ChatGPTの社内ルールとは、「誰が・どの業務で・どこまでの情報を入力してよいか」を明文化した社内の約束事です。このルールがないまま利用を始めると、顧客情報や見積書の内容が社外のサーバーに送られてしまうリスクが残ります。
一方で、「危ないから禁止」としてしまうと、社員は自分のスマートフォンから勝手に使い始めます。会社が把握できない場所で使われる状態こそが、最も危険な状態といえるでしょう。
本記事では、中小企業がすぐに使えるChatGPTの社内ルールの作り方を、情報漏洩対策の5原則と規程テンプレートつきで解説します。従業員10〜50名の会社を想定し、専任の情報システム担当者がいなくても運用できる形にまとめました。
この記事の結論
禁止ではなく「入れてよい情報の線引き」をルール化するのが中小企業の現実解です 法人向けプラン（月額約4,500円/人）に切り替えるだけで、入力内容の学習利用は止まります A4で1〜2枚の利用規程と月1回の運用確認があれば、中小企業の備えとしては十分ですChatGPTの社内ルールとは？中小企業に必要な理由
ChatGPTの社内ルールとは、AIに入力してよい情報の範囲と、使ってよい業務を定めた社内文書です。総務省・経済産業省が公開する「AI事業者ガイドライン（第1.1版）」でも、AIを使う側の企業に対して利用方針の明文化が求められています。従業員10〜50名の中小企業であれば、A4で1〜2枚の規程から始めれば十分に機能します。
なぜルールが必要なのでしょうか。理由は、社員個人が無料版で使い始めた場合、入力した内容がAIの学習データとして使われる可能性があるからです。見積書の金額、顧客名簿、まだ公表していない新製品の情報。こうしたものが一度外部に渡ると、取り消すことはできません。
実際、UWANが伴走した従業員28名の建設会社では、支援に入る前の時点で社員6名が個人のアカウントで業務利用していました。会社としては「導入していない」つもりでも、現場ではすでに使われていたわけです。
「シャドーAI」が最大のリスク
会社が把握しないまま社員が個人で使う状態を「シャドーAI」と呼びます。ルールがないから起きるのではなく、「禁止」だけを伝えて代わりの手段を用意しなかったときに起きる現象です。
社員に悪意はありません。目の前の仕事を早く終わらせたいだけです。だからこそ、会社が「ここまでは使っていい」という線を引くことが、そのまま情報漏洩対策になります。
禁止か解禁かの二択で考えない
中小企業でよくある失敗は、「全面禁止」か「全面自由」の二択で考えてしまうことです。実際に必要なのは、その間にある線引きです。
| 方針 | 起きること | 評価 |
|---|---|---|
| 全面禁止 | 社員が個人アカウントで隠れて使う | ✕ 最も危険 |
| 全面自由 | 顧客情報がそのまま入力される | ✕ 漏洩リスク大 |
| 線引きルール | 使ってよい範囲で安全に活用できる | ◎ 推奨 |
\ 専門スタッフが丁寧にご案内します /
お気軽にご相談ください
ChatGPT利用で起きる情報漏洩リスク5つ
ChatGPTで起きる情報漏洩は、大きく5種類に分けられます。中小企業で現実に起きやすいのは、このうち「入力による流出」と「アカウント管理の不備」の2つです。技術的に高度な攻撃よりも、日常の使い方の中に危険が潜んでいます。
リスク1: 入力した情報が学習に使われる
無料版・個人向け有料版（ChatGPT Plus）では、初期設定のまま使うと入力内容がAIの改善に利用される場合があります。オプトアウト（学習に使わせない設定）は可能ですが、社員全員が正しく設定しているかを会社が確認する手段はありません。
これが、法人向けプランへの切り替えが最も確実な対策になる理由です。
リスク2: 個人情報保護法に触れる入力
顧客の氏名・住所・電話番号を含む名簿をそのまま貼り付ける行為は、個人情報の第三者提供にあたる可能性があります。個人情報保護委員会は2023年6月、生成AIサービスの利用にあたって個人情報の取り扱いに注意するよう注意喚起を出しています。
「要約させたいだけ」という軽い気持ちが、法令違反につながる場面です。
リスク3: 取引先との秘密保持契約（NDA）違反
取引先から受け取った図面・仕様書・見積書には、多くの場合NDAがかかっています。これを外部サービスに入力することは、契約違反と判断されるおそれがあります。
製造業・建設業では特に注意が必要な項目といえるでしょう。損害賠償や取引停止につながれば、影響は情報漏洩そのものより大きくなります。
リスク4: アカウントの共有・使い回し
