A4一枚でいい——“個人任せ”が64.9%の中小企業に、生成AIの社内ルールをつくる5項目

社員が生成AIを使っているかどうか、正確に把握できているでしょうか。
「特に禁止はしていない」という会社は多いと思います。
ただ、禁止していないことと、ルールがあることは別です。
商工中金が2026年3月31日に公表した中小企業3,892社への調査では、
「会社としての導入はなく、使用は個人の判断に任せている」が64.9%でした。
本記事では、A4一枚で作れる社内の生成AI利用ルールについて、
書くべき5項目と、配ったあとに形骸化させないための運用を解説します。

「禁止していない」は、まだルールではない

まず、中小企業の現在地を数字で確認します。
この調査は2025年12月19日から2026年1月16日にかけて実施され、有効回答は3,892社です。
生成AIの導入状況は、「会社としての導入はなく、使用は個人の判断に任せる」が64.9%。
「会社としての導入はないが、個人の活用を推奨」が14.9%、
「一部の部署やメンバーがパッケージを導入」が11.2%と続きます。
全社的な導入は4.1%、自社専用モデルやAIエージェントの導入は0.9%でした。
使用を禁止・制限しているのは1.4%です。
会社として導入または推奨している層を合計すると31.1%になります。

つまり、3社に2社は「社員が各自の判断で使っている」状態です。
この状態がなぜ問題かというと、リスクと成果の両方が見えなくなるからです。
同じ調査では、生成AIが経営に「大きなインパクトがあった」と答えた割合は、
会社として導入した企業で34.6%、個人利用を推奨した企業で24.3%でした。
用途の上位はメール・報告書・議事録の作成が74.0%、事務作業の自動化が48.7%。
どちらも、会社の情報を入力しなければ成り立たない仕事です。

後回しになる理由は「何を書けばいいか分からない」

同じ調査で課題を聞くと、「社内ルールや方針の整備が追いついていない」が25.1%でした。
興味深いのは、積極活用層で24.8%、そうでない層で25.2%とほぼ差がない点です。
使っていてもいなくても、ルールづくりは等しく積み残されています。
セキュリティや情報管理への不安も21.0%ありました。
背景にあるのは、ルールを作る手本が重厚すぎることだと考えています。

国が示す指針としては、総務省と経済産業省の「AI事業者ガイドライン」第1.2版があります。
また、個人情報保護委員会は2023年6月に、生成AIサービスの利用について注意喚起を出しています。
いずれも考え方の土台としては有用ですが、そのまま社内規程にできる分量ではありません。
中小企業にまず必要なのは、全社員が読み切れる一枚です。
関連する体制づくりの考え方は、過去記事「事故を防ぐ権限設計と人の承認フローの作り方」もあわせてご覧ください。

A4一枚に書く5項目

ここからは、実際に書く中身です。
細かい条文は要りません。
次の5項目が埋まっていれば、実務上のルールとしては十分に機能します。

①使ってよいツールを決める

会社として使うツールを1つか2つに絞り、名前を書きます。
あわせて、法人向けの契約かどうか、入力内容が学習に使われない設定になっているかを確認しておきます。
「これ以外は業務で使わない」と一行あるだけで、把握できない利用がぐっと減ります。

②入れてはいけない情報を3つだけ挙げる

禁止事項は増やすほど読まれなくなります。
顧客の個人情報、取引先との秘密保持契約がある資料、未公表の経営数値。
まずはこの3つに絞り、判断に迷うものは相談してから、と添えておけば運用できます。

③人が必ず確認する場面を決める

AIの出力をそのまま外に出してよいかは、場面で線を引きます。
社外に出す文章、金額や納期が入る文書、法令や契約の解釈にかかわる内容は、人が確認してから。
社内向けのメモや下書きは、そのまま使ってよいと決めておくと現場が動きやすくなります。

④相談先を1人決める

ルールの多くは、判断に迷った瞬間に破られます。
「迷ったら誰に聞くか」を実名で1人書いておくだけで、勝手な自己判断が減ります。
専門家である必要はなく、社内で最も使い慣れている人で構いません。

⑤見直す時期を書いておく

生成AIの機能も契約条件も、数か月単位で変わります。
「3か月後に見直す」と日付で書いておけば、古いまま放置される事態を防げます。
最初から完璧を目指さず、見直す前提で粗く出すほうが早く回ります。

配って終わりにしないための3つの運用

一枚できたら、次は定着です。
ここを省くと、ルールはファイルサーバーの中で眠ります。
先に紹介した別の調査でも、定着に効いた施策の第1位は利用ルールやガイドラインの整備でした。
詳しくは過去記事「AI導入の失敗理由に“性能”が見当たらない」で解説しています。

運用は3つだけで足ります。
1つ目は、配るときに15分でも口頭で説明することです。
読ませるだけだと、なぜその線引きなのかが伝わりません。
2つ目は、迷った実例を共有する場をつくることです。
「この資料は入れてよいか迷った」という話が、次のルール改訂の材料になります。
3つ目は、見直しの日を予定表に入れておくことです。
3か月後の枠を今日押さえておけば、④で決めた担当者が忘れずに動けます。

まとめ

中小企業の64.9%は、生成AIの利用を個人の判断に任せたままです。
そしてルール整備の遅れは、使っている会社もそうでない会社も同じように課題に挙げています。
必要なのは分厚い規程ではなく、ツール・禁止情報・確認の場面・相談先・見直し時期を書いた一枚です。
これがあるだけで、リスクの線引きと成果の把握が同時に前へ進みます。
まずは今日、A4一枚の下書きから始めてみてはいかがでしょうか。