ChatGPTや生成AIを業務で使っているが「どこまで使っていいのか分からない」「何を入力してはいけないのか自信がない」——そんな現場の疑問に答えるため、国の公式ガイドライン（AI事業者ガイドライン第1.2版・2026年3月31日公表）と最新セキュリティ資料を根拠に、今日から守れる実務ルールを整理しました。
2026年3月、経済産業省・総務省が「AI事業者ガイドライン」を第1.2版に改訂しました。このガイドラインは開発者・提供者・利用者の3者を対象とした包括的な指針ですが、特に第5部「AI利用者」のセクションは、現場の従業員・総務・経営企画スタッフが直接参照できる実用的な内容を含んでいます。
本記事では、現場でAIを使う立場の人が「入力していいこと・してはいけないこと」「著作権・個人情報のリスク」「社内ルール整備の手順」を体系的に把握できるよう解説します。
【まず確認】あなたは「AI利用者」——ガイドラインの3分類と現場での立ち位置
AI事業者ガイドライン（経産省・総務省・2026年3月31日）は、AIに関わる主体を以下の3つに分類しています。
| 分類 | 説明 | 具体例 |
|---|---|---|
| AI開発者 | AIモデルそのものを開発する者 | OpenAI、Google、国内のAI研究機関など |
| AI提供者 | AIを組み込んだサービス・システムを提供する者 | ChatGPT Business提供企業、AI議事録ツール開発会社など |
| AI利用者 | 業務や日常でAIを使う者 | 企業の従業員、士業スタッフ、医療・介護現場の担当者など |
大半のビジネスパーソンは「AI利用者」に該当します。 AIを自社開発しているわけでもなく、サービスを販売しているわけでもなく、既製のChatGPTやCopilotなどのツールを使って業務をこなしている立場です。
ガイドラインはAI利用者に対しても「適切・安全な利用」を求めており、以下のような注意義務を促しています（法的拘束力はなく、努力義務としての位置づけです）。
- 入力情報への注意: 第三者の権利・利益を侵害しないよう、入力する情報の性質を確認する
- 出力結果の確認: AIの出力を最終判断に使う前に人間が検証する
- 利用規約の遵守: 各AIサービスの利用規約を確認し、禁止事項を守る
生成AIに入力してはいけない情報 完全チェックリスト
最初に確認すべきは「プロンプトに何を入れてはいけないか」です。一度AIに入力した情報は、サービスによっては学習データとして利用される可能性があります。また、クラウド経由で送信された情報は社外に出たとみなされるリスクもあります。
絶対に入力してはいけない情報
| カテゴリ | 具体例 | リスク |
|---|---|---|
| 機密情報・営業秘密 | 未発表の契約内容・取引先情報・価格情報・新商品の仕様 | 情報漏洩・競合への流出リスク |
| 個人情報（要配慮個人情報を含む） | 顧客の氏名・住所・電話番号・病歴・マイナンバー | 個人情報保護法違反となるおそれがあります（※1） |
| 従業員の個人情報 | 給与明細・人事評価・健康診断結果 | 同上、また就業規則違反となるおそれがあります |
| 未公開の経営情報 | M&A交渉・決算情報・資金調達計画 | インサイダー取引規制・開示義務違反となるおそれがあります |
| ソースコード（秘密保持対象） | 自社開発の独自アルゴリズム・特許出願前のコード | 営業秘密漏洩・特許無効化リスク |
| 取引先・顧客の秘密情報 | 取引先から受領した非開示情報（NDA対象） | 秘密保持契約違反・損害賠償リスク |
| 認証情報 | パスワード・APIキー・認証トークン | 不正アクセスリスク |
※1 個人情報保護委員会（PPC）は2023年6月2日付「生成AIサービスの利用に関する注意喚起等について」において、生成AIへの個人情報入力に関するリスクを公式に注意喚起しています。個人情報保護法第20条（安全管理措置）との関連で問題となるおそれがある点を確認しています。
注意しながら入力する情報（要確認）
| カテゴリ | 対応 |
|---|---|
| 会社名・部署名のみ（個人を特定できない） | 原則OK。ただし社内規程を確認 |