「1つのアカウントを部署で共有すれば安く済む」という判断は、危険です。誰が何を入力したかを追えなくなり、退職者がアクセスを持ち続ける事態も起こります。
利用規約の面でもアカウント共有は認められていません。人数分のライセンスを持つことが前提です。
リスク5: 誤った回答をそのまま使ってしまう
情報漏洩とは別に、AIが事実と異なる内容を自信ありげに答える現象（ハルシネーション）があります。法令の条文、補助金の要件、取引先の実績などをAIの回答のまま社外に出すと、会社の信用問題になります。
| リスク | 発生しやすさ | 影響の大きさ | 主な対策 |
|---|---|---|---|
| 入力情報の学習利用 | 高 | 中 | 法人プランへ切り替え |
| 個人情報の入力 | 高 | 大 | 入力禁止情報の明文化 |
| NDA違反 | 中 | 大 | 取引先資料の入力禁止 |
| アカウント共有 | 中 | 中 | 1人1アカウント運用 |
| 誤情報の利用 | 高 | 中 | 人による最終確認の義務化 |
情報漏洩を防ぐ5つの対策
中小企業が実行すべき情報漏洩対策は5つです。専任の情報システム担当がいなくても、社長と総務担当の2名で1週間あれば整えられます。順番としては、まず法人プランへの切り替えから着手するのが効率的です。
対策1: 法人向けプランに切り替える
最も効果が大きく、最も手間が少ない対策です。ChatGPT Businessプラン（旧Team）では、入力内容がAIの学習に使われない設定が標準になっています。
| プラン | 月額（1人あたり） | 学習利用 | 管理機能 |
|---|---|---|---|
| 無料版 | 0円 | 設定次第で使われる | なし |
| Plus（個人） | 約3,000円 | 設定次第で使われる | なし |
| Business（法人） | 約4,500円 | 使われない | あり |
| Enterprise | 個別見積 | 使われない | あり（高度） |
※価格は2026年7月時点の目安。為替・プラン改定により変動します。最新の金額はOpenAI公式サイトでご確認ください。
10名で導入した場合、月額は約4万5,000円です。社員1人が月に3時間分の作業を短縮できれば十分に回収できる水準といえます。
対策2: 入力してはいけない情報を4つに絞って明示する
禁止事項を20項目並べても、誰も覚えません。中小企業では4項目に絞るのが実用的です。
顧客・社員の個人情報（氏名・住所・電話番号・メールアドレス） 取引先から預かった資料（図面・仕様書・見積書） 自社の未公開情報（原価・利益率・新製品の計画） パスワード・IDなどの認証情報この4つを紙1枚に印刷し、各自のデスクに貼るだけでも効果があります。UWANが伴走した企業では、この掲示だけで「入力前に一度考える」習慣が定着しました。
対策3: 1人1アカウントで管理する
法人プランでは管理画面から利用者を追加・削除できます。入社時に発行し、退職時に即削除する運用を、既存の入退社手続きに組み込んでください。
新しい管理業務を増やすのではなく、今ある手続きに1行足すのがコツです。
対策4: 出力内容は必ず人が確認する
AIが作った文章をそのまま社外に出さない。これを規程に一文入れておきます。特に、金額・日付・固有名詞・法令に関する記述は、担当者が目視で確認する運用にしましょう。
「AIは下書きまで、仕上げは人」という線引きが、そのまま品質管理になります。
対策5: 相談窓口を1人決めておく
「これは入力していいのか」と迷ったときに聞ける相手を、社内に1人決めます。総務担当でも社長でも構いません。
判断に迷ったまま使われるより、聞いてもらったほうが安全です。窓口があるだけで、シャドーAIは大きく減ります。
そのまま使える社内ルール（利用規程）テンプレート
以下は、従業員10〜50名の中小企業を想定した利用規程のひな形です。会社名と担当部署名を書き換えれば、A4で1〜2枚の社内文書としてそのまま使えます。まずはこの形で運用を始め、3か月後に実態に合わせて見直す進め方をおすすめします。
生成AI利用規程（ひな形）
第1条（目的）
本規程は、当社における生成AIサービス（ChatGPT等）の業務利用に関し、情報の適切な管理と業務の効率化の両立を図ることを目的とする。
第2条（対象となるサービス）
会社が契約した法人向けアカウントを対象とする。個人が契約したアカウントを業務に使用してはならない。
第3条（利用できる業務）
次の業務での利用を認める。
（1）文章の下書き・要約・校正
（2）アイデア出し・企画のたたき台作成
（3）調査の一次情報収集
（4）表計算・文書作成の操作方法の確認
第4条（入力してはならない情報）
