勤め先で生成AIの利用ルールが配られたとき、それがどこから来たのかを考えたことはあるでしょうか。
多くの場合、土台になっているのは総務省と経済産業省の「AI事業者ガイドライン」です。
最新は第1.2版で、令和8年(2026年)3月31日に公表されました。
本編と別添のほかチェックリストとワークシートが無料で公開されています。ワークシートはExcelファイルなので開いてそのまま自社の検討に使えます。
さらに2026年3月には、これから始める会社向けの「活用の手引き(案)」と、ガイドラインの内容を質問して調べられるチャットボットも公開されました。
本記事では、ガイドラインの中身を紹介するだけでなく、自分の会社がどの立場に当たるのかの判定と規程に書くべき項目まで具体的に解説します。
第1.2版では主体区分が整理され、コード生成AIを使って社内ツールを作った会社は「利用者」だけでなく「提供者」にもなることが明記されました。これについては心当たりのある会社は多いはずです。
この記事でわかること
先に結論をまとめます。知りたい項目から読んでください。
| 知りたいこと | 結論 | 詳しくは |
|---|---|---|
| 会社のルールの土台は | AI事業者ガイドライン(総務省・経産省) | ガイドラインとは |
| 法律なのか | 法律ではない。ただしAI法を含めた制度の見直しが始まっている | ガイドラインとは |
| 自分の会社の立場は | 開発者・提供者・利用者の3区分で判定する | 主体の区分 |
| 第1.2版で何が変わったか | AIエージェント、リスク分類、用語の整理 | 改訂点 |
| 何から手を付ければよいか | 活用の手引き(案)の4つの準備事項と、チェックリスト・ワークシート | チェックリスト |
| 規程に何を書くか | 5項目。全部で1ページに収まる | 規程の5項目 |
| 実際に作ってみてどうか | 自分でルールを作った記録 | 自分の記録 |
AI事業者ガイドラインとは何か
総務省と経済産業省が作っている、事業者向けの指針です。
正式名称は「AI事業者ガイドライン」。最新は第1.2版で、令和8年3月31日公表です。
第1.0版(令和6年4月19日)、第1.01版(令和6年11月22日)、第1.1版(令和7年3月28日)と改訂されてきました。
公開されている資料は、次のとおりです。
| 資料 | 何が書いてあるか |
|---|---|
| 本編 | 考え方と、主体ごとに求められる事項 |
| 別添 | 具体例と補足 |
| 本編・別添の見え消し版 | 前の版からの変更箇所 |
| チェックリスト(別添7) | 自社の状況を確認する項目 |
| ワークシート(別添7) | Excelファイル。書き込んで使う |
| 主体横断的な仮想事例(別添8) | 想定ケース(第1.0版のまま。第1.2版での更新はなし) |
| 海外ガイドライン等の参照先(別添9) | 対応関係 |
| 概要資料(本編・別添) | 要点をまとめたスライド |
| 活用の手引き(案) | これから始める事業者向けの入口(令和8年3月31日公表) |
| チャットボット | ガイドラインの内容を質問して調べられる(令和8年3月26日公表) |
用語の定義は、独立した用語集ではなく、本編第1部の「関連する用語」の項にまとまっています。
ガイドラインは法律ではありません。違反しても罰則はない点は重要です。
では、なぜ会社がこれを気にする必要があるのでしょうか。
理由は3つあります。
- 取引先から聞かれるため 大きい会社ほど取引先のAIの扱いを確認するようになっています
- 事故が起きたときの説明に使われるため 「一般に求められる水準」の物差しとして参照されます
- 一から作るより速いため 何を決めるべきかの一覧が、すでにできています
日本のAIに関する法令の位置づけは、別記事で整理しています。
→ AI規制の現在地【2026年10月】日本のAI法とEU AI法、米国、中国、韓国の動き
法律とガイドラインの関係、EUとの違いを地図の形でまとめています。
法律との関係も整理しておきます。
AI法(人工知能関連技術の研究開発及び活用の推進に関する法律)の第13条に基づいて、人工知能戦略本部が令和7年12月19日に「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」(AI指針)を決定しました。
内閣府はこの指針とあわせて「各府省庁等のガイドライン等一覧」を公開しており、その1番目に置かれているのがAI事業者ガイドラインです。