| 一般的な業務フロー・手順書（公開情報に近い内容） | 原則OK |
| 公開済みの自社資料・プレスリリース | OK（既に公開済みのため） |
| 社内会議の議事録（個人名あり） | 氏名・役職を「A部長」等に匿名化してから入力 |
| 顧客の声・クレーム（固有名詞あり） | 個人特定情報を除去してから入力 |
入力前の自問自答チェックリスト（3秒確認）:
- [ ] この情報は社外に出ても問題ないか？
- [ ] 取引先・顧客の個人情報が含まれていないか？
- [ ] 利用中のAIサービスの利用規約で禁止されていないか？
- [ ] 社内のAI利用規程に違反していないか？
著作権リスク：AIが生成したものをそのまま使うのが危険な理由
文化庁ガイダンスが示す基本的な考え方（2024年時点）
文化庁は2024年3月15日、「AIと著作権に関する考え方について」を公表し、同年7月にチェックリスト＆ガイダンスを追加しました（2026年7月時点で改訂版は未公表。最新情報は文化庁公式サイトをご確認ください）。
この文書が示す基本的な考え方は以下の通りです。
AIへの学習段階（入力）:
著作権法第30条の4は「享受目的ではない情報解析」のための著作物利用を認めています。AIの学習目的で著作物を使うこと自体は、条件によっては適法となる場合があります。ただし、享受目的（作品を読む・聞くこと自体を目的とする場合）が混在するケースは別の判断が必要です。
AIの生成段階（出力）:
AIが生成したテキスト・画像が、学習データに含まれていた著作物に「類似」している場合、著作権侵害となるおそれがあります。これはAIが「既存著作物を利用した」と評価される可能性があるためです。
現場での実務判断
| 状況 | リスク評価 | 推奨対応 |
|---|---|---|
| AI生成テキストを大幅に書き直して社内報告書に使う | 低 | 人間が加筆修正すれば基本的に問題が生じにくい |
| AI生成テキストをそのままブログ・SNSに投稿 | 中〜高 | 類似性の確認が必要。著作権調査ツールで確認推奨 |
| AI生成イラストを商用広告に使用 | 中〜高 | 学習データ・類似著作物の確認が必要。専門家相談推奨 |
| 著名な文体・キャラクターをAIで再現して販売 | 高 | 著作権侵害・不正競争防止法違反となるおそれがあります |
原則: AIが生成したコンテンツを社外向けに使う際は、人間が内容を確認・修正し、著作物の類似性チェックを行うことが実務上の安全策です。
個人情報保護：プロンプトに書いてはいけない情報と書いていいもの
PPCの注意喚起（2023年6月2日）の要点
個人情報保護委員会（PPC）は2023年6月2日、「生成AIサービスの利用に関する注意喚起等について」を公表しました。このなかでPPCは特に以下の点を事業者に求めています。
- 入力時の安全管理措置: 個人情報を生成AIに入力する場合、個人情報保護法第23条が求める安全管理措置として、サービス側での学習への利用停止設定・利用規約の確認等を行うよう求めています
- 利用目的の特定: 生成AIを使った個人情報処理は、あらかじめ利用目的を特定し（同法第17条）、その範囲内で処理することが必要
- 第三者提供の問題: 生成AIのクラウドサービスに個人情報を送信することは「第三者提供」（同法第27条）に該当するおそれがあり、本人同意が必要となるケースもある
実務での対応：「仮名化」「匿名化」の徹底
NG例（氏名・連絡先あり）:
「田中太郎（電話090-XXXX）からのクレームについて対応案を考えてほしい」
OK例（匿名化済み）:
「顧客Aから以下のクレームがあった。対応案を考えてほしい。[クレーム内容のみ]」
個人を特定できる情報を取り除き、業務上の課題・事象のみをプロンプトに入力することが基本ルールです。
要配慮個人情報は特別扱い
病歴・障害・前科・信条など「要配慮個人情報」（個人情報保護法第2条3項）は、漏洩した場合の社会的影響が大きく、取り扱いに特別な配慮が必要です。要配慮個人情報は原則として生成AIに入力しないことを社内ルールとして定めることを推奨します。
ハルシネーション対策：AI出力を「そのまま使わない」ための確認フロー