次の情報を入力してはならない。
（1）顧客および従業員の個人情報
（2）取引先から提供を受けた秘密情報
（3）当社の未公開の経営情報・技術情報
（4）ID・パスワード等の認証情報
第5条（出力内容の取り扱い）
生成された内容は下書きとして扱い、社外に提出する前に担当者が事実関係を確認するものとする。特に金額、日付、法令、固有名詞については必ず一次情報で裏付けを取る。
第6条（アカウントの管理）
アカウントは1人1つとし、他者との共有を禁止する。異動・退職時は速やかに利用権限を停止する。
第7条（相談窓口）
本規程の解釈および利用可否の判断に迷う場合は、〇〇部〇〇に相談すること。
第8条（違反時の対応）
本規程に違反した場合は、就業規則の定めるところにより対応する。
附則
本規程は〇年〇月〇日より施行する。運用状況に応じて、少なくとも年1回見直しを行う。
※本ひな形は一般的な内容をまとめたものです。業種特有の守秘義務や個別の契約がある場合は、顧問弁護士・社会保険労務士にご確認ください。
\ 専門スタッフが丁寧にご案内します /
お気軽にご相談ください
社内ルールの作り方4STEP
規程を配って終わりにすると、ほぼ確実に読まれません。中小企業では、作成から浸透までを4つの段階に分けて、2週間程度で回すのが現実的です。UWANが伴走した企業でも、この進め方で全社利用率が2か月で7割を超えました。
STEP1: 今の使用実態を聞き取る（1〜2日）
まず、すでに誰が何に使っているかを把握します。ここで「使っている人を責めない」と最初に宣言してください。責める空気があると、正直な回答は集まりません。
「使っている／使っていない」「どんな業務で」の2問だけで十分です。
STEP2: 使ってよい業務を決める（半日）
禁止事項より先に、「使っていい業務」を決めます。文章の下書き、要約、アイデア出しの3つから始めれば、リスクは低く効果は見えやすくなります。
社員が最初に感じるのは「怒られないか」という不安です。許可されている範囲が明確なら、その不安は消えます。
STEP3: 規程を作り、法人プランを契約する（3〜5日）
前章のひな形をもとに規程を作成し、同時に法人向けプランを契約します。順番が逆になると、規程だけあって使う手段がない状態になります。
全社一斉ではなく、まず5名程度で始める方法もあります。
STEP4: 30分の説明会を開き、月1回振り返る（継続）
配布だけで終わらせず、30分の説明会を開きます。内容は「入れてはいけない4項目」と「使っていい3業務」だけに絞ってください。
その後は月1回、朝礼などの場で「今月うまくいった使い方」を1つ共有します。ルールを守らせる会ではなく、便利な使い方を広める会にするのがポイントです。
| STEP | 内容 | 目安期間 | 担当 |
|---|---|---|---|
| 1 | 使用実態の聞き取り | 1〜2日 | 総務 |
| 2 | 使ってよい業務の決定 | 半日 | 社長・総務 |
| 3 | 規程作成・法人契約 | 3〜5日 | 総務 |
| 4 | 説明会・月次振り返り | 継続 | 社長 |
自社に合ったルールの決め方・判断軸
ルールの厳しさは、会社が扱う情報の種類で決まります。同じ従業員30名でも、飲食業と医療関連では必要な水準が違います。判断軸は「取引先から預かる秘密情報の量」と「個人情報の量」の2つです。
取引先の秘密情報を多く扱う場合（製造業・建設業・設計）
図面や仕様書を日常的に預かる業種では、法人プランの契約を必須とし、取引先資料の入力を明確に禁止してください。加えて、主要取引先とのNDAにAI利用に関する条項があるかを確認しておくと安心です。
この場合、社内資料のみを扱う業務から使い始めるのが安全な進め方です。
個人情報を多く扱う場合（不動産・人材・士業）
顧客名簿や履歴書を扱う業種では、個人情報の入力禁止を徹底したうえで、「氏名を伏せてから入力する」という具体的な手順まで規程に書き込みます。手順まで書かないと、現場での判断がぶれます。
匿名化の実例を1つ示しておくと、定着が早くなります。
社内向け業務が中心の場合（小売・サービス業）
社内資料や公開情報の扱いが中心であれば、ひな形そのままの運用で問題ありません。むしろ、禁止を増やしすぎて使われなくなるほうが機会損失になります。
| 会社のタイプ | 必要な厳しさ | 優先する対策 |
|---|---|---|
| 製造業・建設業 | 高 | 法人プラン＋取引先資料の入力禁止 |
| 不動産・人材・士業 | 高 | 個人情報の匿名化手順を明文化 |
| 小売・サービス業 | 中 | ひな形のまま運用、使い方の共有を重視 |
