ChatGPTや生成AIを業務で使っているが「どこまで使っていいのか分からない」「何を入力してはいけないのか自信がない」——そんな現場の疑問に答えるため、国の公式ガイドライン(AI事業者ガイドライン第1.2版・2026年3月31日公表)と最新セキュリティ資料を根拠に、今日から守れる実務ルールを整理しました。
2026年3月、経済産業省・総務省が「AI事業者ガイドライン」を第1.2版に改訂しました。このガイドラインは開発者・提供者・利用者の3者を対象とした包括的な指針ですが、特に第5部「AI利用者」のセクションは、現場の従業員・総務・経営企画スタッフが直接参照できる実用的な内容を含んでいます。
本記事では、現場でAIを使う立場の人が「入力していいこと・してはいけないこと」「著作権・個人情報のリスク」「社内ルール整備の手順」を体系的に把握できるよう解説します。
AI事業者ガイドラインの土台となる法律の全体像はAI法(AI推進法)完全ガイド2026|罰則なしでも効く第13条のAI指針と事業者の実務で解説しています。
【まず確認】あなたは「AI利用者」——ガイドラインの3分類と現場での立ち位置
AI事業者ガイドライン(経産省・総務省・2026年3月31日)は、AIに関わる主体を以下の3つに分類しています。
| 分類 | 説明 | 具体例 |
|---|---|---|
| AI開発者 | AIモデルそのものを開発する者 | OpenAI、Google、国内のAI研究機関など |
| AI提供者 | AIを組み込んだサービス・システムを提供する者 | ChatGPT Business提供企業、AI議事録ツール開発会社など |
| AI利用者 | 業務や日常でAIを使う者 | 企業の従業員、士業スタッフ、医療・介護現場の担当者など |
大半のビジネスパーソンは「AI利用者」に該当します。 AIを自社開発しているわけでもなく、サービスを販売しているわけでもなく、既製のChatGPTやCopilotなどのツールを使って業務をこなしている立場です。
ガイドラインはAI利用者に対しても「適切・安全な利用」を求めており、以下のような注意義務を促しています(法的拘束力はなく、努力義務としての位置づけです)。
- 入力情報への注意: 第三者の権利・利益を侵害しないよう、入力する情報の性質を確認する
- 出力結果の確認: AIの出力を最終判断に使う前に人間が検証する
- 利用規約の遵守: 各AIサービスの利用規約を確認し、禁止事項を守る
生成AIに入力してはいけない情報 完全チェックリスト
最初に確認すべきは「プロンプトに何を入れてはいけないか」です。一度AIに入力した情報は、サービスによっては学習データとして利用される可能性があります。また、クラウド経由で送信された情報は社外に出たとみなされるリスクもあります。
絶対に入力してはいけない情報
| カテゴリ | 具体例 | リスク |
|---|---|---|
| 機密情報・営業秘密 | 未発表の契約内容・取引先情報・価格情報・新商品の仕様 | 情報漏洩・競合への流出リスク |
| 個人情報(要配慮個人情報を含む) | 顧客の氏名・住所・電話番号・病歴・マイナンバー | 個人情報保護法違反となるおそれがあります(※1) |
| 従業員の個人情報 | 給与明細・人事評価・健康診断結果 | 同上、また就業規則違反となるおそれがあります |
| 未公開の経営情報 | M&A交渉・決算情報・資金調達計画 | インサイダー取引規制(未公表の重要情報を知る者による株取引を禁じるしくみ)・開示義務違反となるおそれがあります |
| ソースコード(秘密保持対象) | 自社開発の独自アルゴリズム・特許出願前のコード | 営業秘密漏洩・特許無効化リスク |
| 取引先・顧客の秘密情報 | 取引先から受領した非開示情報(NDA対象) | 秘密保持契約違反・損害賠償リスク |
| 認証情報 | パスワード・APIキー・認証トークン | 不正アクセスリスク |
※1 個人情報保護委員会(PPC)は2023年6月2日付「生成AIサービスの利用に関する注意喚起等について」において、生成AIへの個人情報入力について注意喚起を行っています。同文書が事業者に求めているのは、①入力が「あらかじめ特定した利用目的の範囲内」であることの確認と、②本人の同意なく個人データを入力する場合に、そのサービス提供事業者が入力データを機械学習に利用しないこと等の確認の2点です(下記「PPCの注意喚起」節を参照)。なお、個人データの安全管理措置そのものは個人情報保護法第23条が定めていますが、この条番号はPPCの同注意喚起に書かれているものではありません(同文書に「安全管理措置」「第23条」の語は登場しません)。
注意しながら入力する情報(要確認)
| カテゴリ | 対応 |
|---|---|
| 会社名・部署名のみ(個人を特定できない) | 原則OK。ただし社内規程を確認 |
| 一般的な業務フロー・手順書(公開情報に近い内容) | 原則OK |
| 公開済みの自社資料・プレスリリース | OK(既に公開済みのため) |
| 社内会議の議事録(個人名あり) | 氏名・役職を「A部長」等に匿名化してから入力 |
| 顧客の声・クレーム(固有名詞あり) | 個人特定情報を除去してから入力 |
入力前の自問自答チェックリスト(3秒確認):
- [ ] この情報は社外に出ても問題ないか?