つまり、法律 → 国全体の指針 → 各府省のガイドラインという並びの中で、会社が実務で開くのがAI事業者ガイドライン、という位置づけです。
ただし、この並びは固定ではありません。
2026年10月26日の内閣府「人工知能戦略専門調査会(第7回)」の事務局資料には、「信頼できるAIの実現に向けて、AI法を含む関連法制度の見直しを検討していく」と書かれました。
その前の10月22日の「AI・デジタル改革推進会議」では、官房長官が「AIガバナンスの強化」などの論点を「年明け以降速やかに具体化し、関連する計画等の改定につなげていきたい」と述べています。
「法律ではないから急がなくてよい」とは言いにくくなってきています。
自分の会社がどの立場かを、先に決める
ガイドラインは、立場ごとに求められることが違います。
立場の区分は以下の3つです。
| 区分 | 大まかにいうと |
|---|---|
| AI開発者 | AIモデルやシステムを作る |
| AI提供者 | AIシステム・サービスを他者に提供する |
| AI利用者 | 提供されたものを使う |
多くの会社は「うちはAI利用者だ」と考えます。
ところが第1.2版ではこの区分整理が更新され、兼ねる場合があることが明記されました。
同一事業者がファインチューニングを行い、AIシステムの提供を行う場合、AI開発者とAI提供者の区分を兼ねるものと整理
コード生成AI等の支援を受けてAIシステムを提供した場合、AI利用者とAI提供者の区分を兼ねるものと整理
——AI事業者ガイドラインの令和7年度更新内容
コード生成AIを使って社内ツールや顧客向けの機能を作り、それを提供した場合、その会社は「提供者」も兼ねるという整理です。
いまはコード生成AIで簡単なツールを作れます。
社内の問い合わせ対応チャット、見積の下書きを出す画面、顧客向けの簡単な診断ツールなど、これらツールを作って誰かに使わせた時点で、立場が変わり得るということです。
立場は次の3つの質問に答えることで判定できます。
- モデルを自分たちで調整しているか(ファインチューニングなど) → はいなら開発者を兼ねる
- 作ったものを、自社の外または他部門の人に使わせているか → はいなら提供者を兼ねる
- 買ってきたサービスを、そのまま自分たちで使っているだけか → はいなら利用者
2番目の質問が「はい」になる会社は、思っているより多いはずです。
ファインチューニングそのものの意味は、用語の記事で扱っています。
→ ファインチューニングとは|5段階でわかる用語解説
第1.2版で変わったところ
技術の動きに合わせて書き足された部分があります。
「AI事業者ガイドラインの令和7年度更新内容」から、社内ルールに関わる改訂を挙げます。
1. AIエージェントが定義された
特定の目標を達成するために、環境を感知し自律的に行動するAIシステム
AIエージェントの詳しい意味は、用語の記事で扱っています。
→ AIエージェントとは|5段階でわかる用語解説
更新内容の資料では、リスクとして次の事項を追加したと説明されています。
自律的行動による人間の意図しない動作、攻撃対象・攻撃手法の増加、複雑機構を持つことによる制御の困難化、悪意のあるコード生成等
留意すべき事項として追加されたのは、次のものです。
人間の判断を介在させる仕組みの構築や最小権限設定
この部分は分量が多いので、別記事で詳しく扱います。
なお、AIエージェントについては、2026年9月から経済産業省の会議で、利用する企業向けのセキュリティ対策の取りまとめも始まっています(令和8年度中に公表予定)。
2. リスクベースアプローチが明記された
リスクの大きさ/発生可能性等を加味して対策の優先順位を検討するという考え方
全てを同じ強さで規制しないという考え方です。
社内規程を作るときにもそのまま使えます。全てを禁止すると誰も守らなくなるおそれがあるため、発生したときの影響が大きいものから順に手を打ちます。
3. リスクの記載が増えた
追記されたものの中で、一般での職場にも大きく関わりそうな事柄を挙げます。
- マルチモーダルな生成AIやカメラ、音声認識活用時のプライバシー権の侵害リスク
- 悪意をもって、AIモデルに設定された制御を外す事例
- 金銭的損失の被害者となり得るリスク
1つ目は、会議の録音や画面の共有をAIに渡す場面がそのまま当たります。
その場にいた全員の声が入っているという点が、テキストとは違うところです。
マルチモーダルの詳しい意味は、用語の記事で扱っています。
