「生成AIの利用ルールを整備してください」。役員会でそう指示が出てから、担当部門の作業が止まることがあります。止まる理由は、何を禁止すべきか分からないからではありません。参照すべき公的文書が複数あり、そのどれが自社の規定の根拠になるのかが整理されていないからです。
2025年6月にAI法が公布され、同年9月に全面施行されました。2025年12月には同法にもとづく適正性指針が決定し、2026年3月にはAI事業者ガイドラインが第1.2版へ改定され、2026年7月には人工知能基本計画が第Ⅱ期に入っています。1年半のあいだに参照先が4つ増えたことになります。この状況で「まずガイドラインを読んでください」と言われても、どこから手を付けるべきかは決まりません。
この記事では、生成AIの社内規定を作るときに参照すべき公的文書の関係を整理し、そこから条文に落とすべき項目を具体化します。私たちが従業員数百人から数千人規模の企業でCRMやAIワークフローの導入を支援する際、規定の整備は必ず前工程に入ります。そこで実際に決めている順序を、公的文書の記述と対応させながら示します。2026年9月10日時点の一次情報にもとづきます。
最初に、この問いをはっきりさせておく必要があります。ここが曖昧なままだと、規定の作り込み具合を決められません。法令上の義務なら最低限の記載事項が決まりますが、義務でないなら自社が引き受けるリスクの範囲で水準を決めることになります。両者では作業量が大きく変わります。
人工知能関連技術の研究開発及び活用の推進に関する法律（令和7年法律第53号）は、2025年6月に公布され、同年9月に全面施行されました。この法律は国の推進体制と基本計画の枠組みを定めるもので、第4条から第8条において国・地方公共団体・研究開発機関・活用事業者・国民のそれぞれに責務を規定しています。企業は第7条の「活用事業者」に当たります。
注意すべきは、この責務が罰則を伴う行為義務として書かれていない点です。総務省『令和8年版 情報通信白書』の第Ⅰ部第3章第3節「日本におけるAIガバナンス」は、日本の取組を「進化の速度が速いAI技術の特性を踏まえ、イノベーションの推進を妨げないよう、各分野の実情に応じ、ガイドラインを通じたソフトローによるガバナンスに取り組んできた」と説明しています。AI法の制定後も、この構図自体は変わっていません。
したがって「法律で社内規定の作成が義務づけられているか」への答えは、義務づけられていない、になります。ただしこれは「作らなくてよい」という結論には接続しません。理由は次項で述べます。
規定が必要になる理由は、法令上の義務ではなく、既存の法令と契約の適用を受ける行為が生成AIの利用に含まれているからです。具体的には3つあります。
第一に、個人情報保護法の適用です。個人情報保護委員会は2023年6月2日、生成AIサービスの利用に関する注意喚起を出しています。生成AIに個人データを入力する行為が同法上どう扱われるかは、AI法とは無関係に従来から論点であり続けています。
第二に、秘密保持契約の適用です。顧客から受領した情報を外部サービスに入力する行為が、契約上の第三者提供に当たるかどうかは契約文言によります。ここを社内で統一的に判断する基準がなければ、部門ごとに解釈が分かれます。
第三に、営業秘密としての保護要件です。不正競争防止法上の営業秘密には秘密管理性が要求されるため、機密情報が社外のサービスへ無管理で流出しうる状態は、保護要件そのものに影響します。
つまり社内規定は、AI法に対応するために作るのではなく、既存の法令と契約を生成AIという新しい経路に当てはめて解釈を固定するために作ります。この順序を取り違えると、AI法の条文を引き写しただけで実務判断に使えない規定ができます。
参照すべき公的文書は4つあり、それぞれ役割が違います。同列に並べて全部読もうとすると作業が終わらないので、どれが条文の根拠になり、どれが体制設計の根拠になるかを分けて扱います。
| 文書 | 決定時点 | 社内規定づくりでの役割 |
