生成AIガイドラインの作り方｜外注費用と策定手順

生成AIガイドラインは、利用を一律に禁止する規程ではなく、企業が「誰に・何を・どのツールで・どこまで許可するか」を定める社内ルールです。入力禁止情報だけでなく、出力確認、承認、アカウント管理、事故対応まで決めます。策定期間は1〜3か月、外注費用は30万〜250万円程度が一般的な目安です。

生成AIを業務で使い始めると、従業員による個別利用が先行し、会社が利用状況を把握できない「シャドーAI」が起こりやすくなります。一方、リスクを理由に全面禁止すると、承認されていない個人アカウントでの利用をかえって見えにくくすることもあります。

重要なのは、長大な規程を作ることではありません。従業員が迷ったときに判断でき、管理部門が継続的に更新できる実用的なルールを作ることです。本記事では、生成AI導入を検討する経営者・事業責任者向けに、ガイドラインの必須項目、費用、策定手順、外注先の選び方を解説します。

• 生成AIガイドラインに必要な項目
  • 最初に3種類の文書を分ける
  • 必ず盛り込みたい項目
  • 業務をリスク別に分類する
• ガイドライン策定・外注の費用と期間
  • 費用を左右する主な要因
  • 策定後の運用費も予算化する
• 生成AIガイドラインの作り方
  • ステップ1：責任者と関係部門を決める
  • ステップ2：現在の利用状況と対象業務を洗い出す
  • ステップ3：ツールとデータ取扱条件を確認する
  • ステップ4：利用ルールと例外申請を作る
  • ステップ5：小規模運用で検証する
  • ステップ6：教育、公開、定期改定を行う
• 外注見積もりの見方と支援会社の選び方
  • 見積もりに含まれる作業を確認する
  • 支援会社へ確認したい質問
  • よくある失敗と回避策
• まとめ
• よくある質問
  • 生成AIの利用は、ガイドラインが完成するまで全面禁止すべきですか？
  • 生成AIへ入力してはいけない情報を決めるだけで十分ですか？
  • 生成AIガイドラインの策定には弁護士の確認が必要ですか？
  • 生成AIガイドラインはどのくらいの頻度で見直すべきですか？

生成AIガイドラインに必要な項目

生成AIガイドラインでは、「入力してはいけない情報」だけでなく、利用できる業務、生成結果の確認責任、承認されたツール、問題発生時の連絡先まで定めます。入力ルールだけを作っても、誤った回答の公開や不適切な自動化は防げません。

最初に3種類の文書を分ける

一つの文書にすべてを詰め込むと、経営方針と日常の操作手順が混在し、更新しにくくなります。次のように文書を分けると運用しやすくなります。

AI利用方針は短く安定した内容にし、変化しやすい製品名や設定方法はツール別手順へ分離するのがポイントです。これにより、利用ツールを変更するたびに社内規程全体を改定する負担を抑えられます。

必ず盛り込みたい項目

最低限、次の項目を明文化します。

• ガイドラインの目的と適用対象者
• 利用を許可する生成AIツールとアカウント
• 利用できる業務と禁止する業務
• 入力を禁止・制限する情報
• 生成結果を確認する担当者と確認方法
• 社外公開、顧客提供、システム反映時の承認手続き
• 著作権、個人情報、秘密保持に関する注意
• 利用履歴やログの管理方針
• 問題が起きた場合の報告先と初動
• 教育、定期点検、ガイドライン改定の責任者

専門用語としてのハルシネーションとは、生成AIが事実ではない情報を、もっともらしく回答する現象です。出力の正確性は生成AI事業者だけに任せず、利用目的に応じて人が確認するルールを設けます。

業務をリスク別に分類する

すべての利用を同じ手続きにすると、低リスク業務にも過剰な承認が必要になり、現場で使われなくなります。反対に、すべてを自己判断にすると、高リスク業務まで確認なしで進む可能性があります。

この分類は業種や事業内容によって変わります。例えば、一般企業では問題のない文章でも、医療、金融、教育などでは利用者への影響が大きくなる場合があります。汎用テンプレートをそのまま配布せず、自社の業務へ置き換えて判断してください。