生成AIは「もっともらしいが事実ではない情報」（ハルシネーション）を出力することがあります。AI事業者ガイドライン第1.2版でも、AI利用者に対して「AI出力を最終判断に使う前に人間が検証すること」を求めています（努力義務）。
ハルシネーションが特に起きやすい場面
- 最近の出来事・法改正情報（AIの学習データに含まれていない可能性）
- 数値・統計・日付（それらしい数字を生成するが正確性は保証なし）
- 法令条文・判例の引用（条文番号・内容が誤っていることがある）
- 特定人物・企業に関する情報（実在しない経歴・発言を生成することがある）
人間の最終確認 3ステップ
ステップ1: 一次ソースで確認する
数値・日付・法令に関する情報は、必ず官公庁公式サイト（go.jp）・e-Gov法令検索・公式プレスリリースで確認します。「AIがそう言ったから」は根拠になりません。
ステップ2: 複数出典を突き合わせる
重要な情報は2〜3の独立した情報源で確認します。AIの出力と一次ソースが一致した場合のみ使用します。
ステップ3: 出力には「AI生成」を明示する（社外向けの場合）
AI生成コンテンツを社外発信・顧客提案に使う場合は、利用規約への対応として「AI活用」を明示することを検討してください。AI推進法（令和7年・2025年9月全面施行）においても、AIの透明性確保が今後重要になっていくと予想されます。同法の施行日・第7条の事業者責務・罰則の有無はAI推進法（AI新法）完全ガイドで条文に基づき詳説しています。
セキュリティ5か条：IPA「AI利用者のためのセキュリティ豆知識」から現場に落とす
IPAセキュリティセンターは2026年4月2日、「AI利用者のためのセキュリティ豆知識」を公表しました。この資料は現場の従業員を対象とした実務向けセキュリティ指針であり、以下の5点を現場ルールとして活用できます。
【1】公式サービスを使う——フィッシングAIに注意
「ChatGPT」「Copilot」を名乗る偽サービスが増えています。ブックマークや公式アプリから正規サービスにアクセスし、検索結果の広告から飛び込まないことを徹底してください。特にブラウザ拡張機能型のAIツールは、入力内容を第三者に送信するリスクがあります。
【2】業務データをパーソナルアカウントで使わない
「自分の個人アカウントのChatGPTに業務データを入力している」というケースが現場で多く見られます。個人アカウントの設定・利用規約は会社が管理できないため、会社が契約した法人プランのみを業務に使用するルールを設けてください。
【3】AI出力へのプロンプトインジェクション攻撃に注意
外部から取得したコンテンツ（メール本文・Webページ・顧客送付ファイル等）をAIに要約させる際、コンテンツ内に「以下の指示を実行せよ」という悪意ある命令文が埋め込まれているケースがあります（プロンプトインジェクション）。信頼できない情報源のコンテンツをAIに処理させる際は結果を疑い、重要な作業には使用しないことを推奨します。
【4】AI出力を自動実行しない
AIが「このスクリプトを実行してください」「このコマンドを使ってください」と示した内容をそのまま実行することは危険です。コード・コマンドは必ず内容を理解した担当者がレビューしてから実行してください。
【5】AIシステムへの不正アクセスに備える
社内で独自のAIシステム（RAGシステム・社内チャットボット等）を構築・運用している場合、そのシステム自体が攻撃対象になりえます。NISC（内閣サイバーセキュリティセンター）のガイドラインも参照しつつ、AIシステムへのアクセス制御・ログ管理を実施してください。
シャドーAIを防ぐ：「禁止」より「使えるツールを明示」が現場に定着する理由
「生成AIは禁止」と通知した会社の従業員が、こっそり個人スマートフォンや自宅のPCで業務に使い続ける——これが「シャドーAI」の実態です。禁止だけでは監視コストが高く、リスクを見えにくくするだけになりがちです。
AI事業者ガイドライン別添7のチェックリストでも、「AIの利用方針・制限の明確化」として「禁止事項だけでなく利用可能な範囲・ツール・手順を明示すること」の重要性が指摘されています。