| AI法（令和7年法律第53号） | 2025年6月公布 2025年9月全面施行 |
自社が「活用事業者」に該当することの確認。条文の具体は持たない |
| 人工知能基本計画 | 第Ⅰ期 2025年12月23日 第Ⅱ期 2026年7月14日 |
国の政策方向。稟議書で「国策との整合」を示す材料になる |
| 適正性指針 | 2025年12月19日 | ガバナンス体制の設計根拠。考慮すべき10要素と基本方針4つ |
| AI事業者ガイドライン | 第1.2版 2026年3月31日 | 条文の具体的な項目。第5部が利用者向けの取組事項 |
この表で見落としやすいのは版と時点です。次項以降で、それぞれの現行版と、そこから何を取り出すかを示します。
AI事業者ガイドラインは総務省と経済産業省が策定する文書で、現行版は2026年3月31日公表の第1.2版です。初版が2024年4月19日、第1.01版が2024年11月、第1.1版が2025年3月28日と改定されてきました。経済産業省のAI事業者ガイドライン検討会と総務省のAIネットワーク社会推進会議が取りまとめを担っており、Living Documentとして更新が続いています。
社内規定づくりで使うのは第5部です。全42ページのうち40ページから42ページに「AI利用者に関する事項」が置かれ、7つの項目に整理されています。ここが条文の項目そのものになります。
もう一つ確認すべきは、対象者の定義です。ガイドラインは対象を「AI開発者」「AI提供者」「AI利用者」の3つに大別し、事業活動以外でAIを利用する者やAIサービスの便益を享受する者を「業務外利用者（一般利用者）」として対象に含めていません。この区分は、規定の適用範囲を決めるときに効きます。自社が生成AIを業務で使うだけなら「AI利用者」ですが、自社製品にAI機能を組み込んで顧客に提供するなら「AI提供者」の事項も適用されます。適用範囲の記載を曖昧にしたまま条文を書くと、製品開発部門と管理部門で守るべき水準が食い違います。
人工知能関連技術の研究開発及び活用の適正性確保に関する指針は、AI法第13条にもとづき2025年12月19日に人工知能戦略本部が決定した文書です。内閣府のページから本文と概要が公開されています。
この指針は「適正性についての一義的な定義や絶対的な水準を定めるものではなく」、各主体が自主的に取組を進める考え方を採っています。人間中心のAI社会原則（平成31年3月29日 統合イノベーション戦略推進会議決定）の理念を踏まえ、考慮すべき要素として人間中心・公平性・安全性・透明性・アカウンタビリティ・セキュリティ・プライバシー／個人情報・公正競争・AIリテラシー・イノベーションの10項目を挙げます。
条文設計で重要なのは、このうち人間中心の項に置かれた一文です。「AIを活用する範囲や条件については、人間自らが最終的な判断を行うこと」。抽象的に見えますが、後述する人事評価や与信判断のような用途で、承認プロセスに人間を必ず挟む根拠になります。
さらに指針は、適正性確保のための基本方針を4つ示しています。
| 基本方針 | 規定・体制に落とすときの意味 |
| リスクベースでのアプローチ | 全用途を一律に扱わず、用途別に対策の厚みを変える。脚注でレッドチーム等の内部テスト・独立した外部テストの採用が望ましいとされている |
| ステークホルダーの積極的な関与 | 管理部門だけで決めず、影響を受ける部門を設計に関与させる |
| 一気通貫でのAIガバナンスの構築 | 企画・開発・運用を別々の規程で扱わず一体で捉える |
| アジャイルな対応 | PDCAを回して成熟度を高める前提で作る。改定手続を規定自体に含める |
4つ目が実務上いちばん効きます。改定手続を規定に書いておかないと、モデルやサービスが変わるたびに規定が実態から乖離し、そのまま放置されます。
金融・医療・製造など、業種固有のガイドラインが別に存在する場合があります。これを見落とすと、全社規定を作った後に事業部門から「うちの業界の指針と整合していない」と差し戻されます。