- [ ] 取引先・顧客の個人情報が含まれていないか?
- [ ] 利用中のAIサービスの利用規約で禁止されていないか?
- [ ] 社内のAI利用規程に違反していないか?
著作権リスク:AIが生成したものをそのまま使うのが危険な理由
文化庁ガイダンスが示す基本的な考え方(2024年時点)
文化庁は2024年3月15日、「AIと著作権に関する考え方について」を公表し、同年7月31日に「AIと著作権に関するチェックリスト&ガイダンス」を追加しました(2026年9月時点で改訂版は未公表。最新情報は文化庁公式サイトをご確認ください)。
この文書が示す基本的な考え方は以下の通りです。
AIへの学習段階(入力):
著作権法第30条の4は「享受目的ではない情報解析」のための著作物利用を認めています。AIの学習目的で著作物を使うこと自体は、条件によっては適法となる場合があります。ただし、享受目的(作品を読む・聞くこと自体を目的とする場合)が混在するケースは別の判断が必要です。
AIの生成段階(出力):
AIが生成したテキスト・画像が、学習データに含まれていた著作物に「類似」している場合、著作権侵害となるおそれがあります。これはAIが「既存著作物を利用した」と評価される可能性があるためです。
現場での実務判断
| 状況 | リスク評価 | 推奨対応 |
|---|---|---|
| AI生成テキストを大幅に書き直して社内報告書に使う | 低 | 人間が加筆修正すれば基本的に問題が生じにくい |
| AI生成テキストをそのままブログ・SNSに投稿 | 中〜高 | 類似性の確認が必要。著作権調査ツールで確認推奨 |
| AI生成イラストを商用広告に使用 | 中〜高 | 学習データ・類似著作物の確認が必要。専門家相談推奨 |
| 著名な文体・キャラクターをAIで再現して販売 | 高 | 著作権侵害のほか、他人の信用にただ乗りする行為として不正競争防止法(他社の商品表示・営業秘密を不正に使う行為を禁じる法律)に触れるおそれがあります |
原則: AIが生成したコンテンツを社外向けに使う際は、人間が内容を確認・修正し、著作物の類似性チェックを行うことが実務上の安全策です。
個人情報保護:プロンプトに書いてはいけない情報と書いていいもの
PPCの注意喚起(2023年6月2日)の要点
個人情報保護委員会(PPC)は2023年6月2日、「生成AIサービスの利用に関する注意喚起等について」を公表しました。事業者に向けた注意点は、次の2つだけです(別添1(1))。条文番号は挙げられていません。
- 利用目的の範囲内かを確認する: 個人情報を含むプロンプトを入力する場合は、「特定された当該個人情報の利用目的を達成するために必要な範囲内であることを十分に確認すること」
- 機械学習に使われないことを確認する: 本人の同意なく個人データを含むプロンプトを入力し、そのデータが「応答結果の出力以外の目的で取り扱われる場合」は個人情報保護法違反となる可能性がある。そのため、そのサービスの提供事業者が「当該個人データを機械学習に利用しないこと等を十分に確認すること」
ポイントは「入力してよいかどうか」を利用目的で判断させている点です。 暗号化やアクセス制御を整えれば入力してよい、という話ではありません。
なお、一般の利用者(従業員個人)に向けても3点の留意点が示されています——①入力した個人情報が機械学習に使われ出力されるリスク、②応答結果に不正確な個人情報が含まれるリスク、③利用規約・プライバシーポリシーを十分に確認して判断すること。
関連する条文(PPCの注意喚起ではなく、法律そのものの定め):
| 場面 | 条文 | 内容 |
|---|---|---|
| 利用目的を決める | 第17条 | 利用目的をできる限り特定する |
| 決めた目的を超えない | 第18条 | 本人の同意なく、特定した利用目的の達成に必要な範囲を超えて取り扱わない |
| 漏れないようにする | 第23条 | 個人データの漏えい・滅失・毀損の防止のため必要かつ適切な措置を講じる(安全管理措置) |