ガイドライン策定・外注の費用と期間

生成AIガイドラインの策定費用は、社内で作るなら外部費用を抑えられますが、業務調査、規程作成、ツール審査、研修まで外注すると30万〜250万円程度が一般的な目安です。全社的なリスク評価やシステム連携を含む場合は、250万〜500万円以上になることもあります。

上記は一般的な目安であり、従業員数だけで費用が決まるわけではありません。部門数、利用ツール数、扱うデータ、海外拠点の有無、既存規程との整合、研修対象者数などで変動します。

費用を左右する主な要因

特に見積もりへ影響しやすいのは次の項目です。

• 現場へのヒアリング対象となる部門数
• 利用候補となる生成AIツールの数
• 個人情報や顧客機密情報を扱うか
• ガイドラインだけでなく、規程や申請書も作るか
• 契約条件やデータ取扱方法の調査を含むか
• 技術的なアクセス制御やログ管理を実装するか
• 従業員研修や管理者研修を行うか
• 導入後の相談窓口や定期改定を委託するか

ここで発注者が誤解しやすいのが、「文章を作るだけなら安い」という考え方です。ガイドラインの成果物は文書ですが、主要な作業は自社業務の調査、リスクの分類、関係部門との合意形成です。文章量だけで比較すると、実態調査が省かれた見積もりを選んでしまう可能性があります。

なお、ツール利用料、API利用料、社内システムとの連携開発費は、通常ガイドライン策定費と別です。生成AI導入全体の予算を確認したい場合は、生成AI導入費用の相場｜法人向け選び方も参考にしてください。

策定後の運用費も予算化する

生成AIの製品仕様、契約条件、社内での利用範囲は変化します。初回策定費だけでなく、次の費用も確認します。

• 半年または年1回の定期レビュー
• 新しいAIツールを追加する際の審査
• 利用者向け研修と資料更新
• インシデント発生時の調査支援
• アカウント、権限、ログの運用
• ガイドライン改定と社内周知

簡易なスポット改定は1回20万〜100万円程度、継続支援は月額10万〜50万円程度が一つの目安です。ただし、法務レビュー、技術監査、問い合わせ窓口の有無で大きく変わるため、作業範囲を明記した見積もりを取りましょう。

生成AIガイドラインの作り方

実用的なガイドラインを作るには、先に文章を書き始めるのではなく、「現在の利用実態を把握する」「業務ごとに許容範囲を決める」「技術・契約・運用をそろえる」という順番で進めます。

ステップ1：責任者と関係部門を決める

経営責任者または事業責任者をプロジェクトオーナーに置き、情報システム、法務、セキュリティ、人事、現場部門などから担当者を選びます。

開発会社へ相談いただく際にも、外注先へ判断を丸投げするケースがあります。しかし、「自社としてどのリスクを許容するか」は外部会社だけでは決められません。外注先は選択肢やリスクを整理できますが、最終的な方針は経営・事業側が決定する必要があります。

ステップ2：現在の利用状況と対象業務を洗い出す

従業員がすでに使っているツール、アカウントの種類、入力している情報、利用目的を確認します。禁止の通知を先に出すと実態を回答しにくくなるため、調査の目的が安全な利用環境の整備であることを伝えます。

対象業務の洗い出しでは、次の項目を表にまとめます。

• 利用部門と担当者
• 利用したい業務
• 入力する情報の種類
• 生成物の利用先
• 誤りがあった場合の影響
• 現在行っている人の確認
• 期待する時間削減や品質向上
• 使用中または候補のツール

「生成AIを導入したい」という目的だけでは、適切なルールを決められません。文章作成、社内検索、問い合わせ対応、データ分析など、用途によって必要な対策が異なります。

ステップ3：ツールとデータ取扱条件を確認する

同じ名称の生成AIサービスでも、個人向けプラン、法人向けプラン、APIでは契約条件や管理機能が異なる場合があります。APIとは、別のシステムから生成AIの機能を呼び出す仕組みです。

