社内AI利用規程にAI事業者ガイドラインは何を求めるか

AI事業者ガイドラインとは何か、社内規程とどう関わるか

「AI事業者ガイドライン」は、総務省と経済産業省が共同で取りまとめる、AIを事業で扱う主体向けの指針です。法的な拘束力のない「非拘束的なソフトロー」で、細かな行為義務を並べるのではなく、目指す姿を示して事業者の自主的な取組を促すゴールベースの作りになっています。

参照するなら最新の第1.2版(2026年3月31日公開)です。ここまでの経緯は次のとおりです。

あゆみ

AI事業者ガイドラインの歩み

1. 2024年4月第1.0版を策定

   総務省の「AI開発ガイドライン案」「AI利活用ガイドライン」と、経済産業省の「AI原則実践のためのガバナンス・ガイドラインVer. 1.1」の3つを統合・見直しました。従来のガイドラインに代わる位置づけです。

2. 2025年6月・9月AI推進法が公布・全面施行

   AI推進法(令和7年法律第53号)が6月に公布され、9月に全面施行されました。

3. 2025年12月19日適正性確保指針が決定

   同法第13条に基づき、AIの研究開発と活用の適正性を確保するための指針が策定されました。

4. 2026年3月31日第1.2版を公開

   本編が更新され、概要資料も同じ日付で出ています。

法律側の事業者責務はAI推進法の事業者責務で扱っています。ガイドライン自身が「Living Document」として随時更新される前提を明記しているので、社内規程の前文に版を書いておくと、改定されたときにどこを見直すかが追えます。

対象者は「AI開発者」「AI提供者」「AI利用者」の3区分です。AI利用者は「事業活動において、AIシステム又はAIサービスを利用する事業者」と定義され、同じ事業者が複数の区分を兼ねる場合もあります。政府・自治体などの公的機関も対象に含まれる一方、事業活動以外でAIを使う個人や、AIを直接使わずに便益や損失を受ける「業務外利用者」は対象外です。

Claudeを業務で使う企業の多くはAI利用者に当たります。API連携やカスタムアプリで自社サービスに組み込み、社外にも提供するなら、AI提供者の立場も重なります。どちらの区分の記述を参照するかで、規程に書く内容が変わります。中小企業がIPAの規程サンプルから始める場合は、ガイドラインに生成AIの項を足す方法もあります。

10の共通指針は社内規程のどの条文に対応するか

第2部が定める「共通の指針」は10項目あり、7項目は「各主体が取り組む事項」、残る3項目(教育・リテラシー、公正競争確保、イノベーション)は「社会と連携した取組が期待される事項」に分かれます。社内規程に落とすときの対応は次のとおりです。

条文化の中心になるのは1〜7に加えて8です。8は、主体内のAIに関わる者が正しい理解と知識を持てるよう必要な教育を行うことを求めており、社内向けの規程にそのまま書ける内容です。9と10は、社外向けサービスを持たない企業では記述が薄くなります。

Claudeへの入力データに関する線引きは、4と5が受け持ちます。顧客情報や個人情報を入力してよいかというルールは、規程の中核になります。5の脚注には、総務省が2026年3月に策定した「AIのセキュリティ確保のための技術的対策に係るガイドライン」も挙がっています。AI開発者・提供者向けのLLM脅威対策で、利用側の規程では攻撃手法の最新動向に留意する条文の参考になります。

Claudeをコーディングに使う組織には、2の脚注が直接関わります。プログラムコードを生成するAIを活用する場合は、生成したコードの安全性やセキュリティ面への配慮が重要だと書かれています。出力コードのレビューを条文にする根拠として引けます。同じ2の脚注には、RAG(検索拡張生成)は回答の収束が加速する可能性があり、多様性や独創性が求められる業務では適切でない場合があるとも書かれています。プロジェクト知識や検索連携を使う業務の範囲を決める条文に効く記述です。

4の脚注には更新の予定も載っています。個人情報保護法の「3年ごと見直し」の検討が進み、2026年1月に制度改正方針が公表されました。個人情報の入力ルールは、法改正のたびに見直す条文になります。