| 他社に渡す | 第27条 | 本人の同意なく個人データを第三者に提供しない |
第27条(第三者提供)については、AI提供者が入力データを自社の目的に使わず、こちらの利用目的の範囲内で処理しているだけであれば「委託」として整理され、第三者提供に当たらないという実務上の整理もあります(同条第5項第1号が、委託に伴う提供先を「第三者に該当しないものとする」と定めています)。法人プランを使っていれば常に本人同意が要る、という意味ではありません。自社の契約がどちらに当たるかは、利用規約とデータ取扱いの条項を確認したうえで専門家に相談してください。
実務での対応:「仮名化」「匿名化」の徹底
NG例(氏名・連絡先あり):
「田中太郎(電話090-XXXX)からのクレームについて対応案を考えてほしい」
OK例(匿名化済み):
「顧客Aから以下のクレームがあった。対応案を考えてほしい。[クレーム内容のみ]」
個人を特定できる情報を取り除き、業務上の課題・事象のみをプロンプトに入力することが基本ルールです。
要配慮個人情報は特別扱い
病歴・障害・前科・信条など「要配慮個人情報」(個人情報保護法第2条3項)は、漏洩した場合の社会的影響が大きく、取り扱いに特別な配慮が必要です。要配慮個人情報は原則として生成AIに入力しないことを社内ルールとして定めることを推奨します。
ハルシネーション対策:AI出力を「そのまま使わない」ための確認フロー
生成AIは「もっともらしいが事実ではない情報」(ハルシネーション)を出力することがあります。AI事業者ガイドライン第1.2版でも、AI利用者に対して「AI出力を最終判断に使う前に人間が検証すること」を求めています(努力義務)。
ハルシネーションが特に起きやすい場面
- 最近の出来事・法改正情報(AIの学習データに含まれていない可能性)
- 数値・統計・日付(それらしい数字を生成するが正確性は保証なし)
- 法令条文・判例の引用(条文番号・内容が誤っていることがある)
- 特定人物・企業に関する情報(実在しない経歴・発言を生成することがある)
人間の最終確認 3ステップ
ステップ1: 一次ソースで確認する
数値・日付・法令に関する情報は、必ず官公庁公式サイト(go.jp)・e-Gov法令検索・公式プレスリリースで確認します。「AIがそう言ったから」は根拠になりません。
ステップ2: 複数出典を突き合わせる
重要な情報は2〜3の独立した情報源で確認します。AIの出力と一次ソースが一致した場合のみ使用します。
ステップ3: 出力には「AI生成」を明示する(社外向けの場合)
AI生成コンテンツを社外発信・顧客提案に使う場合は、利用規約への対応として「AI活用」を明示することを検討してください。AI推進法(令和7年・2025年9月全面施行)においても、AIの透明性確保が今後重要になっていくと予想されます。同法の施行日・第7条の事業者責務・罰則の有無はAI推進法(AI新法)完全ガイドで条文に基づき詳説しています。
IPA「ここから始めるAIセキュリティ対策」の5項目
IPA(情報処理推進機構)セキュリティセンター/AIセーフティ・インスティテュートは、2026年4月2日に資料「AI利用者のためのセキュリティ豆知識」を公開しました。この資料の第2章「ここから始めるAIセキュリティ対策」が、現場がまず押さえる5項目を挙げています。以下の5つの見出しは同資料の原文のままです。
【1】クラウドAIに営業秘密は教えない
インターネット経由で使うクラウド型のチャットAIに営業秘密を入力すると、その内容はAIの運営企業に渡ります。やりとりが将来のAI改良のための学習データとして使われる場合があり、その場合は自社の営業秘密を学習したAIが他のユーザーに話してしまう可能性が理屈上あります。サービス規約と利用時の設定を確認すれば、入力の保存や学習対象からの除外ができる場合があります。
【2】AIブラウザは社内用と社外用を分ける