| 従業員10名未満 | 中 | 規程1枚＋社長が窓口 |
よくある失敗3パターンと回避策
社内ルールを作った企業がつまずくのは、規程の中身ではなく運用の設計です。よくある失敗は3つあり、いずれも導入から1か月以内に表面化します。事前に知っておけば、どれも避けられます。
失敗1: 禁止事項が多すぎて誰も使わなくなる
安全側に寄せすぎて禁止項目を15個並べた結果、社員が「面倒だから使わない」と判断するパターンです。ルールは守られましたが、効果はゼロになります。
回避策は、禁止を4項目に絞り、代わりに「使っていい業務」を先に示すことです。
失敗2: 規程を配っただけで説明しない
メールで規程を送って終わり、というパターンです。読まれないまま、以前と同じ個人アカウント利用が続きます。
回避策は、30分の説明会を必ず開くこと。伝える内容は2つだけに絞れば、負担にはなりません。
失敗3: 導入後の振り返りがない
初月は盛り上がったのに、3か月後には誰も使っていない。これが最も多いパターンです。原因は、成果が共有されないことにあります。
回避策は、月1回・5分でよいので「今月の便利だった使い方」を共有する場を作ることです。1人の成功例が、次の月の3人を動かします。
—
次に読むべき記事
▶ 関連記事: 2026年に中小企業が導入すべきAIツール10選
▶ 関連記事: AIツール導入コスト比較2026｜ChatGPT・Copilot・Geminiを中小企業が選ぶための費用対効果早見表
▶ 関連記事: CloudflareのMCPとは？AIが社内システムと安全につながる新常識を3つのポイントで解説
▶ 関連記事: AIを使った競合分析のやり方｜中小企業が無料・低コストで自社ポジションを把握する方法
▶ 関連記事: AIツール選びで失敗しない比較軸5つ｜中小企業が「機能より先に」確認すべきサポート・セキュリティ・コスト構造
▶ 関連記事: ChatGPT 業務効率化の完全マップ｜中小企業が今日から使える12のユースケースと自動化テンプレート
▶ 関連記事: AIの「ハーネス」とは？ChatGPTを使わせる仕組みが中小企業にも必要な理由
▶ 関連記事: 「Open Executive」とは？AIがCFOや人事部長になる時代、中小企業はどう向き合うべきか
▶ 関連記事: 「AI社員証」「AI委任状」とは？ AIエージェントに社員と同じ管理が必要になる理由
よくある質問
Q1. 無料版のままでも、設定を変えれば安全に使えますか？
設定でオプトアウト（学習に使わせない）はできますが、社員全員が正しく設定したかを会社側で確認できません。管理者が一括で設定を確認・制御できる法人プランへの切り替えをおすすめします。月額約4,500円/人で、この不確実性を解消できます。
Q2. 従業員5名の会社でも規程は必要ですか？
必要です。ただしA4で1枚、入力禁止4項目と相談窓口（社長）を書くだけで十分です。少人数の会社ほど1件の情報漏洩が経営に直結するため、簡素でも文書として残す意味があります。
Q3. 導入前に、どのくらいの費用と期間を見ておけばよいですか？
10名規模なら、法人プランの月額約4万5,000円と、規程作成・説明会に社内で合計10時間程度が目安です。外部に相談する場合でも、規程作成の支援であれば数万円〜が相場です。まずは5名で始めて、効果を見てから広げる方法もあります。
Q4. すでに社員が個人アカウントで使っています。どう対応すべきですか？
過去の利用を責めず、まず何に使っていたかを聞き取ってください。そのうえで法人アカウントを配布し、「今日からはこちらを使う」と切り替えます。責める対応をすると、隠れた利用がかえって増えます。
Q5. 他社のAIサービスにも同じルールを適用できますか？
適用できます。規程の第2条を「生成AIサービス全般」と書いておけば、Gemini・Claudeなど他のサービスにもそのまま使えます。サービスごとに規程を作り直す必要はありません。
—
まとめ：ルールを決めて、安心してAIを使おう
ChatGPTの社内ルールで大切なのは、禁止することではなく線を引くことです。法人プランへの切り替え、入力禁止4項目の明示、1人1アカウント、人による最終確認、相談窓口の設置。この5つが揃えば、中小企業の備えとしては十分といえるでしょう。
規程は完璧である必要はありません。A4で1〜2枚から始めて、3か月後に実態に合わせて直せば十分です。むしろ、完璧を目指して着手が遅れるほうが、シャドーAIのリスクを長く抱えることになります。
まずは今週中に、社員に1つだけ聞いてみてください。「ChatGPTを仕事で使ったことはありますか」。その答えが、御社のルールづくりの出発点になります。