→ マルチモーダルAIとは|5段階でわかる用語解説
4. 「差別的出力」の分類が変わった
技術的リスクから、倫理・法に関するリスクへ移されました。
技術で直す問題ではなく、判断の問題として扱う、という位置づけの変更です。
5. 偽情報への対応が明記された
生成AIによって、内容が真実・公平であるかのように装った情報を誰でも作ることができるようになり、AIが生成した偽情報・誤情報・偏向情報が社会を不安定化・混乱させるリスクが高まっていることを認識した上で、必要な対策を講じる
→ ディープフェイクの見分け方|本物か確かめる5つの手順を、5段階でわかる用語解説
作られる側の話です。会社としては、自社の名前や役員の顔が使われる可能性も含みます。
6. 手引きとチャットボットが公開された
更新内容の資料では、ガイドラインを使いやすくするための2つが「令和7年度末を目途に」用意されると書かれていました。
どちらも、すでに公開されています。
| 名前 | 公開日 | 中身 |
|---|---|---|
| AI事業者ガイドライン活用の手引き(案) | 令和8年3月31日 | 「AIガバナンスの構築・実践をこれから始める皆様に向けたもの」。はじめに着手する準備事項と、つまずきやすい項目での本編の引き方 |
| AI事業者ガイドライン チャットボット | 令和8年3月26日 | 主体や確認したい事項を選ぶか、文章で質問して、ガイドラインの内容を調べられる(ルールベースAI) |
手引きは、名前に「(案)」が付いたままです。正式版に切り替える時期は、掲載ページには書かれていません。
チャットボットは総務省の共通の窓口で、開くと質問の分野を選ぶ画面が出ます。「AI事業者ガイドライン」を選んで使います。
これから作る会社向けの入口ができた、ということです。使い方は次の節で説明します。
チェックリストとワークシートをそのまま使える
この点は本記事でいちばん実用的な部分です。
社内ルールを作るとき、大抵は何を決めればよいか分からないところで止まってしまいます。
ガイドラインには、別添7としてチェックリストとワークシートが用意されています。
ワークシートはExcel形式なので、ダウンロードして自社の状況を書き込め便利です。
その前に、全体の見取り図として活用の手引き(案)を開いておくと迷いにくくなります。
手引きが挙げる、はじめに対応すべき4つのこと
活用の手引き(案)の3章は、これからAIガバナンスを作る事業者が「はじめに対応すべきこと」として、次の4つを挙げています。
- 組織内のAI開発・提供・利用の状況を把握する仕組み
- 組織が扱うAIの特性に応じたルールの策定・運用
- インシデント報告体制の構築
- リスク評価体制の構築
取り組む順番は決められていません。「事業者ごとの状況に応じて変わり得るため、並行して対応することも念頭に置き」判断するよう書かれています。
また、「既存の体制があれば、必ずしもAI活用のために体制を新規に構築する必要はありません」とも明記されています。小さい会社にとっては、ここがいちばん心強い一文です。
この記事の後半で扱う「社員に配る5項目」は、このうちの2番目(ルール)と3番目(報告の窓口)に当たります。
1番目(誰が何を使っているかの把握)は、ルールを配ったあとに、使ってよいサービスの一覧と照らし合わせる形で進められます。
ここからは、チェックリストとワークシートの使い方を順を追って説明します。
手順1:主体区分を決める
前節の3つの質問で、自社が開発者・提供者・利用者のどれに当たるか(兼ねるか)を決めます。
ここが決まらないと、チェックリストのどの項目を見ればよいか判断できません。
手順2:ワークシートを開いて当てはまる行だけ残す
全部を埋めようとすると進まなくなってしまいます。
自社の区分に関係のない行は、最初に消してください。
残すか迷った行は、チャットボットで主体と確認したい事項を選んで聞くと、ガイドラインの該当する内容を確かめられます。
手順3:「できている/できていない/該当しない」の3つに分ける
このときできていない理由を1行だけ書いておきます。
人がいない、決めていない、そもそも該当しない。理由が書いてあると、後で優先順位を付けられます。
手順4:リスクの大きさで並べ替える
第1.2版で明記されたリスクベースアプローチをここで使います。
起きたときの影響が大きいものから3つだけ選び、まずその3つに手を打ちます。
手順5:決まったことを1ページにまとめる
ワークシートは検討の道具で、社員が読むものではありません。
