AI 提供者」及び「AI 利用者」の3 つに大別され」ると書かれています。そして「AI の活用方法によっては同一の事業者がAI 開発者、AI 提供者又はAI 利用者の複数を兼ねる場合もある」とも記されています。三区分の定義はAI事業者ガイドライン第1.2版 本編（概要）（PDF）にも同じ文言で載っており、こちらのほうが短時間で確認できます。会社単位で一つに決める区分ではなく、その業務でどの役割を果たしているかで決まる、と読むのが実務には合います。
活用の手引き（案）も同じ考え方を「事業者の企業単位の区分を示すものではなく、同一の事業者であっても、AI開発者とAI提供者など、複数の主体区分を兼ねる場合があります」と補足しています。たとえば社内の問い合わせ対応チャットを外部サービスの上に自作して顧客に提供している会社は、利用者であり同時に提供者でもある、という整理になります。
| 主体区分 | ガイドライン上の位置づけ | 本編で読む章 | 業務で生成AIを使う会社が当てはまる場面 |
|---|---|---|---|
| AI開発者 | AIシステムを開発する事業者（研究開発を含む） | 第3部 | 自社でモデルの追加学習や独自モデル構築を行っている場合 |
| AI提供者 | AIシステムを製品・サービス・業務プロセスに組み込んで提供する事業者 | 第4部 | AIを組み込んだツールや相談窓口を社外の顧客へ出している場合 |
| AI利用者 | 事業活動においてAIシステムまたはAIサービスを利用する事業者 | 第5部 | 市販のチャットサービスを社内業務に使っている場合 |
| 業務外利用者 | 事業活動以外でAIを利用する者。ガイドラインの対象には含まれない | 対象外 | 従業員が私生活で個人契約のサービスを使う場合 |
自社がどこに当たるかを決めると、読む範囲が一気に絞れます。市販のサービスを業務に使っているだけなら第5部、AIを組み込んだ機能を顧客に出しているなら第4部も、という具合です。自社で組み合わせて何かを作っている段階の方は、AIエージェントとは？仕組みから最新ツールのビジネス活用事例までを読み、どこからが「提供」に近づくのかのイメージをつかんでおくと切り分けがしやすくなります。
仮の例：判定結果として残すメモを書き上げるとこうなります。「当社は主体区分のうちAI利用者に該当する。理由は、外部サービスをそのまま社内業務に使っており、モデルの追加学習も外部提供も行っていないため。読む範囲は本編第2部と第5部、別添5とする。顧客向けチャット導入の検討が始まった時点で、AI提供者としての判定をやり直す。判定日は2026年9月16日、次回判定は導入検討の着手時。」
業務外の個人利用は対象外｜私物アカウントとの線引きを決める
業務外利用者とは、事業活動以外でAIを利用する者、またはAIを直接事業で利用せずにAIシステム・サービスの便益を受ける者を指し、AI事業者ガイドラインの対象には含まれない。
本編は対象者の範囲について、事業活動以外でAIを利用する者などを「業務外利用者」とまとめたうえで、「本ガイドラインの対象には含まない」と書いています。学習や利用に使うデータを提供する法人・個人である「データ提供者」も、同じく対象外とされています。活用の手引き（案）も、よくある取り違えとして「データ提供をする者や、個人でAIを利用する場合も対象になっている」を挙げ、これらは対象外だと明記しています（活用の手引き（案）PDF）。
ここで実務上やっかいなのが、従業員が私物のアカウントで業務の資料を扱ってしまう状況です。本人の感覚では「自分の個人利用」でも、会社の業務のために使っている以上、その使い方は会社の事業活動の一部になります。ガイドラインの対象外なのは私生活での利用であって、私物アカウントを使えば会社の責任が消える、という話ではありません。
そのため、社内で最初に文章にしておきたいのは「会社の業務で使ってよいアカウント」の定義です。契約や設定を会社側で確認できないアカウントでは、入力したデータがどう扱われるかを会社として説明できなくなります。設定確認の具体的な手順は生成AIの情報漏えい対策｜入力NG情報とオプトアウト設定・社内ルールにまとめているので、アカウントの線引きを決めたあとに突き合わせてみてください。