AIブラウザ(チャットAIを内蔵したWebブラウザ。閲覧中のページの要約や商品の発注代行まで頼めるもの)は、閲覧中のページや閲覧履歴をAIと共有することになります。Webページの中に悪意ある指示文が仕込まれていると、AIがそれを利用者の指示と取り違えて情報漏洩や不正送金を実行してしまう可能性があります。対策がまだ不完全なため、日常的に使うAIブラウザでは社内ポータルなど重要な情報にアクセスしない、という使い分けをしてください。
【3】RAG使用時は「混ぜるな危険」にご用心
RAG(社内文書などを検索して、その内容をもとにAIが回答する仕組み)では、検索された様々なデータがAIへの入力に取り込まれます。メールのような外部由来のデータが検索対象に入っていると、攻撃メールに仕込まれた不正な指示文まで一緒に取り込まれます。 社内文書と不正メールが同時に取り込まれると、社内情報が外部へ流出する可能性があります。RAGの検索範囲を適切に制限する、といった運用上の手当てを検討してください。
【4】外見では詐欺師を見破れないと心得る
本物と見分けのつかないフェイクの画像・動画・音声を、今では誰でも簡単に作れます。機密情報の送信や多額の送金といった重要な行動を促すメール・オンライン会議の依頼を受け取ったら、その依頼が本物かを二重・三重に確認してください。 自分・家族・業務上の関係者の顔写真や声をSNSに安易に公開しないことも、フェイクの材料を与えないという意味で重要です。
【5】AI仕込みのサイバー攻撃も撃退法は従来通り
AIで脆弱性(システムの弱点)を探し出す技術が発達してきていますが、現時点のAIが見つけられるのはSQLインジェクションやXSSのような典型的な脆弱性にとどまり、高度で想定外の脆弱性を見つけ出す水準には達していません。 AIが扱える脆弱性が従来のものと変わらない以上、従来のセキュリティ対策がそのまま有効です。基本の対策を確実に実践してください。
この資料には「AI用語集」も付いています(ハルシネーション、プロンプトインジェクション、RAG、データポイズニング等)。社内研修の配布資料としてそのまま使える構成です。
シャドーAIを防ぐ:「禁止」より「使えるツールを明示」が現場に定着する理由
「生成AIは禁止」と通知した会社の従業員が、こっそり個人スマートフォンや自宅のPCで業務に使い続ける——これが「シャドーAI」の実態です。禁止だけでは監視コストが高く、リスクを見えにくくするだけになりがちです。
AI事業者ガイドラインには、事業者が自社の取組を点検するための「別添7 チェックリスト」(経済産業省・総務省/2026年3月31日公表)が用意されています。社内ルールを作るときは、禁止事項を並べるだけでなく「使ってよい範囲・使ってよいツール・使うときの手順」まで書くほうが、現場に定着しやすくなります。
現場定着のための「許可リスト型」アプローチ
禁止型(効果が出にくい):
「生成AIの業務利用は禁止。違反者は懲戒処分。」
許可リスト型(定着しやすい):
「以下の用途・ツールは利用可能。それ以外は申請制。」
| 利用可能な場面 | 使えるツール | 制限事項 |
|---|---|---|
| メール文章作成 | Microsoft Copilot(法人版) | 顧客名・金額の入力禁止 |
| 議事録整理 | Teams Premium(議事録機能) | 会議後に要約を人間が確認 |
| 社内Q&A | 社内RAGチャットボット(社内文書を検索して答える仕組み) | システム外への情報持ち出し禁止 |
| 資料の文章校正 | Copilot / ChatGPT Team | 機密情報の入力禁止 |
業務別・生成AI利用可否ワンページ表
現場の「これは使っていいのか?」に素早く答えるための一覧表です。
| 業務 | 利用可否 | 条件・注意点 |
|---|---|---|
| メール下書き作成 | ✅ 利用可 | 顧客名・金額等の個人情報を含める場合は匿名化 |
| 会議の議事録作成 | ✅ 利用可(条件あり) | 参加者氏名を除去または仮名化してから入力 |
| 社内FAQドキュメント整理 | ✅ 利用可 | 機密情報・個人情報が含まれないことを確認 |