社員に配るのは、次節で解説する5項目を1ページにまとめたものです。
社員に配るルールは5項目で足りる
長い規程は読まれません。とくに重要である点を社員に配るルールに記載しましょう。決めるべきことは以下の5つです。
1. 使ってよいサービスの一覧
サービスの名前を挙げて書きます。「会社が契約したもの」だけでは足りません。
個人のアカウントで使ってよいかどうかを、はっきり書いてください。曖昧だと事故はここから起きます。
会社が把握していないAIの利用がどんな事案につながるのかは、こちらで扱っています。
→ シャドーAIとは|会社が認めていないAIに顧客情報を入れると起こることをRIZAPの事案から考える【2026年】
2. 入れてよい情報・だめな情報
以下の3段階に分けると運用できます。
| 区分 | 例 |
|---|---|
| 入れてよい | 公開されている情報、自分で書いた一般的な文章 |
| 条件つき | 社内情報のうち、固有名詞と数値を伏せたもの |
| だめ | 個人情報、顧客から預かった情報、未公開の数値、契約書の中身 |
判断の考え方は、こちらに詳しく書いています。
→ 生成AIに入力してよい情報とだめな情報|設定だけでは防げないこと【2026年9月】
設定でつぶせるリスクと、入力しないことでしかつぶせないリスクを分けて書いています。
学習に使わせない設定の手順は、こちらです。
→ AI学習オプトアウト設定2026|主要8サービスの手順
3. 出力を確認する手順と、確認する人
企業の懸念で1位に挙がるのが情報の正確性です(帝国データバンクの2026年3月調査で50.4%)。
情報の正確性を担保するために最低限、次の3つを書いてください。
- 数値・固有名詞・出典は、必ず元の資料に当てる
- 確認できなかった記述は、直すのではなく削る
- 社外に出すものは、人が最終確認する
4. 社外に出すときの表示
自社のサイトや資料でAIを使った場合に「AIを使用しました」と書くかどうかを決めておきます。
書く・書かないのどちらでも構いませんが、部署ごとにばらばらだと、後から説明できなくなるため統一しましょう。
5. 困ったときの連絡先
「入れてしまったかもしれない」と思った人がすぐ相談できる連絡先を1つ書いておきましょう。
重要なのは「責めない」と明記することです。報告が上がってこないほうが、はるかにあとで困ることになるからです。
帝国データバンクの調査で「トラブル時の責任所在などのルール整備」を懸念に挙げた企業が25.5%ありました。
責任の所在をルールで整備しておくことが重要です。
活用の手引き(案)も、準備事項の3番目に「インシデント報告体制の構築」を挙げ、連絡窓口を設置することと、対応の流れを事前に検討しておくことを示しています。
自分でルールを作ってみた
自分の区分は「AI利用者」であると判定しました。
記事を書くのにAIを使っているだけで、読者に何かを提供しているわけではないためです。
ただし、今後サイト上にツールを置くなら「提供者」を兼ねることになります。
AI事業者ガイドラインに添付されたワークシートを開いて一通り見るのに30分かかりました。
全体での対応箇所として10項目あり、それぞれに分類があり総数は30項目でした。
利用者として該当したのは12項目の分類です。
| 項目数 | |
|---|---|
| できている | 11 |
| できていない | 1 |
| 該当しない | 18 |
できていなかったもののは、「AIモデルの技術に含まれるバイアスへの配慮」です。
一人個人でやっている以上、どうしてもAIモデル技術のバイアスには手がつけられない部分が多いからです。
ここはできていないと書いたまま残しています。今後、利用するAIモデルについてもよく検討したうえで作成を進めていきたいと考えています。
自分のルールを1ページにまとめるまでの時間は40分でした。
用語をそろえておくと社内の話が早い
第1.2版では、本編第1部の「関連する用語」に「学習」と「推論」の定義が加わり、データの呼び方も整理されました。
社内で議論すると、同じ言葉を別の意味で使っていて噛み合わないことがあります。
ガイドラインの定義に合わせておくことで手間を減らせます。
| 用語 | 第1.2版での整理 |
|---|---|
| 学習 | データを用いてAIモデルのパラメータを決定または改善するプロセス(更新内容の資料では、In-Context Learningは学習に含まれないと説明) |