仮の例：社内アナウンスの文面を書き上げた形です。「業務の資料・顧客情報・未公開の企画を扱う作業では、会社が契約し、管理画面から設定を確認できるアカウントのみを使ってください。個人契約のアカウントは、公開情報だけを扱う下調べに限って使用できます。判断に迷う作業は、使う前に総務課へ一行で相談してください。禁止事項を増やす趣旨ではなく、後から説明できる状態を作るための線引きです。」
共通の指針10項目｜使う側が最初に見る項目はどれか
共通の指針とは、AI事業者ガイドライン本編の第2部Cに置かれた、全ての主体が連携してバリューチェーン全体で取り組むべき事項の整理を指す。
AI事業者ガイドライン第1.2版 本編（概要）にあるとおり、本編の第2部Cでは、各主体が取り組むべきことが10項目に整理されています。項目名は、人間中心、安全性、公平性、プライバシー保護、セキュリティ確保、透明性、アカウンタビリティ、教育・リテラシー、公正競争確保、イノベーションです。抽象的な言葉が並びますが、第5部を読むと、AI利用者の立場で具体的に何をすることなのかが対応づけられています。
| 共通の指針 | AI利用者の立場で先に決めること |
|---|---|
| 人間中心 | 人の評価や選考など、権利や利益に影響する判断にAIの出力をどこまで使うかを決める |
| 安全性 | 提供元が示す利用上の留意点を守り、想定された範囲内で使うことを社内の前提にする |
| 公平性 | 入力データやプロンプトに偏りが混ざりうると理解し、出力を事業判断に使う責任者を決める |
| プライバシー保護 | 個人情報を不適切に入力しないための線引きを文章にする |
| セキュリティ確保 | 機密情報を不適切に入力しないこと、提供元の注意事項に従うことを周知する |
| 透明性 | 出力を事業判断に使ったとき、関係者へ合理的な範囲で情報を伝える手順を決める |
| アカウンタビリティ | 提供元から受け取った文書を保管し、サービス規約を守る担当を決める |
| 教育・リテラシー | 使う人が仕組みと限界を理解するための学習機会を用意する |
| 公正競争確保 | 社会と連携して取り組むことが期待される事項として位置づけを理解しておく |
| イノベーション | 同じく、社会と連携して取り組むことが期待される事項として理解しておく |
第5部に並ぶ項目は、記号つきで示されています。安全を考慮した適正利用、入力データまたはプロンプトに含まれるバイアスへの配慮、個人情報の不適切入力およびプライバシー侵害への対策、セキュリティ対策の実施、関連するステークホルダーへの情報提供、関連するステークホルダーへの説明、提供された文書の活用および規約の遵守、という並びです。社内の点検表を作るなら、この見出しをそのまま行に写すのが最短です。
別添7として、総務省の掲載ページからAI事業者ガイドライン第1.2版のチェックリスト（PDF）が公開されています。同資料には「本チェックリストは、AI事業者ガイドライン「第2部C.共通の指針」を要約したものです」と書かれており、「プライバシーを尊重・保護し、関係法令を遵守しているか」「AIガバナンスやプライバシーに関するポリシー等を策定しているか」といった問いの形になっています。ゼロから点検表を書き起こす前に、こちらを開くほうが早く進みます。教育・リテラシーの部分で何を配るか迷ったら、AI学習おすすめ教材12選｜無料・有料を目的別のような教材整理も土台に使えます。
仮の例：点検表の一行を実際に埋めるとこうなります。「指針＝プライバシー保護／当社の行動＝顧客名と連絡先を含む文面は、置き換えてから入力する。置き換え前の原文は社内フォルダのみで扱う／担当＝カスタマーサポート課長／確認頻度＝四半期ごと／根拠＝本編第5部の個人情報の不適切入力およびプライバシー侵害への対策」
個人情報｜指針ではなく法律上の義務が直接かかる領域
個人情報保護委員会とは、個人情報保護法を所管する行政機関で、生成AIサービスの利用に関する注意喚起もこの委員会が公表している。