候補ツールごとに、少なくとも次を確認します。

• 入力データがモデルの学習に利用されるか
• 入力・出力データの保存期間と保存地域
• データ削除の方法
• 管理者によるアカウント・権限管理の可否
• 多要素認証やシングルサインオンへの対応
• 利用ログを取得・監査できるか
• 外部サービスやプラグインへ情報が渡るか
• 契約終了後にデータがどう扱われるか
• 障害や情報漏えい時の通知条件

「法人プランだから安全」と一括りにせず、採用するプランの最新の契約条件と設定を確認してください。サービス提供者の規約変更を誰が確認するかも決めておきます。

ステップ4：利用ルールと例外申請を作る

ルールは、禁止事項だけでなく具体的な利用例と確認方法を示します。従業員が判断できない場合に備えて、相談・例外申請の手順も用意します。

入力禁止情報の例としては、次のようなものがあります。

• 顧客から秘密として預かった情報
• 公開前の経営・財務・製品情報
• 個人を識別できる情報
• ID、パスワード、APIキーなどの認証情報
• 契約上、外部提供が制限されているデータ
• セキュリティ上重要なシステム構成情報

ただし、承認された法人向け環境で一定の情報を扱う設計もあり得ます。その場合は、「機密情報はすべて禁止」という表現ではなく、情報区分、利用できる環境、承認者、マスキング方法を具体化します。マスキングとは、氏名や番号などを削除・置換し、元の情報を特定しにくくする処理です。

出力側では、以下を定めます。

• 事実、計算、引用元を人が確認する
• 契約、法務、会計などの重要判断に回答をそのまま使わない
• 顧客への送信や一般公開前に承認を得る
• 既存の著作物と不自然に類似していないか確認する
• 差別的・不適切な表現が含まれていないか確認する
• AIが作成した事実を記録・表示する必要がある場面を決める

ステップ5：小規模運用で検証する

全社公開する前に、2〜3部門程度で試験運用します。試験期間中は、利用件数だけでなく、迷った点や承認にかかった時間を記録します。

確認する指標の例は次のとおりです。

• ガイドラインを読んで利用可否を判断できた割合
• 相談・例外申請の件数と内容
• 禁止情報を入力しそうになった事例
• 出力確認で誤りを発見した件数
• 承認に必要な時間
• 業務時間や品質の変化

生成AIの精度だけを評価しても、社内運用の良し悪しは判断できません。現場が守れるルールか、承認手続きが過剰でないか、管理部門が対応できるかも検証します。

ステップ6：教育、公開、定期改定を行う

ガイドラインを社内ポータルへ掲載するだけでは定着しません。利用開始時に短時間の研修を行い、具体的な違反例、正しい利用例、相談先を伝えます。

公開前のチェックリストは次のとおりです。

• 経営・事業責任者が利用方針を承認している
• 対象者と対象ツールが明記されている
• 入力禁止・制限情報を例示している
• 出力内容の確認責任者が決まっている
• 社外公開時の承認手順がある
• 例外申請と相談の窓口がある
• インシデント時の報告先がある
• ツールの契約条件と設定を確認している
• 利用者向けの研修資料がある
• 次回の見直し時期と改定責任者が決まっている

外注見積もりの見方と支援会社の選び方

外注先は、生成AIに詳しいだけでなく、業務整理、情報セキュリティ、契約条件、システム実装、社内定着を横断して支援できるかで比較します。テンプレートの納品だけか、自社の運用開始まで伴走するのかを見積もりで確認してください。

見積もりに含まれる作業を確認する

見積書では、最低限次の項目を分けてもらいます。

金額が安い見積もりでは、テンプレート提供と1回のレビューだけになっている場合があります。一方、高額な見積もりでも、会議や資料作成が多いだけで実際の運用設計が弱いことがあります。総額ではなく、誰が何を調査し、どの状態まで仕上げるかを比較しましょう。

支援会社へ確認したい質問

候補会社との面談では、次の質問が有効です。

• 自社と近い業務のリスクをどのように整理するか
• ガイドラインと技術的な制御をどう使い分けるか
• 利用ツールの契約条件をどの範囲まで調査するか
• 法的判断が必要な場合は、誰と連携するか
• 現場ヒアリングと合意形成をどう進めるか
• 納品後にルールを更新できる形式になっているか
• 研修や問い合わせ対応を依頼できるか
• システム連携へ進む場合も支援できるか
• 事故発生時の初動支援を依頼できるか