内閣府が人工知能に関する各府省庁等のガイドライン等一覧を公開しています。着手時にこの一覧で自社の業種に該当するものを確認しておくと、後戻りを防げます。公的機関向けには、デジタル庁の「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン」（令和7年5月27日 デジタル社会推進会議幹事会決定）や、総務省の「自治体におけるAI活用・導入ガイドブック＜導入手順編＞」（2025年12月改訂）があり、民間企業でも調達や審査の設計を参照する価値があります。
ここは着手前に必ず決めます。決めずに走ると、情報セキュリティ規程と新設のAI利用規程で同じ論点に別の基準が書かれ、現場がどちらに従うべきか分からなくなります。
適正性指針は、この点について明確な記述を置いています。AIガバナンスの構築について、脚注で「ゼロベースからAIガバナンスを構築することに限らず、既存のITシステム等に適用されているガバナンスプロセスを活用することも有用である」としています。つまり新設は前提ではありません。
私たちが支援する際は、次の判断で分けています。既存の情報セキュリティ規程に「外部サービスへの情報持ち出しの区分」と「利用申請・承認のフロー」が既にあるなら、新設せず改訂で足ります。逆に、シャドーITの管理そのものが規程に存在しない場合は、AI利用を機に新設したほうが早い、という切り分けです。
改訂で進める場合、手を入れる箇所は限られます。情報区分の定義に「生成AIへの入力可否」の列を足す。外部サービス利用申請の対象に生成AIサービスを明示する。委託先管理の条項に、委託先が生成AIを使う場合の取扱いを足す。この3点です。全文を書き起こすより、既存の分類体系に列を足すほうが現場の学習コストが低くなります。
ここからが本題です。AI事業者ガイドライン第1.2版の第5部にある7項目を、条文に対応させます。ガイドラインは「取り組むべき事項」を示すだけで条文の書き方は示していないため、対応表を自社で作る作業が必要になります。
| ガイドライン第5部の項目 | 条文で決めるべきこと |
| U-2）安全を考慮した適正利用 | 利用を認めるサービスの一覧と、その追加手続。提供者の利用規約の遵守義務。想定どおり動作しているかの確認責任者 |
| U-3）入力データ・プロンプトのバイアスへの配慮 | 出力を事業判断に使う際の責任の所在（利用者が負う旨の明記） |
| U-4）個人情報の不適切入力とプライバシー侵害への対策 | 個人データの入力可否。可とする場合の条件（本人同意・委託契約・匿名加工の要否） |
| U-5）セキュリティ対策の実施 | 機密情報の入力禁止範囲。情報区分ごとの可否表 |
| U-6）関連するステークホルダーへの情報提供 | AI出力を用いた判断を社外に提示する際の開示ルール |
| U-7）i. ステークホルダーへの説明 | 問合せ窓口の設置。個人・集団の評価に使う場合の通知義務と説明責任 |
| U-7）ii. 文書の活用と規約の遵守 | サービスの規約・仕様文書の保管責任者と保管場所 |
この7項目のうち、実務で判断が割れるのは3つです。以下で個別に扱います。
「機密情報を入力しない」と書くだけの規定は、運用されません。何が機密情報かの判断が各自に委ねられるからです。既存の情報区分（社外秘・関係者外秘など）に、生成AIへの入力可否を列として足すのが確実です。
線引きで見落としやすいのは、契約上の制約です。顧客から受領した情報は、自社の情報区分では「社外秘」に分類されていても、契約で第三者提供が禁止されている場合があります。この場合、自社基準では入力可でも契約上は不可になります。したがって可否表には、自社の区分に加えて「受領元の制約があるか」の判定を必ず入れます。