| 推論 | 学習済みモデルに未知のデータを与え、出力(予測・分類・生成など)を得るプロセス(RAG等で補った外部の情報も推論に用いられる) |
| テストデータ | 旧「評価用データ」 |
| 検証データ | 旧「妥当性確認データ」 |
| 訓練データ | 旧「訓練用データ」 |
「学習」はパラメータを変えるプロセスで、In-Context Learningは含まないと整理された点が、実務に関係してきます。
チャットの中で例を見せて答えを調整させる行為は、モデルのパラメータは変えていません。
なので「学習」ではありません。
一方、入力した内容がサービス側でモデルの改善に使われるかどうかは、また別の話です。
社内で「学習される」という言葉が出たとき、どちらを指しているのかを分けて話してください。
それぞれの用語は、記事で個別に扱っています。
よくある質問(FAQ)
Q1. AI事業者ガイドラインを守らないと、罰則がありますか。
ガイドラインは法律ではないので、罰則はありません。ただし、取引先からの確認、事故が起きたときの説明、社内規程を作るときの土台として参照されます。守らせる仕組みが別にあるというより、「一般に求められる水準」の物差しとして機能している、という位置づけです。なお、2026年10月には、政府の会議でAI法を含む関連法制度の見直しを検討する方針が示されました。今後の議論によっては、この位置づけが変わる可能性があります。
Q2. 小さい会社でも作る必要がありますか。
規模に関係なく、使う人がいるなら決めることはあります。本文に挙げた5項目なら1ページに収まります。全項目に対応する必要はありません。活用の手引き(案)にも「既存の体制があれば、必ずしもAI活用のために体制を新規に構築する必要はありません」と書かれています。第1.2版で明記されたリスクベースアプローチのとおり、起きたときの影響が大きいものから3つ選んで手を打ってください。
Q3. うちは買ってきたサービスを使っているだけなので、利用者でよいですか。
多くの場合はそうです。ただし第1.2版では「コード生成AI等の支援を受けてAIシステムを提供した場合、AI利用者とAI提供者の区分を兼ねるものと整理」とされました。コード生成AIで作った社内ツールや顧客向けの機能を誰かに使わせているなら、提供者を兼ねている可能性があります。
Q4. チェックリストはどこで手に入りますか。
総務省の「AI事業者ガイドライン」掲載ページに、本編・別添とあわせてチェックリスト(別添7)とワークシート(別添7、Excel形式)が公開されています。無料で、登録も要りません。同じページから、これから始める会社向けの「活用の手引き(案)」と、内容を質問して調べられるチャットボットも開けます。参考の一次情報にURLを載せています。
Q5. 会議の録音をAIに渡すのは大丈夫ですか。
会社のルール次第ですが、第1.2版では「マルチモーダルな生成AIやカメラ、音声認識活用時のプライバシー権の侵害リスク」が追記されています。音声には、その場にいた全員の声が入っている点がテキストと違います。少なくとも、参加者に伝えているかどうかは確認してください。
Q6. 社員が個人のアカウントで使うのは止めるべきですか。
止めるかどうかより、書いてあるかどうかが重要です。書いていないと、各自が自分の判断で使います。禁止するなら代わりに使えるものを用意し、認めるなら入れてよい情報の線を示してください。どちらも書かないのが、いちばん危ない状態です。
Q7. ルールを作ったあと、どう更新すればよいですか。
ガイドライン自体が年度ごとに改訂されています(第1.0版が令和6年4月、第1.1版が令和7年3月、第1.2版が令和8年3月)。見え消し版が公開されているので、年1回そこだけ見て、自社のルールに影響する箇所があるかを確認するのが現実的です。2026年10月には、政府の会議で、AIエージェントを含めて既存のガイドラインを検証し、必要に応じて見直す方向も論点に挙がっています。次の改訂が例年どおりの時期になるかは、掲載ページで確かめてください。
まとめ
会社の生成AI利用ルールの多くは、総務省・経済産業省の「AI事業者ガイドライン」を土台にしています。
最新は第1.2版で、令和8年3月31日公表。法律ではありませんが、取引先からの確認や、事故が起きたときの説明の物差しとして使われています。
最初にやることは、自分の会社がどの区分に当たるかを決めることです。
第1.2版では「コード生成AI等の支援を受けてAIシステムを提供した場合、AI利用者とAI提供者の区分を兼ねる」という整理が入りました。買って使っているだけのつもりでも、区分が変わっている会社があります。