指針と法律の境目がいちばんはっきり出るのが、個人情報の扱いです。個人情報保護委員会は令和5年6月2日付で生成AIサービスの利用に関する注意喚起等についてを公表しており、その別添1には、個人情報取扱事業者が生成AIサービスに個人情報を含むプロンプトを入力する場合には「特定された当該個人情報の利用目的を達成するために必要な範囲内であることを十分に確認すること」と書かれています。
さらに踏み込んだ記述が続きます。同資料は、あらかじめ本人の同意を得ずに個人データを含むプロンプトを入力し、そのデータが応答結果の出力以外の目的で扱われる場合、「当該個人情報取扱事業者は個人情報保護法の規定に違反することとなる可能性がある」としたうえで、「当該生成AI サービスを提供する事業者が、当該個人データを機械学習に利用しないこと等を十分に確認すること」を求めています（生成AIサービスの利用に関する注意喚起等（PDF））。ここは「望ましい」ではなく、法の規定に触れうるという書き方になっている点が重要です。
実務では、個人情報が入りやすい作業ほど無自覚に行われます。議事録の要約、問い合わせメールの下書き、名簿の整形などがその典型です。会議の記録をAIに任せる流れが増えている分、AI議事録自動化ツール10選｜会議の文字起こしから要約までのような自動化の入り口では、誰の発言が誰の氏名つきで送信されるのかを一度点検しておくと安全です。入力してよい情報の線引きと学習利用の設定については、生成AIの情報漏えい対策の記事で手順として扱っているため、本記事では線引きを決める側の話にとどめます。
法律そのものも動いています。個人情報保護委員会の令和８年 改正個人情報保護法についてのページによると、「個人情報の保護に関する法律等の一部を改正する法律」は令和8年7月10日の国会で可決・成立し、令和8年7月17日に公布されました。同ページには「円滑な施行に向け、引き続き、政令、規則、ガイドライン等の検討を行ってまいります」と記載されています。施行に向けた細目はこれから整うため、社内ルールには改定を前提にした見直し時期を書き込んでおくのが現実的です。
仮の例：可否判定の記入例を埋めた形です。「作業＝顧客からの問い合わせメールへの返信文の下書き／入力する内容＝問い合わせ本文から氏名・会社名・電話番号を外し、相談内容の部分だけ／判定＝可／条件＝置き換え後の文面に個人が特定できる記述が残っていないことを送信前に目視で確認する／判定者＝カスタマーサポート課長／判定日＝2026年9月16日」
著作権｜入力するとき・生成するとき・公開するときで判断が変わる
類似性と依拠性とは、著作権侵害が成立するために必要とされる二つの要件で、既存の著作物の表現上の本質的な特徴を感じ取れることと、既存の著作物に接してそれを用いたことを指す。
著作権については、文化庁のAIと著作権についてのページが出発点になります。同ページによると、「AIと著作権の関係については、令和6年3月に文化審議会 著作権分科会 法制度小委員会において、「AIと著作権に関する考え方について」を取りまとめました」とされ、その背景として「生成AIと著作権の関係に関する判例及び裁判例の蓄積がないという現状」が挙げられています。考え方の整理であって、個別の事案の結論を出す文書ではない、という前提で読む必要があります。
業務利用者にとって実用的なのは、令和6年7月31日付で文化庁著作権課が公開したAIと著作権に関するチェックリスト＆ガイダンス（PDF）です。ここには「AI利用者（業務利用者）のリスク低減方策」という章があり、利用しようとする生成AIについての情報確認、侵害に対する予防措置と対応の検討、入力が「非享受目的」の要件を満たすかの確認、生成と利用で判断が異なりうることへの留意、生成物が既存の著作物と類似していないかの確認、関係者への説明、生成に用いたプロンプト等を確認できる状態の確保、といった項目が並びます。
とくに押さえたいのが、生成する行為と、生成物を使う行為が別だという点です。同資料は、個人が私的使用の目的で生成する場合や、企業・団体等の内部で権利者から許諾を得て利用することを前提に検討の過程で生成する場合について、権利制限規定の範囲内であれば権利者の許諾なく行えるとしたうえで、「AI生成物の利用（インターネットでの配信、複製物の譲渡等）については、権利制限規定の範囲外となる場合が多いと考えられます」と説明しています。社内の検討資料に貼るところまでと、そのまま社外へ公開するところでは、確認すべきことが変わるということです。
