⚠ 本書式は弁護士監修前の草稿である。監修完了まで販売・配布・公開を禁止する。 本書式は一般的な情報提供を目的としたものであり、個別・具体的な法律相談に代わるものではない。

生成AI利用ガイドライン(社内)

第1部: 書式本文

第1条(目的) 本ガイドラインは、〇〇〇〇(以下「当社」という。)の従業員が業務において生成AIツール(以下「生成AI」という。)を利用するにあたっての基準を定め、情報漏えい及び知的財産権侵害等のリスクを防止することを目的とする。

第2条(適用範囲) 本ガイドラインは、当社が業務利用を承認した生成AIサービス(以下「承認済みツール」という。)を利用するすべての従業員に適用する。

第3条(利用可能なツールの限定) 従業員は、情報システム部門が承認したツール一覧に掲載された承認済みツールのみを業務に利用することができる。未承認のツールを業務で利用してはならない。

第4条(入力禁止情報) 従業員は、承認済みツールへの入力にあたり、次の各号の情報を入力してはならない。 一 顧客又は取引先の個人情報(氏名、連絡先、契約内容等) 二 従業員の人事情報(評価、給与、健康情報等) 三 未公開の財務情報、M&A情報その他のインサイダー情報 四 取引先との秘密保持契約の対象となる技術情報又は営業情報 五 第三者の著作物であって、入力すること自体が著作権法上の複製又は公衆送信に該当するおそれがあるもの(承認済みツールの利用規約上、入力データが学習に利用されない設定が確認されている場合を除く。)

第5条(個人情報保護法上の目的外利用の防止) 従業員は、当社が保有する個人情報を生成AIに入力するにあたり、個人情報保護法第18条に定める利用目的の範囲を超える利用とならないよう留意する。当該個人情報の取得時の利用目的に「AIサービスへの入力」が含まれない場合、原則として入力してはならない。

第6条(著作権法上の留意事項) 1. 従業員は、生成AIの利用が著作権法第30条の4に定める情報解析目的の利用として整理される場合であっても、生成された出力物をそのまま公表又は配布する場合には、当該出力物と既存の著作物との類似性及び依拠性が認められる場合、著作権侵害となりうることに留意する。 2. 従業員は、生成AIを利用して作成した文章、画像等の成果物を対外的に公表する前に、既存の著作物との類似性について合理的な範囲で確認する。 3. 著作権法第47条の5(電子計算機による情報処理及びその結果の提供に付随する軽微利用等)の適用範囲は限定的であり、生成物の利用態様によっては同条の適用が及ばない場合があることに留意する。

第7条(出力内容の正確性の確認) 従業員は、生成AIの出力内容をそのまま業務資料、対外的な文書又は顧客への回答に利用する前に、内容の正確性を自ら確認する。生成AIの出力に事実と異なる内容(いわゆるハルシネーション)が含まれる可能性があることを常に念頭に置く。

第8条(生成物の著作物性に関する留意) 従業員は、生成AIが人間の創作的関与なく自律的に生成した表現については、著作権法上の著作物として保護されない可能性があることを理解し、自社の重要な成果物についてはこの点を考慮した利用を行う。

第9条(承認手続) 新たな生成AIサービスの業務利用を希望する部門は、情報システム部門及び法務部門に対し、利用目的、入力データの種類及び当該サービスの利用規約(特にデータの学習利用に関する条項)を提出し、承認を得るものとする。

第10条(違反時の対応) 本ガイドラインに違反した利用が判明した場合、当社は当該利用を停止させ、必要に応じて社内規程に基づく措置を講じる。

第11条(教育及び周知) 当社は、従業員に対し、生成AIの利用に関する研修を年1回以上実施する。

第12条(改定) 本ガイドラインは、生成AI技術及び関連法令の動向を踏まえ、随時改定する。

第2部: 立場別・場面別の書き換えパターン

A. 従業員向けの修正

A-1. 業務効率化のための例外的許容範囲の明確化

追加条文例:「一般に公開されている情報のみを用いた文章の要約、翻訳及び校正については、入力禁止情報に該当しない限り、従業員の判断で承認済みツールを利用することができる。」 一言解説: すべての利用について都度承認を求める運用は現場の生産性を損なうため、リスクの低い利用類型を明確化し、従業員の自律的な判断を認める修正である。