手を付ける順番は、活用の手引き(案)の4つの準備事項で全体を見てから、公開されているチェックリストとワークシートに沿って進めるのが早道です。
全部を埋めず、リスクの大きさで3つに絞る。これは第1.2版で明記されたリスクベースアプローチの考え方そのままです。
社員に配るルールは5項目で足ります。
使ってよいサービス、入れてよい情報、確認の手順と担当、社外に出すときの表示、そして困ったときの連絡先。
最後の1つには「責めない」と書いてください。報告が上がってこないほうが、はるかに困ります。
次に読む
この記事は「AI活用」の1本です。
同じ場面で役に立つ記事
→ 生成AIに入力してよい情報とだめな情報|設定だけでは防げないこと【2026年9月】
ルールの2項目目を、使う人の側から具体化した記事です。
→ AI規制の現在地【2026年10月】日本のAI法とEU AI法、米国、中国、韓国の動き
ガイドラインと法律の関係を、地図の形で整理しています。
→ AI倫理・AIガバナンスとは|AIとどう付き合うかのルール作り
そもそも何のためにルールを作るのか、という手前の話です。
用語の全体像はこちらで確認できます。
→ 今さら聞けないAI用語30選｜初心者でもニュースが読めるようになる意味と読み方
この記事を書いた人:kkazuki｜AI/DX分野ブログ運営者 → 運営者情報
※ガイドラインの内容は第1.2版(令和8年3月31日)時点のものです。改訂されるため、社内規程を作る際は必ず最新版を確認してください。この記事は法律の解釈を示すものではありません。
参考
- 総務省・経済産業省「AI事業者ガイドライン(第1.2版)」本編(令和8年3月31日) https://www.soumu.go.jp/main_content/001064279.pdf (経済産業省の掲載 https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_1.pdf )
- 総務省「AI事業者ガイドライン」掲載ページ(本編・別添・チェックリスト(別添7)・ワークシート(別添7)・活用の手引き(案)・チャットボット) https://www.soumu.go.jp/main_sosiki/kenkyu/ai_network/02ryutsu20_04000019.html
- 総務省「AI事業者ガイドライン(第1.2版)」別添 https://www.soumu.go.jp/main_content/001064286.pdf
- 総務省「AI事業者ガイドライン(第1.2版)」チェックリスト(別添7) https://www.soumu.go.jp/main_content/001064289.pdf
- 総務省「AI事業者ガイドライン(第1.2版)」ワークシート(別添7、Excel) https://www.soumu.go.jp/main_content/001064290.xlsx
- 総務省「AI事業者ガイドラインの令和7年度更新内容」(第1.1版からの改訂点) https://www.soumu.go.jp/main_content/001064301.pdf
- 総務省・経済産業省「AI事業者ガイドライン活用の手引き(案)」(令和8年3月31日公表) https://www.soumu.go.jp/main_content/001064304.pdf
- 総務省「AI事業者ガイドライン チャットボット」(令和8年3月26日公表) https://www.mic.govbot.go.jp/
- 人工知能戦略本部「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」(令和7年12月19日決定)と各府省庁等のガイドライン等一覧 https://www8.cao.go.jp/cstp/ai/ai_guideline/ai_guideline.html
- 内閣府「人工知能戦略専門調査会(第7回)」事務局説明資料(2026年10月26日) https://www8.cao.go.jp/cstp/ai/ai_expert_panel/7kai/shiryo1.pdf
- 株式会社帝国データバンク「生成AIに関する企業の動向調査(2026年3月)」(2026年5月14日公表、有効回答10,312社) https://www.tdb.co.jp/report/economic/20260514-genai/