同じ資料には、注意しておきたい前置きもあります。示された方策は「これらを全て記載どおりに実施しなければ直ちに当該ステークホルダーに法的責任が生じるといったことや、逆にこれらを全て実施すれば法的責任を何ら問われないといったことを意味するものではありません」とされています。チェックリストを埋めたことが結論になるわけではない、という理解で運用してください。画像や素材を扱う場面での具体的な考え方は、AIイラストの著作権と商用利用｜安全に使うための7つのルールおよびAI画像生成の商用利用ガイド｜著作権・ツール比較・注意点で整理しています。
仮の例：公開前チェックの記録を一件書き上げた形です。「対象＝サービス紹介ページに載せる説明文と挿絵／入力した素材＝自社が撮影した写真と自社作成の仕様書のみ、他社の作品や固有名詞は入力していない／生成後の確認＝挿絵について画像検索、説明文について文章検索を実施し、既存の作品と似た結果は出なかった／保存したもの＝使用したプロンプト全文と検索結果の画面／確認者＝広報担当／確認日＝2026年9月16日」
版と改定の追い方｜第1.2版で何が足されたか
Living Documentとは、公表後も状況の変化に合わせて内容を更新し続ける前提で運用される文書を指し、AI事業者ガイドラインもこの考え方で改定されている。
AI事業者ガイドラインは一度出して終わりの文書ではありません。本編には、AIをめぐる動向が変化する中で「Living Document として本書における定義等も含めた内容について適宜更新を行っている」と書かれています。実際に版は重ねられており、総務省の掲載ページには第1.0版が令和6年4月19日、第1.01版が令和6年11月22日、第1.1版が令和7年3月28日、第1.2版が令和8年3月31日の公表として並んでいます（総務省「AI事業者ガイドライン」掲載ページ）。
第1.2版で何が変わったかは、AI事業者ガイドラインの令和７年度更新内容（PDF）という資料で確認できます。更新の論点として挙げられているのは、AI技術の動向の反映、AIによるリスクの記載の見直し、主体区分の整理、特定単語の整理・見直し、ユーザビリティの改善、AIガバナンスに関する動向の反映などです。技術動向の反映については、AIエージェントやフィジカルAIに関する定義・便益・リスク・留意事項の追記が更新方針として示されています。
手元の業務に引き寄せると、この更新は「自律的に動くAIを使い始めたら、読み直す箇所が増える」という意味になります。指示のたびに人が結果を見る使い方と、いくつもの手順をAIが自分で進める使い方では、確認すべき点が変わるからです。自律的に動くタイプの使い方を検討している場合は、AIエージェントの仕組みを整理した記事とあわせて、本編の該当箇所を開き直してください。
ガイドラインの更新は、総務省のAIネットワーク社会推進会議と経済産業省のAI事業者ガイドライン検討会で取りまとめられています。会議の開催記録と配布資料は総務省のAIネットワーク社会推進会議のページにまとまっており、意見募集や公表の経緯もここからたどれます。改定の気配を早めにつかみたい担当者は、このページをブックマークしておくと動きが見えます。
仮の例：年次の見直し予定として台帳に書き込む一行です。「見直し対象＝生成AI利用ルール／参照する一次情報＝総務省のAI事業者ガイドライン掲載ページ、個人情報保護委員会の注意情報、文化庁のAIと著作権について／実施時期＝毎年4月と10月の第1週／担当＝総務課／前回確認した版＝第1.2版（令和8年3月31日公表）／確認したら、版番号と確認日をこの行に追記する」
社内ルールの初版に何を書くか｜書きすぎない範囲の決め方
AIガバナンスとは、AIのリスクを受容可能な水準で管理しながら便益を最大化するために、技術・組織・社会の各面から仕組みを作り運用することを指す。