A-2. 誤情報混入時の免責と報告義務の分離

修正後:「従業員が第7条の確認義務を尽くしたにもかかわらず生成AIの誤った出力に起因して問題が生じた場合、当該従業員個人への懲戒的な責任追及は行わないものとし、原因究明と再発防止を優先する。」 一言解説: 確認義務を果たした従業員が萎縮せずに生成AIを活用できるよう、個人への懲戒よりも組織的な再発防止を優先する姿勢を明確にする修正である。

B. 管理部門向けの修正

B-1. 入力データのログ監査権限の追加

追加条文例:「情報システム部門は、承認済みツールへの入力内容について、本ガイドラインの遵守状況を確認するため、必要な範囲でログを監査することができる。」 一言解説: 入力禁止情報の混入を事後的に検知するため、管理部門による監査権限を明記する修正である。

B-2. 未承認ツール利用の技術的遮断

追加条文例:「情報システム部門は、未承認の生成AIサービスへのアクセスを、業務用ネットワーク及び端末において技術的に制限する措置を講じることができる。」 一言解説: ガイドラインによる注意喚起だけでなく、シャドーIT化を防ぐための技術的な統制を管理部門に認める修正である。

第3部: 書き方と法的ポイント解説

使う場面/使ってはいけない場面 本書式は、企業が従業員による生成AIツールの業務利用について統一的な基準を設ける社内規程として用いる。他方、自社製品・サービスに生成AI機能を組み込んで顧客に提供する場合には、顧客向けの説明・同意取得の観点から別途AI利用に関する顧客説明・同意書を用いるべきであり、本ガイドラインは社内向けの利用統制に特化したものである。

根拠法令 本ガイドラインで特に重要な法令は2つある。第一に個人情報保護法第18条であり、同条は個人情報取扱事業者が、あらかじめ本人の同意を得ないで、特定した利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない旨を定める。顧客の個人情報を生成AIに入力する行為が、当初の利用目的の範囲を超える「目的外利用」に該当する可能性があるため、入力の可否を慎重に検討する必要がある。第二に著作権法第30条の4であり、同条は情報解析の用に供する場合等、著作物に表現された思想又は感情の享受を目的としない利用について、必要と認められる限度で著作権者の許諾なく利用できる旨を定める。もっとも、この規定は生成AIへの入力(学習のための複製)の場面における議論であり、生成された出力物を利用・公表する場面では、出力物が既存の著作物と類似し、かつ依拠性が認められる場合には、通常の著作権侵害の判断枠組み(複製権・翻案権侵害)が適用される点に留意が必要である。また、検索エンジンの検索結果表示等を念頭に置いた著作権法第47条の5(軽微利用等)は適用範囲が限定的であり、生成AIの出力全般に広く適用されるものではない。

実務でよくある失敗と対策 第一に、顧客の個人情報を含む問い合わせ内容を生成AIに入力して回答文案を作成する運用が現場で自然発生的に広がり、個人情報保護法上の目的外利用や、ツールの利用規約次第では第三者提供に該当するリスクが生じる失敗がある。第4条及び第5条のように入力禁止情報を具体的に列挙し、A-1のように許容される利用類型も明確にすることで、現場の判断のばらつきを防ぐことが対策となる。第二に、生成AIの出力をそのまま社外向け資料や広報コンテンツとして使用した結果、既存の著作物との類似性が問題となり著作権侵害を指摘される失敗がある。第6条及び第8条のように、公表前の確認義務を明記することが対策となる。第三に、情報システム部門が把握していない未承認ツールを従業員が個人アカウントで利用する、いわゆるシャドーIT化が進み、入力禁止情報の混入を検知できない失敗がある。B-2のような技術的遮断措置が対策となる。

生成AIをめぐる著作権法及び個人情報保護法の解釈は発展途上の分野であり、個別の利用態様によって結論が異なりうるため、個別事案は専門家に確認することが望ましい。

第4部: 使用前チェックリスト

• [ ] 承認済みツールの一覧及び承認手続を整備したか
• [ ] 入力禁止情報の類型(個人情報・秘密情報等)を具体的に列挙したか
• [ ] 個人情報保護法第18条に照らした目的外利用防止の基準を定めたか
• [ ] 著作権法第30条の4及び第47条の5の適用範囲について社内周知したか
• [ ] 出力物を対外公表する前の確認プロセスを定めたか
• [ ] 出力内容の正確性確認(ハルシネーション対策)の手順を定めたか
• [ ] 未承認ツールの利用を防ぐ技術的・組織的措置を検討したか
• [ ] ログ監査等によるガイドライン遵守状況の確認方法を定めたか
• [ ] 違反時の対応フロー(利用停止・懲戒等)を定めたか
• [ ] 従業員向け研修の実施計画を策定したか