| プレゼン資料のアウトライン作成 | ✅ 利用可 | 未発表の経営情報・M&A情報の入力は禁止 |
| コード補完・デバッグ補助 | ✅ 利用可(条件あり) | 秘密保持対象のソースコードは入力禁止。オープンソースベースのコードは要確認 |
| 顧客提案書の構成案作成 | ⚠️ 要注意 | 顧客名・案件金額・固有情報を除去してから利用 |
| 契約書のチェック補助 | ⚠️ 要注意 | 最終判断は法務・専門家に委ねること。AIの法的解釈は誤る可能性あり |
| 採用選考・人事評価への利用 | ⚠️ 要注意 | 候補者の個人情報入力に注意。評価基準の透明性確保が必要 |
| 顧客の個人情報を含む問い合わせ対応 | ❌ 要申請 | 個人情報を匿名化できる範囲のみ利用可。未匿名での入力は禁止 |
| 未公開の財務情報・M&A情報の分析 | ❌ 禁止 | 情報漏洩・インサイダー規制違反となるおそれがあります |
| 競合他社の詳細情報収集(悪意目的) | ❌ 禁止 | 他社の営業秘密を不正に入手・利用する行為は不正競争防止法に触れるおそれがあります |
| 社外秘・機密ラベルの付いたドキュメント要約 | ❌ 禁止 | 社内規程で情報分類が定められている場合、分類に従うこと |
凡例: ✅ 条件を守れば利用可 / ⚠️ 用途・内容を確認してから利用 / ❌ 原則禁止(要申請または利用不可)
社内ルール整備 6ステップ:中小企業でも1週間で動けるフレームワーク
AI事業者ガイドライン別添7には、事業者向けのチェックリストが添付されています。このチェックリストを活用した、中小企業でも現実的に動ける6ステップを示します。
ステップ1: 現状把握(1日)
社内でどのようなAIツールが使われているかを把握します。アンケート・ヒアリングで「現在使っているAIツールの名称・用途・使用頻度」を確認してください。
確認すべき主なツール:
– ChatGPT(OpenAI)
– Microsoft Copilot(法人版・個人版の区別)
– Google Gemini
– 議事録AI(Notta、otter.ai等)
– 画像生成AI(Midjourney、Stable Diffusion等)
ステップ2: リスク評価(1日)
現状把握で判明したツール・用途に対し、以下の観点でリスクを評価します。
| リスク項目 | 確認内容 |
|---|---|
| 個人情報 | 顧客・従業員の個人情報が入力されていないか |
| 機密情報 | 未発表情報・営業秘密が入力されていないか |
| 学習利用 | 利用中AIサービスの利用規約で、入力データが学習に使われるか |
| 著作権 | AI生成コンテンツを社外に公開していないか |
ステップ3: 利用方針の策定(1〜2日)
上記の業務別利用可否表を参考に、自社版の「AI利用方針」を1枚で作成します。全部を細かく決める必要はありません。最低限「禁止事項(入力してはいけない情報のリスト)」と「使えるツール一覧」を定めれば、まず動けます。
A4一枚のひな形(そのまま埋めて使えます):
【○○株式会社 生成AI利用方針】 制定日: 年 月 日
1. 対象者 全従業員(派遣・業務委託を含む/含まない: )
2. 使ってよいツール
・ (法人契約・学習利用オフ設定済み)
・ ( )
※上記以外のAIツールを業務で使う場合は事前申請(申請先: )
3. 入力してはいけない情報
顧客・従業員の個人情報/未発表の経営情報・契約情報/営業秘密・
ソースコード/取引先から受領したNDA対象情報/パスワード・APIキー
4. 出力の取り扱い
数値・日付・法令はAIの出力をそのまま使わず、公式サイトで確認する。
社外に出す文章は必ず担当者が読み直す。
5. 運用責任者 部署: 氏名:
6. 困ったとき・入力してしまったときの連絡先
7. 見直し時期 年 月(3〜6か月ごと)
5と6を空欄のまま配らないでください。「誰に聞けばいいか分からない」状態が、報告の遅れと隠蔽の最大の原因になります。
ステップ4: 利用規約の確認と法人アカウント移行(1〜2日)