現場定着のための「許可リスト型」アプローチ
禁止型（効果が出にくい）:
「生成AIの業務利用は禁止。違反者は懲戒処分。」
許可リスト型（定着しやすい）:
「以下の用途・ツールは利用可能。それ以外は申請制。」
| 利用可能な場面 | 使えるツール | 制限事項 |
|---|---|---|
| メール文章作成 | Microsoft Copilot（法人版） | 顧客名・金額の入力禁止 |
| 議事録整理 | Teams Premium（議事録機能） | 会議後に要約を人間が確認 |
| 社内Q&A | 社内RAGチャットボット | システム外への情報持ち出し禁止 |
| 資料の文章校正 | Copilot / ChatGPT Team | 機密情報の入力禁止 |
業務別・生成AI利用可否ワンページ表
現場の「これは使っていいのか？」に素早く答えるための一覧表です。
| 業務 | 利用可否 | 条件・注意点 |
|---|---|---|
| メール下書き作成 | ✅ 利用可 | 顧客名・金額等の個人情報を含める場合は匿名化 |
| 会議の議事録作成 | ✅ 利用可（条件あり） | 参加者氏名を除去または仮名化してから入力 |
| 社内FAQドキュメント整理 | ✅ 利用可 | 機密情報・個人情報が含まれないことを確認 |
| プレゼン資料のアウトライン作成 | ✅ 利用可 | 未発表の経営情報・M&A情報の入力は禁止 |
| コード補完・デバッグ補助 | ✅ 利用可（条件あり） | 秘密保持対象のソースコードは入力禁止。オープンソースベースのコードは要確認 |
| 顧客提案書の構成案作成 | ⚠️ 要注意 | 顧客名・案件金額・固有情報を除去してから利用 |
| 契約書のチェック補助 | ⚠️ 要注意 | 最終判断は法務・専門家に委ねること。AIの法的解釈は誤る可能性あり |
| 採用選考・人事評価への利用 | ⚠️ 要注意 | 候補者の個人情報入力に注意。評価基準の透明性確保が必要 |
| 顧客の個人情報を含む問い合わせ対応 | ❌ 要申請 | 個人情報を匿名化できる範囲のみ利用可。未匿名での入力は禁止 |
| 未公開の財務情報・M&A情報の分析 | ❌ 禁止 | 情報漏洩・インサイダー規制違反となるおそれがあります |
| 競合他社の詳細情報収集（悪意目的） | ❌ 禁止 | 不正競争防止法上の問題が生じるおそれがあります |
| 社外秘・機密ラベルの付いたドキュメント要約 | ❌ 禁止 | 社内規程で情報分類が定められている場合、分類に従うこと |
凡例: ✅ 条件を守れば利用可 ／ ⚠️ 用途・内容を確認してから利用 ／ ❌ 原則禁止（要申請または利用不可）
社内ルール整備 6ステップ：中小企業でも1週間で動けるフレームワーク
AI事業者ガイドライン別添7には、事業者向けのチェックリストが添付されています。このチェックリストを活用した、中小企業でも現実的に動ける6ステップを示します。
ステップ1: 現状把握（1日）
社内でどのようなAIツールが使われているかを把握します。アンケート・ヒアリングで「現在使っているAIツールの名称・用途・使用頻度」を確認してください。
確認すべき主なツール：
– ChatGPT（OpenAI）
– Microsoft Copilot（法人版・個人版の区別）
– Google Gemini
– 議事録AI（Notta、otter.ai等）
– 画像生成AI（Midjourney、Stable Diffusion等）
ステップ2: リスク評価（1日）
現状把握で判明したツール・用途に対し、以下の観点でリスクを評価します。
| リスク項目 | 確認内容 |
|---|---|
| 個人情報 | 顧客・従業員の個人情報が入力されていないか |
| 機密情報 | 未発表情報・営業秘密が入力されていないか |
| 学習利用 | 利用中AIサービスの利用規約で、入力データが学習に使われるか |
| 著作権 | AI生成コンテンツを社外に公開していないか |
ステップ3: 利用方針の策定（1〜2日）
上記の業務別利用可否表を参考に、自社版の「AI利用方針」を1枚で作成します。全部を細かく決める必要はありません。最低限「禁止事項（入力してはいけない情報のリスト）」と「使えるツール一覧」を定めれば、まず動けます。