社内ルールを作ろうとして手が止まる原因の多くは、最初から完成形を作ろうとすることです。活用の手引き（案）は、誤解されやすい理解として「AI事業者ガイドラインに書いてあることは、全てそのまま自社に適用すればよい」を挙げ、「自社の事業規模および状況等に合わせて過不足なく対応いただくことが重要です」と書いています（活用の手引き（案）PDF）。全部を写す必要はない、と公式資料のほうが明言しているわけです。
本編の第2部Eには、AIガバナンスの構築について、環境・リスク分析、ゴール設定、システムデザイン、運用、評価というサイクルを回す考え方が示されています。裏を返せば、初版は環境・リスク分析とゴール設定に対応する部分だけでも形になります。使っている業務を洗い出し、入力してよい情報の線引きを決め、判断に迷ったときの相談先を書く。この三つがあれば、少なくとも「決めていない状態」からは抜けられます。
初版に盛り込む範囲として現実的なのは、次の四つです。対象となるサービスとアカウント、入力してよい情報と避ける情報、出力を業務判断に使うときの承認の扱い、そして見直しの時期と担当。逆に初版で書かなくてよいのは、開発者向けの技術要件や、まだ使っていない機能への制限です。使い方が変わってから足せば十分で、先回りして書いた条文は運用されないまま残ります。
中小規模の組織でどこから手を付けるかの感覚をつかみたい場合は、中小企業のChatGPT業務効率化事例15選で実際に使われている業務の広がりを見てから、ルールの対象範囲を決めると過不足が減ります。導入したあとで効果を測る段取りは生成AIの導入効果を社内で評価する方法｜記録する項目と1か月の検証手順で扱っているので、ルールと同時に測り方も決めておくと、見直しのときに判断材料が残ります。
仮の例：社内利用ルールの第3条を、実際に条文の形まで書き上げるとこうなります。「第3条（入力してよい情報） 従業員は、会社が契約したアカウントを用いる場合に限り、次の情報を生成AIサービスへ入力することができる。（1）すでに公表されている自社の情報 （2）個人を特定できる記述を除いた業務上の相談内容 （3）会社が権利を有する文書および画像。２ 前項に該当しない情報を入力する必要が生じたときは、事前に総務課の承認を得るものとする。３ 本条の運用状況は、毎年4月および10月に総務課が確認し、必要に応じて改正を提案する。」
人の判断を挟む場面と、残しておく記録
自動化バイアスとは、人間の判断や意思決定において、自動化されたシステムや技術への過度の信頼や依存が生じる現象を指す。
本編の共通の指針「人間中心」には、AIシステム・サービスの開発・提供・利用において「自動化バイアス等のAI に過度に依存するリスクに注意を払い、必要な対策を講じる」ことが挙げられています。脚注では、対策としてAIの欠点を含む特性を理解できるトレーニングを受けることや、AIの評価や判断を人間が承認する際に、承認する理由や根拠を独自に考えてから承認すべきことなどが提案されていると説明されています（AI事業者ガイドライン第1.2版 本編）。
ここで大事なのは、「人がチェックする」と書くだけでは運用に落ちないことです。誰が、どの段階で、何を見て、どう記録するか。この四つが決まってはじめて、後から説明できる形になります。すべての出力に承認を付けると現場が止まるので、影響の大きさで分けるのが現実的です。社外に出る文章、金額や契約に関わる判断、人の評価に関わる判断は承認あり。それ以外は担当者の確認で完了、という切り方がよく機能します。
記録については、第5部に「AI 提供者から提供されたAI システム・サービスについての文書を適切に保管・活用する」ことと、「AI 提供者が定めたサービス規約を遵守する」ことが挙げられています。あわせて文化庁のチェックリストが求める、生成に用いたプロンプト等を確認できる状態の確保も、同じ引き出しに入れておくと管理が一本化できます。保管場所を分散させないことが、後で効いてきます。
業務のどの場面で人の判断を挟むべきかを洗い出すときは、ChatGPTの仕事活用術15選と知らないと損する7つの注意点で扱っている注意点の型が使えます。使い始めの手順から整えたい場合はChatGPT業務連携の基礎ガイド｜安全な活用手順を初心者向けに解説を土台にすると、承認を挟む位置を決めやすくなります。