発注のご相談を受ける開発会社の立場では、ガイドラインと実際のシステム設定が一致しているかを重視します。例えば、文書では個人アカウントを禁止していても、会社が法人アカウントを用意していなければ、現場でルールを守るのは困難です。規程、契約、技術、教育を一体として設計できる会社を選んでください。

生成AIの利用ルール策定から、ツール選定、検証、業務システムとの連携まで整理したい場合は、開発のご相談はこちらからご相談ください。

よくある失敗と回避策

失敗1：汎用テンプレートをそのまま配布する

テンプレートには自社の情報区分、承認者、利用ツール、相談先が反映されていません。ひな型は項目漏れの確認に使い、実際の業務例へ置き換えます。

失敗2：禁止事項が多く、許可される使い方が分からない

従業員が安全な利用方法を判断できず、利用停止または隠れた利用につながります。「公開情報の要約は可」「顧客情報を含む文章は不可」など、許可例と禁止例を対にして示します。

失敗3：ガイドラインを作っただけで技術設定を確認しない

個人アカウント、共有アカウント、外部連携機能が放置されていると、文書だけでは管理できません。アカウント発行、権限、ログ、外部連携の設定も確認します。

失敗4：生成結果の責任者が決まっていない

生成AIを使った担当者、上長、システム管理者の誰が確認するか曖昧だと、誤りがそのまま公開されます。利用場面ごとに作成者、確認者、承認者を決めます。

失敗5：一度作って更新しない

新しいツールや機能が追加されても古いルールのままになり、実態と合わなくなります。定期改定に加え、新規ツール導入や重大な規約変更を臨時見直しの条件にします。

まとめ

• 生成AIガイドラインは、利用禁止ではなく、安全に利用できる範囲と責任を定めるものです
• 入力禁止情報だけでなく、利用業務、出力確認、承認、アカウント管理、事故対応まで決めます
• AI利用方針、全社ガイドライン、ツール別手順を分けると更新しやすくなります
• 策定期間は1〜3か月、外注費用は30万〜250万円程度が一般的な目安です
• 全社調査、技術検証、研修、システム連携まで含む場合は、200万〜500万円以上になることがあります
• 汎用テンプレートをそのまま使わず、自社の業務、データ、契約、承認体制へ置き換えることが重要です
• 外注先は文書作成の実績だけでなく、業務整理、セキュリティ、契約条件、技術設定、研修への対応力で比較します
• 公開前に小規模な試験運用を行い、現場が判断できるルールかを検証します
• 四半期の簡易確認と半年〜1年ごとの定期改定を基本に、利用状況の変化に合わせて更新します

よくある質問

生成AIの利用は、ガイドラインが完成するまで全面禁止すべきですか？

必ずしも全面禁止にする必要はありません。利用可能なツール、入力禁止情報、利用できる業務、確認責任を定めた暫定ルールを先に公開し、低リスク業務から始める方法があります。ただし、機密情報を扱う業務や顧客向けの自動回答などは、契約条件と安全性を確認してから利用してください。

生成AIへ入力してはいけない情報を決めるだけで十分ですか？

十分ではありません。入力ルールに加え、出力内容の事実確認、著作権・個人情報への配慮、社外公開時の承認、アカウント管理、インシデント報告まで決める必要があります。生成AIのリスクは入力時だけでなく、生成結果を利用する段階でも発生します。

生成AIガイドラインの策定には弁護士の確認が必要ですか？

すべての企業で必須とは限りませんが、個人情報、著作物、顧客データ、採用・人事評価などを扱う場合は、専門の弁護士への確認を検討してください。開発会社やAI導入支援会社は技術・運用面を支援できますが、個別の法的判断は弁護士へ相談するのが適切です。

生成AIガイドラインはどのくらいの頻度で見直すべきですか？

四半期ごとの簡易確認と、半年から1年ごとの定期改定が一般的な目安です。利用ツールの追加、規約やデータ取扱条件の変更、対象業務の拡大、インシデントの発生があった場合は、定期改定を待たずに見直してください。