ステップ4: 周知・研修（半日〜1日）
方針を全従業員に共有します。研修動画・FAQドキュメントがあれば理想的ですが、A4一枚のガイドラインを全員に配布するだけでも大きな効果があります。
ステップ5: 利用規約の確認と法人アカウント移行（1〜2日）
従業員が個人アカウントで業務利用している場合、法人プランへの移行を検討します。法人プランは「入力データを学習に使わない」設定が可能なものが多く、セキュリティ管理も容易になります。
なお、AI導入コストは補助金が活用できるケースがあります。IT導入補助金などのAI・DX導入補助金も参照してください。
ステップ6: 定期見直し（3〜6か月ごと）
AI技術の進歩は速く、ガイドラインも年単位で更新されます（AI事業者ガイドラインは2025年9月に第1.1版、2026年3月に第1.2版が公表されました）。方針は「一度決めたら終わり」ではなく、定期的にアップデートする体制を設けてください。
2026年最新：AI事業者ガイドライン第1.2版で何が加わったか
AI事業者ガイドラインは2023年初版→2024年第1.0版→2025年第1.1版→2026年3月31日に第1.2版として改訂されました。
第1.2版の改訂では、AIの社会実装が進むなかで新たに浮上したリスク（フェイク情報の生成・AIシステムのセキュリティ・生成AIの不正利用等）への対応が強化されたと報告されています。特に「AI利用者」セクションでは、利用者側の注意義務と確認フローの重要性が一層明確化されています。
なお、AI事業者ガイドラインに法的拘束力はなく、ガイドラインへの準拠は努力義務の位置づけです。違反しても直接の行政処分・罰則はありません。ただし、個人情報保護法違反・著作権法違反などに連なる行為は別途法的責任が問われるおそれがあります。
FAQ
Q1. 会社から支給されたPCで個人のChatGPTアカウントを使うのは問題ありますか？
A: 業務内容を個人アカウントに入力することは、会社のセキュリティポリシー上の問題となるおそれがあります。個人アカウントの設定・利用規約は会社が管理できず、入力データが学習に使われる可能性もあります。会社が法人プランを契約している場合は法人プランを使用し、個人アカウントでの業務利用は原則避けることが望ましいです。
Q2. 生成AIに「架空の顧客情報」として入力しても問題ありませんか？
A: 架空の情報（実在しない人物の名前・住所など）を使うのであれば、個人情報保護法上の問題は生じにくいです。ただし、「架空と思っていたが実在の人物の情報と偶然一致する」という事態を避けるため、社内の実際の顧客リスト等から切り貼りした情報は使わないようにしてください。
Q3. 無料版と有料版・法人版でリスクはどう違いますか？
A: 一般的に、無料版（個人向け）は入力データが学習データとして使われる可能性が高い設定になっている場合があります。有料・法人プランでは「学習への利用をオプトアウト（除外）できる」設定が提供されていることが多く、セキュリティ管理の観点からも法人プランを選ぶことを推奨します。ただし、利用規約は各サービスによって異なるため、契約前に必ず確認してください。
Q4. AIが生成した文章をそのまま社外に出してはいけないのですか？
A: 「そのまま」が問題になるケースは主に2点です。①著作物に類似した内容が含まれている場合（著作権侵害のおそれ）、②事実と異なる情報が含まれている場合（誤情報の拡散リスク）。人間が内容を確認・修正し、事実関係を検証してから使用することが実務上の安全策です。
Q5. 生成AIを使って作成したコンテンツに著作権はありますか？
A: 現時点の日本の法解釈では、純粋にAIが生成したコンテンツに著作権は認められないという整理が基本です（「人の創作的表現」が著作物の要件のため）。ただし、人間が相当程度の創作的な指示・編集を行った場合は、その人に著作権が認められる余地があります。文化庁は2024年のガイダンスで「AIと著作権の関係は個別事案によって判断が異なる」としており、重要コンテンツについては法律専門家に相談することを推奨します。
Q6. 「AI推進法」が施行されると企業に何か義務が生じますか？