周知より先に、使わせるツールを用意します。 「今日から法人プランを使ってください」と周知したのに契約がまだ、という状態を作らないためです。
従業員が個人アカウントで業務利用している場合、法人プランへの移行を検討します。法人プランは「入力データを学習に使わない」設定が可能なものが多く、セキュリティ管理も容易になります。
費用は「1ユーザーあたり月額いくら」の形が一般的で、人数分の月額 × 12か月が年間コストの目安になります。単価も提供条件も改定が頻繁なため、本記事では具体額を示しません。各サービスの公式料金ページで、①1ユーザー単価、②最低契約ユーザー数、③年払い割引の有無、④管理者が学習利用をオフにできるか——の4点を確認してから見積もってください。
学習利用をオフにする設定は、サービスごとに場所も名前も違います(管理者コンソール側にある場合と、利用者ごとの設定にある場合があります)。契約前に、営業担当または公式ヘルプで「管理者側で一括してオフにできるか」を必ず確認してください。 利用者任せの設定しかないサービスは、全員が正しく設定したかを会社が確認できません。
なお、AI導入コストは補助金が活用できるケースがあります。デジタル化・AI導入補助金などのAI・DX導入補助金も参照してください。
ステップ5: 周知・研修(半日〜1日)
契約と設定が済んでから、方針を全従業員に共有します。研修動画・FAQドキュメントがあれば理想的ですが、A4一枚のガイドラインを全員に配布するだけでも大きな効果があります。前節のIPA資料(AI用語集つき)を配布資料に添えると、用語の説明を自作せずに済みます。
ステップ6: 定期見直し(3〜6か月ごと)
AI技術の進歩は速く、ガイドラインも年単位で更新されます(AI事業者ガイドラインは2025年3月28日に第1.1版、2026年3月31日に第1.2版が公表されました)。方針は「一度決めたら終わり」ではなく、定期的にアップデートする体制を設けてください。
入力してしまったとき・ルールを破られたときの動き方
チェックリストは「入力する前」の話です。実際に事故が起きるのは、入力してしまった後に気づく場面です。方針を配る時点で、次の2つをセットで決めておいてください。
個人情報を入力してしまった場合の3ステップ
ステップ1: 止める(当日中)
まず会話を削除し、該当サービスの「学習への利用」設定を確認します。ただし、削除したから漏れていない、とは言えません。送信した時点で社外のサーバーに渡っているため、削除はあくまで被害の拡大を抑える措置です。
ステップ2: 運用責任者へ報告する(当日中)
何を・いつ・どのサービスに・何件入力したかを、分かる範囲で責任者に伝えます。懲戒を先に持ち出す運用にすると報告が上がってこなくなり、会社としての対応が遅れます。
ステップ3: 委員会への報告義務があるか判断する
個人情報保護法第26条は、個人データの漏えい等のうち「個人の権利利益を害するおそれが大きいもの」について、個人情報保護委員会への報告と本人への通知を義務づけています(努力義務ではなく義務)。どの事態が該当するかは同法施行規則第7条が次の4つを定めています。
| 該当する事態(施行規則第7条) | 内容 |
|---|---|
| 一号 | 要配慮個人情報(病歴・障害・信条など)が含まれる漏えい等 |
| 二号 | 不正に利用されると財産的被害が生じるおそれがある個人データの漏えい等 |
| 三号 | 不正の目的をもって行われたおそれがある行為による漏えい等 |
| 四号 | 本人の数が1,000人を超える漏えい等 |
いずれも「発生した」場合だけでなく「発生したおそれがある」場合を含みます。該当しそうな場合は、自己判断で終わらせないでください。
報告先: 個人情報保護委員会「漏えい等の対応とお役立ち資料」(https://www.ppc.go.jp/personalinfo/legal/leakAction/)に報告フォームと、報告が必要な場合・報告期限の説明がまとまっています。同ページは「発覚したら、まずは速やかに報告してください」としています。判断に迷う場合は、このページを開いたうえで弁護士にも相談してください。