もう一つは、サービス側のデータ取扱いがプランによって変わる点です。同じサービスでも、無料プランと法人向けプランで入力データの学習利用の既定が異なることがあります。規定に書くのは「サービス名」ではなく「サービス名とプラン、および契約形態」の組み合わせにしてください。個人アカウントでの利用を認めるかどうかも、ここで明示します。
ガイドライン第5部のU-6は、出力結果を事業判断に活用した際に、関連するステークホルダーへ合理的な範囲で情報提供することを求めています。実務に落とすと、記録を残す設計が必要になります。
ただし全利用の全ログを残すのは現実的ではありません。リスクベースアプローチに従い、記録を求める用途を限定します。私たちが設計する際は「社外に提示する成果物」「金額の意思決定に使う数値」「個人に影響する判断」の3つに絞り、それ以外は記録を求めない形にしています。記録の対象を広げすぎると、記録しないことが常態化して、必要な場面でも残らなくなります。
生成AIの出力特性として、ガイドラインおよび適正性指針はハルシネーション（脚注で「生成AIにより、事実とは異なることがもっともらしく出力されること」と定義）を挙げています。『令和8年版 情報通信白書』の第Ⅰ部第2章第1節4(1)は、これに加えて「ユーザーに過剰に同調してしまうシカファンシー」も名指しし、偏見やバイアスにつながる出力リスクも指摘しています。規定の遵守事項に「出力の検証責任は利用者が負う」と書くだけでなく、検証の手段を教育側で提供しないと、この条項は実質的に機能しません。
ガイドライン第5部のU-7）iには、他の項目より具体的な記述があります。AIの出力結果を特定の個人または集団に対する評価の参考にする場合、AIを利用している旨を評価対象者へ通知し、正確性・公正さ・透明性を担保する手続を遵守し、自動化バイアスも鑑みて人間による合理的な判断のもと、求めに応じて説明責任を果たすことを求めています。
この記述があるため、採用選考・人事評価・与信判断・与信に準ずる取引審査については、他の用途と同じ条文で扱えません。規定では別条を立て、次の4点を明記してください。対象者への通知の方法、人間による判断の介在（最終決定を人間が行う旨）、判断根拠の記録、説明を求められた場合の対応窓口です。
実務では、この4点を満たせない用途は「当面は対象外とする」と規定に書いてしまうほうが安全です。禁止ではなく対象外として、要件が整った段階で追加する運用にします。
ここが最も差が出る部分です。規定の完成度と、生成AIが安全に使われている状態は、直接つながりません。
止まりません。『令和8年版 情報通信白書』の第Ⅰ部第2章第1節4(2)「AI導入・活用による効果創出のステップ」は、この問題を正面から扱っています。「社員が個人の判断でAIを業務に使用する『シャドーAI』は、入力した機密情報の流出等のリスクを孕む」と述べたうえで、対策としてこう書いています。
企業内に、情報漏えい対策等を適切に施した生成AIの活用環境を整備し、あわせて、利用時のルールやガイドラインを整備・周知することで、生成AIを個人作業の効率化のために安全に活用できるようになる。
順序に注目してください。環境の整備が先で、ルールの整備・周知が後です。使える環境がないまま禁止だけを通達すると、利用は把握できない場所へ移ります。規定の整備と、社内で安全に使える環境の提供は、同時に設計する必要があります。
この構造は、業務アプリを現場が自作しはじめたときに起こることと同じです。
同じ白書のページは、環境を整備しても「一部の積極的な社員が活用するのみで、全社的な活用と効果創出に至らない可能性もある」と指摘しています。ヒアリング対象となったAI活用先進企業は、活用環境の整備で終わらせず、活用ユースケースの収集や社内展開、定期的なワークショップ開催といった促進策を実施することで全社浸透を実現したとされています。
具体例として白書が挙げているのは日清食品グループです。生成AIの活用効果を見込める対象業務を部門ごとに選定し、プロンプトのテンプレートを作成し、AI活用効果を測定する取組を少しずつ社内展開した結果、社内の生成AI利用率が直近では7割超に到達したとされています（原典は日清食品ホールディングスの2024年3月期テーマ別IR資料）。