仮の例：上長へ確認を出すときの依頼文を、実際に送れる形にするとこうなります。「件名：生成AI出力の承認依頼（見積条件の比較表）／本文：お疲れさまです。取引先3社の見積条件を比較する表を、生成AIに整形させました。元データは先方から受領したPDFで、社名と担当者名は入力していません。数値は元のPDFと1件ずつ突き合わせて一致を確認済みです。社外に提出する資料のため、本メールの承認をもって確定とさせてください。使用したプロンプトと突き合わせ結果は共有フォルダの同名フォルダに保存しています。」
判断できないときの確認先｜所管省庁と一次情報のたどり方
一次情報とは、所管する行政機関自身が公表した原典の資料を指し、要約記事や解説記事ではなく、公式サイトに掲載された本文や公開資料を意味する。
社内で結論が出ないときは、論点ごとに所管が違うことを思い出すのが近道です。個人情報の扱いなら個人情報保護委員会、著作物の扱いなら文化庁、ガイドライン自体の解釈なら総務省と経済産業省。まとめて探そうとせず、論点を一つに切ってから当たるほうが早く終わります。
| 迷っている論点 | 先に開く一次情報 | 所管 |
|---|---|---|
| 顧客情報を含む文面を入力してよいか | 生成AIサービスの利用に関する注意喚起等 | 個人情報保護委員会 |
| 生成した画像や文章を社外に公開してよいか | AIと著作権に関するチェックリスト＆ガイダンス | 文化庁 |
| 社内ルールに何を書けばよいか | AI事業者ガイドライン本編と別添7のチェックリスト | 総務省、経済産業省 |
| そもそもどの省庁の資料を見ればよいか | 人工知能に関する各府省庁等のガイドライン等一覧 | 内閣府 |
| AIに関する法律の施行状況を知りたい | 人工知能関連技術の研究開発及び活用の推進に関する法律のページ | 内閣府 |
省庁横断で探すときの入口として使いやすいのが、内閣府の各府省庁等のガイドライン等一覧を含むページです。名称・所管・策定時期・概要が一覧になっているため、自分の業界に近い資料が別にあるかどうかもここで見つかります。個人情報に関する新しい注意喚起が出ていないかは、個人情報保護委員会の注意情報のページを時々開くのが確実です。
そのうえで申し添えると、この記事は公表資料の内容を業務の目線で整理したもので、個別の事案について法的な助言を行うものではありません。契約内容や取引先との関係が絡む判断、権利者からの申し入れを受けた場面などは、所管省庁の公表資料を確認したうえで、弁護士などの専門家に相談してください。専門資格が関わる領域で生成AIをどこまで使えるかについては、ChatGPTに確定申告の相談は可能？税理士法リスクと安全な活用術で、隣接する論点の考え方を扱っています。
仮の例：相談する前に整理しておくメモを書き上げた形です。「論点＝取引先から受領した資料を要約させてよいか／関係しそうな法令＝著作権法、契約上の秘密保持条項／確認済みの一次情報＝AIと著作権に関するチェックリスト＆ガイダンスの3-1-3および3-1-4／社内で分かれた意見＝「非享受目的に当たるから問題ない」と「契約の秘密保持条項が先に効く」の二つ／確認したいこと＝秘密保持条項がある場合に、著作権法上の整理とは別に制約がかかるか／持参する資料＝該当契約書の写しと、入力しようとしている資料の目次」
よくある質問（FAQ）
- Q1. AI事業者ガイドラインを守らないと罰則を受けますか。
- 総務省・経済産業省の「AI事業者ガイドライン活用の手引き（案）」は、「AI事業者ガイドラインは義務を課すものではなく」と明記しており、本編も「非拘束的なソフトロー」として作成したと説明しています。したがって、このガイドライン自体が罰則を定めているわけではありません。ただし個人情報保護法や著作権法といった法律は別途適用されるため、ガイドラインが指針だからといって法令上の責任がなくなるわけではない、という理解が必要です。
- Q2. 社員が10人ほどの会社でも対象になりますか。
- ガイドラインは事業活動においてAIの開発・提供・利用を担う全ての者を対象としており、規模による除外は示されていません。一方で活用の手引き（案）は、自社の事業規模および状況等に合わせて過不足なく対応することが重要だとしています。小規模であれば、使っているサービスの洗い出しと入力してよい情報の線引きから始め、全項目を一度に整えようとしないほうが運用に乗ります。