A: AI推進法（令和7年法律第53号・2025年9月全面施行）は、AIの適正な利用を促進するための基本法として位置づけられています。現時点では、一般の利用者企業に対して直接の罰則規定はなく、基本的な行動原則の努力義務が中心です。ただし、AIを事業に活用する企業にも「透明性確保」「人間による監督」等の指針が示されています。同法の詳細（第7条の事業者責務・罰則の有無・人工知能基本計画）はAI推進法（AI新法）完全ガイドで解説しています。
まとめ：現場が今日から動けるポイント
生成AI業務利用のルールは複雑に見えますが、現場が押さえるべき核心はシンプルです。
今日から守る5か条:
- 機密情報・個人情報は入力しない — 社外に出したくない情報はプロンプトにも入れない
- AI出力を最終確認なしに使わない — 数値・法令・固有情報は一次ソースで確認
- 法人プランを使う — 個人アカウントでの業務利用は会社が契約した法人プランに切り替える
- 著作権リスクを知る — AI生成コンテンツを社外に出す前に内容を人間がレビューする
- 社内ルールを1枚にまとめる — 禁止事項と使えるツールを全員が確認できる形にする
AI事業者ガイドライン第1.2版（2026年3月31日公表）・IPA「AI利用者のためのセキュリティ豆知識」（2026年4月2日）は、いずれも経産省・IPA公式サイトで無料公開されています。これらを参考に、自社の実情に合ったAI利用方針を整備してください。
一次ソース・参考資料
| 資料名 | 所管 | 公表日 | URL |
|---|---|---|---|
| AI事業者ガイドライン第1.2版 | 経済産業省・総務省 | 2026年3月31日 | https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html |
| AI事業者ガイドライン別添7（チェックリスト） | 経済産業省・総務省 | 2026年3月31日 | https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_5.pdf |
| AI利用者のためのセキュリティ豆知識 | IPA（情報処理推進機構） | 2026年4月2日 | https://www.ipa.go.jp/digital/ai/security/ai_security_tips.html |
| AIと著作権に関する考え方について | 文化庁 | 2024年3月15日 | https://www.bunka.go.jp/seisaku/chosakuken/aiandcopyright.html |
| AIと著作権に関するチェックリスト＆ガイダンス | 文化庁 | 2024年7月31日 | 上記ページより入手可 |
| 生成AIサービスの利用に関する注意喚起等について | 個人情報保護委員会 | 2023年6月2日 | https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/ |
| テキスト生成AIの導入・運用ガイドライン（参考資料） | IPA産業サイバーセキュリティセンター（※IPA公式見解ではなく中核人材育成プログラム成果物） | 2024年7月31日 | https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2024/generative-ai-guideline.html |
関連記事
- AI推進法（AI新法）完全ガイド｜2025年施行の中身と企業の実務対応（本記事の制度背景。施行日・第7条責務・罰則の有無を条文で解説）
- AI・DX導入補助金2026まとめ｜中小企業が使える補助金一覧（AI導入のコスト支援制度を解説）
- 国が推奨するAI活用事例と中小企業での応用ガイド（デジタル庁・総務省・自治体の生成AI活用事例を、自社の業務に翻訳して導入する実務ガイド）
※本記事は情報提供を目的としており、法的アドバイスを構成するものではありません。個別事案への対応については、弁護士・社会保険労務士等の専門家にご相談ください。詳細は免責事項をご確認ください。