ここから読み取れる設計上の要点は、部門ごとに対象業務を選ぶという粒度です。全社共通のルールは規定で示せますが、どの業務にどう使うかは部門ごとに違います。規定の周知だけを行い、業務単位の適用は現場に任せる進め方では、積極的な社員のいる部門だけが伸びます。
適正性指針は、活用事業者が特に取り組むべき事項の第一に「AIガバナンスによる俯瞰的な適正性の確保」を挙げ、その中身を次のように書いています。設計・開発・提供・実装等のライフサイクル全体でリスクを特定・評価・対処するための組織的なプロセスを構築・運用・継続改善すること。そして括弧書きで、そのプロセスに含まれるものを具体的に列挙しています。経営層の関与したモニタリングや評価の仕組み、情報の適切な開示、教育・研修の実施です。
この3つが列挙されている意味は、規定の所管部門を決めるだけでは足りない、ということです。経営層のモニタリング、開示、教育のそれぞれに担い手が必要になります。
白書の第Ⅰ部第2章第1節4(1)は、先進企業の組織体制をこう記述しています。事業部門の現場における個別のニーズや課題意識を検討の起点とし、そこにDX推進部門が伴走支援を行う。伴走支援の中身は、アイデアの創出、AI導入に際しての技術的アドバイス、セキュリティ対策、効果測定、AIスキル等の学習や知見共有の機会設定です。DX推進部門はこれと並行して、全社DX戦略にもとづく共通基盤の整備、部門横断的な変革の推進、効果測定を担っているとされています。
同ページの「（エ）ルール・ガバナンス体制の整備」には、規定を作った後に必要になる作業が具体的に書かれています。先進企業では、従来からのAI統制・AIリスク管理に加えて、利用ポリシーやガイドライン整備、評価スキームの仕組みづくりを進めており、法務部門等の各部門と協力して対応に当たるとしています。さらに次の記述があります。
生成AIと社内データや社内システムとの連携が普及していく中で、データへのアクセス権限についても、より慎重に設定する必要が出ている。AI活用先進企業の社内でも、部門や職階によってアクセスすべきでない情報を出力することがないよう、AIが参照するデータの範囲を絞って利用可能にするなどの対策がとられている。
これは規定の条文では解決できない領域です。AIに社内データを参照させる段階に入ると、統制の対象は「入力してよい情報」から「AIが参照できるデータの範囲」へ移ります。ここはデータ基盤側の設計になります。単一の信頼できる情報源をどう作るかについてはSSOT（信頼できる唯一の情報源）とは ─ AI時代のデータガバナンスの基本で扱っています。
国際規格を体制の枠組みに使う選択肢もあります。適正性指針は脚注でISO/IEC 42001（AIマネジメントシステム）を明示し、国際規格に基づくマネジメント体制の整備・運用によってリスクの管理・制御を図り、社会的・倫理的責任を果たすことが可能と述べています。そのうえで「これらの取組を積極的に開示・説明することが、企業価値の向上や競争優位性の確保にもつながるものと期待される」としています。認証取得を目的化する必要はありませんが、体制の項目立てを自社で発明せずに済むという実利があります。
規定を配布した時点では、実効性は測れません。何をもって機能していると判断するかを、先に決めておく必要があります。
参考になるのは、公的調査が示す「よくある停滞の形」です。IPAが2026年7月16日に公表した国内企業のDX動向・AI活用動向（回収1,799社、調査期間2026年4月17日〜6月12日）は、AI導入による具体的効果の内訳を示しています。
| AI導入による具体的な効果の内容 | 回答割合 |
| 業務が効率化したり迅速化した | 91.6% |
| 企画提案等の品質や速さが向上した | 48.9% |
| 残業時間の削減につながった | 29.2% |
| 顧客満足度が向上した | 4.5% |