方針に違反した従業員への対応
いきなり懲戒に直結させないでください。 初回は方針の再確認と再研修、繰り返した場合や故意の持ち出しは就業規則に沿った手続き——というように、段階を方針に書いておくことが実務上の落としどころです。書いていないと、その場の判断になり、かえって不公平が生じます。
2026年最新:AI事業者ガイドライン第1.2版で何が加わったか
AI事業者ガイドラインは2024年4月19日の第1.0版が最初の版です。その後、第1.01版(2024年)・第1.1版(2025年3月28日)を経て、2026年3月31日に第1.2版へ改訂されました。経済産業省の公開ページでは第1.0版より前の版は掲載されていません。
第1.2版は本編・別添とも改訂され、経済産業省は第1.1版からの「見え消し版」(どこをどう変えたかが赤字で分かる資料)を本編・別添の両方について公開しています。どの記述が変わったかを正確に知りたい場合は、要約記事ではなくこの見え消し版を直接確認してください。
あわせて、第1.2版の公開時に「AI事業者ガイドライン活用の手引き(案)」とチャットボット(ガイドラインの内容を質問できる窓口)も公開されました。本文を通読しなくても該当箇所を探せる仕組みが増えた形です。
なお、AI事業者ガイドラインに法的拘束力はなく、ガイドラインへの準拠は努力義務の位置づけです。違反しても直接の行政処分・罰則はありません。ただし、個人情報保護法違反・著作権法違反などに連なる行為は別途法的責任が問われるおそれがあります。
FAQ
Q1. 会社から支給されたPCで個人のChatGPTアカウントを使うのは問題ありますか?
A: 業務内容を個人アカウントに入力することは、会社のセキュリティポリシー上の問題となるおそれがあります。個人アカウントの設定・利用規約は会社が管理できず、入力データが学習に使われる可能性もあります。会社が法人プランを契約している場合は法人プランを使用し、個人アカウントでの業務利用は原則避けることが望ましいです。
Q2. 生成AIに「架空の顧客情報」として入力しても問題ありませんか?
A: 架空の情報(実在しない人物の名前・住所など)を使うのであれば、個人情報保護法上の問題は生じにくいです。ただし、「架空と思っていたが実在の人物の情報と偶然一致する」という事態を避けるため、社内の実際の顧客リスト等から切り貼りした情報は使わないようにしてください。
Q3. 無料版と有料版・法人版でリスクはどう違いますか?
A: 一般的に、無料版(個人向け)は入力データが学習データとして使われる可能性が高い設定になっている場合があります。有料・法人プランでは「学習への利用をオプトアウト(除外)できる」設定が提供されていることが多く、セキュリティ管理の観点からも法人プランを選ぶことを推奨します。ただし、利用規約は各サービスによって異なるため、契約前に必ず確認してください。
Q4. AIが生成した文章をそのまま社外に出してはいけないのですか?
A: 「そのまま」が問題になるケースは主に2点です。①著作物に類似した内容が含まれている場合(著作権侵害のおそれ)、②事実と異なる情報が含まれている場合(誤情報の拡散リスク)。人間が内容を確認・修正し、事実関係を検証してから使用することが実務上の安全策です。
Q5. 生成AIを使って作成したコンテンツに著作権はありますか?
A: 現時点の日本の法解釈では、純粋にAIが生成したコンテンツに著作権は認められないという整理が基本です(「人の創作的表現」が著作物の要件のため)。ただし、人間が相当程度の創作的な指示・編集を行った場合は、その人に著作権が認められる余地があります。文化庁は2024年のガイダンスで「AIと著作権の関係は個別事案によって判断が異なる」としており、重要コンテンツについては法律専門家に相談することを推奨します。
Q6. 「AI推進法」が施行されると企業に何か義務が生じますか?