- Q3. 個人のアカウントで業務に使うのは、ガイドラインの対象外なので自由ですか。
- 対象外とされているのは、事業活動以外でAIを利用する「業務外利用者」です。会社の業務のために使っている以上、私物のアカウントであってもその使い方は事業活動の一部になります。さらに個人情報を含む入力については、個人情報保護委員会の注意喚起が個人情報取扱事業者に向けた注意点を示しているため、アカウントの種類にかかわらず会社としての確認が必要になります。
- Q4. 生成AIで作った文章や画像を、そのまま自社サイトに載せても問題ありませんか。
- 文化庁のチェックリスト＆ガイダンスは、生成すること自体と生成物を利用することでは著作権侵害の判断が異なりうるとし、インターネットでの配信などは権利制限規定の範囲外となる場合が多いと考えられると説明しています。公開前に既存の著作物と類似していないかを確認すること、生成に用いたプロンプト等を確認できる状態にしておくことが、文化庁「AIと著作権に関するチェックリスト＆ガイダンス」（PDF）の挙げる方策です。個別の適法性は事案ごとに異なるため、判断が難しい場合は専門家にご相談ください。
- Q5. どの版を見ればよいか分かりません。社内資料には何と書けばよいですか。
- 総務省の掲載ページには版ごとに資料が並んでおり、2026年9月16日時点の最新版は第1.2版（令和8年3月31日公表）です。社内資料には「AI事業者ガイドライン第1.2版」と版番号まで書き、参照した日付も併記しておくと、次に改定されたときの差分確認が楽になります。版の更新点は「AI事業者ガイドラインの令和７年度更新内容」という資料で確認できます。
- Q6. 「AI法」ができたと聞きました。AI事業者ガイドラインとの関係はどうなりますか。
- 内閣府のＡＩ法のページによると、人工知能関連技術の研究開発及び活用の推進に関する法律は令和7年6月4日に公布・一部施行され、同年9月1日に全面施行されました。研究開発と活用の推進を定める枠組みの法律であり、個々の利用行為に罰則を課す形の規制とは位置づけが異なります。AI事業者ガイドライン第1.2版の本編でも、この法律の公布と施行に触れたうえで、自主的な取組を促す指針という立場は維持されています。
- Q7. 社内ルールを作ったあと、何をきっかけに見直せばよいですか。
- 時期を決めた定期見直しと、出来事をきっかけにした見直しの二本立てが扱いやすい形です。定期については半年ごとなど日付を先に決めておきます。出来事のほうは、ガイドラインの新しい版が公表されたとき、個人情報保護委員会から新しい注意喚起が出たとき、使うサービスやプランを変えたとき、自律的に動くタイプの使い方を始めるときが目安になります。
まとめ
業務で生成AIを使うときに確認する日本の公的な文書は、法律と、その解釈を示した資料と、自主的な取組の指針に分かれます。AI事業者ガイドラインは三番目の指針であり、公式資料自身が義務を課すものではないと書いています。一方で、個人情報保護法と著作権法は法律として適用され、個人情報保護委員会の注意喚起は法違反の可能性に直接触れています。この線引きを最初に引いておくと、社内で決めるべきことと、決めなくてよいことがはっきりします。
実務の進め方としては、自社がAI利用者に当たるかを判定して読む章を絞り、共通の指針のうち使う側に関係する項目を点検表に写し、入力してよい情報の線引きと承認を挟む場面を初版のルールに書く、という順番が回しやすい形です。全項目を一度に整えようとせず、見直しの時期と担当を先に決めてしまうほうが続きます。
最後にもう一度だけ。本記事の記載は2026年9月16日時点で取得した各府省庁の公開ページと公開資料にもとづいています。ガイドラインはLiving Documentとして更新され、個人情報保護法も令和8年7月17日に改正法が公布されて細目の整備が進んでいる段階です。社内ルールに書くときは、参照した版と日付をあわせて添えるようにしてください。判断が分かれる論点に出会ったら、所管省庁の公表資料を開き、それでも決まらないときは専門家に確認する、という流れを標準にしておくと安全です。