| 売上や利益が向上した | 3.9% |
| 対象となる顧客が拡大した | 2.7% |
効率化は9割を超える一方、売上や利益への波及は3.9%です。同調査では、AI導入効果が「期待以上」「期待どおり」と答えた企業の合計は31.8%で、「一定の効果はあった」が50.6%と最多でした。IPAはこの状況を「広がるAI導入、DXは変われるか」という表題で整理しています。
この分布を見ると、規定の実効性指標を「インシデント件数ゼロ」だけに置くのは適切ではないと分かります。禁止を徹底すれば件数はゼロになりますが、そのとき利用も伸びません。私たちが設計する際は、指標を2軸で持ちます。安全側は「申請の承認までの日数」と「未申請利用の発見件数」、活用側は「部門別の利用率」と「利用が定着した業務の数」です。日数を測る理由は、承認が遅い規定は回避されるからです。
あわせて、参照している調査結果も確認しておくと、自社の位置が分かります。総務省『令和8年版 情報通信白書』では、生成AIのリスク対策として「全社的な指針やガイドラインを整備」が41.1%で最多である一方、他3か国（米国・ドイツ・中国）では「企画・導入段階の専門的な審査体制」「導入後の定期的な評価・検証」が日本より高いとされています。組織的な取組状況では、組織的に取り組んでいる企業が65.6%、「組織的な取組はない」が27.0%で、この27.0%は米独中より顕著に高い水準です。
つまり日本企業の典型的な状態は、ガイドラインは作るが、審査体制と事後検証は相対的に弱い、という形です。規定を作った次の一手として審査と検証を設計しておくと、この典型から抜けられます。
最後に、実際の進め方を示します。私たちがAI活用の前提整備を支援する際は、次の順序で決めています。文書の作成から始めないのが要点です。
第一に、利用実態の棚卸しをします。どの部門が、どのサービスを、どのアカウント（法人契約か個人アカウントか）で使っているかを一覧にします。ここを飛ばして規定を書くと、既存の利用が全部違反になる規定ができ、施行初日から形骸化します。
第二に、既存規程の該当箇所を特定します。情報区分の定義、外部サービス利用申請、委託先管理の3箇所を確認し、新設か改訂かを決めます。
第三に、社内で安全に使える環境を決めます。白書が示す順序どおり、環境が先です。どのサービスのどのプランを法人契約で用意するかを決めてから、規定の可否表を書きます。
第四に、条文を書きます。ガイドライン第5部の7項目に対応させ、人事評価等の個人に影響する用途は別条にします。改定手続を条文に含めます。
第五に、教育と促進策を設計します。総務省は「生成AIはじめの一歩 ～生成AIの入門的な使い方と注意点～」を公開しており、基礎知識と注意点の教材として使えます。全社共通の基礎はこうした公的資料で足り、社内で作るべきは部門別の業務適用例です。
第六に、指標を決めて運用に渡します。承認までの日数、未申請利用の発見件数、部門別利用率、定着業務数の4つを最初の四半期から測ります。
この順序で進めると、規定は「配って終わり」の文書ではなく、運用の起点になります。逆に、条文の作成から着手した案件は、ほぼ例外なく施行後の改定で手戻りが発生しています。
出発点としては有効ですが、そのままでは施行できません。ひな形が持てないのは、自社の情報区分との対応、契約上の制約がある情報の扱い、法人契約しているサービスとプランの一覧、この3つです。いずれも自社固有の情報であり、ここが埋まっていない規定は現場が判断に使えません。
全面的な作り直しは通常必要ありません。ただし現行版は2026年3月31日公表の第1.2版なので、参照先の版表記は更新してください。監査や取引先の審査で「参照している指針が最新版か」を問われることがあり、版表記が古いままだと、内容が妥当でも説明の手間が増えます。