ここで見落としやすいのが、ガイドライン本編の表1です。AI利用者の列は、人間中心・教育・リテラシー・公正競争確保・イノベーションが「-」で、第5部に個別の事項がありません。ただし表の注記で、「-」は共通の指針に基づく対応が期待されているという意味であり、対応不要ではないと明記されています。第5部の項目だけを条文にすると、とくに人間中心と教育が抜けます。

AI利用者向け7項目は規程の骨格になる

第5部「AI利用者に関する事項」は、AIサービスを業務で使う事業者が取り組む事項を7項目にまとめています。ガイドライン内の識別番号はU-2からU-7で、U-7だけが2項目です。

条文化

第5部の7項目を条文の種類で分ける

• 入力と利用のルール

  • 提供者が定めた留意点を守り、設計で想定された範囲で使う。想定どおりの仕様で動いているかも確かめる(U-2)
  • 入力データは正確で、必要なら最新のものにする(U-2)
  • 個人情報を不適切に入力しない。プライバシー侵害に関する情報も集める(U-4)
  • 機密情報を不適切に入力しない。提供者が示すセキュリティ上の留意点を守る(U-5)

• 利用者としての責任

  • 出力の精度とリスクの程度を理解して使う(U-2)
  • 公平性が担保されたデータを入力し、プロンプトのバイアスに留意したうえで、出力の事業利用は自らの責任で判断する(U-3)
  • 提供者から受け取った文書を保管・活用し、サービス規約を守る(U-7 ii)

• 説明と報告

  • 出力を事業判断に使ったら、関係者に合理的な範囲で情報を提供する(U-6)
  • 特定の個人や集団の評価の参考にするなら、AIを使っている旨を評価対象に通知し、求めに応じて説明する(U-7 i)
  • 問合せ窓口を合理的な範囲で設ける(U-7 i)
  • 関係者から提供されたデータを使う予定があるなら、提供の手段と形式を事前に伝える(U-7 i)

この3区分は、規程の章立てにそのまま使えます。ガイドラインには別添の付属資料7としてチェックリスト・ワークシートも付いており、条文を書き始める前に自社の充足状況を点検する材料になります。

見落とされやすいのは、説明と報告の2項目目です。たとえば社内の人事評価や取引先の審査にClaudeの出力を使う場面は、この項目に触れる可能性があります。評価対象への通知や自動化バイアスを踏まえた人間による合理的な判断が求められているので、人事や審査の部門が使うときだけ別条項を立てる設計もあります。

自社でClaude APIを組み込んだカスタムアプリを社内外に提供するなら、AI提供者の立場も負います。第4部の「AI利用者への共通の指針の対応状況の説明」と「サービス規約等の文書化」は、社内向け規程よりも外部提供時の利用規約に反映する事項です。利用するだけの会社か、提供もする会社かで、規程を1本にまとめるか、利用規程と提供規約を分けるかが変わります。

デジタル庁ガイドラインとの違いは何か

社内規程を書くときは、デジタル庁の生成AIガイドラインをClaude社内規程に転用するで扱った枠組みと混同しないようにします。出発点も対象読者も異なります。

本編の脚注3によると、デジタル庁の「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン」(デジタル社会推進会議の幹事会が2025年5月27日に決定)は、AI事業者ガイドラインなどを踏まえて整理した文書で、国の政府職員等向けのガイドラインと位置づけられています。