A: AI法(AI推進法・令和7年法律第53号・2025年9月全面施行)は、AIの適正な利用を促進するための基本法として位置づけられています。一般の利用者企業に対して直接の罰則規定はなく、基本的な行動原則の努力義務が中心です。ただし、同法第13条に基づく「AI指針」(正式名称「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」・2025年12月19日 人工知能戦略本部決定)が、研究開発機関および活用事業者に対して次の5点を求めています——(1) AIガバナンスによる俯瞰的な適正性の確保、(2) ステークホルダーとの信頼関係の構築に向けた透明性の確保、(3) 十分な安全性の確保、(4) 事業継続性確保による安全な環境の維持、(5) AIのイノベーションの基盤となるデータの重要性を踏まえたステークホルダーへの配慮。(4) は、AIが止まったときに業務を続けられる備え(事業継続計画)を指します。同法の詳細(第7条の事業者責務・罰則の有無・AI指針・人工知能基本計画)はAI法(AI推進法)完全ガイドで解説しています。
まとめ:現場が今日から動けるポイント
生成AI業務利用のルールは複雑に見えますが、現場が押さえるべき核心はシンプルです。
今日から守る5か条:
- 機密情報・個人情報は入力しない — 社外に出したくない情報はプロンプトにも入れない
- AI出力を最終確認なしに使わない — 数値・法令・固有情報は一次ソースで確認
- 法人プランを使う — 個人アカウントでの業務利用は会社が契約した法人プランに切り替える
- 著作権リスクを知る — AI生成コンテンツを社外に出す前に内容を人間がレビューする
- 社内ルールを1枚にまとめる — 禁止事項と使えるツールを全員が確認できる形にする
AI事業者ガイドライン第1.2版(2026年3月31日公表)・IPA「AI利用者のためのセキュリティ豆知識」(2026年4月2日)は、いずれも経産省・IPA公式サイトで無料公開されています。これらを参考に、自社の実情に合ったAI利用方針を整備してください。
一次ソース・参考資料
| 資料名 | 所管 | 公表日 | URL |
|---|---|---|---|
| AI事業者ガイドライン第1.2版 | 経済産業省・総務省 | 2026年3月31日 | https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html |
| AI事業者ガイドライン別添7(チェックリスト) | 経済産業省・総務省 | 2026年3月31日 | https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_5.pdf |
| AI利用者のためのセキュリティ豆知識(本体PDF・24ページ) | IPA(情報処理推進機構)セキュリティセンター/AIセーフティ・インスティテュート | 2026年4月2日公開(資料は2026年3月版) | https://www.ipa.go.jp/digital/ai/security/ai_security_tips.html |
| 人工知能関連技術の研究開発及び活用の適正性確保に関する指針(AI指針) | 人工知能戦略本部決定(内閣府) | 2025年12月19日 | https://www8.cao.go.jp/cstp/ai/ai_guideline/ai_gl_2025.pdf |
| 生成AIサービスの利用に関する注意喚起等(別添1・原文PDF) | 個人情報保護委員会 | 2023年6月2日 | https://www.ppc.go.jp/files/pdf/230602_alert_generative_AI_service.pdf |
| AIと著作権に関する考え方について | 文化庁 | 2024年3月15日 | https://www.bunka.go.jp/seisaku/chosakuken/aiandcopyright.html |
| AIと著作権に関するチェックリスト&ガイダンス | 文化庁 | 2024年7月31日 | 上記ページより入手可 |
| 生成AIサービスの利用に関する注意喚起等について | 個人情報保護委員会 | 2023年6月2日 | https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/ |
| 個人情報の保護に関する法律(第17条・第18条・第20条・第23条・第26条・第27条) | e-Gov法令検索 | 平成15年法律第57号 | https://laws.e-gov.go.jp/law/415AC0000000057 |
| 個人情報の保護に関する法律施行規則(第7条:報告義務の対象となる4類型) | e-Gov法令検索 | 平成28年個人情報保護委員会規則第3号 | https://laws.e-gov.go.jp/law/428M60020000003 |
| テキスト生成AIの導入・運用ガイドライン(参考資料) | IPA産業サイバーセキュリティセンター(※IPA公式見解ではなく中核人材育成プログラム成果物) | 2024年7月31日 | https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2024/generative-ai-guideline.html |
関連記事
- AI法(AI推進法)完全ガイド|罰則なしでも効く第13条のAI指針と事業者の実務(本記事の制度背景。施行日・第7条責務・罰則の有無に加え、AI指針が活用事業者に求める5項目を条文で解説)
- AI・DX導入補助金2026まとめ|中小企業が使える補助金一覧(AI導入のコスト支援制度を解説)
- 国が推奨するAI活用事例と中小企業での応用ガイド(デジタル庁・総務省・自治体の生成AI活用事例を、自社の業務に翻訳して導入する実務ガイド)
※本記事は情報提供を目的としており、法的アドバイスを構成するものではありません。個別事案への対応については、弁護士・社会保険労務士等の専門家にご相談ください。詳細は免責事項をご確認ください。