短期の判断としてはあり得ますが、禁止だけでは利用は止まりません。総務省『令和8年版 情報通信白書』は、社員が個人の判断で使うシャドーAIが機密情報の流出リスクを孕むとしたうえで、対策として「安全に使える環境の整備」と「ルールの整備・周知」を並置しています。禁止する場合も、代替として何を使えるかを同時に示さないと、把握できない利用が残ります。
どちらか一方に寄せると機能しません。適正性指針が求めるガバナンスには、経営層の関与したモニタリング、情報の開示、教育・研修が含まれるためです。私たちが支援する際は、条文の所管を法務、可否表とサービス選定を情報システム、教育と促進策をDX推進部門に分け、経営層への報告経路を1本に束ねる形を採っています。
同一の規定をそのまま適用するのではなく、委託先管理の条項で要求水準を示す形が現実的です。委託先が自社の業務で生成AIを使う場合、こちらの機密情報がその入力に含まれうるため、契約側で入力可否を明示する必要があります。グループ会社については、法人契約しているサービスとプランが異なる場合があるため、可否表を共通化する前に契約状況の棚卸しが必要です。
禁止の通達より先に、棚卸しをしてください。どの業務でどのサービスを使い、どんな情報を入力しているかを把握します。禁止から入ると利用が申告されなくなり、リスクの所在が見えなくなります。実態を把握したうえで、契約上の制約がある情報を扱っているものから順に法人契約へ移す進め方が安全です。
認証取得そのものが目的になる必要はありません。適正性指針は、国際規格に基づくマネジメント体制の整備・運用がリスクの管理・制御に有効であり、その取組を開示・説明することが企業価値の向上や競争優位性の確保につながると述べています。認証を取らない場合でも、体制の項目立てを規格の構成に合わせておくと、取引先の審査で説明しやすくなります。
審査体制と事後検証です。総務省『令和8年版 情報通信白書』では、日本企業のリスク対策は「全社的な指針やガイドラインを整備」が41.1%で最多ですが、他3か国では「企画・導入段階の専門的な審査体制」「導入後の定期的な評価・検証」が日本より高い水準にあります。規定の整備で止まっているのが日本企業の典型的な状態なので、審査と検証の設計が次の差になります。
生成AIの社内規定は、AI法が義務づけているものではありません。それでも必要になるのは、個人情報保護法・秘密保持契約・営業秘密の保護要件という既存の枠組みが、生成AIという新しい経路にも適用されるからです。この順序を押さえると、条文に何を書くべきかが決まります。
参照すべき現行の文書は、AI事業者ガイドライン第1.2版（2026年3月31日）、適正性指針（2025年12月19日）、人工知能基本計画第Ⅱ期（2026年7月14日）です。条文の具体はガイドライン第5部の7項目から取り、体制の設計は適正性指針の基本方針4つから取ります。新設か改訂かは、既存の情報セキュリティ規程に情報区分と外部サービス利用申請があるかで決まります。
そして最も重要なのは、環境の整備が規定より先だということです。総務省『令和8年版 情報通信白書』は、シャドーAIへの対策として、安全に使える環境の整備とルールの整備・周知をこの順序で並べています。使える場所がないまま禁止を通達すれば、利用は把握できない場所へ移ります。
規定を配った後に測るべきは、インシデント件数だけではありません。承認までの日数と部門別の利用率を並べて見ることで、安全と活用のどちらが詰まっているかが分かります。IPAの2026年調査でAI導入の効果が業務効率化91.6%に対し売上・利益向上3.9%という分布になっているのは、規定と環境を整えた次の段階、つまり業務単位での適用設計に踏み込めていない企業が多いことを示しています。
生成AIを前提とした業務設計や、AIが参照するデータ基盤の整備についてのご相談は、株式会社100の問い合わせ窓口で承っています。
本記事に記載した公的文書の版・決定日、および統計数値は2026年9月10日時点で各一次情報から取得したものです。AI事業者ガイドラインはLiving Documentとして更新されるため、参照時点の最新版をご確認ください。