この関係からすると、民間企業が社内規程を書くときはAI事業者ガイドラインを軸にし、デジタル庁の4軸はリスクを評価する切り口として足す使い方が考えられます。

規程はAIガバナンスのサイクルのどこに置かれるか

条文の中身とは別に、規程を機能させる体制の話があります。本編第2部のE「AIガバナンスの構築」は、次の5段階のサイクルを回すモデルを示しています。

サイクル

アジャイル・ガバナンスの基本モデル

1. 1

   環境・リスク分析

   AIシステム・サービスがもたらす便益とリスクを、自社の状況に即して分析します。

2. 2

   AIガバナンス・ゴールの設定

   AIを開発・提供・利用するかどうかを判断し、するなら方針を定めます。経営上のゴール(存在意義、理念・ビジョン)と整合させます。

3. 3

   マネジメントシステムの設計と運用

   ゴールを達成する仕組みを設計して運用し、運用状況を外部に説明できるようにします。

4. 4

   評価と継続的改善

   リスクアセスメントなどを通じて、仕組みが有効に機能しているかを継続的にモニタリングします。

5. 5

   外部環境の変化への対応

   規制など社会的制度が変わったら、再び環境・リスク分析に戻り、必要ならゴールを見直します。

社内AI利用規程は、2段階目のゴールの置き場に当たります。ガイドラインは脚注で、「共通の指針」への対応事項からなる自社の取組方針を「AIポリシー」などと呼ぶことがあり、呼称は各主体に委ねられると述べています。規程の名前は「AI利用規程」でも「AIポリシー」でも構いません。

ガイドラインは、経営層のリーダーシップのもとでサイクルを回しつつ、戦略や体制に落とし込むことを期待しています。複数主体にまたがる論点の連携も、その対象です。AIガバナンスの構築を単なるコストではなく、持続的成長に向けた先行投資として捉えるよう経営層に求めています。規程の起票と並行して、サイクルを回す責任者を誰にするかも決めておく必要があります。

なぜガイドラインは「共通の指針」から始まるのか

10の共通指針が並んでいると、どこから手を付けるか迷います。ガイドラインは全体を3層に分けています。本編が「どのような社会を目指すのか(基本理念=why)」と「どのような取組を行うか(指針=what)」を扱い、別添が「具体的にどのようなアプローチで取り組むか(実践=how)」を扱います。

共通の指針は、基本理念と、主体ごとの個別事項(第3〜5部)の間にある層です。基本理念は抽象的で、条文に直接落とせません。かといって第5部のような個別事項だけを条文にすると、なぜその条文が必要なのかという根拠が抜け落ちます。指針を挟めば、「入力データのバイアスになぜ配慮するのか」といった理由を、規程の前文や解説に書けます。

起草担当者には、条文を書く前に「この条文はどの共通指針に対応するか」を1行でメモしておく方法があります。監査や外部説明で条文の理由を問われたとき、指針番号との対応が示せれば、規程が公的なガイドラインを土台に設計されたことを裏付けられます。

規程を起票する手順

手順

起票の5ステップ

1. 1

   自社の区分を決める

   Claudeの使い方が業務利用のみか、API連携で自社サービスに組み込むかから、AI利用者・AI提供者のどちらか(または両方)を判定します。

2. 2

   該当する部の事項を洗い出す

   AI利用者なら第5部、AI提供者でもあるなら第4部の事項を一覧にします。

3. 3

   共通の指針を条文にする

   指針の1〜8を、自社の利用実態(入力データの範囲、出力の使い方)に沿って条文にします。

4. 4

   付属資料7で抜け漏れを点検する

   チェックリスト・ワークシートで自社の充足状況を点検し、抜けを条文へ戻します。

5. 5

   既存の利用方針と突き合わせる

   社内のAI利用方針をClaudeで作成する手順にある5要素(ガバナンス構造・データプライバシー・適切な利用範囲・職員ガイドライン・倫理的配慮)と照らし、重複や矛盾がないかを見ます。

特定の業種には、AI事業者ガイドラインとは別に、所管官庁の個別通知があります。大学向けの読み替えは文科省の大学向け生成AI通知を大学のClaude利用ポリシーに落とし込むで扱っています。業種別の通知がある場合は、共通指針の番号で突き合わせると、全業種に共通する土台と、その業種に固有の追加事項を切り分けられます。

まとめ

ガイドラインは「Living Document」として更新され、個人情報保護法の見直しも進んでいます。改定のたびに最初に開くのは、入力データを扱う条文と、条文ごとに添えた指針番号の対応メモです。ここを起点にすれば、どの条文が古くなったかを版の差分から追えます。